Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsbearbeitung nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und Art. 28 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden als Verantwortlichem («Kunde») und z24 Ventures, Gregor Zange, (wird ergänzt), (wird ergänzt), Schweiz, als Auftragsbearbeiter («z24»).

1. Gegenstand und Dauer

1.1 Dieser AVV regelt die Rechte und Pflichten der Parteien, soweit z24 im Rahmen der Leistungen gemäss Angebot und Allgemeinen Geschäftsbedingungen (AGB) von z24 (zusammen «Hauptvertrag») Personendaten im Auftrag des Kunden bearbeitet.

1.2 Der AVV wird Bestandteil des Hauptvertrags, sobald der Kunde ein Angebot annimmt, das auf diesen AVV verweist. Einer gesonderten Unterzeichnung bedarf es nicht; die Annahme in elektronischer Form, auch per E-Mail, genügt.

1.3 Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange z24 Personendaten im Auftrag des Kunden bearbeitet.

1.4 Begriffe wie «Personendaten», «Bearbeitung», «Verantwortlicher» und «Auftragsbearbeiter» haben die Bedeutung nach DSG und umfassen die entsprechenden Begriffe der DSGVO. Die Bestimmungen zur DSGVO gelten, soweit diese auf die Bearbeitung anwendbar ist.

2. Art und Zweck der Bearbeitung

2.1 z24 bearbeitet Personendaten ausschliesslich zur Erbringung der vereinbarten Leistungen, insbesondere für:

Aufbau, Konfiguration und Betrieb von CRM-, Outbound- und Calling-Systemen;
Import, Abgleich, Anreicherung und Verifizierung von Kontakt- und Unternehmensdaten;
Vorbereitung, Versand und Steuerung von Kampagnen und Sequenzen im Namen des Kunden;
Bearbeitung, Klassifizierung und Weiterleitung von Antworten (Reply Handling) sowie Terminvereinbarungen;
Auswertung von Kampagnen und Berichterstattung an den Kunden;
Umsetzung von Abmeldungen, Widersprüchen und Löschungen.

2.2 Die Bearbeitung umfasst insbesondere das Erheben, Erfassen, Speichern, Ordnen, Abgleichen, Anreichern, Auswerten, Übermitteln, Löschen und Vernichten von Personendaten, auch mithilfe automatisierter Verfahren und KI-gestützter Textverarbeitung.

2.3 z24 verwendet die Personendaten nicht für eigene Zwecke und gibt sie nur gemäss diesem AVV oder auf Weisung des Kunden an Dritte weiter. z24 darf jedoch anonymisierte, aggregierte Kennzahlen, die keinen Rückschluss auf einzelne Personen oder auf den Kunden zulassen, zur Verbesserung der eigenen Leistungen verwenden.

3. Art der Personendaten

3.1 Bearbeitet werden insbesondere folgende Datenarten:

B2B-Kontaktdaten: Name, geschäftliche E-Mail-Adresse und Telefonnummer, Position und Funktion, Unternehmen, Standort, Profil in beruflichen Netzwerken;
CRM-Daten: Unternehmensdaten, Aktivitäten, Notizen, Status, Verkaufschancen und Kommunikationshistorie;
E-Mail-Korrespondenz und Antworten einschliesslich Metadaten wie Absender, Empfänger und Zeitpunkt;
Kampagnenkennzahlen: Versand-, Zustell-, Öffnungs-, Klick- und Antwortdaten, Bounces und Abmeldungen, soweit erfasst;
Gesprächsnotizen und Anrufprotokolle, soweit Calling-Leistungen vereinbart sind;
Benutzer- und Zugangsdaten von Mitarbeitenden des Kunden in den eingesetzten Systemen.

3.2 Besonders schützenswerte Personendaten (Art. 5 lit. c DSG) bzw. besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Bearbeitung. Der Kunde stellt solche Daten nur nach vorgängiger ausdrücklicher Vereinbarung zur Verfügung.

4. Kategorien betroffener Personen

Interessenten und potenzielle Kunden des Kunden, insbesondere Ansprechpersonen bei Zielunternehmen;
Kunden und Geschäftspartner des Kunden sowie deren Ansprechpersonen;
Mitarbeitende des Kunden, insbesondere Nutzerinnen und Nutzer der Systeme sowie Absender von Kampagnen.

