Vereinbarung über die Auftragsbearbeitung (AVV)
Version 2026-10 · Stand 15.10.2026 · Bestandteil der AGB (Ziffer 10)
1. Parteien und Rollen
Die Praxis (Kund:in gemäss AGB) ist Verantwortliche für die Personendaten, die sie in der App bearbeitet. Der Betreiber von Cluna (siehe Impressum) bearbeitet diese Daten als Auftragsbearbeiter nach Art. 9 DSG. Widerspricht eine Bestimmung der AGB dieser Vereinbarung, geht diese Vereinbarung vor.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand ist der Betrieb der App für die Praxis einschliesslich Sicherungen und Support. Der Betreiber speichert, zeigt an, versendet, sichert und löscht Daten, damit die Praxis ihre Klient:innen verwalten, Termine und Kurse organisieren, Rechnungen stellen und mit Klient:innen kommunizieren kann. Er verwendet die Daten nicht für eigene Zwecke, nicht für Werbung und nicht für Tracking. Für Betrieb und Abrechnung wertet er nur Zahlen ohne Personenbezug aus (z. B. Anzahl Mails pro Tag). Die Bearbeitung beginnt mit der Registrierung und endet mit der Löschung nach Ziffer 11.
3. Betroffene Personen und Daten
Betroffen sind Klient:innen der Praxis und ihre Bezugspersonen, Interessent:innen und Kursteilnehmende, Personen, die einen Termin buchen oder ein Formular ausfüllen, sowie Mitarbeitende der Praxis. Bearbeitet werden je nach genutzten Funktionen: Kontakt- und Adressdaten, Geburtsdatum, Bezugspersonen, Sitzungsnotizen und Dokumente, Termine, Kursanmeldungen, Antworten auf Fragebögen und Einwilligungen (mit Name, Zeitpunkt und IP-Adresse), Rechnungen und Zahlungen, versandte Mails und Zustellstatus.
Sitzungsnotizen, Dokumente und Fragebögen können besonders schützenswerte Personendaten enthalten (z. B. über die Gesundheit oder die Intimsphäre). Die Praxis entscheidet, was sie erfasst, und beschränkt sich auf das Nötige.
4. Ort der Bearbeitung
Die Daten liegen in der Schweiz: auf einem Server, den der Betreiber selbst verwaltet, und in verschlüsselten Sicherungen. Eine Bekanntgabe ins Ausland erfolgt nur durch die in Ziffer 7 genannten Dienste mit Ort ausserhalb der Schweiz und nur in deren Umfang. Mails an Klient:innen werden deren eigenen Mailanbietern zugestellt.
5. Weisungen
Der Betreiber bearbeitet die Daten nur so, wie es für die Leistungen nötig ist und wie die Praxis es über die App festlegt (Eingaben, Einstellungen, Funktionen). Weitere Weisungen erteilt die Praxis per Mail an info (at) cluna.ch. Hält der Betreiber eine Weisung für rechtswidrig, teilt er dies mit. Muss er Daten von Gesetzes wegen herausgeben, informiert er die Praxis vorher, soweit zulässig.
6. Vertraulichkeit und Zugriff
Der Betreiber wahrt die Vertraulichkeit. Er greift auf die Daten einer Praxis nur zu, wenn es für Betrieb, Sicherheit oder eine Supportanfrage der Praxis nötig ist, und nur im nötigen Umfang. Hilfspersonen verpflichtet er vorher schriftlich zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus.
7. Unterauftragsbearbeiter
Die Praxis ist einverstanden, dass der Betreiber folgende Dienste beizieht:
| Dienst | Zweck | Daten | Ort |
|---|---|---|---|
| Infomaniak Network SA, Genf | Server der App (vom Betreiber verwaltet) | alle Daten der App | Schweiz |
| Infomaniak Network SA (Swiss Backup), Genf | Sicherungen, vor der Übertragung verschlüsselt; den Schlüssel hat nur der Betreiber | Sicherungskopien | Schweiz |
| Hostpoint AG, Rapperswil-Jona | Versand der Mails der App | Mailadressen, Namen, Inhalte der Mails | Schweiz |
| KI-Anbieter gemäss Einstellungsseite der App | nur wenn die Praxis die KI-Assistenz einschaltet: Bearbeitung pseudonymisierter Texte auf Knopfdruck, ohne Verwendung zum Training | Textausschnitte, in denen Namen, Kontaktdaten, Adressen und Geburtsdatum durch Platzhalter ersetzt sind | auf der Einstellungsseite angegeben |
Online-Zahlungen der Klient:innen laufen über das eigene Stripe-Konto der Praxis; Stripe ist dabei Vertragspartner der Praxis, nicht des Betreibers.
