Auftragsbearbeitungsvertrag
Wir bearbeiten Ihre Mitgliederdaten in Ihrem Auftrag — hier steht, unter welchen Bedingungen.
Dieser Auftragsbearbeitungsvertrag (AVV) ergänzt die AGB und gilt für jede von der bkaiser GmbH betriebene Kring-Instanz. Er erfüllt Art. 9 revDSG und, soweit die DSGVO anwendbar ist, deren Art. 28.
Stand: 6. August 2026. Verantwortlich für die Personendaten in Ihrer Instanz sind Sie. Die bkaiser GmbH bearbeitet sie in Ihrem Auftrag und nach Ihren Weisungen. Betreibt ein Partnerunternehmen Ihre Instanz, ist dieses Ihre Auftragsbearbeiterin — nicht wir.
1
Parteien, Gegenstand und Dauer.
1.1 Dieser Vertrag besteht zwischen der Kundin nach Ziff. 1.1 der AGB («Verantwortliche») und der bkaiser GmbH, Rainstrasse 65, 8712 Stäfa, UID CHE-298.021.021 («Auftragsbearbeiterin»).
1.2 Gegenstand ist die Bearbeitung von Personendaten, die im Rahmen des Betriebs von Kring nach den AGB anfällt. Art, Zweck, Kategorien und Dauer sind in Anhang A beschrieben.
1.3 Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit ihm. Er gilt darüber hinaus, solange die Auftragsbearbeiterin Personendaten der Verantwortlichen bearbeitet (Ziff. 8).
1.4 Die Verantwortliche bleibt für die Rechtmässigkeit der Bearbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen und die Verhältnismässigkeit der erfassten Daten.
2
Weisungsgebundenheit.
2.1 Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung der Verantwortlichen. Als Weisung gelten dieser Vertrag, die AGB und die Nutzung der Anwendung durch die Verantwortliche selbst. Weitergehende Weisungen erfolgen in Textform an support@kring.ch.
2.2 Die Auftragsbearbeiterin bearbeitet die Daten nicht für eigene Zwecke, gibt sie nicht an Dritte weiter und verwendet sie insbesondere nicht zum Training von Modellen der künstlichen Intelligenz.
2.3 Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, teilt sie dies mit und darf die Ausführung bis zur Klärung aussetzen.
2.4 Muss die Auftragsbearbeiterin aufgrund zwingenden Rechts bearbeiten oder bekannt geben, informiert sie die Verantwortliche vorgängig, soweit ihr das rechtlich erlaubt ist.
2.5 Zugriff auf Daten der Verantwortlichen nimmt die Auftragsbearbeiterin nur, soweit dies für Betrieb, Störungsbehebung oder eine Anfrage der Verantwortlichen erforderlich ist. Ein solcher Zugriff ist auf die Geschäftsführung beschränkt.
3
Vertraulichkeit und Personal.
3.1 Die Auftragsbearbeiterin verpflichtet alle Personen, die Zugang zu Personendaten der Verantwortlichen haben, zur Vertraulichkeit. Die Pflicht besteht über das Ende der Tätigkeit hinaus.
3.2 Die bkaiser GmbH ist ein Kleinstunternehmen. Zugang zu Produktivdaten hat ausschliesslich die Geschäftsführung; ein Betrieb durch weiteres Personal oder durch Freelancer findet nicht statt. Ändert sich das, gilt Ziff. 5 sinngemäss.
4
Technische und organisatorische Massnahmen.
4.1 Die Auftragsbearbeiterin trifft die in Anhang B beschriebenen Massnahmen zur Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Art. 8 revDSG, Art. 3 DSV; Art. 32 DSGVO).
4.2 Die Massnahmen unterliegen dem technischen Fortschritt. Die Auftragsbearbeiterin darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.
5
Unterauftragsbearbeiter.
5.1 Die Verantwortliche erteilt die allgemeine Genehmigung zum Beizug der in Anhang C aufgeführten Unterauftragsbearbeiter.
