Auftragsbearbeitungsvertrag

1.1 Dieser Auftragsbearbeitungsvertrag («AVV») ist gemäss den AGB (Ziffer 15) integrierender Bestandteil des Vertrags zwischen der StrawBlond GmbH («Anbieterin») und dem Kunden und gilt für alle Kunden.

1.2 Er umfasst jede Bearbeitung von Personendaten, die die Anbieterin oder ihre Unterauftragsbearbeiter bei der Erbringung von transfer.studio im Auftrag des Kunden vornehmen.

1.3 Er gilt für die Dauer des Vertrags. Pflichten, die ihrer Natur nach über sein Ende hinaus fortbestehen, etwa die Vertraulichkeit und die Löschung, bleiben in Kraft.

2.1 Der Kunde ist Verantwortlicher (Art. 5 lit. j DSG); die Anbieterin ist Auftragsbearbeiterin (Art. 9 DSG) und bearbeitet Personendaten nur auf Weisung des Kunden.

2.2 Soweit die DSGVO anwendbar ist, gilt dieser AVV auch als Vertrag nach Art. 28 Abs. 3 DSGVO.

2.3 Der Kunde allein ist für die Rechtmässigkeit der Bearbeitung verantwortlich, insbesondere für die Information der Empfänger und für allfällige Rechtsgrundlagen einer Bekanntgabe ins Ausland.

3.1 Gegenstand der Bearbeitung, Arten von Personendaten und betroffene Personen sind in Anhang A festgehalten.

3.2 Die Anbieterin bearbeitet Personendaten nur zur Erbringung der vertraglichen Leistungen: Dateien speichern und zustellen, Download-Seiten unter der Marke des Kunden anzeigen, Transfer-E-Mails versenden, Aufrufe und Downloads zählen, ein Aktivitätsprotokoll führen, Daten an KI-Agenten weitergeben, die die Benutzer des Kunden verbinden, sowie Betrieb, Wartung und Support.

4.1 Die Weisungen des Kunden ergeben sich aus dem Vertrag und daraus, wie der Kunde transfer.studio einrichtet und nutzt, etwa aus den Empfängern, dem Ablauf oder dem Löschen eines Transfers. Weitere Weisungen erfolgen schriftlich; Textform wie E-Mail genügt. Weisungen über den vereinbarten Umfang hinaus gelten als Antrag auf eine Leistungsänderung.

4.2 Das Einschalten der KI-Agenten ist eine solche Weisung. Die Benutzer des Kunden können dann KI-Agenten ihrer Wahl verbinden, und die Anbieterin gibt ihnen die Daten weiter, die der jeweilige Benutzer sehen darf, nie den Inhalt der Dateien. Die Anbieter dieser Agenten, etwa Anthropic oder OpenAI, sind keine Unterauftragsbearbeiter der Anbieterin: Der Kunde entscheidet, ob er Agenten zulässt, und ist für deren Einsatz verantwortlich. Agenten erhalten nur Angaben wie Betreffs, Dateinamen und die Adressen der Empfänger; der Kunde berücksichtigt dies bei der Information seiner Empfänger.

4.3 Auch das Einrichten von Single Sign-on ist eine solche Weisung. Der Identity Provider des Kunden, etwa Microsoft, Google oder Okta, teilt der Anbieterin dann mit, wer sich anmeldet, mit E-Mail-Adresse, Name und einer Benutzerkennung. Der Identity Provider arbeitet für den Kunden, nicht für die Anbieterin, und ist kein Unterauftragsbearbeiter.

4.4 Ist die Anbieterin der Ansicht, dass eine Weisung gegen Datenschutzrecht verstösst, informiert sie den Kunden unverzüglich und darf die Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

5.1 Alle zur Bearbeitung der Personendaten befugten Personen sind zur Vertraulichkeit verpflichtet oder unterstehen einer gesetzlichen Schweigepflicht und bearbeiten die Daten nur auf Weisung. Diese Pflicht besteht nach Ende ihrer Tätigkeit fort.

6.1 Die Anbieterin trifft dem Risiko angemessene technische und organisatorische Massnahmen (Art. 8 DSG, Art. 32 DSGVO). Die aktuellen Massnahmen sind in Anhang B festgehalten.

6.2 Die Massnahmen dürfen weiterentwickelt werden, solange das Schutzniveau insgesamt nicht sinkt. Wesentliche Änderungen werden dokumentiert.

7.1 Der Kunde erteilt eine allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern. Die aktuelle Liste ist in Anhang C festgehalten und auf dieser Seite dauerhaft abrufbar.

7.2 Die Anbieterin kündigt neue oder ersetzte Unterauftragsbearbeiter mindestens 30 Tage im Voraus an, durch Aktualisierung der Liste und per E-Mail oder Hinweis in der App. Innert dieser Frist kann der Kunde aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Lösung zustande, kann der Kunde den Vertrag auf den Zeitpunkt der Änderung kündigen.

7.3 Die Anbieterin überbindet ihre Pflichten aus diesem AVV ihren Unterauftragsbearbeitern und zieht nur solche bei, die hinreichende Garantien bieten.

