Auftragsverarbeitungsvertrag (AVV)

zwischen dem Kunden gemäss Noovi-Konto (nachfolgend „Kunde“ oder „Verantwortlicher“) und der Noovi Software Solutions AG, Kantonsstrasse 87, 6048 Horw (nachfolgend „Provider“ oder „Auftragsbearbeiter“).

1. Gegenstand, Geltung und Dauer

Der Provider stellt dem Kunden die Noovi Software als Software-as-a-Service zur Verfügung (vgl. AGB, Kapitel 2 und 3). Dabei bearbeitet der Provider Personendaten, die der Kunde oder dessen Nutzer in der Noovi Software erfassen, im Auftrag und nach Weisung des Kunden. Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) regelt die Rechte und Pflichten der Parteien für diese Auftragsbearbeitung.

Der AVV ist Bestandteil des Vertragsverhältnisses gemäss den Allgemeinen Geschäftsbedingungen des Providers (noovi.ch/legal/agb) (nachfolgend „AGB“). Er wird mit der Registrierung eines Noovi-Kontos abgeschlossen und gilt ab diesem Zeitpunkt, auch während der kostenlosen Testphase, bis zur vollständigen Löschung oder Rückgabe der Kundendaten gemäss Kapitel 12.

Der AVV dient der Umsetzung von Art. 9 des Schweizer Datenschutzgesetzes (DSG). Soweit die EU-Datenschutz-Grundverordnung (DSGVO) auf die Datenbearbeitung des Kunden anwendbar ist, gilt dieser AVV zugleich als Vertrag im Sinne von Art. 28 Abs. 3 DSGVO.

2. Begriffe

Die Begriffe „Personendaten“, „Bearbeitung“, „Verantwortlicher“, „Auftragsbearbeiter“, „betroffene Person“ und „Verletzung der Datensicherheit“ werden im Sinne des DSG verwendet. Soweit die DSGVO anwendbar ist, entsprechen sie den Begriffen „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“ und „Verletzung des Schutzes personenbezogener Daten“.

„Kundendaten“ sind alle Personendaten, die der Kunde oder seine Nutzer in der Noovi Software erfassen, hochladen oder über Schnittstellen übermitteln, sowie Daten, die die Noovi Software daraus erzeugt (z.B. Auswertungen, Standortdaten, Protokolle).

„Nutzer“ sind alle Personen, denen der Kunde Zugang zur Noovi Software einräumt, insbesondere Mitarbeitende, Subunternehmer und Personen mit Zugang zum Kundenportal.

3. Art, Zweck und Umfang der Bearbeitung

Gegenstand, Dauer, Art und Zweck der Bearbeitung, die Kategorien der Kundendaten und die Kategorien der betroffenen Personen sind in Anhang 1 beschrieben. Die Bearbeitung erfolgt ausschliesslich zur Bereitstellung und zum Betrieb der Noovi Software, zum Support und zur Erfüllung der Pflichten aus den AGB.

Personendaten, die der Provider zur Abwicklung des Vertragsverhältnisses mit dem Kunden selbst bearbeitet (insbesondere Kontodaten, Rechnungsdaten, Kontaktdaten der Ansprechpersonen, Nutzungsdaten zur Sicherstellung des Betriebs), bearbeitet der Provider als eigenständiger Verantwortlicher. Dafür gilt die Datenschutzerklärung des Providers (noovi.ch/legal/datenschutz), nicht dieser AVV.

4. Pflichten des Kunden

Der Kunde ist Verantwortlicher für die Kundendaten. Er ist allein dafür verantwortlich, dass die Bearbeitung der Kundendaten in der Noovi Software rechtmässig ist, insbesondere dass eine Rechtsgrundlage besteht und die betroffenen Personen angemessen informiert sind.

Der Kunde informiert seine Nutzer, insbesondere seine Mitarbeitenden, über die Bearbeitung ihrer Personendaten in der Noovi Software. Nutzt der Kunde Funktionen mit Standortbezug (Fahrtenbuch, Standort beim Ein- und Ausstempeln, Aufnahmeort von Fotos und Einträgen), stellt er sicher, dass deren Einsatz gegenüber den Mitarbeitenden zulässig ist und die arbeitsrechtlichen Vorgaben zur Überwachung am Arbeitsplatz eingehalten werden.

Der Kunde erteilt dem Provider Weisungen zur Bearbeitung der Kundendaten grundsätzlich durch die Nutzung und Konfiguration der Noovi Software (z.B. Anlegen und Löschen von Nutzern, Erfassen und Löschen von Daten, Aktivieren von Schnittstellen und Funktionen). Weitergehende Weisungen sind in Textform (E-Mail) an den Provider zu richten. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Provider ablehnen oder gegen angemessene Entschädigung ausführen.

