---

Zwischen:

[Name der Garage / des Kunden] (nachfolgend "Verantwortlicher")

und der

OPPO IT
Inhaber: Etienne Oppo
Nordeckstrasse 8
8636 Wald ZH
Schweiz
Betreiberin der Software-Plattform "Aurentix"
(nachfolgend "Auftragsverarbeiter")

1. Gegenstand des Vertrages

Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung von Personendaten, die der Auftragsverarbeiter im Rahmen der Bereitstellung der Cloud-ERP-Software für den Verantwortlichen durchführt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Speichern, Organisieren, Verwalten und Sichern von Kunden-, Fahrzeug-, Rechnungs- und Termindaten der Garage auf den Servern des Auftragsverarbeiters. Die Verarbeitung erfolgt ausschliesslich zum Zweck der Erbringung der im Hauptvertrag (SaaS-Abo) vereinbarten Software-Dienstleistungen.

3. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen und nutzt die Daten nicht für eigene Zwecke (z.B. Werbung oder Datenverkauf).

4. Technisch-organisatorische Massnahmen (TOMs)

Der Auftragsverarbeiter garantiert ein Sicherheitsniveau, das dem Risiko angemessen ist. Dazu gehören zwingend:

• Strikte Zugangskontrollen zu den physischen Servern (Schweizer Rechenzentren).
• Zugriffssteuerung in der Software (Rollenkonzept: Admin, Mechaniker, Verkäufer).
• Verschlüsselung der Datenübertragung (TLS).
• Regelmässige, verschlüsselte Backups zur Sicherstellung der Verfügbarkeit.

5. Einschaltung von Subunternehmern (Unterauftragsverarbeiter)

Der Verantwortliche stimmt zu, dass der Auftragsverarbeiter Subunternehmer (z.B. Schweizer Hosting-Provider) einsetzen darf. Der Auftragsverarbeiter stellt sicher, dass diese Subunternehmer denselben strengen Datenschutzpflichten unterliegen wie der Auftragsverarbeiter selbst. Die Daten werden nicht an Server ausserhalb der Schweiz/EU übermittelt, ohne dass ein angemessenes Datenschutzniveau garantiert ist.

6. Meldepflichten bei Datenschutzverletzungen

Sollte es beim Auftragsverarbeiter zu einer Verletzung der Datensicherheit (z.B. Hackerangriff) kommen, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, informiert der Auftragsverarbeiter den Kunden unverzüglich und unterstützt ihn bei seinen gesetzlichen Meldepflichten.

7. Rückgabe und Löschung der Daten

Nach Beendigung des SaaS-Abonnements oder auf Aufforderung des Kunden wird der Auftragsverarbeiter alle Personendaten des Kunden entweder zurückgeben (Daten-Export) oder unwiderruflich löschen, sofern keine gesetzlichen Aufbewahrungspflichten dagegensprechen.

8. Gerichtsstand und anwendbares Recht

Es gilt ausschliesslich Schweizer Recht. Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz des Auftragsverarbeiters.