Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Version 1.0 · Stand: 15. Oktober 2026

Dieser Vertrag regelt die Bearbeitung von Personendaten durch die Upfold KLG, Birkenstrasse 49, 6343 Rotkreuz, Schweiz («Upfold», Auftragsbearbeiterin), im Auftrag des Kunden («Kunde», Verantwortlicher) bei der Nutzung von ScaleTrail. Er erfüllt die Anforderungen von Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, von Art. 28 der DSGVO.

Der AVV ist Bestandteil der AGB und gilt mit deren Annahme als abgeschlossen. Eine unterzeichnete Fassung erhältst du auf Anfrage an hello@scaletrail.io.

1. Gegenstand und Dauer

Upfold bearbeitet Personendaten ausschliesslich, um den Dienst ScaleTrail für den Kunden zu erbringen. Der AVV gilt für die Dauer der Nutzung des Dienstes.

2. Art und Zweck

Erfassung, Speicherung und Auswertung von Besuchs- und Bestelldaten zur Messung und Zuordnung von Marketing-Kanälen, Darstellung im Dashboard und in Berichten sowie Rückmeldung an Plattformen, die der Kunde verbindet.

3. Daten und betroffene Personen

Betroffene Personen: Besucherinnen, Besucher und Kundschaft der Website des Kunden sowie Mitarbeitende des Kunden, die den Dienst nutzen.

Datenarten:

Besuchsdaten wie Seitenaufrufe, Kampagnen- und Klickangaben, technische Angaben zu Gerät und Browser, IP-Adresse
Bestelldaten wie Bestellnummer, Wert, Produkte und Status
Kontaktdaten der Kundschaft wie E-Mail-Adresse, Telefonnummer, Name und Adresse, soweit für Zuordnung und Rückmeldung nötig
Angaben zur Einwilligung
Konto-Daten der Mitarbeitenden des Kunden

Besonders schützenswerte Personendaten werden nicht bearbeitet.

4. Weisungen

Upfold bearbeitet die Daten nur nach den Weisungen des Kunden. Diese ergeben sich aus den AGB, den Einstellungen im Dienst und schriftlichen Anweisungen. Hält Upfold eine Weisung für rechtswidrig, teilt sie dies dem Kunden mit.

Verbindet der Kunde Konten von Plattformen wie Google, Meta, TikTok, OpenAI, Shopify oder E-Mail-Anbietern, gilt die Übermittlung an diese Plattformen als Weisung des Kunden. Für die Bearbeitung durch die Plattformen gelten die Verträge zwischen dem Kunden und der jeweiligen Plattform.

5. Pflichten von Upfold

Upfold

verpflichtet alle Personen mit Zugang zu den Daten zur Vertraulichkeit;
trifft angemessene technische und organisatorische Massnahmen nach Ziffer 6;
unterstützt den Kunden bei Anfragen betroffener Personen und bei seinen Pflichten zu Datensicherheit, Meldung von Verletzungen und Folgenabschätzungen;
meldet dem Kunden eine Verletzung der Datensicherheit unverzüglich, spätestens innert 48 Stunden nach Kenntnis;
stellt dem Kunden die Informationen zur Verfügung, die er zum Nachweis dieser Pflichten braucht.

6. Technische und organisatorische Massnahmen

Verschlüsselte Übertragung und verschlüsselte Speicherung
Trennung der Daten verschiedener Kunden
Zugriff nur für berechtigte Personen, Anmeldung mit Einmal-Code
E-Mail-Adressen und Telefonnummern gehen nur gehasht an Plattformen
Protokollierung sicherheitsrelevanter Vorgänge
Löschfristen nach Ziffer 9

7. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

Cloudflare, Inc., USA: Hosting und Rechenzentrum
Resend, Inc., USA: Versand von E-Mails aus dem Dienst (Anmeldecodes, Berichte, Hinweise)

Upfold verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Neue oder geänderte Unterauftragsverarbeiter kündigt Upfold mindestens 14 Tage im Voraus per E-Mail an. Der Kunde kann innert dieser Frist aus wichtigem Grund widersprechen. Kommt keine Lösung zustande, kann er den Vertrag auf den Zeitpunkt der Änderung kündigen.

8. Bekanntgabe ins Ausland

Daten können in die USA und in weitere Länder bekanntgegeben werden, in denen die Unterauftragsverarbeiter tätig sind. Upfold stellt sicher, dass dafür ein Angemessenheitsentscheid, eine Zertifizierung nach dem Data Privacy Framework oder Standardvertragsklauseln bestehen (Art. 16 DSG, Art. 44 ff. DSGVO).

9. Löschung nach Vertragsende

Nach Vertragsende löscht Upfold die Daten des Kunden innert 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch erhält der Kunde vor der Löschung einen Export.

10. Kontrolle

Der Kunde kann sich in angemessenem Umfang von der Einhaltung dieses AVV überzeugen. Upfold gibt dazu auf Anfrage Auskunft und stellt Nachweise zur Verfügung. Kontrollen vor Ort erfolgen nach Absprache mit einer Frist von mindestens 14 Tagen.

11. Haftung und Recht

Für die Haftung gelten die AGB. Es gilt schweizerisches Recht, soweit die DSGVO nicht zwingend anderes vorsieht. Gerichtsstand ist Zug, Schweiz.