Der Kunde benennt im Noovi-Konto eine Ansprechperson für Datenschutzfragen und hält deren Kontaktdaten aktuell. Er ist dafür verantwortlich, dass nur berechtigte Nutzer Zugang zur Noovi Software erhalten und dass Zugangsdaten vertraulich behandelt werden (vgl. AGB, Kapitel 10).

Der Kunde prüft selbst, ob er für die Bearbeitung in der Noovi Software ein Verzeichnis der Bearbeitungstätigkeiten führen oder eine Datenschutz-Folgenabschätzung vornehmen muss.

5. Pflichten des Providers

Der Provider bearbeitet die Kundendaten ausschliesslich im Auftrag und nach den dokumentierten Weisungen des Kunden und nur zu den in Anhang 1 beschriebenen Zwecken. Eine Bearbeitung für eigene Zwecke des Providers oder für Dritte findet nicht statt; ausgenommen bleibt eine Bearbeitung, zu der der Provider gesetzlich verpflichtet ist. In diesem Fall informiert der Provider den Kunden vor der Bearbeitung, soweit dies rechtlich zulässig ist.

Ist der Provider der Ansicht, dass eine Weisung des Kunden gegen das DSG, die DSGVO oder andere Datenschutzvorschriften verstösst, informiert er den Kunden unverzüglich. Der Provider ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert.

Der Provider stellt sicher, dass alle Personen, die Zugang zu Kundendaten haben, zur Vertraulichkeit verpflichtet sind und nur im Rahmen ihrer Aufgaben auf Kundendaten zugreifen. Der Zugriff auf Kundendaten durch Mitarbeitende des Providers oder seiner Unterauftragsbearbeiter erfolgt nur, soweit dies für Betrieb, Wartung, Fehlerbehebung oder Support erforderlich ist, und wird protokolliert.

Der Provider benennt dem Kunden eine Kontaktstelle für Datenschutzfragen: support@noovi.ch.

Der Provider verwendet Kundendaten nicht zum Trainieren von KI-Modellen. Soweit Funktionen der Noovi Software KI-Dienste von Unterauftragsbearbeitern nutzen, werden Kundendaten nur zur Ausführung der jeweiligen Funktion an diese übermittelt und nicht zu deren eigenen Zwecken verwendet (vgl. Anhang 3).

6. Datensicherheit

Der Provider trifft die in Anhang 2 beschriebenen technischen und organisatorischen Massnahmen, um die Kundendaten vor Verlust, Missbrauch, unbefugtem Zugriff, Veränderung und Offenlegung zu schützen. Die Massnahmen entsprechen dem Stand der Technik und berücksichtigen Art, Umfang und Zweck der Bearbeitung sowie das Risiko für die betroffenen Personen.

Der Provider überprüft die Massnahmen regelmässig und passt sie der technischen Entwicklung an. Er darf einzelne Massnahmen durch gleichwertige oder bessere ersetzen; das Sicherheitsniveau darf dadurch nicht sinken. Wesentliche Änderungen werden in Anhang 2 nachgeführt.

7. Unterauftragsbearbeiter

Der Provider ist berechtigt, für die Bearbeitung der Kundendaten Unterauftragsbearbeiter beizuziehen. Die beim Abschluss dieses AVV eingesetzten Unterauftragsbearbeiter sind in Anhang 3 aufgeführt; der Kunde genehmigt deren Einsatz mit Abschluss dieses AVV.

Der Provider verpflichtet jeden Unterauftragsbearbeiter vertraglich zu Datenschutz- und Datensicherheitspflichten, die den Pflichten dieses AVV entsprechen. Der Provider bleibt dem Kunden gegenüber für die Erfüllung der Pflichten seiner Unterauftragsbearbeiter verantwortlich.

Beabsichtigt der Provider, einen neuen Unterauftragsbearbeiter beizuziehen oder einen bestehenden zu ersetzen, informiert er den Kunden mindestens 30 Tage im Voraus in geeigneter Form (In-App-Mitteilung, E-Mail oder aktualisierter Anhang 3 unter noovi.ch/legal/avv). Der Kunde kann innert dieser Frist aus wichtigem datenschutzrechtlichem Grund schriftlich widersprechen. Erhebt der Kunde keinen Widerspruch, gilt der Einsatz als genehmigt. Können sich die Parteien bei einem begründeten Widerspruch nicht einigen, ist der Kunde berechtigt, den Vertrag auf den Zeitpunkt des Einsatzes des neuen Unterauftragsbearbeiters zu kündigen.

