Auftragsbearbeitung

Version 1.1 vom 12. Juni 2026

Vertragsparteien

Dieser Auftragsbearbeitungsvertrag wird geschlossen zwischen der Organisation, die die Lua Applikation gestützt auf ein Angebot oder einen Vertrag der Datascale GmbH nutzt, nachfolgend Auftraggeberin oder Verantwortliche, und:

Datascale GmbH
Bankstrasse 1
8610 Uster
Schweiz

nachfolgend Auftragsbearbeiterin oder Auftragnehmer, gemeinsam die Parteien.

Kontakt Datenschutz: Ramon Egger, info@lua.ch

1. Zweck und Gegenstand

Die Auftraggeberin nutzt die von der Auftragnehmerin entwickelte und betriebene Software Lua als Klienteninformationssystem. Im Rahmen dieser Nutzung bearbeitet die Datascale GmbH Personendaten im Auftrag der Auftraggeberin. Dieser Vertrag regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Auftragsbearbeitung.

2. Rollen der Parteien

Die Auftraggeberin ist Verantwortliche für die in Lua erfassten und bearbeiteten Personendaten. Sie entscheidet über Zweck, Inhalt, Umfang und Mittel der fachlichen Datenbearbeitung. Die Datascale GmbH ist Auftragsbearbeiterin. Sie bearbeitet Personendaten ausschliesslich im Auftrag und nach Weisung der Auftraggeberin, soweit keine gesetzliche Pflicht zu einer anderen Bearbeitung besteht.

3. Gegenstand der Bearbeitung

Gegenstand der Bearbeitung ist die Bereitstellung, der Betrieb, die Wartung, Sicherung und Unterstützung der Lua Applikation. Dazu gehören insbesondere:

• Speicherung von Daten;

• Anzeige und Bearbeitung in der Applikation;

• Benutzer- und Rechteverwaltung;

• Dateiablage und objektbasierte Speicherung;

• Backup und Wiederherstellung;

• technische Protokollierung;

• Support und Fehlerbehebung;

• Sicherheitsüberwachung;

• Einsatz von KI-Funktionen;

• Export, Löschung oder Anonymisierung nach Weisung.

4. Art und Zweck der Bearbeitung

Die Bearbeitung erfolgt zu folgenden Zwecken:

• Betrieb eines Klienteninformationssystems;

• Verwaltung von Klientinnen und Klienten;

• Dokumentation von Betreuung, Medizin, Wohnen, Präsenz, Absenzen, Prozessen, Tarifen und Verfügungen;

• Zusammenarbeit innerhalb der Institution;

• gesetzliche, fachliche und organisatorische Dokumentationspflichten der Auftraggeberin;

• Sicherheit, Verfügbarkeit und Nachvollziehbarkeit der Applikation;

• Support, Wartung und Weiterentwicklung.

5. Kategorien betroffener Personen

Betroffen sein können insbesondere:

• Klientinnen und Klienten;

• Minderjährige;

• Angehörige;

• gesetzliche Vertreterinnen und Vertreter;

• Kontaktpersonen;

• Mitarbeitende der Auftraggeberin;

• externe Fachpersonen;

• Ärztinnen, Ärzte, Therapeutinnen und Therapeuten;

• Behördenkontakte;

• Kostenträger;

• weitere Personen, die durch die Auftraggeberin in Lua erfasst werden.

6. Kategorien bearbeiteter Daten

Bearbeitet werden können insbesondere:

• Stammdaten;

• Kontakt- und Adressdaten;

• Identifikationsdaten;

• Dossierdaten;

• Verlaufsberichte;

• Betreuungsdaten;

• medizinische Daten;

• Diagnosen;

• Medikationen;

• Gesundheitsdaten;

• Daten über Massnahmen der sozialen Hilfe;

• Anwesenheiten und Absenzen;

• Leistungs- und Tarifdaten;

• Verfügungen;

• Kontaktpersonen und Netzwerkdaten;

• hochgeladene Dokumente und Dateien;

• Benutzer-, Rollen- und Berechtigungsdaten;

• Login-, Sicherheits- und Audit-Logs sowie technische Nutzungs- und Fehlerdaten.

Es können besonders schützenswerte Personendaten bearbeitet werden, insbesondere Gesundheitsdaten, Daten über soziale Hilfsmassnahmen sowie Daten über Minderjährige.

7. Dauer der Bearbeitung

Die Bearbeitung erfolgt für die Dauer der vertraglichen Zusammenarbeit im Zusammenhang mit Lua, insbesondere gemäss dem angenommenen Angebot oder Vertrag und allfälligen ergänzenden Vereinbarungen der Parteien.

Nach Beendigung der Zusammenarbeit werden Personendaten nach Weisung der Auftraggeberin gelöscht, zurückgegeben oder anonymisiert, sofern keine gesetzliche Pflicht oder ein berechtigter Grund zur weiteren Aufbewahrung besteht.

Backups werden grundsätzlich während 35 Tagen aufbewahrt und danach im Rahmen des regulären Backup-Zyklus überschrieben oder gelöscht.

8. Weisungen der Auftraggeberin

Die Datascale GmbH bearbeitet Personendaten nur gemäss dokumentierten Weisungen der Auftraggeberin. Weisungen können sich insbesondere aus folgenden Dokumenten und Handlungen ergeben:

• Angebot oder Vertrag;

• dieser Auftragsbearbeitungsvertrag;

• Konfiguration der Lua Applikation;

• Supportanfragen;

• schriftliche Weisungen per E-Mail oder über ein Ticketsystem;

• dokumentierte Admin-Handlungen der Auftraggeberin.

Die Datascale GmbH informiert die Auftraggeberin, wenn eine Weisung aus Sicht der Datascale GmbH gegen Datenschutzrecht verstossen könnte.

9. Vertraulichkeit

Die Datascale GmbH verpflichtet alle Personen, die Zugriff auf Personendaten erhalten können, zur Vertraulichkeit. Zugriff auf Kundendaten erhalten nur Personen, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen.

Support-Zugriffe auf Kundendaten erfolgen nur:

• im Notfall;

• bei Störungen;

• auf Anfrage der Auftraggeberin;

• soweit zur Sicherheit oder Vertragserfüllung erforderlich.

10. Technische und organisatorische Massnahmen

Die Datascale GmbH trifft angemessene technische und organisatorische Massnahmen zum Schutz der Personendaten. Diese umfassen insbesondere:

• Hosting in der Schweiz;

• Web Application Firewall (WAF);

• verschlüsselten Transport per TLS;

• verschlüsselten Speicher bei Infomaniak Public Cloud;

• rollenbasierte Berechtigungen;

• Mandantentrennung;

• Zwei-Faktor-Authentifizierung;

• sichere Passwortverfahren;

• Zugriffsbeschränkung nach Need-to-know;

• Protokollierung sicherheitsrelevanter Ereignisse;

• regelmässige Backups;

• Backup-Aufbewahrung von 35 Tagen;

• monatliche Patches;

• Schwachstellen- und Abhängigkeitsprüfungen;

• Monitoring;

• Fehlertracking;

• Incident-Response-Prozesse;

• regelmässige Überprüfung der Sicherheitsmassnahmen.

11. Unterauftragsbearbeiter

Die Datascale GmbH darf Unterauftragsbearbeiter einsetzen, soweit dies zur Bereitstellung von Lua erforderlich ist. Die Auftraggeberin erteilt eine allgemeine Genehmigung für die in Anhang 1 aufgeführten Unterauftragsbearbeiter. Die Datascale GmbH informiert die Auftraggeberin über wesentliche Änderungen bei Unterauftragsbearbeitern. Die Auftraggeberin kann aus sachlichen datenschutzrechtlichen Gründen widersprechen. Die Datascale GmbH stellt sicher, dass Unterauftragsbearbeiter zu angemessenen Datenschutz- und Sicherheitsmassnahmen verpflichtet werden.

