Auftragsverarbeitungsvertrag (AVV)

Zwischen dem Studio («Verantwortliche») und [Betreiber] («Auftragsbearbeiter»), Bestandteil der AGB.

1. Gegenstand

Der Auftragsbearbeiter bearbeitet Personendaten, die die Verantwortliche in ShotDesk erfasst (Kontakte, Aufträge, Dokumente, Fotos, E-Mails), ausschliesslich zur Bereitstellung von ShotDesk und nach ihren Weisungen.

2. Art der Daten und betroffene Personen

Kontaktdaten, Termin- und Auftragsdaten, Dokumente, Fotos, Kommunikation. Betroffen sind Kund:innen, Gäste von Galerien und Geschäftspartner der Verantwortlichen.

3. Pflichten des Auftragsbearbeiters

• Bearbeitung nur nach Weisung und nicht für eigene Zwecke.
• Vertraulichkeit aller Personen mit Zugriff.
• Technische und organisatorische Massnahmen nach Anhang.
• Unterstützung bei Auskunfts- und Löschbegehren.
• Meldung von Verletzungen der Datensicherheit ohne Verzug.
• Einblick durch den Support nur mit zeitlich begrenzter Freigabe der Verantwortlichen, ohne Inhalte der betroffenen Personen, protokolliert.

4. Unterauftragsbearbeiter

[Supabase / Lovable Cloud], Cloudflare, Lovable (E-Mail), Stripe, optional Google. Änderungen werden 30 Tage im Voraus angekündigt; die Verantwortliche kann widersprechen und kündigen.

5. Ende

Nach Löschung des Studios werden alle Daten innert 30 Tagen gelöscht, ausser gesetzliche Pflichten verlangen eine Aufbewahrung.

Anhang: Massnahmen

Verschlüsselte Übertragung, Mandantentrennung durch Row Level Security und Tests, verschlüsselte Zugangsdaten (AES-GCM), Protokollierung von Admin-Aktionen, Zwei-Faktor-Schutz, Datensicherung durch den Hoster.

Stand: 09.10.2026