---

Zwischen:

[Name der Garage / des Kunden] (nachfolgend "Verantwortlicher")

und der

OPPO IT
Inhaber: Etienne Oppo
Nordeckstrasse 8
8636 Wald ZH
Schweiz
Betreiberin der Software-Plattform "Aurentix"
(nachfolgend "Auftragsverarbeiter")

1. Gegenstand des Vertrages

Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung von Personendaten, die der Auftragsverarbeiter im Rahmen der Bereitstellung der Cloud-ERP-Software für den Verantwortlichen durchführt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Speichern, Organisieren, Verwalten und Sichern von Kunden-, Fahrzeug-, Rechnungs- und Termindaten der Garage auf den Servern des Auftragsverarbeiters. Die Verarbeitung erfolgt ausschliesslich zum Zweck der Erbringung der im Hauptvertrag (SaaS-Abo) vereinbarten Software-Dienstleistungen.

3. Weisungsbindung

Der Auftragsverarbeiter verarbeitet die Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen und nutzt die Daten nicht für eigene Zwecke (z.B. Werbung oder Datenverkauf).

4. Technisch-organisatorische Massnahmen (TOMs)

Der Auftragsverarbeiter garantiert ein Sicherheitsniveau, das dem Risiko angemessen ist. Dazu gehören zwingend:

• Strikte Zugangskontrollen zu den physischen Servern (Schweizer Rechenzentren).
• Zugriffssteuerung in der Software (Rollenkonzept: Admin, Mechaniker, Verkäufer).
• Verschlüsselung der Datenübertragung (TLS).
• Automatische Sicherung jeder Mandanten-Datenbank zweimal täglich, Aufbewahrung 30 Tage, Ablage auf Schweizer Servern ohne Zugriff von aussen.

5. Einschaltung von Subunternehmern (Unterauftragsverarbeiter)

Der Verantwortliche stimmt zu, dass der Auftragsverarbeiter Subunternehmer einsetzen darf. Eingesetzt werden: der Schweizer Hosting-Provider für den technischen Betrieb sowie OpenAI, L.L.C. (USA) für die KI-Assistentin Auri. Auri wird nur auf aktive Eingabe eines Benutzers tätig; dabei werden die Anfrage und die zur Beantwortung nötigen Datensätze übermittelt. Alle übrigen Daten verbleiben in der Schweiz. Der Auftragsverarbeiter stellt sicher, dass die Subunternehmer denselben Datenschutzpflichten unterliegen; für die Übermittlung in die USA bestehen die Standardvertragsklauseln. Über Wechsel oder Hinzunahme von Subunternehmern informiert der Auftragsverarbeiter den Verantwortlichen.

6. Meldepflichten bei Datenschutzverletzungen

Sollte es beim Auftragsverarbeiter zu einer Verletzung der Datensicherheit (z.B. Hackerangriff) kommen, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt, informiert der Auftragsverarbeiter den Kunden unverzüglich und unterstützt ihn bei seinen gesetzlichen Meldepflichten.

7. Rückgabe und Löschung der Daten

Nach Beendigung des SaaS-Abonnements oder auf Aufforderung des Kunden wird der Auftragsverarbeiter alle Personendaten des Kunden entweder zurückgeben (Daten-Export) oder unwiderruflich löschen, sofern keine gesetzlichen Aufbewahrungspflichten dagegensprechen.

8. Gerichtsstand und anwendbares Recht

Es gilt ausschliesslich Schweizer Recht. Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz des Auftragsverarbeiters.