Nicht als Unterauftragsbearbeiter gelten Dienstleister, die der Provider für Nebenleistungen ohne Zugriff auf Kundendaten beizieht (z.B. Telekommunikation, Reinigung, Beratung), sowie Drittanbieter, deren Dienste der Kunde selbst über Schnittstellen mit der Noovi Software verbindet (z.B. bexio, Microsoft 365 / SharePoint, Google Drive, Proffix). Für solche Drittanbieter ist der Kunde selbst verantwortlich.

8. Bearbeitung im Ausland

Der Provider betreibt die Noovi Software selbst und hostet Applikation, Datenbank und Sicherungen bei der hosttech GmbH auf Servern in der Schweiz. Für Entwicklung, Wartung und Support arbeitet der Provider mit dem in Anhang 3 genannten Unterauftragsbearbeiter in Deutschland zusammen; dieser hat Zugriff auf die Server des Providers und kann im Rahmen von Fehlerbehebung und Support auf Kundendaten zugreifen. Deutschland ist ein Staat mit angemessenem Datenschutz im Sinne von Art. 16 Abs. 1 DSG und Mitgliedstaat der EU.

Eine Bekanntgabe von Kundendaten in andere Staaten erfolgt nur, wenn der betreffende Staat einen angemessenen Datenschutz gewährleistet oder geeignete Garantien bestehen, insbesondere die vom EDÖB anerkannten Standardvertragsklauseln bzw. die Standardvertragsklauseln der Europäischen Kommission mit den für die Schweiz erforderlichen Anpassungen. Die betroffenen Unterauftragsbearbeiter, Staaten und Garantien sind in Anhang 3 aufgeführt.

9. Unterstützung des Kunden

Der Provider unterstützt den Kunden mit angemessenen technischen und organisatorischen Mitteln bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen, insbesondere bei Auskunfts-, Berichtigungs-, Lösch- und Datenherausgabebegehren. Soweit möglich, erfüllt der Kunde solche Begehren selbst über die Funktionen der Noovi Software.

Wendet sich eine betroffene Person direkt an den Provider, leitet der Provider das Begehren unverzüglich an den Kunden weiter und beantwortet es nicht selbst, es sei denn, der Kunde weist ihn dazu an oder der Provider ist gesetzlich dazu verpflichtet.

Der Provider unterstützt den Kunden mit den ihm verfügbaren Informationen bei Datenschutz-Folgenabschätzungen, bei Konsultationen von Aufsichtsbehörden und bei der Beantwortung behördlicher Anfragen, soweit diese die Bearbeitung in der Noovi Software betreffen.

Unterstützungsleistungen, die über das vertraglich Geschuldete hinausgehen oder einen erheblichen Aufwand verursachen, darf der Provider nach vorgängiger Ankündigung zu den jeweils gültigen Stundenansätzen in Rechnung stellen.

10. Meldung von Verletzungen der Datensicherheit

Der Provider meldet dem Kunden jede Verletzung der Datensicherheit, die Kundendaten betrifft (z.B. unbefugter Zugriff, Verlust, unbeabsichtigte Offenlegung), ohne unangemessene Verzögerung nach Kenntnisnahme an die vom Kunden hinterlegte Ansprechperson.

Die Meldung enthält, soweit zum Zeitpunkt der Meldung bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen, getroffene und vorgeschlagene Massnahmen sowie eine Kontaktstelle. Informationen, die noch nicht vorliegen, reicht der Provider unverzüglich nach.

Der Provider dokumentiert Verletzungen der Datensicherheit und unterstützt den Kunden bei dessen Meldepflichten gegenüber dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), gegenüber Aufsichtsbehörden der EU und gegenüber betroffenen Personen. Die Meldung an Behörden und betroffene Personen obliegt dem Kunden; der Provider nimmt sie nur auf ausdrückliche Weisung des Kunden vor.

11. Nachweise und Kontrollrechte

Der Provider stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Massnahmen (Anhang 2), Nachweise und Zertifikate von Unterauftragsbearbeitern, soweit vorhanden, sowie Antworten auf einen angemessenen Fragebogen des Kunden. Diese Nachweise sind das vorrangige Mittel der Kontrolle.

