Vereinbarung zur Auftragsbearbeitung

Stand: 3. September 2026

Dieser Text ist Bestandteil der Nutzungsbedingungen und wird mit der Registrierung angenommen. Ein zusätzlich unterzeichnetes Exemplar wird auf Anfrage ausgestellt — Vereine, die ihrem Vorstand etwas vorlegen müssen, sollen das bekommen.

1. Wer ist wofür verantwortlich

Der Verein ist Verantwortlicher für die Daten seiner Mitglieder. Er entscheidet, welche Daten er erfasst und wozu.

Der Anbieter (Azhya Mahmood, 8302 Kloten) ist Auftragsbearbeiter. Er bearbeitet diese Daten ausschliesslich zum Betrieb der Anwendung und nur nach Weisung des Vereins. Die Nutzung der Anwendung gilt als Weisung.

2. Gegenstand und Dauer

Gegenstand ist der Betrieb der Anwendung «Kassanova»: Speichern und Anzeigen von Mitgliederdaten, Erzeugen von Rechnungen und Mahnungen, Abgleich hochgeladener Kontoauszüge und — sofern eingerichtet — Versand dieser Unterlagen per E-Mail.

Die Bearbeitung dauert so lange, wie das Konto des Vereins besteht.

3. Welche Daten, von wem

Besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG werden nicht vorgesehen. Der Verein verpflichtet sich, solche Daten (etwa Gesundheitsangaben) nicht in Freitextfeldern zu erfassen.

4. Wo die Daten liegen

Betrieb und Datenbank werden bei Railway Corporation, 2261 Market Street, San Francisco, USA geführt. Serverstandort: Amsterdam, Niederlande (EU).

Werden Daten ins Ausland bekanntgegeben, geschieht dies nur in Staaten mit angemessenem Datenschutz nach Art. 16 DSG oder gestützt auf geeignete Garantien nach Art. 16 Abs. 2 DSG.

5. Unterauftragsbearbeiter

Der Verein stimmt dem Beizug der Dienstleister zu, die für den Betrieb nötig sind: der Hoster für Server und Datenbank sowie, sofern der Verein den Mailversand einschaltet, der eingesetzte Mailanbieter. Weitere Unterauftragsbearbeiter werden vorgängig mitgeteilt; der Verein kann ihnen innert 30 Tagen widersprechen und in diesem Fall kündigen.

6. Sicherheit

• Übertragung ausschliesslich verschlüsselt (TLS)
• Passwörter nur als BCrypt-Hash gespeichert, für den Anbieter nicht einsehbar
• Trennung der Vereine auf Datenebene: jede Abfrage ist an den angemeldeten Verein gebunden, eine fremde Kennung liefert nichts
• Zugriff auf die Betriebsumgebung nur durch den Anbieter selbst
• Keine Verbindung zu Bankkonten; Kontoauszüge werden vom Verein als Datei hochgeladen

7. Unterstützung des Vereins

Der Anbieter unterstützt den Verein bei Auskunfts-, Berichtigungs- und Löschbegehren seiner Mitglieder sowie bei einer Meldung nach Art. 24 DSG. Wendet sich ein Mitglied direkt an den Anbieter, leitet dieser das Begehren an den Verein weiter und beantwortet es nicht selbst.

Verletzungen der Datensicherheit meldet der Anbieter dem Verein ohne Verzug, sobald sie ihm bekannt werden, mit den Angaben, die der Verein für seine eigene Meldepflicht braucht.

8. Rückgabe und Löschung

Der Verein kann seine Daten jederzeit selbst herunterladen — auch nach Ablauf des Abonnements. Bei Beendigung werden die Daten auf Verlangen gelöscht, spätestens 30 Tage nach Löschung des Kontos. Ausgenommen sind Belege, die einer gesetzlichen Aufbewahrungspflicht unterliegen.

9. Nachweis

Der Anbieter erteilt dem Verein auf Anfrage die Auskünfte, die dieser zur Einhaltung seiner Pflichten braucht. Eine Überprüfung vor Ort ist nach Voranmeldung und in zumutbarem Rahmen möglich.

10. Anwendbares Recht

Es gilt schweizerisches Recht, insbesondere das Datenschutzgesetz (DSG) in der seit dem 1. September 2023 geltenden Fassung.