Auftragsverarbeitungsvertrag
Wie Yeap GmbH Personendaten im Auftrag von Kundinnen bearbeitet, und mit welchen Massnahmen sie geschützt werden.
Entwurf. Dieser Auftragsverarbeitungsvertrag wird laufend präzisiert und ist noch nicht abschliessend juristisch geprüft. Bei Fragen dazu einfach melden.
Ergänzt die Allgemeinen Geschäftsbedingungen (Ziffer 6) zwischen der Yeap GmbH («Auftragsbearbeiterin») und der Kundin («Verantwortliche»).
1. Gegenstand und Zweck
1.1 Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Bearbeitung von Personendaten, die die Yeap GmbH («Auftragsbearbeiterin») im Auftrag der Kundin («Verantwortliche») im Rahmen des Betriebs von Hitchhiker vornimmt.
1.2 Er konkretisiert die Datenschutzpflichten aus dem Hauptvertrag (AGB) und geht diesem bei Widersprüchen in Datenschutzfragen vor.
1.3 Rechtsgrundlage ist das schweizerische Datenschutzgesetz (DSG). Hat die Kundin Mitarbeitende mit gewöhnlichem Aufenthalt in der EU/im EWR, gilt ergänzend die EU-Datenschutz-Grundverordnung (DSGVO), insbesondere Art. 28 DSGVO; die Begriffe «Verantwortliche» und «Auftragsbearbeiterin» entsprechen dann «Verantwortlicher» und «Auftragsverarbeiter» im Sinne der DSGVO.
2. Gegenstand, Dauer und Art der Bearbeitung
2.1 Dauer: Die Bearbeitung dauert für die Laufzeit des Hauptvertrags und endet mit dessen Beendigung, vorbehältlich Ziffer 9 (Löschung und Rückgabe).
2.2 Art und Zweck der Bearbeitung: Speicherung, Anzeige, Änderung und Auswertung der nachfolgend genannten Daten zum Zweck des Betriebs des internen Gig-Marktplatzes – Veröffentlichung von Gigs, Bewerbungen, Freigabe durch Führungskräfte, Rückmeldung nach Abschluss, sowie Anmeldung über das Microsoft-Konto der Kundin.
2.3 Kategorien betroffener Personen: Mitarbeitende der Kundin, die Hitchhiker nutzen (Bewerbende, Führungskräfte, Admins).
2.4 Kategorien von Personendaten:
| Bereich | Konkrete Daten |
|---|---|
| Konto / Profil | Name, geschäftliche E-Mail-Adresse, Microsoft-Benutzerkennung (UPN), Profilfoto, Abteilung, Jobtitel, Rolle in Hitchhiker |
| Gigs | Von der Kundin erstellte Ausschreibungen (Titel, Beschreibung, Anforderungen) |
| Bewerbungen | Anschreiben, gewünschtes Startdatum, Bewerbungsstatus, Rückmeldungen der Führungskraft |
| Erfahrungsberichte | Im «Experience Hub» veröffentlichte Beiträge, Reaktionen/Likes |
| Nutzung | Zeitpunkt von Anmeldung, Erstellung und Änderung der obigen Einträge |
2.5 Die Auftragsbearbeiterin bearbeitet keine besonders schützenswerten Personendaten (z. B. Gesundheits- oder Herkunftsdaten) im Rahmen des regulären Betriebs von Hitchhiker; sollte die Kundin solche Daten dennoch in Freitextfeldern erfassen (z. B. im Anschreiben), liegt die Verantwortung dafür bei der Kundin.
3. Weisungsgebundenheit
3.1 Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung der Verantwortlichen – insbesondere im Rahmen der im Hauptvertrag und diesem AVV beschriebenen Zwecke – und nicht für eigene Zwecke.
3.2 Ist die Auftragsbearbeiterin der Ansicht, eine Weisung verstosse gegen anwendbares Datenschutzrecht, informiert sie die Verantwortliche unverzüglich.
