Auftragsverarbeitungsvertrag (AVV)

Parteien

Auftragsverarbeiter: SynqFlow (Inh. Samuel Schwab), Neuhardstrasse 15d, 8105 Regensdorf, Schweiz, help@synqflow.app, synqflow.app.

Verantwortlicher: der registrierende Kunde gemäss seinen bei der Registrierung angegebenen Kontodaten (nachfolgend gemeinsam „Parteien").

§ 1 Gegenstand und Dauer

1.1 Dieser AVV regelt die Rechte und Pflichten der Parteien im Rahmen der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen.

1.2 Gegenstand der Auftragsverarbeitung ist die Erbringung der in der Leistungsbeschreibung der SynqFlow-Plattform definierten Dienste, insbesondere die Verarbeitung von E-Mail-Marketing-Daten aus der angebundenen Marketing-Plattform (z. B. Klaviyo) des Verantwortlichen sowie die Generierung von E-Mail-Texten und -Designs.

1.3 Dieser AVV gilt für die Dauer der Nutzung der SynqFlow-Plattform und endet automatisch mit Beendigung des Hauptvertrags.

§ 2 Art und Zweck der Verarbeitung

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschliesslich im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen.

2.2 Art der verarbeiteten Daten:

• Aggregierte Profil- und Engagement-Metriken aus der angebundenen Plattform (z. B. Engagement-Status); eine dauerhafte Speicherung roher Empfänger-E-Mail-Adressen findet nicht statt
• Metadaten zu Kampagnen und Flows (Öffnungs-, Klick-, Conversion-Daten)
• Konto-, Listen- und Segmentdaten (Anzahl, keine dauerhaft gespeicherten Einzelprofile)
• Benutzerkonten der Plattform (E-Mail, Name, verschlüsselter API-Key)
• Vom Verantwortlichen hochgeladene Bilder (Produktfotos, Logos)

2.3 Kategorien betroffener Personen: Endkunden des Verantwortlichen (Empfänger von E-Mail-Kampagnen) sowie Mitarbeiter und autorisierte Nutzer des Verantwortlichen.

2.4 Zweck: Durchführung von E-Mail-Marketing-Audits, Analyse und Optimierung von Flows und Kampagnen, KI-gestützte Generierung von Empfehlungen, Texten und Designs, sowie Bereitstellung der Plattformfunktionen.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

3.1 Personenbezogene Daten ausschliesslich nach den dokumentierten Weisungen des Verantwortlichen zu verarbeiten und nicht für eigene Zwecke zu nutzen.

3.2 Alle eingesetzten Personen zur Vertraulichkeit zu verpflichten.

3.3 Geeignete technische und organisatorische Massnahmen (TOMs) gemäss Art. 32 DSGVO zu treffen und aufrechtzuerhalten (siehe Anhang A).

3.4 Den Verantwortlichen unverzüglich zu informieren, falls eine Weisung gegen datenschutzrechtliche Vorschriften verstösst.

3.5 Den Verantwortlichen bei der Erfüllung seiner Pflichten gemäss Art. 32–36 DSGVO zu unterstützen.

3.6 Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen zu ermöglichen.

§ 4 Unterauftragsverarbeiter

4.1 Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

4.2 Die vom Verantwortlichen selbst angebundenen Plattformen (z. B. die Marketing-Plattform Klaviyo sowie E-Commerce-Plattformen wie Shopify oder WooCommerce) sind vom Verantwortlichen eigenständig gewählte Dienste; für die dort gespeicherten Daten ist der jeweilige Anbieter separater Verantwortlicher bzw. Auftragsverarbeiter des Verantwortlichen und kein Unterauftragsverarbeiter von SynqFlow.

4.3 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) mindestens 30 Tage im Voraus und räumt ihm die Möglichkeit ein, hiergegen innerhalb dieser Frist Einspruch zu erheben. Im Fall eines berechtigten Einspruchs, der sich nicht ausräumen lässt, steht dem Verantwortlichen ein Sonderkündigungsrecht zu.