5. Weisungsrecht

5.1 Der Kunde ist als Verantwortlicher für die Rechtmässigkeit der Bearbeitung verantwortlich, einschliesslich der Beschaffung der Daten und der Zulässigkeit der Kontaktaufnahmen. Er stellt sicher, dass keine gesetzliche oder vertragliche Geheimhaltungspflicht der Bearbeitung durch z24 entgegensteht.

5.2 z24 bearbeitet Personendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in Drittstaaten, es sei denn, z24 ist gesetzlich zu einer Bearbeitung verpflichtet. In diesem Fall teilt z24 dem Kunden diese Pflicht vorgängig mit, sofern das Gesetz dies nicht verbietet.

5.3 Die Weisungen ergeben sich aus dem Hauptvertrag und diesem AVV. Der Kunde kann ergänzende Einzelweisungen schriftlich oder per E-Mail erteilen; mündliche Weisungen bestätigt er umgehend per E-Mail.

5.4 Ist z24 der Auffassung, dass eine Weisung gegen Datenschutzrecht verstösst, informiert z24 den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

5.5 Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Änderungswunsch; Mehraufwand kann z24 gemäss den AGB verrechnen.

6. Vertraulichkeit

z24 setzt für die Bearbeitung nur Personen ein, die vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind, mit den massgeblichen Datenschutzbestimmungen vertraut gemacht wurden und nur im erforderlichen Umfang Zugriff erhalten. Die Vertraulichkeitspflicht gilt über das Ende ihrer Tätigkeit hinaus.

7. Technische und organisatorische Massnahmen

7.1 z24 trifft die in Anlage 1 beschriebenen technischen und organisatorischen Massnahmen, um eine dem Risiko angemessene Datensicherheit zu gewährleisten (Art. 8 DSG, Art. 32 DSGVO).

7.2 Die Massnahmen unterliegen dem technischen Fortschritt. z24 darf sie durch gleichwertige oder wirksamere Massnahmen ersetzen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

8. Unterauftragsbearbeiter

8.1 Der Kunde erteilt z24 die allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen. Die in Anlage 2 aufgeführten Unterauftragsbearbeiter gelten als genehmigt.

8.2 z24 informiert den Kunden mindestens 14 Tage im Voraus per E-Mail über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsbearbeiters. Der Kunde kann innert dieser Frist aus wichtigen datenschutzrechtlichen Gründen schriftlich oder per E-Mail Einspruch erheben. In diesem Fall suchen die Parteien eine einvernehmliche Lösung; gelingt dies nicht, kann jede Partei die betroffenen Leistungen mit einer Frist von 30 Tagen kündigen.

8.3 z24 stellt vertraglich sicher, dass Unterauftragsbearbeiter Datenschutzpflichten unterliegen, die den Pflichten dieses AVV im Wesentlichen entsprechen, insbesondere hinreichende Garantien für geeignete technische und organisatorische Massnahmen. z24 bleibt gegenüber dem Kunden für die Einhaltung dieser Pflichten durch Unterauftragsbearbeiter verantwortlich.

8.4 Bei Unterauftragsbearbeitern ausserhalb der Schweiz und des EWR stellt z24 sicher, dass die Voraussetzungen von Art. 16 f. DSG und Art. 44 ff. DSGVO erfüllt sind, insbesondere durch eine Zertifizierung unter dem EU-U.S. bzw. Swiss-U.S. Data Privacy Framework oder durch Standardvertragsklauseln.

8.5 Nicht als Unterauftragsbearbeitung gelten Nebenleistungen wie Telekommunikations- oder Postdienste sowie Dienste, die der Kunde selbst bezieht oder deren Konten auf ihn lauten. Für diese ist der Kunde im Verhältnis zum jeweiligen Anbieter selbst verantwortlich.

9. Unterstützung bei Betroffenenrechten

9.1 z24 unterstützt den Kunden mit geeigneten technischen und organisatorischen Massnahmen bei der Beantwortung von Anfragen betroffener Personen, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe bzw. -übertragung und Widerspruch.

9.2 Wenden sich betroffene Personen direkt an z24, leitet z24 die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nur auf dessen Weisung. Abmeldungen und Widersprüche gegen Werbung setzt z24 im Rahmen der Leistungen umgehend um und informiert den Kunden darüber.

