Dieser Auftragsbearbeitungsvertrag („AVV“) regelt die Bearbeitung von Personendaten durch HM Digital Consulting Rühe als Agentur („Agentur“) im Auftrag des Kunden, soweit die Agentur im Rahmen eines Individualvertrags Personendaten von Endkunden des Kunden bearbeitet – etwa beim Betrieb oder der Betreuung eines Online-Shops, eines Buchungssystems oder vergleichbarer Systeme mit laufendem Zugriff auf Endkunden-Daten.
Dieser AVV gilt automatisch als ergänzender Bestandteil des jeweiligen Individualvertrags, sobald und soweit die vereinbarten Leistungen eine solche Datenbearbeitung umfassen. Für Projekte ohne laufende Bearbeitung von Endkunden-Personendaten (z. B. reine Website-Erstellung ohne Shop- oder Buchungsbetreuung) findet dieser AVV keine Anwendung; es gilt § 14 der AGB.
Betroffene Personen sind Endkunden des Kunden, die über vom Auftragsbearbeiter erstellte oder betreute Systeme interagieren (z. B. Käufer in einem Online-Shop, Teilnehmer einer Kursbuchung, Absender eines Kontaktformulars).
Bearbeitet werden je nach Projekt: Kontaktdaten (Name, E-Mail, Telefon, Adresse), Bestell- und Transaktionsdaten (gekaufte Produkte, Beträge, Zahlungsstatus – ohne vollständige Zahlungskartendaten, diese verbleiben ausschliesslich beim Zahlungsdienstleister), Buchungsdaten sowie technische Daten (IP-Adresse, Tracking-/Analytics-Daten).
Die Agentur bearbeitet Personendaten ausschliesslich nach dokumentierter Weisung des Kunden und im Rahmen des jeweiligen Individualvertrags. Ist die Agentur der Auffassung, eine Weisung verstosse gegen das Schweizer Datenschutzgesetz (nDSG) oder andere anwendbare Vorschriften, informiert sie den Kunden unverzüglich.
Die Agentur trifft angemessene technische und organisatorische Massnahmen gemäss Art. 8 nDSG, insbesondere: Verschlüsselung der Datenübertragung (TLS/SSL), passwortgeschützte Zugänge mit Mehrfaktor-Authentifizierung wo vom jeweiligen Anbieter unterstützt, sowie logische Trennung der Daten verschiedener Kunden.
Die Agentur betreibt keine eigene Server-Infrastruktur; sämtliche Daten liegen bei den in § 5 genannten Unterauftragsverarbeitern.
Der Kunde stimmt dem Beizug folgender Kategorien von Unterauftragsverarbeitern zu, soweit im jeweiligen Projekt eingesetzt: Hosting-/Infrastrukturanbieter (z. B. Vercel Inc.), Zahlungsdienstleister (z. B. Stripe Payments Europe Ltd.), Analytics-/Werbeanbieter (z. B. Google LLC) sowie projektspezifische Fachanbieter (z. B. Buchungssysteme). Die konkret eingesetzten Anbieter werden im jeweiligen Individualvertrag festgehalten.
Die Agentur stellt sicher, dass Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau verpflichtet sind. Der Beizug weiterer Unterauftragsverarbeiter wird dem Kunden vorgängig mitgeteilt; dieser kann innert 14 Tagen widersprechen.
Die Datenbearbeitung erfolgt primär in der Schweiz und der EU. Soweit Unterauftragsverarbeiter mit Sitz in den USA beigezogen werden, erfolgt dies auf Basis der jeweils geltenden Datenschutz-Zusatzvereinbarungen dieser Anbieter (Standardvertragsklauseln bzw. vergleichbare Garantien).
Nach Beendigung des Individualvertrags löscht die Agentur sämtliche im Rahmen dieses AVV bearbeiteten Personendaten oder gibt sie auf Verlangen des Kunden heraus, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (konsistent mit § 16 AGB).
Es gelten die Haftungsbestimmungen des Individualvertrags (§ 11 AGB) sinngemäss auch für Pflichtverletzungen im Rahmen dieses AVV.
Im Übrigen gelten die Bestimmungen des Individualvertrags (inkl. AGB) sinngemäss, insbesondere § 20 AGB (Gerichtsstand und anwendbares Recht).
Stand: 2. September 2026