12. Datenbearbeitung im Ausland

Der primäre Betrieb von Lua erfolgt in der Schweiz. Eine Datenbearbeitung ausserhalb der Schweiz kann stattfinden, wenn eingesetzte Dienste dies erfordern, insbesondere bei:

• Laravel Nightwatch;

• Laravel Forge;

• Snyk für Sicherheitsprüfungen;

Soweit Personendaten in Länder ohne angemessenes Datenschutzniveau übermittelt werden, stellt die Datascale GmbH angemessene Garantien sicher, zum Beispiel Standardvertragsklauseln oder gleichwertige vertragliche Schutzmechanismen, soweit erforderlich.

13. KI-Funktionen

Die Datascale GmbH verwendet Kundendaten nicht zum Training eigener KI-Modelle, ausser die Auftraggeberin weist dies ausdrücklich und separat an. Prompts, Outputs und sonstige KI-bezogene Inhalte werden als Kundendaten behandelt.

14. Unterstützung bei Betroffenenrechten

Die Datascale GmbH unterstützt die Auftraggeberin angemessen bei der Bearbeitung von Anfragen betroffener Personen, soweit sich diese auf Daten in Lua beziehen. Dies umfasst, soweit technisch möglich und verhältnismässig:

• Suche;

• Auskunft;

• Export;

• Berichtigung;

• Löschung;

• Einschränkung;

• Protokollauswertung.

Die primäre Verantwortung für die Beantwortung von Betroffenenanfragen liegt bei der Auftraggeberin.

15. Datenschutzverletzungen

Die Datascale GmbH informiert die Auftraggeberin so rasch wie möglich über festgestellte Verletzungen der Datensicherheit, welche Kundendaten betreffen.

Die Meldung enthält, soweit verfügbar:

• Art des Vorfalls;

• betroffene Datenkategorien;

• betroffene Systeme;

• vermutete oder bekannte Folgen;

• bereits ergriffene Massnahmen;

• empfohlene weitere Massnahmen.

Die Auftraggeberin bleibt für allfällige Meldungen an Behörden oder betroffene Personen verantwortlich, soweit das Gesetz nichts anderes vorsieht.

16. Unterstützung bei Datenschutz-Folgenabschätzungen

Soweit die Auftraggeberin aufgrund der Nutzung von Lua eine Datenschutz-Folgenabschätzung oder eine ähnliche Risikoanalyse durchführen muss, unterstützt die Datascale GmbH die Auftraggeberin angemessen mit Informationen zur technischen und organisatorischen Sicherheit von Lua.

17. Nachweise und Audits

Die Datascale GmbH stellt der Auftraggeberin auf Anfrage angemessene Informationen zur Verfügung, um die Einhaltung dieses Vertrags nachzuweisen. Audits oder Inspektionen müssen vorgängig angekündigt werden, dürfen den Betrieb und die Sicherheit der Datascale GmbH oder anderer Kunden nicht gefährden und sind auf ein angemessenes Mass zu beschränken. Die Datascale GmbH kann Nachweise auch durch Sicherheitsdokumentationen, Zertifizierungen, Drittberichte oder schriftliche Auskünfte erbringen.

18. Verantwortlichkeiten der Auftraggeberin

Die Auftraggeberin ist insbesondere verantwortlich für:

• Rechtmässigkeit der Datenerfassung;

• Information betroffener Personen;

• Einholung erforderlicher Einwilligungen;

• Berechtigungskonzept innerhalb der Institution;

• Vergabe und Entzug von Benutzerzugängen;

• fachliche Richtigkeit der Daten;

• gesetzliche Aufbewahrungs- und Dokumentationspflichten;

• Bearbeitung von Betroffenenanfragen;

• Meldung an Behörden, soweit erforderlich.

19. Schlussbestimmungen

Dieser Auftragsbearbeitungsvertrag ergänzt die vertragliche Zusammenarbeit der Parteien im Zusammenhang mit Lua, insbesondere das angenommene Angebot oder den Vertrag sowie allfällige ergänzende Vereinbarungen.

Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieses Auftragsbearbeitungsvertrags den übrigen Vereinbarungen der Parteien vor, soweit es um die Bearbeitung von Personendaten im Auftrag geht.

Es gilt Schweizer Recht.

Gerichtsstand ist der Sitz der Datascale GmbH.

Anhang 1: Unterauftragsbearbeiter