Auftragsbearbeitungsvertrag

Vertrag über die Bearbeitung von Personendaten im Auftrag nach Art. 9 DSG · Version 1.0 · gültig ab 16. September 2026

1. Gegenstand und Dauer

Workio bearbeitet im Rahmen der Bereitstellung der Plattform Personendaten im Auftrag des Kunden. Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Nach dessen Ende gelten die Regeln in Ziffer 9.

2. Art und Zweck der Bearbeitung

Hosting, Speicherung, Anzeige, Auswertung und Export der Daten, die der Kunde und seine Mitarbeitenden in der Kundenumgebung erfassen, zum Zweck der Einsatzplanung, Zeiterfassung, Rapportvisierung, Lohnvorbereitung und Kommunikation mit Mitarbeitenden (SMS, Telefon). Workio bearbeitet die Daten ausschliesslich zu diesen Zwecken und nach den dokumentierten Weisungen des Kunden. Die Nutzung der Plattform gemäss ihrer Funktionsbeschreibung gilt als Weisung.

Der Telefonagent weist zu Beginn jedes Gesprächs auf die Aufzeichnung und die automatische Auswertung hin. Wer nicht einverstanden ist, kann das Gespräch beenden; es wird dann nicht ausgewertet.

Die in der Plattform hinterlegten Aufbewahrungs- und Löschfristen (Arztzeugnisse 5 Jahre, Mitarbeiterdossiers 10 Jahre nach Deaktivierung, Zugriffsprotokolle 90 Tage) gelten als dokumentierte Weisung des Kunden.

3. Kategorien von Daten und betroffenen Personen

Betroffene Personen	Datenkategorien
Mitarbeitende des Kunden (Temporärpersonal)	Name, Kontaktdaten, Geburtsdatum, Nationalität und Bewilligung, AHV-Nummer, Bankverbindung, Lohnangaben, Arbeitszeiten, Einsatzorte, Standortdaten bei Rapportabgabe, Unterschriften, hochgeladene Dokumente (z.B. Arztzeugnisse als besonders schützenswerte Gesundheitsdaten), Gesprächsaufzeichnungen und Transkripte des Telefonagenten
Kontaktpersonen der Einsatzbetriebe (Poliere, Bauführer)	Name, Funktion, Telefon, E-Mail, Unterschrift, Zeitstempel, IP-Adresse und Standort bei der Visierung
Bürobenutzer des Kunden	Name, E-Mail, Anmeldedaten, Aktivitätsprotokoll

4. Pflichten der Auftragsbearbeiterin

• Bearbeitung nur nach Weisung des Kunden und nur zu den vereinbarten Zwecken. Hält Workio eine Weisung für rechtswidrig, informiert sie den Kunden unverzüglich.
• Vertraulichkeit: Alle Personen, die Zugriff auf Kundendaten haben, sind zur Verschwiegenheit verpflichtet. Supportzugriffe auf eine Kundenumgebung erfolgen nur auf Anfrage des Kunden und werden protokolliert.
• Datensicherheit: Workio trifft die in Anhang 1 beschriebenen technischen und organisatorischen Massnahmen und hält sie dem Stand der Technik entsprechend aktuell.
• Datenstandort: Produktivdaten und Sicherungskopien werden in der Schweiz gespeichert. Ausnahmen bestehen nur für die in Ziffer 6 genannten Unterauftragnehmer.
• Unterstützung: Workio unterstützt den Kunden bei der Beantwortung von Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen sowie bei Datenschutz-Folgenabschätzungen, soweit dies die Plattform betrifft.
• Meldung von Verletzungen der Datensicherheit: Workio meldet dem Kunden eine Verletzung, welche seine Daten betrifft, unverzüglich und spätestens innert 24 Stunden nach Kenntnis, mit Angaben zu Art, Umfang, betroffenen Daten, wahrscheinlichen Folgen und getroffenen Massnahmen. Die Meldung an den EDÖB nach Art. 24 DSG obliegt dem Kunden.
• Nachweis: Workio stellt dem Kunden auf Anfrage die zur Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung (Beschreibung der Massnahmen, Liste der Unterauftragnehmer, Berichte externer Prüfungen, sobald vorhanden).

