Auftragsbearbeitungsvertrag (AVV) – Anhänge für Synchromatrix

Hinweis: Der eigentliche AVV-Haupttext (netmex digital gmbh als Auftragsbearbeiterin) bleibt produktübergreifend und allgemein. Nur die nachfolgenden Anhänge sind synchromatrix-spezifisch und werden dem Hauptvertrag beigefügt.

Dieser AVV wird auf Vorrat bereitgehalten: Er kommt zur Anwendung, wenn eine Kundenorganisation als Verantwortliche fremde Personendaten (z.B. Mitgliederdaten) über Synchromatrix bearbeiten lässt. Im Standardbetrieb (eigene Vorstands-Logins und Termine) ist Synchromatrix in der Regel nicht Auftragsbearbeiterin.

Stand: 17. Juni 2026

Anhang A – Gegenstand, Art, Zweck und Dauer der Bearbeitung

Gegenstand: Bereitstellung und Betrieb des Planungstools Synchromatrix (synchromatrix.ch) für die Auftraggeberin (Verantwortliche).

Art der Bearbeitung: Erheben, Speichern, Anzeigen, Strukturieren, Anpassen und Löschen von Daten im Rahmen der vereinbarten Funktionen (Termin- und Kalenderverwaltung, Synchronisationsmatrix, Konto- und Zugriffsverwaltung).

Zweck: Ausschliesslich die Erbringung der vertraglich vereinbarten Leistungen gemäss AGB und Plan der Auftraggeberin.

Dauer: Für die Dauer des Nutzungsverhältnisses bzw. bis zur Kündigung. Nach Beendigung werden die Daten gemäss Anhang E gelöscht oder zurückgegeben.

Anhang B – Kategorien betroffener Personen

Nutzerinnen und Nutzer der Auftraggeberin (z.B. Vorstands- und Verantwortungspersonen mit Konto-Zugang);
gegebenenfalls weitere Personen, deren Daten die Auftraggeberin in Synchromatrix erfasst (z.B. in Terminen genannte Kontakt- oder Verantwortungspersonen).

Anhang C – Kategorien von Personendaten

Bestandes- und Kontaktdaten: Name, E-Mail-Adresse, Organisation/Funktion;
Konto- und Anmeldedaten: E-Mail-Adresse, verschlüsseltes Passwort, Sitzungsinformationen;
Inhalts- und Termindaten: erfasste Anlässe, Kalender/ICS-Importe, Kategorien, Schlagworte (soweit diese Personendaten enthalten);
Nutzungs- und Protokolldaten: technische Metadaten, Server-Logs.

Es werden keine besonders schützenswerten Personendaten im Sinne des DSG zur Bearbeitung vorgesehen. Die Auftraggeberin verpflichtet sich, keine solchen Daten ohne vorherige Vereinbarung einzubringen.

Anhang D – Genehmigte Unterauftragsbearbeiter (Subprozessoren)

Die Auftraggeberin genehmigt den Einsatz folgender Unterauftragsbearbeiter:

Unterauftragsbearbeiter	Sitz	Leistung	Verarbeitungsort
Vercel Inc.	USA	Hosting / Betrieb der Anwendung	EU (Frankfurt)
Neon Inc.	USA	Datenbank / Datenspeicherung	EU (Frankfurt)
Sinch / Mailgun	EU	Transaktions-E-Mail (Passwort-Reset, Einladungen)	EU
Functional Software Inc. (Sentry)	USA	Fehler-Monitoring (ohne IP/Cookies)	EU
Stripe Payments Europe, Ltd. (ggf. Stripe, Inc., USA)	Irland	Zahlungsabwicklung (kostenpflichtige Pläne)	EU (Irland) / USA

Die Auftragsbearbeiterin informiert die Auftraggeberin vorgängig über beabsichtigte Änderungen (Hinzuziehung oder Austausch von Unterauftragsbearbeitern) und räumt der Auftraggeberin ein Widerspruchsrecht ein. Mit jedem Unterauftragsbearbeiter bestehen Datenschutzpflichten, die jenen dieses AVV entsprechen.

Anhang E – Technische und organisatorische Massnahmen (TOM)

Vertraulichkeit

Zugriffsbeschränkung auf berechtigte Personen; rollenbasierte Berechtigungen;
Authentifizierung über Konto und Passwort (verschlüsselt gespeichert);
Verarbeitung der Daten in der EU (Frankfurt).

Integrität

Transportverschlüsselung (TLS/HTTPS) bei jeder Übertragung;
Validierung und Konsistenzprüfungen auf Datenbankebene.

Verfügbarkeit und Belastbarkeit

Betrieb auf etablierter Cloud-Infrastruktur mit regelmässigen Sicherungen;
Wiederherstellbarkeit der Daten nach einem Zwischenfall.

Verfahren zur regelmässigen Überprüfung

Fehler-Monitoring (ohne direkt personenbezogene Inhalte);
Überprüfung und Aktualisierung der Massnahmen nach Bedarf.

Löschung und Rückgabe

Nach Beendigung des Vertrags werden die Personendaten der Auftraggeberin nach deren Wahl gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Anhang F – Pflichten der Auftragsbearbeiterin (Zusammenfassung)

Ergänzend zum AVV-Haupttext:

Bearbeitung ausschliesslich auf dokumentierte Weisung der Auftraggeberin;
Verpflichtung der mit der Bearbeitung betrauten Personen zur Vertraulichkeit;
Unterstützung der Auftraggeberin bei der Beantwortung von Betroffenenanfragen und bei der Gewährleistung der Datensicherheit;
unverzügliche Meldung von Verletzungen der Datensicherheit an die Auftraggeberin;
Nachweis der Einhaltung dieser Pflichten und Ermöglichung angemessener Überprüfungen.