4. Vertraulichkeit
Die Auftragsbearbeiterin stellt sicher, dass alle Personen, die Zugriff auf die Personendaten haben, zur Vertraulichkeit verpflichtet sind, soweit sie nicht bereits einer gesetzlichen Geheimhaltungspflicht unterliegen.
5. Technische und organisatorische Massnahmen (TOM)
5.1 Die Auftragsbearbeiterin trifft die in Anhang 1 beschriebenen technischen und organisatorischen Massnahmen und passt sie bei Bedarf an den Stand der Technik an, ohne das vereinbarte Schutzniveau zu unterschreiten.
5.2 Wesentliche Änderungen an diesen Massnahmen, die das Schutzniveau senken würden, teilt die Auftragsbearbeiterin der Verantwortlichen vorgängig mit.
6. Unterauftragsverhältnisse
6.1 Die Verantwortliche stimmt dem Beizug folgender Unterauftragsbearbeiterinnen zu:
| Unterauftragsbearbeiterin | Leistung | Serverstandort |
|---|---|---|
| Microsoft (Azure) | Hosting der Anwendung | Schweiz (Region «Switzerland North») |
| Microsoft (Entra ID) | Anmeldung / Single Sign-on | Region gemäss Microsoft-365-Tenant der jeweiligen Kundin |
6.2 Die Auftragsbearbeiterin informiert die Verantwortliche mindestens 30 Tage im Voraus über die Absicht, weitere Unterauftragsbearbeiterinnen beizuziehen oder zu wechseln. Widerspricht die Verantwortliche aus wichtigem Grund nicht innert dieser Frist schriftlich, gilt der Beizug als genehmigt.
6.3 Die Auftragsbearbeiterin verpflichtet sämtliche Unterauftragsbearbeiterinnen vertraglich auf ein Datenschutzniveau, das demjenigen dieses AVV entspricht.
7. Internationale Datenübermittlung
7.1 Werden Personendaten in ein Land ohne als angemessen anerkanntes Datenschutzniveau übermittelt, stellt die Auftragsbearbeiterin sicher, dass geeignete Garantien bestehen (z. B. Standardvertragsklauseln der EU-Kommission bzw. des EDÖB).
7.2 Die Anwendung selbst wird in einem Rechenzentrum in der Schweiz gehostet (Azure-Region «Switzerland North»); Ziffer 7.1 ist damit für das Hosting der Anwendung in der Regel nicht einschlägig. Vorbehalten bleibt die Anmeldung über Microsoft Entra ID der Kundin, deren Serverstandort sich nach dem jeweiligen Microsoft-365-Tenant der Kundin richtet.
8. Unterstützungspflichten
8.1 Die Auftragsbearbeiterin unterstützt die Verantwortliche nach Möglichkeit und gegen Ersatz des angemessenen Aufwands bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit).
8.2 Die Auftragsbearbeiterin unterstützt die Verantwortliche bei der Erfüllung von deren Pflichten im Zusammenhang mit Datenschutz-Folgenabschätzungen und Konsultationen von Aufsichtsbehörden, soweit dies die Bearbeitung nach diesem AVV betrifft.
9. Meldung von Datenschutzverletzungen
Die Auftragsbearbeiterin meldet der Verantwortlichen eine Verletzung des Schutzes von Personendaten unverzüglich, spätestens innert 48 Stunden nach Kenntnisnahme, und teilt die ihr bekannten Umstände (Art des Vorfalls, betroffene Datenkategorien, ergriffene Massnahmen) mit, sobald diese vorliegen.
10. Kontrollrechte
10.1 Die Verantwortliche kann die Einhaltung dieses AVV durch die Auftragsbearbeiterin überprüfen, insbesondere durch Einsicht in geeignete Nachweise (z. B. Selbstauskünfte, Dokumentation der TOM). Vor-Ort-Kontrollen erfolgen nach vorheriger Anmeldung mit angemessener Frist und unter Wahrung der Geschäftsgeheimnisse der Auftragsbearbeiterin.