5. Pflichten des Verantwortlichen

Der Kunde ist für die Rechtmässigkeit der Datenbearbeitung verantwortlich, insbesondere für die Information seiner Mitarbeitenden und der Einsatzbetriebe, für die Einholung allfälliger Einwilligungen (z.B. Standortdaten, Gesundheitsdaten, Gesprächsaufzeichnungen) und für die Einhaltung der Aufbewahrungspflichten. Er bearbeitet in der Plattform nur Daten, die für die genannten Zwecke erforderlich sind, und verwaltet die Zugriffsrechte seiner Benutzer selbst.

Die Funktionen zum automatischen Auslesen von Arztzeugnissen und Lebensläufen übermitteln die hochgeladenen Dokumente an Anthropic (USA). Der Kunde nutzt diese Funktionen nur, wenn er die betroffenen Mitarbeitenden darüber informiert hat; er kann sie jederzeit per E-Mail für seine Umgebung abschalten lassen.

6. Unterauftragnehmer

Der Kunde stimmt dem Beizug der folgenden Unterauftragnehmer zu. Bei Datenübermittlung ins Ausland stellt Workio durch Vertragsklauseln nach Art. 16 DSG (Standarddatenschutzklauseln) oder eine Zertifizierung des Empfängers (Swiss-U.S. Data Privacy Framework) einen angemessenen Schutz sicher.

Unternehmen	Leistung	Daten	Standort
Infomaniak Network SA	Hosting, Backups, Speicher	alle Daten der Kundenumgebung	Schweiz
Twilio	SMS-Versand (Anmeldecodes, Links)	Telefonnummer, Nachrichteninhalt	EU / USA
ElevenLabs	KI-Telefonagent für Verfügbarkeitsanfragen	Name, Telefonnummer, Gesprächsinhalt	EU / USA
Anthropic	KI-Auswertung (Auslesen von Lebensläufen und Arztzeugnissen, Klassifizierung von Gesprächstranskripten, Auffälligkeiten in Zeitdaten)	hochgeladene Dokumente als Bild/PDF inkl. Gesundheitsdaten, Transkripte, Einsatz- und Zeitangaben; in Textfeldern werden AHV-Nummer, IBAN, E-Mail und Telefonnummer vor der Übermittlung maskiert. Keine Nutzung zum Training.	USA
DeepL	Übersetzung von Texten	Freitexte	EU
Stripe	Zahlungsabwicklung des Abos	Rechnungsdaten des Kunden, keine Mitarbeiterdaten	EU / USA
Sentry	Fehlererfassung	technische Fehlerdaten ohne Personendaten	EU
Better Stack	Verfügbarkeitsüberwachung	keine Personendaten	EU

Workio informiert den Kunden mindestens 30 Tage vor dem Beizug oder Wechsel eines Unterauftragnehmers per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag auf das Ende der laufenden Abrechnungsperiode kündigen. Workio verpflichtet Unterauftragnehmer vertraglich zu gleichwertigen Datenschutzpflichten und haftet für sie wie für eigenes Handeln.

Google und Microsoft werden nur für die optionale Anmeldung auf der Plattform (workio.ch) als eigenständige Identitätsanbieter beigezogen; das ist keine Auftragsbearbeitung, siehe Datenschutzerklärung.

7. Kontrollrechte

Der Kunde kann die Einhaltung dieses Vertrags einmal jährlich prüfen oder durch eine unabhängige, zur Verschwiegenheit verpflichtete Stelle prüfen lassen. Die Prüfung ist 30 Tage im Voraus anzukündigen, erfolgt während der Geschäftszeiten und darf den Betrieb und andere Kunden nicht beeinträchtigen. Workio kann die Prüfung vorrangig durch Vorlage von Berichten und Nachweisen erfüllen. Die Kosten trägt der Kunde, ausser die Prüfung deckt eine erhebliche Vertragsverletzung auf.

8. Haftung

Die Haftung richtet sich nach Ziffer 12 der AGB. Jede Partei haftet gegenüber der anderen für Schäden, die sie durch Verletzung dieses Vertrags oder des Datenschutzrechts verursacht, im Rahmen dieser Bestimmung.

