Vereinbarung über die Auftragsverarbeitung (AVV)

Fassung vom 1. Oktober 2026 · nach Art. 9 DSG (Schweiz) und, soweit anwendbar, Art. 28 DSGVO

zwischen

dem Kunden, der mit ClearHand einen Vertrag über die Nutzung der Software geschlossen hat
(nachfolgend «Verantwortlicher»)

und

ClearHand GmbH, Schweiz
(nachfolgend «Auftragsverarbeiter» oder «ClearHand»)

1. Gegenstand und Dauer

ClearHand stellt dem Verantwortlichen eine Software zur Koordination von Mitarbeiter-Ein- und -Austritten bereit (Lizenzvertrag bzw. Nutzungsbedingungen, nachfolgend «Hauptvertrag»). Diese Vereinbarung regelt die dabei erfolgende Verarbeitung von Personendaten im Auftrag des Verantwortlichen. Sie ist Bestandteil des Hauptvertrags und gilt für dessen Dauer.

2. Art und Zweck der Verarbeitung

Speicherung, Strukturierung und Anzeige von Prozessdaten zur Koordination von Onboarding- und Offboarding-Vorgängen (Aufgaben, Zuständigkeiten, Fristen, Freigaben, Zugänge und Arbeitsmittel, Übergabe bei Austritten); Versand prozessbezogener Benachrichtigungen per E-Mail an Benutzer, vorgesetzte Personen und die vom Verantwortlichen bezeichneten Team-Postfächer. Die E-Mails können persönliche, zeitlich befristete Links enthalten, über die eine Aufgabe als erledigt gemeldet wird oder über die vorgesetzte Personen, auch ohne eigenes Konto, Zugänge und Ausstattung bestätigen und die Übergabe bei einem Austritt festhalten. Erstellung von Vorschlägen durch den ClearHand-Koordinator (ausschliesslich als Empfehlung, Entscheidungen trifft der Verantwortliche); Protokollierung zu Audit-Zwecken; soweit vom Verantwortlichen aktiviert, die Anbindungen nach Ziff. 9.

3. Kategorien von Personendaten

Stammdaten der Benutzer (Name, geschäftliche E-Mail, Berechtigung, Team); Prozessdaten der betreuten Mitarbeitenden (Name, geschäftliche E-Mail, Stelle, Abteilung, Standort, vorgesetzte Person, Anstellungsart und Arbeitsmodell, Start-/Austrittsdatum, Aufgaben- und Freigabestatus, Prozessnotizen); bei Eintritten optional eine private E-Mail-Adresse für die Zeit vor dem ersten Arbeitstag; die einer Person zuzuweisenden bzw. zu entziehenden Zugänge und Arbeitsmittel samt Status; bei Austritten zusätzlich die Austrittsart (z. B. Kündigung, Vertragsende), der Zeitpunkt des Zugangsentzugs, die übernehmende Person und die Angaben der vorgesetzten Person zur Übergabe; technische Protokolldaten. ClearHand ist auf Datenminimierung ausgelegt: Besonders schützenswerte Personendaten (insb. Gesundheitsdaten), Lohn- und Bankdaten sowie Vertragsdokumente sind nicht Gegenstand der Verarbeitung; der Verantwortliche verpflichtet sich, solche Daten nicht zu erfassen.

4. Kreis der betroffenen Personen

Mitarbeitende, Stellenantretende und Austretende des Verantwortlichen, deren vorgesetzte Personen sowie die Benutzer der Anwendung.

5. Weisungsbindung

ClearHand verarbeitet Personendaten ausschliesslich im Rahmen des Hauptvertrags und der dokumentierten Weisungen des Verantwortlichen und nicht für eigene Zwecke. Hält ClearHand eine Weisung für datenschutzrechtlich unzulässig, informiert es den Verantwortlichen unverzüglich.

6. Vertraulichkeit

Die mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Zugriffe des Betreibers auf Kunden-Workspaces erfolgen nur zu Support-Zwecken und werden revisionssicher protokolliert.

7. Technische und organisatorische Massnahmen

ClearHand trifft die in Anhang 1 beschriebenen technischen und organisatorischen Massnahmen und entwickelt sie dem Stand der Technik entsprechend weiter, ohne das Schutzniveau zu senken.

8. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anhang 2 aufgeführten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert ClearHand vorab; der Verantwortliche kann aus wichtigem Grund widersprechen.

9. Optionale Anbindungen

Die folgenden Anbindungen bestehen nur, wenn sie eingerichtet wurden: Slack und Microsoft 365 durch einen Administrator des Verantwortlichen, der Assistenten-Zugang durch den jeweiligen Benutzer. Die Einrichtung gilt als Weisung des Verantwortlichen; sie ist in der Anwendung und beim jeweiligen Anbieter jederzeit widerrufbar. Keine Anbindung legt Konten an, vergibt oder entzieht Zugänge oder verändert Systeme des Verantwortlichen.

• Slack: ClearHand sendet die Koordinator-Meldungen des Workspace (Tages- und Wochenübersicht, Hinweise auf blockierte Vorgänge) in einen vom Verantwortlichen gewählten Kanal; darin können Namen von Mitarbeitenden vorkommen. Gespeichert wird einzig die Webhook-Adresse des Kanals.
• Microsoft 365 / Entra ID: ClearHand liest zu der Person eines Vorgangs aus dem Verzeichnis des Verantwortlichen, ob ein Konto besteht, ob die Anmeldung aktiviert oder gesperrt ist sowie die Anzahl der Lizenzen und Gruppen. Der Zugriff ist rein lesend (Berechtigungen «User.Read.All» und «Group.Read.All»); als Suchkriterium dient die geschäftliche E-Mail-Adresse. Die Angaben werden angezeigt, nicht gespeichert; gespeichert werden die Mandanten-ID, der Name des Mandanten und die Anzahl der Konten.
• Assistenten-Zugang (MCP): Ein Benutzer kann einen KI-Assistenten seiner Wahl (z. B. Claude, ChatGPT, Cursor) über ein persönliches Token mit ClearHand verbinden. Der Assistent erhält höchstens, was der Benutzer selbst sehen darf, und kann als einzige Schreibaktion eine Aufgabe als erledigt melden, nach denselben Regeln und mit demselben Protokolleintrag wie in der Anwendung. Der Anbieter des Assistenten ist kein Unterauftragsverarbeiter von ClearHand; über dessen Einsatz entscheidet der Verantwortliche in eigener Verantwortung.

10. Unterstützung des Verantwortlichen

ClearHand unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) und bei der Einhaltung seiner datenschutzrechtlichen Pflichten.

11. Meldung von Datensicherheitsverletzungen

ClearHand meldet dem Verantwortlichen Verletzungen der Datensicherheit, die dessen Personendaten betreffen, unverzüglich nach Kenntnisnahme und stellt die zur Beurteilung erforderlichen Informationen bereit.

12. Löschung und Rückgabe

Während der Vertragslaufzeit werden Daten ausgetretener Mitarbeitender, abgeschlossene Vorgänge und Protokolleinträge nach den vom Verantwortlichen konfigurierten Regeln automatisch anonymisiert bzw. gelöscht (Anhang 1, «Aufbewahrung»). Nach Beendigung des Hauptvertrags löscht ClearHand auf Wunsch des Verantwortlichen sämtliche Personendaten des Workspace oder gibt sie in einem gängigen Format heraus, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

13. Nachweis und Kontrolle

ClearHand stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung (insb. Beschreibung der Massnahmen nach Anhang 1 und die Protokollierung nach Ziff. 6).

14. Schlussbestimmungen

Diese Vereinbarung wird mit Abschluss des Hauptvertrags wirksam; einer gesonderten Unterzeichnung bedarf es nicht. Auf Wunsch stellt ClearHand ein auf den Verantwortlichen lautendes Exemplar zur Unterzeichnung aus. Massgebend ist die bei Abschluss des Hauptvertrags gültige Fassung; die Anhänge geben den jeweils aktuellen Stand wieder (Ziff. 7 und 8). Es gilt schweizerisches Recht. Gerichtsstand ist der Sitz von ClearHand, Schweiz. Änderungen bedürfen der Textform.

