Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt die Datenschutzerklärung und regelt die Verarbeitung personenbezogener Daten durch Tradegroup Swiss GmbH ("Taabit", Auftragsbearbeiter/Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) gemäss Art. 28 DSGVO sowie Art. 9 des revidierten Schweizer Datenschutzgesetzes (revDSG/nDSG, SR 235.1, in Kraft seit 1. September 2023).

Der AVV gilt für die gesamte Dauer der Nutzung von Taabit und endet automatisch mit Beendigung des Nutzungsvertrags. Nach Beendigung werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht (z.B. OR Art. 958f für buchhalterische Daten beim Auftragsverarbeiter selbst).

2. Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt zum Zweck der Bereitstellung der Taabit-Plattform:

• Verarbeitung von Chat-Nachrichten und Konversationsverläufen
• Speicherung von Benutzerprofilen und Einstellungen
• Weiterleitung von Nachrichten an KI-Sprachmodelle zur Beantwortung
• Erstellung von Nutzungsstatistiken und Analysen
• Verwaltung von Dokumenten und Wissensdatenbanken

3. Art der personenbezogenen Daten

• Kontaktdaten (Name, E-Mail-Adresse)
• Authentifizierungsdaten (verschlüsselte Passwörter, MFA-Secrets)
• Nutzungsdaten (Chat-Verläufe, hochgeladene Dokumente, Konfigurationen)
• Technische Daten (IP-Adresse, Browser-Informationen)
• Ggf. weitere Daten, die der Kunde im Rahmen der Nutzung eingibt

4. Kategorien betroffener Personen

• Registrierte Nutzer der Taabit-Plattform
• Endkunden, die über eingebettete Chat-Widgets kommunizieren
• Mitarbeiter des Kunden mit Zugang zur Plattform

5. Technische und organisatorische Massnahmen (TOMs)

Taabit setzt folgende Massnahmen zum Schutz personenbezogener Daten ein:

Vertraulichkeit

• Transportverschlüsselung: Alle Verbindungen über HTTPS/TLS 1.3
• Speicherverschlüsselung: Sensible Daten mit AES-256-GCM verschlüsselt
• Passwörter: bcrypt mit 12 Salt Rounds
• Tenant-Isolation: Vollständige Datentrennung zwischen Kunden
• Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (RBAC)

Integrität

• Zwei-Faktor-Authentifizierung (TOTP) optional verfügbar
• API-Token-Authentifizierung mit Prefix-basierter Identifikation
• Automatische Eingabevalidierung und -bereinigung

Verfügbarkeit und Belastbarkeit

• Hosting bei IONOS (Rechenzentrum Deutschland, ISO 27001 zertifiziert)
• Tägliche automatische Datenbank-Backups
• Container-basierte Infrastruktur mit automatischem Neustart

Wiederherstellbarkeit

• Point-in-Time-Recovery der Datenbank möglich
• Regelmässige Tests der Wiederherstellungsprozesse

Automatische Datenlöschung

• Drei plan-bezogene Aufbewahrungsregeln: Chat-Verlauf (Free 1 Jahr, ab Starter unbegrenzt — pro Tenant konfigurierbar), Agent-Memory und Audit-Log (plan-gebunden 30–1095 Tage, Enterprise unbegrenzt)
• Automatische Löschung abgelaufener Chat-Daten durch täglichen Bereinigungslauf
• Self-Service-Löschung: Endbenutzer können eigene Chats jederzeit selbst löschen

6. Unterauftragnehmer (Sub-Processors)

Folgende Unterauftragnehmer werden eingesetzt. Die aktuelle Liste mit Vertrags- und Standortangaben findest du auch unter taabit.com/compliance.

Bei Azure OpenAI werden Daten gemäss Microsoft DPA nicht für das Training von KI-Modellen verwendet. Inhalte werden nur für die Dauer der Anfrage verarbeitet und nicht persistent beim Anbieter gespeichert.

7. Genehmigung von Unterauftragnehmern

Der Verantwortliche erteilt mit Abschluss dieses AVV eine allgemeine Genehmigung für den Einsatz der in Sektion 6 genannten Unterauftragnehmer (gemäss Art. 28 Abs. 2 DSGVO).

• Änderungen oder Hinzufügungen werden dem Verantwortlichen mit 14 Tagen Vorlauf per E-Mail oder über die Plattform mitgeteilt.
• Der Verantwortliche kann begründet Widerspruch einlegen. Bei berechtigten Bedenken arbeiten beide Parteien an einer Lösung; im Streitfall steht dem Verantwortlichen ein ausserordentliches Kündigungsrecht zu.
• Alle Unterauftragnehmer werden vertraglich auf gleichwertige Datenschutzpflichten verpflichtet, einschliesslich der in diesem AVV festgelegten technischen und organisatorischen Massnahmen.