7.4 Dienstleister ohne Zugriff auf im Auftrag des Kunden bearbeitete Personendaten, etwa reine Netzwerkdienste, sind keine Unterauftragsbearbeiter und werden nicht aufgeführt.

8.1 Die versendeten Dateien und ihre Vorschauen werden in der Schweiz gespeichert. Die übrigen Daten des Dienstes, etwa Konten, E-Mail-Adressen der Empfänger, Angaben zu Transfers und das Aktivitätsprotokoll, werden in Deutschland (Frankfurt) gespeichert und bearbeitet, einem Land mit angemessenem Datenschutz (Anhang 1 DSV).

8.2 Der Hosting-Anbieter Laravel Holdings Inc. und dessen Rechenzentrumsanbieter Amazon Web Services haben ihren Sitz in den USA; ein Zugriff auf diese Daten aus den USA lässt sich darum nicht ausschliessen (Anhang C).

8.3 Einzelne Unterauftragsbearbeiter bearbeiten Personendaten im Ausland (Anhang C). Eine Bekanntgabe ins Ausland erfolgt nur gemäss Art. 16 ff. DSG, etwa gestützt auf das Swiss–U.S. Data Privacy Framework oder EU-Standardvertragsklauseln mit Schweizer Ergänzungen.

9.1 Die Anbieterin verwendet die Personendaten und die Dateien nicht für eigene Zwecke, insbesondere nicht für Werbung oder zum Training von KI-Modellen. Auch ihren Unterauftragsbearbeitern ist dies vertraglich untersagt.

10.1 Die Anbieterin unterstützt den Kunden bei der Wahrung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe), in erster Linie über die Funktionen von transfer.studio, etwa das Löschen eines Transfers.

10.2 Anfragen, die die Anbieterin direkt von betroffenen Personen erhält, leitet sie unverzüglich an den Kunden weiter, sofern dieser erkennbar ist. Sie beantwortet sie nicht selbst, ausser das Gesetz verlangt es.

10.3 Die Anbieterin unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden. Unterstützung über die verfügbaren Funktionen und einen angemessenen Umfang hinaus kann nach Aufwand verrechnet werden.

11.1 Die Anbieterin meldet Verletzungen der Datensicherheit, die Personendaten des Kunden betreffen, unverzüglich nach Kenntnisnahme. Die Meldung nennt, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl betroffener Personen, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen.

11.2 Die Anbieterin ergreift sofort Massnahmen zur Eindämmung und stimmt sie mit dem Kunden ab. Über allfällige Meldungen an den EDÖB (Art. 24 DSG), andere Behörden oder die betroffenen Personen entscheidet der Kunde und nimmt sie mit Unterstützung der Anbieterin vor.

12.1 Die Anbieterin weist die Einhaltung dieses AVV durch regelmässige interne Überprüfungen und auf Anfrage durch Dokumentation nach. Die Produktivsysteme laufen in ISO-27001-zertifizierten Rechenzentren.

12.2 Genügt diese Dokumentation nicht, kann der Kunde oder ein zur Vertraulichkeit verpflichteter Prüfer höchstens einmal jährlich sowie aus konkretem Anlass eine Kontrolle durchführen. Kontrollen werden mit angemessener Frist angekündigt, finden während der Geschäftszeiten ohne Störung des Betriebs statt und wahren die Daten anderer Kunden. Die Anbieterin kann einen Prüfer ablehnen, der ein Mitbewerber ist. Werden keine wesentlichen Mängel festgestellt, kann die Anbieterin ihren Aufwand verrechnen.

12.3 Für Kontrollen durch Aufsichtsbehörden gelten dieselben Regeln; eine Vertraulichkeitserklärung ist nicht nötig, wenn die Behörde einer gesetzlichen Schweigepflicht untersteht.

13.1 Dateien werden mit ihren Vorschauen automatisch gelöscht, wenn ihr Transfer abläuft, und der Kunde kann einen Transfer jederzeit früher löschen. transfer.studio ist kein Archiv (AGB, Ziffer 2).

13.2 Nach Vertragsende kann der Kunde die Angaben zu seinen Transfers noch 90 Tage einsehen. Danach löscht der Anbieter den Workspace mit allen im Auftrag des Kunden bearbeiteten Personendaten (AGB, Ziffer 12.4).

13.3 Datensicherungen der Datenbank werden 7 Tage aufbewahrt, sodass gelöschte Daten auch daraus innert 7 Tagen verschwinden.

13.4 Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.

14.1 Die Haftung richtet sich nach den AGB (Ziffer 14).

15.1 Widersprechen sich dieser AVV und die AGB, geht dieser AVV für die Bearbeitung von Personendaten vor (AGB, Ziffer 19). Im Übrigen gelten die AGB, einschliesslich des anwendbaren Rechts und des Gerichtsstands.

15.2 Kontakt für den Datenschutz: StrawBlond GmbH, datenschutz@transfer.studio.

15.3 Änderungen dieses AVV richten sich nach den AGB (Ziffer 13).