9.3 Unter Berücksichtigung der Art der Bearbeitung und der z24 verfügbaren Informationen unterstützt z24 den Kunden zudem bei der Datensicherheit, bei Meldungen von Verletzungen der Datensicherheit, bei Datenschutz-Folgenabschätzungen und bei Konsultationen von Aufsichtsbehörden (Art. 22–24 DSG, Art. 32–36 DSGVO).

9.4 Erheblichen Unterstützungsaufwand, der nicht auf einen Verstoss von z24 zurückgeht, kann z24 nach Aufwand verrechnen.

10. Meldung von Datenschutzverletzungen

10.1 z24 meldet dem Kunden jede Verletzung der Datensicherheit (Verletzung des Schutzes personenbezogener Daten), die im Auftrag bearbeitete Personendaten betrifft, unverzüglich, spätestens aber innert 48 Stunden, nachdem z24 davon Kenntnis erlangt hat.

10.2 Die Meldung enthält, soweit bekannt, eine Beschreibung der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Massnahmen und nennt eine Ansprechperson. Noch fehlende Informationen reicht z24 ohne unangemessene Verzögerung nach.

10.3 z24 ergreift unverzüglich angemessene Massnahmen zur Eindämmung und Behebung der Verletzung und stimmt sich dabei mit dem Kunden ab. Meldungen an Aufsichtsbehörden und betroffene Personen obliegen dem Kunden.

11. Löschung und Rückgabe nach Vertragsende

11.1 Nach Ende der Leistungen gibt z24 die im Auftrag bearbeiteten Personendaten nach Wahl des Kunden zurück oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Kunde teilt seine Wahl innert 30 Tagen nach Vertragsende mit; andernfalls löscht z24 die Daten.

11.2 Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format (z. B. CSV). Kopien in Datensicherungen der eingesetzten Anbieter werden im Rahmen der regulären Sicherungszyklen gelöscht. Dokumentationen, die dem Nachweis der ordnungsgemässen Bearbeitung dienen, darf z24 entsprechend den gesetzlichen Aufbewahrungsfristen aufbewahren.

11.3 Befinden sich Daten in Systemen oder Konten des Kunden, beendet z24 die eigenen Zugänge; die Daten verbleiben beim Kunden.

11.4 Auf Anfrage bestätigt z24 die Löschung schriftlich oder per E-Mail.

12. Nachweise und Kontrollen

12.1 z24 stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung, insbesondere eine aktuelle Beschreibung der Massnahmen gemäss Anlage 1, die aktuelle Liste der Unterauftragsbearbeiter und, soweit verfügbar, Zertifikate oder Prüfberichte der eingesetzten Anbieter.

12.2 Der Kunde kann die Einhaltung dieses AVV selbst oder durch einen zur Verschwiegenheit verpflichteten, fachkundigen Prüfer kontrollieren, der nicht in einem Wettbewerbsverhältnis zu z24 steht. Kontrollen erfolgen vorrangig durch Einsicht in Unterlagen. Weitergehende Kontrollen sind mindestens 30 Tage im Voraus anzumelden, erfolgen während der üblichen Geschäftszeiten ohne unverhältnismässige Störung des Betriebs und höchstens einmal pro Kalenderjahr, ausser bei begründetem Verdacht auf einen Verstoss oder nach einer Verletzung der Datensicherheit.

12.3 Jede Partei trägt ihre eigenen Kosten. Erheblichen Aufwand für Kontrollen kann z24 nach Aufwand verrechnen, sofern die Kontrolle keinen wesentlichen Verstoss von z24 ergibt. Befugnisse der Aufsichtsbehörden bleiben vorbehalten.

13. Haftung

Für die Haftung der Parteien untereinander gelten die Haftungsbestimmungen der AGB. Zwingende gesetzliche Haftungsbestimmungen, insbesondere gegenüber betroffenen Personen (z. B. Art. 82 DSGVO), bleiben unberührt.

14. Schlussbestimmungen

14.1 Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV vor; im Übrigen gilt die Rangfolge gemäss den AGB.

14.2 Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform; E-Mail genügt.

14.3 Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Gültigkeit der übrigen Bestimmungen unberührt.

14.4 Anwendbares Recht und Gerichtsstand richten sich nach den AGB. Zwingende Bestimmungen des anwendbaren Datenschutzrechts, insbesondere der DSGVO, bleiben vorbehalten.