8. Pflichten des Auftragsverarbeiters

• Verarbeitung personenbezogener Daten nur auf dokumentierte Weisung des Verantwortlichen.
• Gewährleistung der Vertraulichkeit durch alle Mitarbeitenden — inkl. ausdrücklicher Verpflichtung als Hilfsperson nach Art. 321 Ziff. 1 StGB (siehe Sektion 10).
• Unterstützung bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Datenportabilität, Einschränkung) — inkl. Self-Service-Löschung durch Endbenutzer und automatischer Datenbereinigung.
• Unverzügliche Meldung von Datenschutzverletzungen, ohne unangemessene Verzögerung und spätestens innerhalb 24 Stunden ab Kenntnisnahme (gilt zusätzlich zu DSGVO Art. 33 mit dessen 72-Stunden-Frist gegenüber Aufsichtsbehörden).
• Löschung aller personenbezogenen Daten nach Beendigung der Auftragsverarbeitung gemäss Sektion 1.
• Bereitstellung aller erforderlichen Informationen für Audits und Vorlage von Konformitätsnachweisen (TOMs-Bericht, ggf. Pen-Test-Bericht sobald verfügbar).

9. Rechte des Verantwortlichen

• Recht auf Auskunft über die Verarbeitung.
• Recht auf Überprüfung (Audit) — schriftlich anzukündigen mit 14 Tagen Vorlauf, höchstens einmal pro Kalenderjahr (ausser bei begründetem Anlass), Kosten zu Lasten des Verantwortlichen.
• Recht auf Weisung bezüglich der Datenverarbeitung.
• Jederzeitiger Datenexport über die Plattform (Einstellungen → Daten exportieren) als JSON-Bundle.
• Jederzeitige Kontolöschung mit vollständiger Datenlöschung innerhalb 30 Tagen, inkl. Backups.

11. Haftung und Beta-Status

• Taabit befindet sich in der geschlossenen Pilot-Phase. Die Plattform wird ohne ausdrückliche oder stillschweigende Gewährleistungen bereitgestellt, soweit gesetzlich zulässig. Insbesondere übernimmt der Auftragsbearbeiter keine Garantie für eine bestimmte Verfügbarkeit, Eignung für einen bestimmten Zweck oder fehlerfreien Betrieb während der Beta-Phase.
• Die Haftung des Auftragsbearbeiters bestimmt sich abschliessend nach den AGB. Soweit gesetzlich zulässig, ist die Haftung auf direkte Schäden bei Vorsatz und grober Fahrlässigkeit beschränkt. Die Haftung für leichte Fahrlässigkeit, mittelbare Schäden, Folgeschäden, entgangenen Gewinn und Datenverluste ist ausgeschlossen, soweit nicht zwingende gesetzliche Bestimmungen entgegenstehen (insbesondere Art. 82 DSGVO und Art. 23 revDSG bei nachgewiesenen Pflichtverletzungen).
• Soweit eine Haftung gesetzlich zwingend besteht, ist sie der Höhe nach auf das vom Verantwortlichen in dem dem schadensauslösenden Ereignis vorangegangenen Monat bezahlte Nutzungsentgelt begrenzt. Diese Begrenzung gilt nicht bei Vorsatz oder bei Verletzung wesentlicher Vertragspflichten.
• Der Verantwortliche ist verpflichtet, die Eignung von Taabit für seine konkreten Anwendungsfälle und Berufspflichten eigenverantwortlich zu prüfen — insbesondere bei der Verarbeitung von Daten, die einer gesetzlichen oder berufsrechtlichen Schweigepflicht unterliegen. Eine spezifische Cyber-Versicherung des Auftragsbearbeiters ist aktuell im Aufbau.

12. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem materiellen Recht der Schweiz unter Ausschluss des Kollisionsrechts und des UN-Kaufrechts (CISG). Für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist ausschliesslich der ordentliche Gerichtsstand am Sitz der Tradegroup Swiss GmbH (Zürich) zuständig, sofern nicht zwingend ein anderer Gerichtsstand gegeben ist.

13. AVV abschliessen

Für den Abschluss eines individuellen AVV (mit ggf. branchenspezifischen Erweiterungen, Custom-Klauseln auf Team-Plan) oder bei Fragen zur Datenverarbeitung kontaktiere uns bitte unter:

hello@taabit.com

Wir stellen den AVV als unterschriebenes PDF-Dokument zur Verfügung.