Zum Hauptinhalt springen

Auftragsbearbeitungsregeln

Bavox – Construct202 GmbH

1. Allgemeines​

Diese Regeln zur Auftragsbearbeitung ("Regelung") konkretisieren die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus dem Vertragsverhältnis der Construct202 GmbH (nachfolgend «Construct202») mit dem Kunden ergeben.

Massgebend sind insbesondere das Schweizerische Datenschutzgesetz (DSG) und die Verordnung zum Datenschutzgesetz (VDSG); soweit anwendbar, gilt zusätzlich die DSGVO.

Diese Regelung findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Construct202 personenbezogene Daten des Kunden ("Daten") verarbeitet.

2. Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung​

Aus dem Vertrag ergeben sich Gegenstand und Dauer des Auftrags sowie Art und Zweck der Verarbeitung. Die Laufzeit dieser Regelung richtet sich nach der Laufzeit des Vertrages, sofern sich aus dieser Regelung nicht darüber hinausgehende Verpflichtungen ergeben.

Construct202 verarbeitet personenbezogene Daten des Kunden als Auftragsbearbeiterin im Rahmen der von Construct202 bereitgestellten SaaS-Lösung Bavox für das Aufgaben- und Mängelmanagement. Verarbeitet werden personenbezogene Daten, die der Kunde in der Datenbank der Software speichert.

Eine nähere Spezifizierung der Datenkategorien und der Kreise betroffener Personen ist im Anhang «Datenkategorien und betroffene Personen» enthalten.

3. Pflichten des Kunden​

Der Kunde ist und bleibt als Verantwortlicher für die Datenbearbeitung verantwortlich. Bei der Erhebung, Bearbeitung und Nutzung von Personendaten ist und bleibt er für die Prüfung der Zulässigkeit und die Einhaltung der geltenden Datenschutzbestimmungen sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

Der Kunde informiert Construct202 unverzüglich und vollständig, wenn er in den Auftragsergebnissen Fehler oder Unregelmässigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.

Der Kunde ist berechtigt, im Rahmen des Lizenzvertrags Anweisungen über Art, Umfang und Verfahren der Datenbearbeitung zu erteilen. Anweisungen können allgemein oder im Einzelfall erteilt werden und müssen schriftlich (E-Mail genügt) erfolgen. Änderungen der bearbeiteten Datentypen sowie Verfahrensänderungen sind gemeinsam zu vereinbaren und zu dokumentieren.

4. Pflichten von Construct202​

Construct202 darf die Daten nur im Rahmen dieser Regelung und nach Weisung des Kunden bearbeiten.

Construct202 gestaltet ihre innerbetriebliche Organisation so, dass sie den Anforderungen des Datenschutzes gerecht wird, und trifft technische und organisatorische Massnahmen zum angemessenen Schutz der Daten gemäss Art. 8 DSG (siehe Ziffer 5). Diese Massnahmen müssen die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherstellen.

Construct202 unterstützt den Kunden – soweit vereinbart und gegen gesonderte Vergütung – bei der Erfüllung der Anfragen und Ansprüche betroffener Personen sowie bei der Einhaltung der Pflichten nach Art. 24 und 25 DSG.

Construct202 gewährleistet, dass den mit der Verarbeitung befassten Personen die Bearbeitung der Daten ausserhalb der Weisung untersagt ist und dass diese Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht besteht auch nach Beendigung des Vertragsverhältnisses fort.

Construct202 unterrichtet den Kunden unverzüglich, wenn ihr Verletzungen des Schutzes personenbezogener Daten bekannt werden, trifft die erforderlichen Sicherungsmassnahmen und spricht sich hierzu unverzüglich mit dem Kunden ab. Construct202 nennt dem Kunden einen Ansprechpartner für Datenschutzfragen.

Construct202 berichtigt oder löscht die Daten, wenn der Kunde dies anweist und es vom Weisungsrahmen umfasst ist. Nach Vertragsbeendigung sind die Daten auf Verlangen des Kunden herauszugeben oder zu löschen; im Übrigen gelten die Fristen gemäss Lizenzvertrag und AGB. Über die ordentliche Datensicherung hinausgehende Wiederherstellungs- oder Vernichtungsleistungen sind gesondert zu vergüten.