4.4 Alle Unterauftragsverarbeiter werden vertraglich zu denselben Datenschutzpflichten verpflichtet wie der Auftragsverarbeiter nach diesem AVV.

§ 5 Betroffenenrechte

5.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen nach Art. 15–22 DSGVO.

5.2 Eingehende Anfragen betroffener Personen leitet der Auftragsverarbeiter unverzüglich, spätestens innerhalb von 3 Werktagen, an den Verantwortlichen weiter.

5.3 Nutzer können ihr Konto und alle gespeicherten Daten jederzeit über die Einstellungen löschen.

§ 6 Datenpannen und Meldepflichten

6.1 Der Auftragsverarbeiter meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, an die im Kundenkonto hinterlegte E-Mail-Adresse des Verantwortlichen. Der Verantwortliche kann Vorfälle seinerseits an help@synqflow.app melden.

6.2 Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien, betroffene Personen und Datensätze (soweit bekannt), wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Massnahmen.

6.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Meldepflicht gemäss Art. 33 DSGVO.

§ 7 Löschung und Rückgabe von Daten

7.1 Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern keine gesetzliche Speicherpflicht besteht.

7.2 API-Keys werden AES-256-GCM verschlüsselt gespeichert und bei Vertragsende gelöscht. Ergebnisse werden nach Kontoschliessung innerhalb von 30 Tagen gelöscht.

7.3 Der Verantwortliche kann jederzeit die Löschung seiner Daten verlangen; sie erfolgt innerhalb von 30 Tagen.

7.4 Auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter die betroffenen Daten vor der Löschung in einem strukturierten, gängigen und maschinenlesbaren Format (Export) zur Rückgabe bereit (Wahlrecht nach Art. 28 Abs. 3 lit. g DSGVO).

§ 8 Drittlandübermittlungen

8.1 Soweit personenbezogene Daten in Drittländer ausserhalb der EU/des EWR bzw. der Schweiz übermittelt werden (insb. USA), erfolgt dies auf Basis der EU-Standardvertragsklauseln (SCCs) gemäss Durchführungsbeschluss (EU) 2021/914, eines Angemessenheitsbeschlusses oder einer Zertifizierung nach dem EU-US Data Privacy Framework.

8.2 Für die KI-Textverarbeitung werden Prompts nicht für Trainingszwecke verwendet; entsprechende Vereinbarungen sind getroffen.

8.3 Für die KI-Bildverarbeitung gilt Datenminimierung: An die Bilddienste werden grundsätzlich nur Produktbilder ohne identifizierbare Personen übermittelt. Bilder mit identifizierbaren Personen sind vom automatisierten Bildpfad ausgeschlossen bzw. werden gesondert behandelt.

§ 9 Haftung

9.1 Die Haftung der Parteien für Schäden aus Verletzungen der DSGVO richtet sich nach Art. 82 DSGVO.

9.2 Der Auftragsverarbeiter haftet nur für Schäden aus einer nicht DSGVO-konformen Verarbeitung, sofern er nicht nachweist, dass er für den Schadenseintritt nicht verantwortlich ist.

§ 10 Schlussbestimmungen

10.1 Dieser AVV ist Bestandteil des Hauptvertrags über die Nutzung der SynqFlow-Plattform und gilt ergänzend zu den AGB.

10.2 Änderungen bedürfen der Textform.

10.3 Es gilt das Recht der Schweiz. Die zwingenden Bestimmungen der DSGVO und des Schweizer nDSG bleiben anwendbar. Ausschliesslicher Gerichtsstand ist, soweit zulässig, Zürich, Schweiz.

10.4 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anhang A — Technische und organisatorische Massnahmen (TOMs)

Gemäss Art. 32 DSGVO hat SynqFlow folgende Massnahmen implementiert: