Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag («AVV») konkretisiert die datenschutzrechtlichen Pflichten zwischen der Organisation, die Domioo nutzt («Verantwortliche») und axiocollective(«Auftragsbearbeiterin»). Er gilt ergänzend zu den Allgemeinen Geschäftsbedingungen und richtet sich nach Art. 9 revDSG und – soweit anwendbar – Art. 28 DSGVO.

1. Gegenstand und Dauer

Gegenstand ist die Bearbeitung von Personendaten durch die Auftragsbearbeiterin im Rahmen der Bereitstellung von Domioo. Der AVV gilt für die Dauer der Nutzung des Dienstes.

2. Art und Zweck der Bearbeitung

Hosting, Speicherung und Verarbeitung der von der Verantwortlichen erfassten Daten zum Zweck der Liegenschafts- und Mieterverwaltung, Kommunikation, Buchungen, Dokumentenablage und Benachrichtigungen.

3. Datenkategorien und betroffene Personen

• Betroffene Personen: Mieter:innen, Haushaltsmitglieder, Mitarbeitende der Verwaltung, ggf. externe Handwerker:innen.
• Datenkategorien: Stamm-/Kontaktdaten, Mietverhältnis- und Liegenschaftsdaten, Tickets/Anliegen, Chat-/Pinnwand-Inhalte, Dokumente, Buchungen, Inventar, technische Protokolldaten.

4. Weisungsbindung

Die Auftragsbearbeiterin bearbeitet Personendaten nur gemäss den dokumentierten Weisungen der Verantwortlichen (einschliesslich der Nutzung der Funktionen von Domioo) sowie zur Erfüllung gesetzlicher Pflichten.

5. Vertraulichkeit

Die mit der Bearbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Massnahmen (TOM)

• Zeilenbasierte Zugriffskontrolle (Row Level Security) je Mandant.
• Verschlüsselung der Übertragung (TLS) und im Ruhezustand.
• Rollen-/Rechtekonzept, Prinzip der minimalen Berechtigung.
• Protokollierung sicherheitsrelevanter Ereignisse, Audit-Logs.
• Regelmässige, redundante Sicherungen (Backups).
• Trennung von Mandanten auf Datenbankebene (Multi-Tenancy).

7. Unterauftragsbearbeiter (Subprozessoren)

Die Verantwortliche genehmigt den Einsatz der nachfolgenden Subprozessoren. Über Änderungen informieren wir vorab; die Verantwortliche kann begründet widersprechen.

• Supabase – Datenbank/Auth/Storage/Realtime, Hosting EU (Irland, eu-west-1).
• Vercel – Anwendungs-Hosting/Auslieferung; Ausführung der Server-Funktionen auf die EU (Dublin, Irland) festgelegt, Betreibergesellschaft mit Sitz in den USA.
• Stripe – Zahlungsabwicklung/Rechnungsstellung.
• Resend – Versand transaktionaler E-Mails.
• Sentry – Fehler-/Absturz-Überwachung; Datenhaltung EU (Frankfurt), personenbezogene Inhalte werden vor Übermittlung entfernt.
• Push-Dienste (Apple/Google/Mozilla) – Zustellung von Push-Benachrichtigungen, sofern aktiviert.

KI-Dienste werden im laufenden Betrieb nicht mit Personendaten der Verantwortlichen aufgerufen (Einsatz ausschliesslich in der internen Entwicklung, ohne Produktivdaten).

8. Auslandtransfer

Erfolgt eine Bearbeitung ausserhalb der Schweiz/EU, stellen wir geeignete Garantien sicher (EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss und ergänzende Massnahmen).

9. Unterstützung der Verantwortlichen

Wir unterstützen die Verantwortliche angemessen bei der Beantwortung von Anfragen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und melden Datenschutzverletzungen unverzüglich nach Kenntnis.

10. Löschung und Rückgabe

Nach Beendigung des Vertrags löschen oder retournieren wir die Personendaten nach Wahl der Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Wo eine vollständige Löschung wegen referenzieller Abhängigkeiten oder Aufbewahrungspflichten (z. B. Übergabeprotokolle als Kautionsnachweis) nicht möglich ist, erfolgt eine Anonymisierung: identifizierende Stammdaten (Name, Telefon, E-Mail, Login) werden entfernt bzw. gesperrt, während vertrags- und aufbewahrungsrelevante Datensätze (Mietverhältnis-Historie, signierte Protokolle) im gesetzlich erforderlichen Umfang bestehen bleiben.

11. Kontrollrechte

Wir weisen die Einhaltung der Pflichten auf Anfrage in geeigneter Weise nach (z. B. durch Informationen/Nachweise). Vor-Ort-Kontrollen erfolgen nach angemessener Vorankündigung.

Kontakt

Datenschutz: info@domioo.ch