Der Betreiber kündigt neue oder ersetzte Unterauftragsbearbeiter mindestens 30 Tage im Voraus per Mail an. Die Praxis kann aus wichtigem Grund widersprechen; einigen sich die Parteien nicht, kann sie auf den Zeitpunkt des Wechsels kündigen, ohne Bindung an die Mindestlaufzeit, und erhält bezahlte Zeit anteilig zurück. Der Betreiber verpflichtet Unterauftragsbearbeiter zu mindestens gleichwertigem Datenschutz.
8. Technische und organisatorische Massnahmen
- Jede Praxis hat eine eigene Datenbank und einen eigenen Dateiordner; automatische Tests prüfen bei jeder Änderung die Trennung zwischen den Praxen.
- Alle Verbindungen sind verschlüsselt (HTTPS). Die Datenbanken sind nur auf dem Server selbst erreichbar.
- Passwörter werden mit Argon2 gehasht; Fehlversuche bei der Anmeldung werden gebremst; Sitzungen lassen sich überall abmelden. Rollen mit abgestuften Rechten (Inhaber:in, Assistenz).
- Schutz vor häufigen Angriffen (u. a. Cross-Site-Request-Forgery, Cross-Site-Scripting, Clickjacking) mit strengen Sicherheitsheadern.
- Auf den Server greift nur der Betreiber mit persönlichem Schlüssel zu; Sicherheitsupdates werden regelmässig eingespielt.
- Tägliche Sicherung pro Praxis, verschlüsselt, in der Schweiz; Aufbewahrung höchstens 90 Tage; Wiederherstellung wird regelmässig geprobt.
- Löschfristen im laufenden Betrieb: Versandprotokoll der Mails 180 Tage, Zwischendateien eines Imports höchstens 1 Tag, Betriebs- und Webserverprotokolle 14 Tage (ohne Inhalte aus Dossiers).
- Verfügbarkeit wird automatisch überwacht; Protokolle enthalten keine Inhalte von Notizen.
- Die KI-Assistenz ist ausgeschaltet, bis die Praxis sie einschaltet; jede Anfrage wird ohne Inhalt protokolliert.
- Keine Tracker, keine Werbung, keine Skripte oder Schriften von Dritten.
9. Unterstützung der Praxis
Die Praxis kann jederzeit einen vollständigen Export herunterladen und Daten selbst berichtigen oder löschen. Bei Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe), die sie nicht selbst erledigen kann, und bei einer Datenschutz-Folgenabschätzung unterstützt der Betreiber sie; geringer Aufwand ist im Preis enthalten.
10. Verletzungen der Datensicherheit
Der Betreiber meldet der Praxis eine Verletzung der Datensicherheit, die ihre Daten betrifft, unverzüglich, spätestens innert 48 Stunden nach Kenntnis, per Mail. Die Meldung nennt, soweit bekannt, Art der Verletzung, betroffene Daten, mögliche Folgen und getroffene Massnahmen. Er unterstützt die Praxis bei der Meldung an den EDÖB (Art. 24 DSG) und bei der Information der Betroffenen.
11. Rückgabe und Löschung
Nach Vertragsende ist die Praxis 30 Tage nur lesbar; in dieser Zeit kann sie einen vollständigen Export herunterladen. Danach löscht der Betreiber alle Daten der Praxis und bestätigt die Löschung per Mail. Es bleiben nur ein Protokolleintrag ohne Personendaten der Klient:innen und die Rechnungen an die Praxis, solange das Gesetz ihre Aufbewahrung verlangt. In den verschlüsselten Sicherungen bleiben Daten höchstens 90 Tage; sie dienen nur der Wiederherstellung.
12. Kontrolle
Der Betreiber beantwortet Fragen der Praxis zur Einhaltung dieser Vereinbarung schriftlich und stellt die nötigen Angaben zur Verfügung. Eine Prüfung vor Ort ist bei begründetem Anlass mit 30 Tagen Voranmeldung möglich, auf Kosten der Praxis.
13. Schlussbestimmungen
Diese Vereinbarung ist Bestandteil der AGB und im Preis enthalten. Für Änderungen gilt Ziffer 11, für anwendbares Recht und Gerichtsstand Ziffer 12 der AGB.