10.2 Angesichts der Grösse der Auftragsbearbeiterin (Kleinunternehmen) werden aufwändige Vor-Ort-Audits primär bei konkretem Anlass durchgeführt; im Regelfall genügt schriftliche Auskunft.
11. Löschung und Rückgabe nach Vertragsende
Nach Beendigung des Hauptvertrags stellt die Auftragsbearbeiterin der Verantwortlichen auf Anfrage für 30 Tage einen Export sämtlicher Personendaten zur Verfügung (entspricht Ziffer 9.3 der AGB) und löscht die Daten danach vollständig, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
12. Haftung
Die Haftung richtet sich nach Ziffer 10 der AGB. Für Verstösse gegen dieses AVV, die eine Datenschutzverletzung zur Folge haben, gilt dieselbe Haftungsbeschränkung.
13. Schlussbestimmungen
13.1 Dieser AVV gilt für die Dauer des Hauptvertrags. Bei Widersprüchen zwischen AGB und diesem AVV in Datenschutzfragen geht dieser AVV vor.
13.2 Es gilt schweizerisches Recht, Gerichtsstand ist Bern (vgl. Ziffer 12 AGB).
Anhang 1 — Technische und organisatorische Massnahmen (TOM)
Zugriffskontrolle
- Anmeldung ausschliesslich über das Microsoft-Konto der Kundin (Single Sign-on über Microsoft Entra ID), kein separates Passwort bei Hitchhiker
- Rollenbasierte Rechtevergabe innerhalb der Anwendung (Admin, Führungskraft, Mitarbeitende); serverseitige Prüfung bei allen datenverändernden Aktionen
- Daten verschiedener Kundinnen sind pro Mandant getrennt gespeichert und über die Mandanten-ID der Anmeldung isoliert
Datenübertragung
- Verschlüsselte Übertragung (HTTPS/TLS) zwischen Browser bzw. Microsoft Teams und dem Dienst
Betrieb
- Hosting bei Microsoft Azure, Region «Switzerland North» (Rechenzentrum in der Schweiz)
- Automatische stündliche Sicherung der gesamten Produktivumgebung (inkl. sämtlicher Kunden-Datenbanken); Backups sind aktuell für rund 30 Tage rückwirkend verfügbar (gestaffelte Aufbewahrung: neuere Sicherungen dichter, ältere in grösseren Abständen)
- Änderungen am Quellcode durchlaufen vor der Veröffentlichung eine Prüfung; sicherheitsrelevante Korrekturen werden zeitnah behoben
Organisatorisch
- Zugriff auf die Produktivumgebung (Azure-Hosting, Quellcode, Kundendatenbanken) ist auf den notwendigen Personenkreis beschränkt. Aktuell hat ausschliesslich Ralph Wieser (Yeap GmbH) administrativen Zugriff, über persönliche Microsoft- und GitHub-Konten mit aktivierter Zwei-Faktor-Authentifizierung (2FA). Ein Vieraugenprinzip bei Änderungen an der Produktivumgebung besteht aufgrund der Unternehmensgrösse aktuell nicht; Änderungen werden vor der Veröffentlichung inhaltlich geprüft, bevor sie live gehen.
- Bei einem vermuteten oder bestätigten Sicherheitsvorfall wird Ralph Wieser (Yeap GmbH) als einzige Person mit administrativem Zugriff unverzüglich informiert bzw. wird selbst tätig, sobald er den Vorfall bemerkt. Er prüft den Vorfall, ergreift die notwendigen Sofortmassnahmen (z. B. Zugriff sperren, betroffenes System isolieren, Backup zur Wiederherstellung nutzen) und informiert betroffene Kundinnen gemäss Ziffer 9 dieses Vertrags.
Stand: 23. August 2026. Diese Seite besteht bewusst nur auf Deutsch.