Elchi Studios ist eine Marke von Krauss Software, dem Einzelunternehmen von Samuel Krauss, Oberägeri ZG, Schweiz. Vertragspartner ist Krauss Software, Inhaber Samuel Krauss.
gemäss Art. 28 DSGVO und Art. 9 DSG (Schweiz)
zwischen
Krauss Software, Inhaber Samuel Krauss (Marke Elchi Studios)
Im Ländli 18, 6315 Oberägeri, Schweiz
(nachfolgend „Auftragsverarbeiter")
und
dem jeweiligen Auftraggeber gemäss Dienstleistungsvertrag
(nachfolgend „Verantwortlicher")
Präambel
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäss Art. 28 DSGVO und Art. 9 des schweizerischen Datenschutzgesetzes (DSG). Er ist Bestandteil des zwischen den Parteien geschlossenen Dienstleistungsvertrags.
Abschnitt 1: Gegenstand und Dauer der Verarbeitung
1.1 Gegenstand: Der Auftragsverarbeiter erbringt im Rahmen des Hauptvertrags technische Dienstleistungen (insbesondere Webentwicklung und Hosting), im Zuge derer er Zugang zu personenbezogenen Daten des Verantwortlichen oder von dessen Kunden erhalten kann.
1.2 Dauer: Die Auftragsverarbeitung dauert für die Dauer des Hauptvertrags. Nach Vertragsende werden die Daten gemäss Abschnitt 8 behandelt.
Abschnitt 2: Art und Zweck der Verarbeitung
Die Verarbeitung personenbezogener Daten umfasst insbesondere:
- Zugriff auf Serverdaten und Datenbanken zum Zweck der technischen Wartung und Entwicklung
- Speicherung und Verwaltung von Nutzerdaten im Rahmen gehosteter Projekte
- Protokollierung von Zugriffen und Fehlern zum Zweck der Fehlerdiagnose
Die Verarbeitung erfolgt ausschliesslich zum Zweck der Erfüllung des Hauptvertrags.
Abschnitt 3: Art der personenbezogenen Daten und betroffene Personen
Die Verarbeitung kann folgende Kategorien personenbezogener Daten betreffen:
- Kontakt- und Identifikationsdaten (Name, E-Mail, Adresse)
- Technische Nutzungsdaten (IP-Adressen, Log-Daten)
- Transaktionsdaten (je nach Projektart)
- Sonstige vom Verantwortlichen definierte Datenkategorien
Betroffene Personen können sein: Kunden, Nutzer und Besucher der Systeme und Websites des Verantwortlichen.
Abschnitt 4: Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
4.1 Personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten.
4.2 Alle Personen, die Zugang zu personenbezogenen Daten haben, zur Vertraulichkeit zu verpflichten oder einer gesetzlichen Verschwiegenheitspflicht zu unterwerfen.
4.3 Alle gemäss Art. 32 DSGVO / Art. 8 DSG erforderlichen technischen und organisatorischen Massnahmen zur Datensicherheit zu ergreifen, insbesondere:
- Verschlüsselung gespeicherter und übertragener Daten
- Zugriffskontrollen und Authentifizierungsmassnahmen
- Regelmässige Sicherheitsupdates und Backups
4.4 Die Bedingungen dieses AVV bei der Inanspruchnahme von Unterauftragsverarbeitern einzuhalten (siehe Abschnitt 5).
4.5 Den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflichten (Betroffenenrechte, Meldepflichten, Datenschutz-Folgenabschätzung) zu unterstützen.
4.6 Datenschutzverletzungen unverzüglich (ohne unnötige Verzögerung, spätestens binnen 24 Stunden nach Kenntnisnahme) an den Verantwortlichen zu melden.