Eine Kontrolle beim Provider vor Ort findet nur statt, wenn das anwendbare Datenschutzrecht sie zwingend vorsieht (insbesondere Art. 28 Abs. 3 lit. h DSGVO, soweit die DSGVO anwendbar ist) oder eine Aufsichtsbehörde sie verlangt. In diesem Fall erfolgt sie mit einer Vorankündigung von mindestens 30 Tagen, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und, soweit zulässig, durch eine zur Vertraulichkeit verpflichtete unabhängige Fachperson. Kontrollen bei Unterauftragsbearbeitern erfolgen über deren Nachweise. Der Kunde trägt die Kosten der Kontrolle und entschädigt den Provider für dessen Aufwand, sofern die Kontrolle keine wesentliche Verletzung dieses AVV durch den Provider ergibt.

12. Löschung und Rückgabe der Kundendaten

Während der Vertragsdauer kann der Kunde Kundendaten jederzeit selbst in der Noovi Software löschen oder exportieren. Darüber hinaus gilt für die Herausgabe AGB Kapitel 5.

Nach Beendigung des Vertragsverhältnisses kann der Kunde innerhalb eines Monats die Herausgabe seiner Kundendaten in dem vom Provider verwendeten Format verlangen. Nach Ablauf dieser Frist löscht der Provider sämtliche Kundendaten, einschliesslich Kopien bei Unterauftragsbearbeitern, innerhalb von 30 Tagen unwiderruflich; Kundendaten in Sicherungskopien werden mit dem regulären Überschreiben der Sicherungen, spätestens nach weiteren 30 Tagen, gelöscht und bis dahin nicht wiederhergestellt oder anderweitig genutzt. Auf Verlangen bestätigt der Provider die Löschung schriftlich.

Von der Löschung ausgenommen sind Daten, die der Provider aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern muss. Für diese gelten die Pflichten dieses AVV bis zur Löschung weiter; eine Bearbeitung zu anderen Zwecken ist ausgeschlossen.

13. Haftung

Für die Haftung der Parteien gilt AGB Kapitel 13. Davon ausgenommen ist die Haftung nach zwingendem Recht, insbesondere nach Art. 82 DSGVO, soweit die DSGVO anwendbar ist.

Der Kunde stellt den Provider von Ansprüchen Dritter und von Sanktionen frei, die darauf beruhen, dass die vom Kunden veranlasste Bearbeitung der Kundendaten rechtswidrig war oder der Kunde seine Pflichten gemäss Kapitel 4 verletzt hat.

14. Dauer, Änderungen und Rangordnung

Dieser AVV gilt für die Dauer des Vertragsverhältnisses gemäss AGB und darüber hinaus, bis der Provider keine Kundendaten mehr bearbeitet.

Der Provider ist berechtigt, diesen AVV anzupassen, wenn sich die Rechtslage, der Leistungsumfang oder die Unterauftragsbearbeiter ändern. Für Änderungen gilt das Verfahren gemäss AGB Kapitel 1 und 12; Änderungen der Unterauftragsbearbeiter richten sich nach Kapitel 7 dieses AVV. Die jeweils gültige Fassung wird unter noovi.ch/legal/avv veröffentlicht.

Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV vor, soweit es um die Bearbeitung von Personendaten im Auftrag des Kunden geht. Im Übrigen gehen die AGB vor. Individuelle schriftliche Vereinbarungen zwischen den Parteien gehen beiden vor.

15. Schlussbestimmungen

Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt der AVV im Übrigen bestehen. Die unwirksame Bestimmung ist durch eine Regelung zu ersetzen, die dem Recht entspricht und dem Zweck der unwirksamen Bestimmung möglichst nahekommt. Soweit die DSGVO anwendbar ist, sind die Bestimmungen dieses AVV im Sinne von Art. 28 DSGVO auszulegen.

Dieser AVV untersteht Schweizer Recht unter Ausschluss des Kollisionsrechts. Ausschliesslicher Gerichtsstand ist der Sitz des Providers. Zwingende Bestimmungen des anwendbaren Datenschutzrechts bleiben vorbehalten.

Anhang 1 – Beschreibung der Bearbeitung

Anhang 2 – Technische und organisatorische Massnahmen

Stand: 31.10.2026

Anhang 3 – Unterauftragsbearbeiter

Stand: 31.10.2026. Die jeweils aktuelle Liste ist unter noovi.ch/legal/avv abrufbar.

Dienste, die der Kunde selbst über Schnittstellen mit der Noovi Software verbindet (z.B. bexio, Microsoft 365 / SharePoint, Google Drive, Proffix), sind keine Unterauftragsbearbeiter des Providers; für sie gelten die Verträge zwischen dem Kunden und dem jeweiligen Anbieter.