Anhang 1: Technische und organisatorische Massnahmen (Stand 1. Oktober 2026)

• Mandantentrennung: Row-Level-Security auf jeder Datenbanktabelle; jede Abfrage ist serverseitig auf den Workspace des angemeldeten Benutzers beschränkt und wird durch eine automatisierte Testsuite bei jeder Änderung geprüft.
• Verschlüsselung: Transport ausschliesslich über TLS; Speicherung verschlüsselt (AES-256, Datenbankanbieter).
• Anmeldung: Konten entstehen ausschliesslich per persönlicher Einladung; Anmeldung mit Passwort oder Microsoft-Konto (Single Sign-on). Einladungs- und Reset-Links sind zeitlich befristet und werden bei Neuausstellung entwertet. Automatische Abmeldung bei Inaktivität (durch den Verantwortlichen einstellbar); Anmelde- und öffentliche Endpunkte sind ratenbegrenzt.
• Zugriffskontrolle: Berechtigungsmodell (Admin/Mitglied/Betrachter × Team) nach dem Prinzip der geringsten Rechte. Aufgaben, die eine Freigabe voraussetzen, bleiben bis zum Entscheid datenbankseitig gesperrt.
• Persönliche Links: Links in E-Mails (Bestätigung und Übergabe durch vorgesetzte Personen, Aufgabe erledigen, Abmeldung von Benachrichtigungen) sind kryptografisch signiert, an Person und Vorgang gebunden und zeitlich befristet; sie erlauben nur die vorgesehene Handlung, die wie jede andere protokolliert wird.
• Token und Anbindungen: Persönliche Token für den Assistenten-Zugang werden einmalig angezeigt, nur als Hash gespeichert, sind widerrufbar und ratenbegrenzt; Betrachter können keine ausstellen, und mit der Deaktivierung eines Benutzers verlieren seine Token die Gültigkeit. Zugangsdaten der Anbindungen (Slack-Webhook, Microsoft-Mandanten-ID) liegen ausschliesslich serverseitig. Die Microsoft-365-Anbindung besitzt keine Schreibberechtigung.
• Protokollierung: Revisionssicheres, nur anfügbares Audit-Log der prozessrelevanten Aktionen je Vorgang sowie der Änderungen an der Konfiguration des Workspace (Berechtigungen, Vorlagen, Regeln, Aufbewahrung, Anbindungen); Support-Zugriffe des Betreibers werden separat mit Identität protokolliert.
• Datenminimierung: Es werden keine Personaldokumente abgelegt, höchstens der Status eines Dokuments; als Datei wird einzig das Firmenlogo gespeichert. Angaben aus Microsoft 365 werden angezeigt, nicht gespeichert.
• Aufbewahrung: Automatisiert und durch den Verantwortlichen einstellbar: Anonymisierung ausgetretener Mitarbeitender 90 Tage nach abgeschlossenem Austritt, einschliesslich der zugehörigen Vorschläge, Nachrichten und Benachrichtigungen; Löschung privater E-Mail-Adressen 30 Tage nach dem Eintritt; Löschung abgeschlossener Vorgänge und Bereinigung des Audit-Logs nach der eingestellten Frist (Voreinstellung 12 bzw. 24 Monate); endgültige Löschung entfernter Personen nach 90 Tagen.
• KI-Verarbeitung: Vor jeder Übermittlung an das KI-Modell werden Personennamen durch Platzhalter ersetzt und auch aus Freitextfeldern entfernt; die Zuordnung verlässt das Backend von ClearHand nicht. Ergebnisse sind reine Vorschläge und werden vor Wirkung durch Menschen geprüft. Der Verantwortliche kann die KI-Verarbeitung für seinen Workspace ausschalten.
• Verfügbarkeit und Betrieb: Automatische Backups durch den Datenbankanbieter; Hintergrundjobs laufen je Workspace getrennt, Fehlschläge werden dem Betreiber gemeldet; Infrastruktur bei etablierten Cloud-Anbietern (Anhang 2).

Anhang 2: Unterauftragsverarbeiter (Stand 1. Oktober 2026)

Nicht aufgeführt, weil ohne Zugriff auf Personendaten: Trigger.dev (Zeitsteuerung der Hintergrundjobs; erhält ausschliesslich technische Workspace-Kennungen und Zählwerte). Die Microsoft-365-Anbindung und der Assistenten-Zugang nach Ziff. 9 betreffen Systeme, die der Verantwortliche selbst einsetzt, und begründen keine Unterauftragsverarbeitung durch ClearHand.