5.2 Einen Wechsel oder einen neuen Unterauftragsbearbeiter kündigt die Auftragsbearbeiterin mindestens 30 Tage im Voraus in Textform an. Die Verantwortliche kann innert dieser Frist aus wichtigem Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag auf den Zeitpunkt der Umstellung kündigen.
5.3 Die Auftragsbearbeiterin verpflichtet jeden Unterauftragsbearbeiter auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für dessen Verhalten wie für eigenes.
6
Rechte der betroffenen Personen.
6.1 Wendet sich eine betroffene Person direkt an die Auftragsbearbeiterin, leitet diese die Anfrage unverzüglich an die Verantwortliche weiter und beantwortet sie nicht selbst.
6.2 Die Auftragsbearbeiterin unterstützt die Verantwortliche bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenherausgabe. Die Anwendung enthält dafür Funktionen: die Verantwortliche kann Datenauskünfte und Datenexporte selbst auslösen und eine Löschung mit vorgängiger Übersicht der betroffenen Datensätze und anschliessendem Protokoll durchführen.
6.3 Ein Aufwand, der über diese Funktionen hinausgeht, wird nach Ziff. 6.4 der AGB verrechnet.
7
Verletzung der Datensicherheit.
Meldung innert 48 Stunden nach Kenntnis.
7.1 Die Auftragsbearbeiterin meldet der Verantwortlichen jede Verletzung der Datensicherheit, die Personendaten der Verantwortlichen betrifft, innert 48 Stunden ab Kenntnis in Textform. Die Frist ist so bemessen, dass die Verantwortliche ihre eigene Meldepflicht gegenüber dem EDÖB (Art. 24 revDSG) und, soweit anwendbar, die 72-Stunden-Frist nach Art. 33 DSGVO einhalten kann.
7.2 Die Meldung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Massnahmen. Fehlende Angaben werden nachgereicht, sobald sie vorliegen; die Erstmeldung wird dadurch nicht verzögert.
7.3 Die Meldung an den EDÖB und die Information der betroffenen Personen obliegen der Verantwortlichen. Die Auftragsbearbeiterin unterstützt sie dabei.
8
Rückgabe und Löschung.
8.1 Nach Beendigung des Hauptvertrags gilt Ziff. 8.4 und 8.5 der AGB: 30 Tage lesender Zugang für den Export, Löschung nach 90 Tagen einschliesslich der Sicherungskopien.
8.2 Ausgenommen sind Daten, die die Auftragsbearbeiterin gesetzlich aufbewahren muss — namentlich Buchhaltungsbelege während zehn Jahren (Art. 958f OR). Sie werden nicht weiter bearbeitet.
8.3 Die Löschung wird auf Verlangen in Textform bestätigt.
9
Nachweise und Kontrollrechte.
9.1 Die Auftragsbearbeiterin weist die Einhaltung dieses Vertrags nach durch Auskunft in Textform sowie durch Vorlage der Zertifizierungen und Prüfberichte ihrer Unterauftragsbearbeiter, soweit diese sie zur Verfügung stellen.
9.2 Eine Kontrolle vor Ort kann die Verantwortliche bei begründetem Anlass verlangen — insbesondere nach einer Verletzung der Datensicherheit oder auf Anordnung einer Aufsichtsbehörde —, mit einer Ankündigungsfrist von 30 Tagen, während der ordentlichen Geschäftszeiten, unter Wahrung der Betriebsabläufe und der Geheimnisse Dritter. Der Aufwand wird nach Ziff. 6.4 der AGB verrechnet.
9.3 Beauftragt die Verantwortliche eine Drittperson mit der Kontrolle, darf diese nicht in einem Wettbewerbsverhältnis zur Auftragsbearbeiterin stehen und ist zur Vertraulichkeit zu verpflichten.
10
Bekanntgabe ins Ausland.
10.1 Datenbank, Rechenleistung und Dateiablage befinden sich in Zürich (Google Cloud, europe-west6). Weitere Bearbeitungen finden in Ländern statt, die nach dem Anhang zur DSV über einen angemessenen Datenschutz verfügen, oder auf Grundlage der Standardvertragsklauseln.