9. Löschung und Rückgabe

Nach Vertragsende stellt Workio dem Kunden auf Anfrage innert 30 Tagen ein vollständiges Exportpaket (Rapporte als PDF, Dossiers, CSV-Lohnexport, Datenbank-Rohdaten) auf verschlüsseltem Weg zur Verfügung. Der Kunde ist gehalten, seine Daten vor Vertragsende über die Exportfunktionen zu beziehen. Danach löscht Workio die Kundenumgebung samt Datenbank innert 90 Tagen und bestätigt die Löschung auf Anfrage schriftlich. Sicherungskopien werden nach festen Fristen gelöscht (6-Stunden-Stände 7 Tage, Tagesstände 90 Tage, Monatsstände 12 Monate). Eine gezielte Löschung einzelner Kunden aus Sicherungskopien ist technisch nicht möglich; Sicherungskopien werden ausschliesslich zur Wiederherstellung verwendet. Gesetzliche Aufbewahrungspflichten von Workio bleiben vorbehalten (z.B. Rechnungsbelege).

10. Schlussbestimmungen

Änderungen dieses Vertrags teilt Workio 30 Tage im Voraus mit; Ziffer 13 der AGB gilt sinngemäss. Es gilt Schweizer Recht, Gerichtsstand ist der Sitz der Auftragsbearbeiterin.

Anhang 1: Technische und organisatorische Massnahmen

Bereich	Massnahme
Mandantentrennung	Jede Kundenumgebung läuft in einem eigenen Container mit eigener Datenbank. Kein gemeinsames Schema, keine gemeinsame Tabelle.
Verschlüsselung	Übertragung ausschliesslich über TLS. Besonders sensible Felder (u.a. AHV-Nummer, Bankverbindung, Dokumente) werden in der Datenbank zusätzlich verschlüsselt gespeichert; Schlüssel liegen getrennt von den Daten. Sicherungskopien sind mit GPG verschlüsselt.
Zugriffskontrolle	Rollenbasierte Berechtigungen. Bürokonten mit Passwortregeln, Sperre nach Fehlversuchen, Zwei-Faktor-Authentifizierung (TOTP), optional Anmeldung über Google oder Microsoft. Mitarbeitende melden sich per SMS-Code an. Sitzungen laufen ab.
Betreiberzugriff	Betreiberkonten sehen im Cockpit nur Vertrags- und Aggregatdaten (Zähler), keine Personendaten. Supportzugriff in eine Kundenumgebung nur auf Anfrage, mit Protokoll.
Protokollierung	Manipulationssicheres Audit-Protokoll aller relevanten Änderungen (Hash-Kette), ohne Personendaten im Betreiberbereich. Rapporte mit Zeitstempel, Gerät, IP und Standort bei Visierung.
Verfügbarkeit und Backup	Sicherung alle 6 Stunden, verschlüsselt, lokal auf dem Server und im Objektspeicher von Infomaniak, beides in der Schweiz. Rotation: 48 Stunden lokal; offsite 6-Stunden-Stände 7 Tage, Tagesstände 90 Tage, Monatsstände 12 Monate. Wiederherstellung wird vierteljährlich getestet. Externe Verfügbarkeitsüberwachung mit Alarmierung.
Netzwerk und Betrieb	Härtung des Hosts, Firewall, Zugriff nur per Schlüssel, Sicherheits-Header und Content Security Policy, automatische Sperre bei Angriffsmustern, laufende Aktualisierung der Abhängigkeiten, Fehlerüberwachung ohne Personendaten.
Organisation	Dokumentierte Betriebsabläufe (Deploy, Wiederherstellung, Vorfall, Kündigung), Meldeweg für Sicherheitslücken (security@workio.ch, security.txt), Schweregrade und Reaktionszeiten gemäss SLA, Vertraulichkeitsverpflichtung aller Beteiligten.
Löschung	Löschkonzept gemäss Ziffer 9; Exportfunktion für den Kunden jederzeit verfügbar.

MRG Treuhand GmbH · Heidelbergstrasse 9 · 8355 Aadorf · UID CHE-359.701.785 · Version 1.0 vom 16. September 2026 · Impressum