Vereinbarung zur Auftragsverarbeitung

Fassung vom 4. November 2026

1. Parteien und Geltung

Diese Vereinbarung gilt zwischen dem Betrieb, der joloco nutzt („Verantwortlicher“), und der joloco AG (in Gründung), c/o Jonathan Moeller, Bankstrasse 1, 8610 Uster, Schweiz („joloco“, „Auftragsverarbeiter“). Sie ist Teil der Nutzungsbedingungen und gilt, sobald joloco für den Betrieb Personendaten bearbeitet. Sie erfüllt die Anforderungen von Art. 9 des Schweizer Datenschutzgesetzes (revDSG) und, soweit anwendbar, Art. 28 der Datenschutz-Grundverordnung (DSGVO).

2. Gegenstand, Dauer, Art und Zweck

joloco stellt dem Verantwortlichen die Software joloco bereit und bearbeitet dabei die Personendaten, die der Verantwortliche und seine Mitglieder in joloco führen oder über verbundene Postfächer, Kalender, Webhooks und Agenten hineinbringen. Zweck ist allein die Erbringung des Dienstes: speichern, anzeigen, durchsuchen, zuordnen, versenden und auf Anweisung löschen. Die Vereinbarung gilt für die Dauer des Vertrags und darüber hinaus, bis joloco die Daten nach Ziffer 9 gelöscht hat.

3. Betroffene Personen und Datenarten

• Betroffene: Mitglieder des Betriebs; Kundinnen und Kunden, Lieferanten, Ansprechpersonen und weitere Personen, die der Betrieb in joloco führt oder mit denen er über joloco kommuniziert.
• Datenarten: Namen und Kontaktangaben, Inhalte von Datensätzen, Aufgaben und Projekten, Mails mit Anhängen, Termine, Dateien, Nutzungs- und Protokolldaten. Welche besonderen Personendaten in joloco geführt werden, bestimmt der Verantwortliche.

4. Weisungen

joloco bearbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Weisungen sind die Nutzungsbedingungen, diese Vereinbarung und die Einstellungen und Handlungen des Verantwortlichen in joloco. joloco informiert den Verantwortlichen, wenn es eine Weisung für rechtswidrig hält. Muss joloco Daten aufgrund einer gesetzlichen Pflicht anders bearbeiten, teilt es dies vorher mit, soweit das Gesetz es erlaubt.

5. Vertraulichkeit und Sicherheit

Personen, die bei joloco Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. joloco trifft angemessene technische und organisatorische Massnahmen, insbesondere:

• verschlüsselte Verbindungen (HTTPS) und verschlüsselte Ablage von Zugangsschlüsseln zu verbundenen Konten;
• Trennung der Daten jedes Betriebs von denen anderer Betriebe auf Ebene der Datenbank;
• Zugriff nur für angemeldete Mitglieder mit passenden Rechten; Zugriff von Agenten nur mit ausdrücklich erteilten Rechten;
• Hosting in Rechenzentren mit anerkannten Sicherheitsnachweisen; Datenbank in Frankfurt (EU);
• regelmässige Sicherungskopien und Protokollierung zur Fehlersuche und Missbrauchsabwehr.

6. Unterauftragsverarbeiter

Der Verantwortliche erlaubt joloco, die in der Datenschutzerklärung genannten Dienstleister als Unterauftragsverarbeiter einzusetzen. joloco verpflichtet sie auf ein Schutzniveau, das dieser Vereinbarung entspricht. Neue oder geänderte Unterauftragsverarbeiter kündigt joloco mindestens 30 Tage im Voraus per Mail an; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und, wenn keine Lösung gefunden wird, den Vertrag auf den Zeitpunkt des Wechsels kündigen.

7. Bekanntgabe ins Ausland

Bearbeitet ein Unterauftragsverarbeiter Daten in einem Staat ohne angemessenen Datenschutz, stellt joloco geeignete Garantien sicher, insbesondere die Standardvertragsklauseln der EU-Kommission (für die Schweiz mit den vom EDÖB anerkannten Anpassungen) oder die Zertifizierung nach dem Data Privacy Framework.

8. Unterstützung des Verantwortlichen

joloco unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe), bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Aufsichtsbehörden. Erhält joloco eine Anfrage einer betroffenen Person direkt, leitet es sie an den Verantwortlichen weiter. Verletzungen der Datensicherheit meldet joloco dem Verantwortlichen unverzüglich, sobald es von ihnen Kenntnis hat, mit den Angaben, die der Verantwortliche für seine eigene Meldung braucht.

9. Rückgabe und Löschung

Während der Laufzeit kann der Verantwortliche seine Daten jederzeit exportieren. Nach Vertragsende stehen sie noch 30 Tage zum Export bereit; danach löscht joloco sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden innerhalb von 30 Tagen überschrieben.

10. Nachweise und Kontrollen

joloco stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, darunter die Sicherheitsnachweise der Unterauftragsverarbeiter. Darüber hinausgehende Kontrollen sind mit angemessener Vorankündigung, während der Geschäftszeiten und auf Kosten des Verantwortlichen möglich.

11. Schlussbestimmungen

Bei Widersprüchen geht diese Vereinbarung den Nutzungsbedingungen vor, soweit es um den Schutz von Personendaten geht. Im Übrigen gelten die Nutzungsbedingungen, einschliesslich Haftung, anwendbarem Recht und Gerichtsstand.