Auftragsbearbeitungsvertrag (AVV)

gemäss Art. 9 DSG und Art. 28 DSGVO – Stand: 2026-10-09

1. Parteien und Gegenstand

Der Händler (Verantwortlicher) beauftragt Mehmet Oskan, Liverizar (Auftragsbearbeiter), Personendaten von Käuferinnen und Käufern im Rahmen der Plattform zu bearbeiten.

2. Art, Zweck und Dauer

Speicherung und Verarbeitung von Bestellungen, die KI-Assistenten vorbereiten und Käufer bestätigen; Versand von Bestellbenachrichtigungen; Bereitstellung im Händler-Dashboard. Dauer: Laufzeit des Händlervertrags.

3. Kategorien

- Betroffene Personen: Käuferinnen und Käufer des Händlers.

- Daten: Name, E-Mail-Adresse, Lieferadresse, Telefonnummer (optional), Bestellinhalt, Beträge, Zahlungsstatus, Notizen.

4. Weisungen

Der Auftragsbearbeiter bearbeitet die Daten nur nach dokumentierter Weisung des Händlers, die durch die Funktionen der Plattform und die Einstellungen des Händlers erteilt werden.

5. Vertraulichkeit

Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

6. Technische und organisatorische Massnahmen

- Verschlüsselte Übertragung (HTTPS), Passwort-Hashing (scrypt), Sitzungs- und Schlüssel-Hashing.

- Verschlüsselung von Zugangsdaten Dritter (AES-256-GCM).

- Strikte Trennung der Daten pro Shop, Rollen (Inhaber/Mitarbeiter).

- Schutz vor Brute-Force (Sperre, Ratenbegrenzung), CSRF- und SSRF-Schutz, Content Security Policy.

- Protokollierung sicherheitsrelevanter Aktionen, tägliche Datensicherung.

- Automatische Löschung bzw. Anonymisierung nach den Fristen der Datenschutzerklärung.

7. Unterauftragsbearbeiter

- Hosting: Railway Corp. (USA), Serverstandort EU

- E-Mail-Versand: [EMAIL PROVIDER, COUNTRY]

Der Händler stimmt diesen Unterauftragsbearbeitern zu. Über neue Unterauftragsbearbeiter wird er vorab informiert und kann widersprechen.

8. Unterstützung

Der Auftragsbearbeiter unterstützt den Händler bei Anfragen betroffener Personen: Das Dashboard bietet Auskunft (Export pro E-Mail-Adresse) und Löschung/Anonymisierung von Bestellungen.

9. Datensicherheitsverletzungen

Der Auftragsbearbeiter meldet Verletzungen der Datensicherheit unverzüglich, spätestens innert 48 Stunden nach Kenntnis.

10. Rückgabe und Löschung

Nach Vertragsende kann der Händler seine Daten exportieren. Mit der Löschung des Shops werden alle Daten des Shops gelöscht; Datensicherungen werden innerhalb der Rotationsfrist überschrieben.

11. Kontrolle

Der Auftragsbearbeiter stellt dem Händler auf Anfrage die zur Prüfung erforderlichen Informationen zur Verfügung.