10.2 Eine Bearbeitung ausserhalb der Schweiz und des EWR erfolgt bei der Bildauslieferung (imgix, Fastly) sowie bei den global betriebenen Google-Diensten für Anmeldung und Push-Nachrichten. Die Einzelheiten mit Standorten stehen in der Datenschutzerklärung und in Anhang C.
11
Haftung und Schlussbestimmungen.
11.1 Für die Haftung gilt Ziff. 9 der AGB.
11.2 Widersprechen sich dieser Vertrag und die AGB in datenschutzrechtlichen Fragen, geht dieser Vertrag vor.
11.3 Änderungen dieses Vertrags richten sich nach Ziff. 10.1 der AGB.
11.4 Es gilt schweizerisches Recht; Gerichtsstand ist Stäfa (ZH).
Anhang A
Was bearbeitet wird.
Zweck
Betrieb der Vereins- und Organisationsverwaltung: Mitgliederverwaltung, Kommunikation, Anlässe, Ressourcen, Dokumente, Beiträge und Buchhaltung — im Umfang der von der Verantwortlichen aktivierten Funktionen.
Betroffene Personen
Mitglieder und ehemalige Mitglieder, Vorstands- und Funktionsträgerinnen, Angestellte der Organisation, Beitrittsinteressenten, Kontaktpersonen von Partnerorganisationen sowie Gäste, soweit die Verantwortliche solche erfasst.
Dauer
Für die Dauer des Hauptvertrags, danach nach Ziff. 8. Die Aufbewahrungsfristen je Datenkategorie sind in der Datenschutzerklärung publiziert und in der Anwendung hinterlegt.
| Datenkategorie | Beispiele |
|---|---|
| Stammdaten | Name, Geschlecht, Geburtsdatum, Mitgliedschaftsstatus, Funktionen |
| Kontaktdaten | Adresse, E-Mail, Telefon, Website und weitere Kanäle |
| Zahlungsdaten | IBAN, Rechnungen, Beiträge, Spesen |
| Besonders geschützte Angaben | AHV-Nummer, soweit die Verantwortliche sie erfasst (Art. 153c AHVG) |
| Bilder | Profilbild, Fotos in Galerien und Dokumenten |
| Inhalte | Chat-Nachrichten, Kommentare, Aufgaben, Dokumente, Anlässe, Reservationen |
| Nutzungsdaten | Anmeldezeitpunkte, Änderungsprotokolle, Fehlerdiagnosen |
Welche dieser Kategorien tatsächlich anfallen, bestimmt die Verantwortliche durch die Wahl der Funktionen und die Datenerfassung. Die Auftragsbearbeiterin verlangt keine dieser Angaben von sich aus.
Anhang B
Technische und organisatorische Massnahmen.
Beschrieben ist, was umgesetzt ist — nicht, was geplant ist. Stand 6. August 2026.
Zugangskontrolle
Anmeldung über Firebase Authentication mit E-Mail und Passwort. Passwörter werden nicht bei der Auftragsbearbeiterin gespeichert. Zugang zur Verwaltungskonsole der Infrastruktur ist auf die Geschäftsführung beschränkt und mit Zwei-Faktor-Authentisierung geschützt.
Zugriffskontrolle
Rollenbasierte Berechtigungen je Nutzerkonto. Die Prüfung erfolgt serverseitig in den Firestore- und Storage-Sicherheitsregeln, nicht nur in der Oberfläche — ein manipulierter Client erhält keinen Zugriff.
Mandantentrennung
Jeder Datensatz trägt die Kennung der Organisation, zu der er gehört; jede Abfrage und jede Sicherheitsregel filtert darauf. Die Instanzen verschiedener Organisationen sind dadurch auch bei gemeinsamer Datenbank getrennt.
Schutz besonders sensibler Felder
Kontaktdaten, AHV-Nummer, Geburtsdatum und Bankverbindungen liegen in einer eigenen, gesperrten Sammlung. Lesen darf sie nur die betroffene Person selbst oder eine ausdrücklich berechtigte Rolle; für Listen und Verzeichnisse wird eine gefilterte Projektion erzeugt.
Client-Attestierung
Firebase App Check weist jede Anfrage einer registrierten Anwendung zu. Anfragen aus fremden Clients werden abgewiesen.