5. Technische und organisatorische Massnahmen zur Datensicherheit​

Construct202 beachtet die Grundsätze ordnungsgemässer Datenbearbeitung und überwacht deren Einhaltung. Die Schutzmassnahmen umfassen insbesondere:

  • Endpoint Detection & Response (XDR)
  • Virenscanner und Verschlüsselung der Datenträger
  • Patch-Management inklusive Monitoring und Reporting
  • Härtung der Systeme gegen Angriffe (Schliessen unnötig offener Ports)
  • Hosting der Kundendaten in einem Rechenzentrum in der Schweiz
  • Schulung und Sensibilisierung der Mitarbeitenden bezüglich Malware und Social Engineering

Construct202 setzt ein Verfahren zur regelmässigen Überprüfung der Wirksamkeit dieser Massnahmen ein (Art. 1 ff. VDSG).

6. Rechte der betroffenen Personen​

Macht eine betroffene Person datenschutzrechtliche Ansprüche geltend (z. B. das Recht auf Information), unterstützt Construct202 den Kunden bei der Erfüllung.

Wendet sich eine betroffene Person zur Geltendmachung ihrer Rechte (insbesondere Kapitel 4 DSG und Kapitel III DSGVO) direkt an Construct202, leitet Construct202 die Anfrage an den Kunden weiter.

7. Unterauftragnehmer (Subprozessoren)​

Der Kunde stimmt dem Einsatz von Unterauftragnehmern zur Datenbearbeitung zu. Construct202 wählt Unterauftragnehmer sorgfältig aus und beauftragt nur Dritte, die einen angemessenen Sicherheitsstandard erfüllen. Die vertraglichen Vereinbarungen mit Unterauftragnehmern sind so zu gestalten, dass sie den datenschutzrechtlichen Bestimmungen dieser Regelung entsprechen.

Zum Zeitpunkt des Inkrafttretens dieser Regelung werden folgende Unterauftragnehmer eingesetzt:

UnterauftragnehmerZweckOrt der VerarbeitungGarantien
Hosting-Provider (Schweiz)Hosting der KundendatenSchweizVertrag, TOMs
OpenAISpeech-to-Text für den SprachassistentenUSAStandardvertragsklauseln

Construct202 informiert den Kunden über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Kunde kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.

8. Kontrollrechte des Kunden​

Construct202 weist dem Kunden auf Aufforderung die Einhaltung der in dieser Regelung enthaltenen Pflichten mit geeigneten Mitteln nach.

9. Informationspflichten​

Werden die Daten des Kunden durch eine Pfändung, Beschlagnahme, ein Insolvenz- oder Vergleichsverfahren oder andere Ereignisse bzw. Massnahmen Dritter gefährdet, informiert Construct202 den Kunden unverzüglich. Construct202 weist die Verantwortlichen darauf hin, dass die Kontrolle und das Eigentum an den Daten ausschliesslich beim Kunden liegen.

10. Inkrafttreten und Vertragsdauer​

Diese Regelung tritt mit der Erstellung eines Nutzerkontos durch den Kunden in Kraft und gilt für die Dauer des Bestehens des Nutzerkontos bzw. des Vertragsverhältnisses.

11. Haftung​

Die Haftung richtet sich nach den entsprechenden Bestimmungen der AGB der Construct202 GmbH.

Anhang: Datenkategorien und betroffene Personen​

  • Kategorien betroffener Personen: Mitarbeitende und Beauftragte des Kunden, Geschäftspartner des Kunden sowie weitere Personen, deren Daten der Kunde in der Software erfasst.
  • Kategorien personenbezogener Daten: Stammdaten (Name, Kontaktdaten), Aufgaben- und Mängeldaten, Projekt- und Dokumentationsdaten, hochgeladene Dateien und Bilder, Spracheingaben (bei Nutzung des Sprachassistenten), Nutzungs- und Protokolldaten.

📍 Construct202 GmbH · Leutschenbachstrasse 41 · 8050 Zürich
📧 E-Mail: hello@bavox.ch
🌍 Web: www.bavox.ch
📅 Stand: 17.06.2026