Anlage 1 – Technische und organisatorische Massnahmen

z24 arbeitet ortsunabhängig (remote-first) und betreibt keine eigenen Serverräume. Personendaten werden in Cloud-Diensten und auf Servern sorgfältig ausgewählter Anbieter gemäss Anlage 2 gespeichert, die für die physische Sicherheit ihrer Rechenzentren verantwortlich sind. z24 trifft insbesondere folgende Massnahmen:

Zugangs- und Zugriffskontrolle

persönliche Benutzerkonten ohne geteilte Zugänge; Anmeldung über Single Sign-on (SSO), wo verfügbar
Zwei-Faktor-Authentifizierung für alle Konten mit Zugriff auf Personendaten
starke, individuelle Passwörter, verwaltet in einem Passwort-Manager
Berechtigungen nach dem Least-Privilege- und Need-to-know-Prinzip mit regelmässiger Überprüfung
sofortiger Entzug von Zugängen beim Ausscheiden von Mitarbeitenden oder Freelancern und nach Projektende
verschlüsselte Datenträger, automatische Bildschirmsperre und aktuelle Sicherheitsupdates auf allen Endgeräten

Trennung der Daten

getrennte Arbeitsbereiche (Workspaces, Projekte, Ordner bzw. Datenbanken) je Kunde
Bearbeitung von Kundendaten nur für den jeweiligen Auftrag, ohne Vermischung mit eigenen Daten von z24

Übertragung und Speicherung

verschlüsselte Übertragung (TLS) bei allen eingesetzten Diensten
Verschlüsselung gespeicherter Daten (at rest) durch die Anbieter
Datenaustausch über zugriffsgeschützte Freigaben statt über ungeschützte E-Mail-Anhänge oder mobile Datenträger

Protokollierung

Protokollierung von Anmeldungen, Zugriffen und Änderungen, soweit von den eingesetzten Diensten unterstützt (z. B. Audit-Logs, Versionsverlauf)

Verfügbarkeit und Wiederherstellbarkeit

redundante Infrastruktur und Datensicherungen durch die Anbieter
regelmässige Backups bzw. Snapshots der von z24 betriebenen Server und Datenbanken

Organisation

schriftliche Verpflichtung von Mitarbeitenden und Freelancern auf Vertraulichkeit und Datenschutz
Sensibilisierung für Datenschutz und Informationssicherheit
Auswahl von Anbietern nach Sicherheitskriterien (z. B. ISO 27001, SOC 2) und Abschluss von Auftragsbearbeitungsverträgen
definiertes Vorgehen bei Sicherheitsvorfällen einschliesslich Meldung an den Kunden innert 48 Stunden
Löschkonzept mit definierten Aufbewahrungsfristen, Löschung bzw. Rückgabe nach Vertragsende und Sperrlisten für Widersprüche
Datenminimierung: Bearbeitung nur der für den Auftrag erforderlichen Daten
Überprüfung und Anpassung dieser Massnahmen mindestens jährlich

Anlage 2 – Unterauftragsbearbeiter

Anbieter	Zweck	Sitz/Datenstandort
Google (Google Workspace)	E-Mail, Kalender, Dokumente	Irland/USA, Rechenzentren weltweit (zu bestätigen)
Notion Labs, Inc.	Projekt- und Wissensmanagement	USA (zu bestätigen)
Zero	CRM	(zu bestätigen)
Hetzner Online GmbH	Server und Datenbanken	Deutschland (zu bestätigen)
E-Mail-Versand- bzw. Outbound-Software	Versand und Steuerung von Kampagnen, je nach Projekt	je nach Anbieter (zu bestätigen)
KI-Dienste zur Textverarbeitung	Erstellung, Analyse und Klassifizierung von Texten, je nach Projekt	je nach Anbieter (zu bestätigen)
Vercel Inc.	Website-Hosting, nur soweit relevant; wird nicht für Kundendaten eingesetzt	USA (zu bestätigen)

Welche Outbound- und KI-Dienste in einem Projekt eingesetzt werden, nennt z24 im Angebot oder teilt z24 dem Kunden gemäss Ziffer 8.2 mit. Die jeweils aktuelle Liste der Unterauftragsbearbeiter stellt z24 dem Kunden auf Anfrage zur Verfügung.

Stand: November 2026