Verschlüsselung
Übertragung ausschliesslich über TLS. Ruhende Daten werden von Google Cloud standardmässig mit AES-256 verschlüsselt.
Verfügbarkeit und Wiederherstellbarkeit
Tägliche Sicherung der Datenbank mit sieben Tagen Aufbewahrung, zusätzlich zeitpunktgenaue Wiederherstellung innerhalb der letzten sieben Tage. Die Datenbank ist gegen versehentliches Löschen gesperrt.
Protokollierung
Änderungen an Datensätzen werden 24 Monate protokolliert, Sitzungs- und Betriebsprotokolle 12 Monate. Die Protokolle dienen der Nachvollziehbarkeit und der Missbrauchserkennung.
Fehlerdiagnose ohne Personendaten
Fehlermeldungen gehen an Sentry (Deutschland) mit abgeschalteter Übermittlung von Nutzerdaten und einer Bereinigungsstufe, die Meldungen, Ausnahmen und Verlaufsspuren vor dem Versand von erkennbaren Personendaten befreit.
Löschkonzept
Jede Datenkategorie hat eine hinterlegte Aufbewahrungsfrist. Eine Löschung zeigt vorher, welche Datensätze betroffen sind, unterscheidet zwischen Löschen und Anonymisieren und hinterlässt ein Protokoll ohne Personendaten.
Datenherausgabe
Die Verantwortliche und die betroffene Person können den Datenbestand jederzeit selbst als Datei exportieren; dafür ist keine Anfrage bei der Auftragsbearbeiterin nötig.
Trennung von Entwicklung und Betrieb
Entwicklung findet nicht auf Produktivdaten statt. Fehlerdiagnosen laufen über Protokolle und Fehlermeldungen; ein Zugriff auf Inhalte erfolgt nur nach Ziff. 2.5.
Der Chat ist heute nicht Ende-zu-Ende-verschlüsselt.
Die Chat-Funktion läuft über einen Matrix-Server, der von etke.cc in Deutschland betrieben wird. Nachrichten und Anhänge sind auf dem Transportweg verschlüsselt, auf dem Server jedoch im Klartext gespeichert. Der Serverbetreiber kann sie technisch einsehen. Für Inhalte, die dem Serverbetreiber nicht zugänglich sein sollen, ist der Chat daher nicht geeignet.
Eine Ende-zu-Ende-Verschlüsselung ist in Arbeit. Wird sie eingeführt, gilt sie für neue Nachrichten ab dem angekündigten Stichtag; ältere Nachrichten bleiben unverschlüsselt. Wir werden dann auch sagen, wer die Schlüssel hält — eine automatische Schlüsselsicherung schützt gegen den Serverbetreiber, nicht gegen die Auftragsbearbeiterin.
Anhang C
Genehmigte Unterauftragsbearbeiter.
Jeder Dienstleister mit Zweck und Standort. Änderungen werden nach Ziff. 5.2 angekündigt.
| Unterauftragsbearbeiter | Zweck | Standort |
|---|---|---|
| Google Cloud / Firebase — Firestore | Datenbank, alle Organisationsdaten | Zürich (europe-west6) |
| Google Cloud / Firebase — Functions | serverseitige Verarbeitung | Zürich (europe-west6) |
| Google Cloud / Firebase — Storage | Dokumente, Bilder | Zürich (europe-west6) |
| Google — Firebase Auth, Push (FCM) | Anmeldung, Push-Nachrichten | global |
| etke.cc | Matrix-Server für den Chat | Deutschland |
| Sentry | Fehlerdiagnose | Deutschland |
| imgix (Zebrafish Labs Inc.) | Bildverarbeitung und -auslieferung | Originale in Zürich; Verarbeitung EU (Frankfurt), Auslieferung weltweit |
| Fastly Inc. | Edge-Netz für die Bildauslieferung | weltweit, europäische Standorte bevorzugt |
| Bexio AG | Buchhaltung, sofern von der Verantwortlichen angebunden | Schweiz |
Fassung vom 6. August 2026. Bei Fragen zu diesem Vertrag: support@kring.ch.