Gegenstand: Bearbeitung von Personendaten des Kunden, wenn er mit transfer.studio Dateien versendet.

Zweck: Dateien und ihre Vorschauen speichern, sie über Download-Seiten und Transfer-E-Mails unter der Marke des Kunden an Empfänger zustellen und dem Kunden zeigen, wie oft ein Transfer aufgerufen und heruntergeladen wurde.

Arten von Personendaten:

• die versendeten Dateien und ihre Vorschauen, soweit sie Personendaten enthalten
• Dateinamen, Betreff und Nachrichten
• E-Mail-Adressen der Empfänger und wann jeder Empfänger einen Transfer geöffnet oder heruntergeladen hat
• IP-Adressen und Browserangaben der Besucher von Download-Seiten
• Namen, E-Mail-Adressen und Rollen der Benutzer des Kunden
• das Aktivitätsprotokoll: was die Benutzer des Kunden wann in ihrem Workspace getan haben, einschliesslich dessen, was KI-Agenten für sie getan haben
• die KI-Agenten, die die Benutzer des Kunden verbinden: ihr Name, ihr Zugriff und wann sie zuletzt genutzt wurden

Betroffene Personen: die Benutzer des Kunden, die Empfänger von Transfers und alle, deren Daten die Dateien enthalten, etwa Kundinnen und Mitarbeitende des Kunden oder Personen auf Fotos und in Filmen.

Die Dateien können besonders schützenswerte Personendaten enthalten. Der Kunde stellt sicher, dass er über die Rechtsgrundlage für deren Versand verfügt.

• Infrastruktur: die Applikation und ihre Datenbank auf Laravel Cloud (Laravel Holdings Inc.), in ISO-27001-zertifizierten Rechenzentren von Amazon Web Services in der Region Frankfurt (eu-central-1). Dateien und Vorschauen im Object Storage der Akenes SA (Exoscale), Zone Zürich.
• Verschlüsselung: TLS für jede Verbindung, auch auf eigenen Domains der Kunden. Dateien im Speicher verschlüsselt. Passwörter von Konten und Transfers nur als Hash gespeichert.
• Zugriff auf Dateien: Download-Adressen aus 32 zufälligen Zeichen; Dateien nur über signierte Links, die spätestens nach 12 Stunden ablaufen; optionales Passwort pro Transfer; begrenzte Versuche beim Anmelden und Entsperren. Dateien gehen direkt zwischen Browser und Speicher, nicht über die Applikationsserver.
• Zugriffskontrolle: Rollen in jedem Workspace (Inhaber, Admin, Mitglied) und persönliche Konten. Mitarbeitende der Anbieterin greifen nur auf Kundendaten zu, wenn Betrieb oder Support es erfordern.
• Anmeldung: standardmässig mit Passkeys; hat ein Konto einen, öffnet es ein Passwort allein nicht mehr. Wer ändert, wie er sich anmeldet, muss erneut bestätigen, dass er es ist. Im Production-Plan Single Sign-on über den eigenen Identity Provider des Kunden per OpenID Connect (Authorization Code mit PKCE, Prüfung signierter ID-Tokens), das Inhaber für ihre bestätigten E-Mail-Domains verlangen können. Client-Secrets werden verschlüsselt gespeichert.
• Trennung: Die Daten verschiedener Kunden sind logisch getrennt, und Berechtigungen werden bei jedem Zugriff geprüft.
• KI-Agenten: ausgeschaltet, bis Inhaber oder Admins sie einschalten. Sie melden sich mit OAuth an, handeln als ein Benutzer mit dessen Rolle in einem Workspace, lassen sich aufs Lesen beschränken und erhalten nie den Inhalt der Dateien. Jede Aktion in einem Workspace wird in einem Aktivitätsprotokoll erfasst.
• Löschung: Dateien und Vorschauen automatisch gelöscht, wenn ihr Transfer abläuft (stündlich geprüft); nie versendete Dateien nach 7 Tagen gelöscht; unvollständige Uploads täglich entfernt.
• Datensicherung: Die Datenbank wird täglich gesichert, jede Sicherung wird 7 Tage aufbewahrt.
• Entwicklung: Versionsverwaltung, automatisierte Tests und getrennte Entwicklungs- und Produktivumgebungen. Sicherheitsupdates werden zeitnah eingespielt. In der Entwicklung werden keine Produktivdaten verwendet.
• Administration: Zwei-Faktor-Anmeldung bei jedem administrativen Konto (Hosting, Speicher, Zahlungen, E-Mail und Quellcode).
• Organisation: Alle mit Zugriff auf die Produktivsysteme sind zur Vertraulichkeit verpflichtet und über den Datenschutz instruiert.

Stand 2. November 2026. Neue oder ersetzte Unterauftragsbearbeiter werden mindestens 30 Tage im Voraus angekündigt (Ziffer 7.2).

* Bekanntgabe in die USA gestützt auf das Swiss–U.S. Data Privacy Framework oder EU-Standardvertragsklauseln mit Schweizer Ergänzungen (Ziffer 8.2).