Abschnitt 5: Unterauftragsverarbeiter
5.1 Der Auftragsverarbeiter betreibt die gehosteten Projekte seit dem 3. Oktober 2026 auf eigenen Servern und setzt dafür folgende Unterauftragsverarbeiter ein:
| Unterauftragsverarbeiter | Leistung | Staat (Standort) |
|---|---|---|
| Infomaniak Network SA | Server, Objektspeicher für Bilder | Schweiz (Genf) |
| Hetzner Online GmbH | Server | Deutschland (Falkenstein, Nürnberg) |
| Tavuru | Server der primären Datenbank | Deutschland (Frankfurt) |
| UpCloud Oy | Server | Niederlande (Amsterdam) |
| Scaleway SAS | Server, nächtliche Kopie der Bilder | Niederlande (Amsterdam), Frankreich (Paris) |
| ClouDNS Ltd. | Beantwortet die DNS-Abfragen für die Namen der Server; sieht nur DNS-Abfragen, keine Inhalte der Projekte und keine Kontodaten | Bulgarien (Sofia) |
| Resend, Inc. | Versand von E-Mails, soweit ein Projekt E-Mails über den Auftragsverarbeiter versendet (z. B. Benachrichtigungen aus Kontaktformularen); Versand aus der EU-Region von Resend, Speicherung in den USA | USA |
Cloudflare, Inc. (USA) führt die DNS-Zonen, erhält keine Personendaten aus den Projekten und ist deshalb kein Unterauftragsverarbeiter.
5.2 Für die Bekanntgabe ins Ausland gilt: Deutschland, die Niederlande, Frankreich und Bulgarien gehören zum EWR und gewährleisten nach Anhang 1 der Datenschutzverordnung (DSV) einen angemessenen Datenschutz (Art. 16 Abs. 1 DSG). Für die Bekanntgabe an Resend in den USA gelten für Daten aus der Schweiz die Standardvertragsklauseln der EU-Kommission mit den für das schweizerische Recht nötigen Anpassungen, die Bestandteil des Auftragsverarbeitungsvertrags von Resend sind (Art. 16 Abs. 2 lit. d DSG); für Daten, die der DSGVO unterliegen, ist Resend unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO), und zusätzlich gelten dieselben Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
5.3 Wird ein Projekt auf Wunsch des Verantwortlichen bei einem anderen Anbieter gehostet, nennt der Hauptvertrag diesen Anbieter. Liegt er ausserhalb der Schweiz und des EWR, stellt der Auftragsverarbeiter ein angemessenes Schutzniveau sicher (z. B. durch Standardvertragsklauseln der EU-Kommission).
5.4 Der Verantwortliche genehmigt die in Ziffer 5.1 genannten Unterauftragsverarbeiter und erteilt eine allgemeine Genehmigung zur Einschaltung weiterer Unterauftragsverarbeiter im Bereich Hosting und Serverinfrastruktur, sofern diese zu angemessenem Datenschutz verpflichtet werden.
5.5 Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter denselben Datenschutzpflichten unterliegen wie er selbst.
5.6 Wechsel oder Hinzufügung von Unterauftragsverarbeitern werden dem Verantwortlichen rechtzeitig (mind. 14 Tage im Voraus) mitgeteilt. Der Verantwortliche kann innerhalb dieser Frist schriftlich widersprechen.
Abschnitt 6: Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Soweit möglich, stellt der Auftragsverarbeiter technische Mittel zur Verfügung oder ergreift geeignete Massnahmen.
Abschnitt 7: Kontrollrechte des Verantwortlichen
7.1 Der Verantwortliche hat das Recht, die Einhaltung dieses AVV und der Datenschutzvorschriften beim Auftragsverarbeiter zu überprüfen.
7.2 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung und ermöglicht Audits oder Inspektionen (mit angemessener Vorankündigung von mindestens 14 Tagen).
Abschnitt 8: Rückgabe und Löschung von Daten
8.1 Nach Abschluss des Hauptvertrags werden personenbezogene Daten auf Wunsch des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
8.2 Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.
Abschnitt 9: Haftung
Die Haftung der Parteien richtet sich nach den Bestimmungen des Hauptvertrags und den anwendbaren gesetzlichen Regelungen.
Abschnitt 10: Anwendbares Recht
Es gilt schweizerisches Recht. Gerichtsstand ist Zug, Schweiz.
Dieser AVV wird bei Vertragsschluss (Hauptvertrag) als integraler Bestandteil vereinbart.
Version 1.4 | Oktober 2026