Kundinnen und Kunden schliessen diesen Vertrag in HelvaChat unter Einstellungen → Auftragsbearbeitungsvertrag mit einem Klick ab; Firmenname und Zeitpunkt werden dabei eingesetzt und protokolliert.

Auftragsbearbeitungsvertrag (AVV)

Version 1.0 (Oktober 2026) · nach Art. 9 des Schweizer Datenschutzgesetzes (DSG) und – soweit anwendbar – Art. 28 der EU-Datenschutz-Grundverordnung (DSGVO)

Parteien

Verantwortlicher: die Kundin bzw. der Kunde gemäss Registrierung in HelvaChat (nachfolgend «Kunde»)

Auftragsbearbeiter: Clever-Click GmbH, Habshagstrasse 6, 4153 Reinach, Schweiz, UID CHE-109.463.430 MWST, Betreiberin von HelvaChat (nachfolgend «Anbieter»)

1. Gegenstand und Dauer

Der Anbieter stellt dem Kunden gemäss den Allgemeinen Geschäftsbedingungen (AGB) den Website-Chat HelvaChat zur Verfügung. Dabei bearbeitet er Personendaten im Auftrag des Kunden. Dieser Vertrag regelt die Rechte und Pflichten der Parteien bei dieser Bearbeitung. Er gilt für die Dauer der Nutzung von HelvaChat (inklusive Testphase) und darüber hinaus, solange der Anbieter Personendaten des Kunden bearbeitet.

2. Art, Zweck und Umfang der Bearbeitung

• Zweck: Beantwortung von Fragen der Besucherinnen und Besucher der Website des Kunden auf Grundlage der vom Kunden freigegebenen Inhalte; Verwaltung des Chats durch den Kunden.
• Art der Bearbeitung: Erheben, Speichern, Indexieren, Auswerten (Beantwortung mittels Sprachmodellen), Anzeigen, Exportieren und Löschen.
• Kategorien von Personendaten: Inhalte der Website und hochgeladener Dateien des Kunden (soweit sie Personendaten enthalten, z. B. Namen von Mitarbeitenden); Fragen, Antworten und Bewertungen im Chatfenster samt abgeleitetem Herkunftsland; Kontodaten der Benutzerinnen und Benutzer des Kunden (Name, E-Mail-Adresse, Rolle); Protokolldaten.
• Betroffene Personen: Besucherinnen und Besucher der Website des Kunden, Mitarbeitende und Kontaktpersonen des Kunden, in den Inhalten des Kunden genannte Personen.
• Besonders schützenswerte Personendaten sind nicht Gegenstand der Bearbeitung. Der Kunde stellt sicher, dass er solche Daten weder in seine Inhalte aufnimmt noch über den Chat erfragen lässt.

3. Weisungen

Der Anbieter bearbeitet Personendaten ausschliesslich im Rahmen dieses Vertrags, der AGB und der dokumentierten Weisungen des Kunden. Als Weisungen gelten auch die Einstellungen, die der Kunde in HelvaChat vornimmt (z. B. Quellen hinzufügen oder löschen, Gespräche löschen, Export). Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstösst, teilt er dies dem Kunden unverzüglich mit.

4. Pflichten des Anbieters

• Er bearbeitet die Personendaten ausschliesslich in der Schweiz und nutzt sie nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen.
• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
• Er trifft die technischen und organisatorischen Massnahmen gemäss Anhang 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Kunden mit geeigneten Mitteln bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe). Die Funktionen Export und Löschen stehen dem Kunden in HelvaChat selbst zur Verfügung.
• Er meldet dem Kunden Verletzungen der Datensicherheit, die seine Daten betreffen, unverzüglich, spätestens innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang, Folgen und ergriffenen Massnahmen.
• Er unterstützt den Kunden auf Anfrage bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörde.

5. Pflichten des Kunden

Der Kunde ist für die Rechtmässigkeit der Bearbeitung verantwortlich, insbesondere für die Information der Besucherinnen und Besucher seiner Website (Datenschutzerklärung) und den Hinweis, dass die Antworten automatisch erzeugt werden. Er gibt nur Inhalte frei, zu deren Bearbeitung er berechtigt ist.

6. Unterauftragsbearbeiter

Der Kunde genehmigt den Beizug der in Anhang 2 genannten Unterauftragsbearbeiter. Der Anbieter informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über beabsichtigte Änderungen; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall auf den Zeitpunkt der Änderung kündigen. Der Anbieter verpflichtet Unterauftragsbearbeiter vertraglich auf mindestens gleichwertigen Datenschutz und bleibt dem Kunden für deren Einhaltung verantwortlich. Eine Bearbeitung ausserhalb der Schweiz findet nicht statt.

7. Kontrollrechte

Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind (z. B. Beschreibung der Massnahmen, Zertifikate der Unterauftragsbearbeiter). Darüber hinausgehende Prüfungen vor Ort sind nach vorgängiger Anmeldung mit angemessener Frist, während üblicher Geschäftszeiten und auf Kosten des Kunden möglich.

8. Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit in HelvaChat exportieren und löschen. Nach Vertragsende bleiben die Daten 90 Tage exportierbar und werden danach vollständig gelöscht; Backups werden rollierend überschrieben (spätestens nach 30 Tagen). Auf Wunsch bestätigt der Anbieter die Löschung schriftlich.

9. Haftung und Schlussbestimmungen

Für die Haftung gelten die AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform; der Anbieter kann den Vertrag mit Wirkung auf die nächste Vertragslaufzeit anpassen und informiert den Kunden vorgängig. Es gilt schweizerisches Recht; Gerichtsstand ist Reinach BL, Schweiz.

Anhang 1: Technische und organisatorische Massnahmen

• Vertraulichkeit: Hosting in Rechenzentren der Infomaniak Network SA in der Schweiz (ISO 27001); Zugang zu Servern nur per SSH-Schlüssel für berechtigte Personen; Datenbank und Dateiablage nicht öffentlich erreichbar; Firewall mit nur den nötigen Ports.
• Mandantentrennung: jede Datenbankabfrage ist auf die Firma des Kunden beschränkt; das Chatfenster ist an einen widerrufbaren Schlüssel gebunden und kann auf freigegebene Websites eingeschränkt werden.
• Zugriffskontrolle: Passwörter nur als moderne Hashes; Rollen (Inhaber, Admin, Mitglied); Zwei-Faktor-Anmeldung für die Plattform-Administration zwingend, für Kunden verfügbar; Bremse gegen Anmeldeversuche.
• Übertragung: durchgehend verschlüsselt (TLS); keine Einbindung von Drittanbietern im Chatfenster; keine Cookies im Chatfenster.
• Datensparsamkeit: keine Speicherung von IP-Adressen der Website-Besucher, nur das abgeleitete Land.
• Nachvollziehbarkeit: Audit-Protokoll sicherheitsrelevanter Aktionen pro Firma; Einsichtnahmen der Plattform-Administration in Gespräche werden protokolliert.
• Verfügbarkeit: tägliche Backups von Datenbank und Dateiablage; automatische Sicherheitsupdates des Betriebssystems; Überwachung der Erreichbarkeit mit Alarmierung.
• KI-Verarbeitung: offene Sprachmodelle, betrieben von Infomaniak in der Schweiz; pro Frage werden nur passende Auszüge der Inhalte des Kunden übergeben; keine Verwendung zum Training.

Anhang 2: Unterauftragsbearbeiter