Vereinbarung zur Auftragsverarbeitung

Entwurf vom 13. Oktober 2026 – vor der Freischaltung rechtlich prüfen lassen.

1. Gegenstand

Diese Vereinbarung regelt die Bearbeitung von Personendaten durch die Horizont24 GmbH, Herisau (Auftragsbearbeiterin), im Auftrag der Kundin (Verantwortliche) bei der Nutzung von QEVYRA Office AI, gemäss Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, Art. 28 DSGVO.

2. Art der Daten und betroffene Personen

E-Mails der verbundenen Postfächer (Absender, Empfänger, Betreff, Text), Namen und E-Mail-Adressen von Mitarbeitenden der Kundin sowie deren Kontakte und Schreibstil. Betroffen sind Mitarbeitende, Kundinnen und Kunden sowie weitere Korrespondenzpartner der Kundin.

3. Zweck und Dauer

Die Bearbeitung erfolgt ausschliesslich zur Erstellung von Antwortentwürfen und zum Lernen von Schreibstil und Anrede, für die Dauer des Vertrags. E-Mail-Inhalte werden nur für die Erstellung eines Entwurfs verarbeitet und nicht dauerhaft gespeichert. Gespeichert werden Profil, gelernter Stil, Kontaktliste (Adresse, Anrede, Name) sowie technische Kennungen bearbeiteter Nachrichten.

4. Weisungen

Die Auftragsbearbeiterin bearbeitet die Daten nur gemäss dieser Vereinbarung und den dokumentierten Weisungen der Kundin, insbesondere den Einstellungen im Kundenbereich.

5. Unterauftragsbearbeiter

• Infomaniak Network SA, Genf, Schweiz – Hosting und KI-Verarbeitung (Rechenzentren in der Schweiz)
• Stripe Payments Europe Ltd., Dublin, Irland – Zahlungsabwicklung (nur Vertrags- und Zahlungsdaten der Kundin, keine E-Mail-Inhalte)

Microsoft stellt als Anbieterin der Kundin das Postfach bereit und ist nicht Unterauftragsbearbeiterin der Auftragsbearbeiterin. Neue Unterauftragsbearbeiter werden mindestens 30 Tage im Voraus angekündigt; die Kundin kann widersprechen und kündigen.

6. Sicherheit

• Zugriff auf Postfächer nur über die offizielle Microsoft-Schnittstelle mit den Rechten «Mails lesen und schreiben» (für Entwürfe); kein Recht zum Versenden.
• Zugangsschlüssel verschlüsselt gespeichert (AES-256).
• Übertragung ausschliesslich verschlüsselt (TLS).
• Strikte Trennung der Daten verschiedener Kundinnen.
• Zugriff auf Systeme nur für berechtigte Personen der Auftragsbearbeiterin.

7. Unterstützung und Meldungen

Die Auftragsbearbeiterin unterstützt die Kundin bei Auskunfts-, Berichtigungs- und Löschbegehren und meldet Verletzungen der Datensicherheit unverzüglich.

8. Rückgabe und Löschung

Die Kundin kann ihre Daten jederzeit exportieren und löschen. Nach Vertragsende werden alle Daten innert 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

9. Recht und Gerichtsstand

Es gilt Schweizer Recht. Gerichtsstand ist Herisau.