Passly

Auftragsverarbeitungsvertrag (AVV)

Version 1.4 · Stand: 20. August 2026

Dieser Auftragsverarbeitungsvertrag (AVV) ist Bestandteil der AGB und regelt die Bearbeitung von Personendaten, die der Geschäftskunde als verantwortliche Stelle im Rahmen der Nutzung von Passly durch den Anbieter (Passly) als Auftragsbearbeiter bearbeiten lässt. Massgebend sind das Schweizer Datenschutzgesetz (DSG) und die Datenschutzverordnung (DSV) sowie, soweit im Einzelfall anwendbar, die DSGVO.

Begriffe: «Geschäftskunde» ist der Betrieb, der Passly aufgrund der AGB für sein Treueprogramm nutzt. «Karteninhaber» sind dessen Endkunden, also die Personen, die eine digitale Stempelkarte dieses Betriebs im Wallet haben. «Anbieter» ist Passly.

1. Gegenstand, Art & Zweck der Bearbeitung

Gegenstand ist der Betrieb digitaler Stempelkarten für die Karteninhaber des Geschäftskunden: Ausstellung und Aktualisierung der Karten im Wallet, Erfassen von Stempeln und Einlösungen, wiederholtes Erkennen der Karte bei NFC-/Link-Registrierung, Wiederherstellung verlorener Karten, Versand von Push-Benachrichtigungen (Karten-Updates sowie Angebots-Mitteilungen des Geschäftskunden, auf dessen Einrichtung hin auch automatisch ausgelöst durch Stempelstand, Zeit seit dem letzten Stempel oder Geburtsdatum) sowie aggregierte Auswertungen für den Geschäftskunden. Die Bearbeitung umfasst das Erheben, Speichern, Verändern, Auswerten und Löschen dieser Daten.

2. Datenkategorien & betroffene Personen

Betroffene Personen sind die Karteninhaber des Geschäftskunden. Bearbeitet werden:

Besonders schützenswerte Personendaten werden nicht bearbeitet und dürfen vom Geschäftskunden auch nicht in die Plattform eingebracht werden.

3. Dauer

Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Löschung und Vertraulichkeit bestehen darüber hinaus fort.

4. Weisungsgebundenheit

Der Anbieter bearbeitet die Daten ausschliesslich im Rahmen der vertraglich vereinbarten Funktionen und der dokumentierten Weisungen des Geschäftskunden. Er verwendet die Daten der Karteninhaber nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, ausgenommen die unten genannten Unterauftragsbearbeiter oder soweit eine gesetzliche Pflicht besteht (darüber informiert er den Geschäftskunden, soweit zulässig). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Geschäftskunden.

Der Geschäftskunde bleibt verantwortlich für die rechtmässige Erhebung, Nutzung und Kommunikation gegenüber seinen Karteninhabern sowie dafür, dass eine ausreichende Rechtsgrundlage für die Bearbeitung der Daten besteht.

5. Vertraulichkeit

Der Anbieter stellt sicher, dass alle mit der Bearbeitung betrauten Personen zur Vertraulichkeit verpflichtet sind und Zugriff nur erhalten, soweit dies für ihre Aufgaben erforderlich ist.

6. Technische & organisatorische Massnahmen (TOM)

Der Anbieter trifft insbesondere folgende Massnahmen (Art. 8 DSG, Art. 1 bis 6 DSV):

Die beschriebenen technischen und organisatorischen Massnahmen stellen den aktuellen Sicherheitsstandard des Anbieters dar und können aufgrund technischer Entwicklungen angepasst werden, sofern das angemessene Datenschutzniveau erhalten bleibt. Eine absolute Sicherheit gegen sämtliche Risiken kann nicht garantiert werden.

7. Unterauftragsbearbeiter

Der Geschäftskunde genehmigt den Einsatz folgender Unterauftragsbearbeiter:

Der Anbieter verpflichtet Unterauftragsbearbeiter auf ein vergleichbares Datenschutzniveau. Über beabsichtigte Änderungen am Kreis der Unterauftragsbearbeiter informiert der Anbieter den Geschäftskunden vorgängig in Textform; der Geschäftskunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Anbieter sucht in diesem Fall gemeinsam mit dem Geschäftskunden nach einer Lösung.

Bekanntgabe ins Ausland: Die Kerndaten werden in der EU gespeichert. Übermittlungen in die USA (Apple, Google, Vercel, Resend) stützen sich auf das Data Privacy Framework Schweiz/USA oder auf die vom EDÖB anerkannten Standardvertragsklauseln.

8. Unterstützung des Geschäftskunden

Der Anbieter unterstützt den Geschäftskunden angemessen bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe) sowie bei der Einhaltung der Pflichten zur Datensicherheit und zu Meldungen von Datenschutzverletzungen. Die Löschung einzelner Karteninhaber ist als Funktion im Dashboard verfügbar: Die Personendaten werden dabei gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen, und die Karte wird im Wallet als ungültig markiert. In technischen Sicherungskopien werden die Daten im Rahmen der regulären Backup-Zyklen überschrieben.

9. Meldung von Datenschutzverletzungen

Der Anbieter informiert den Geschäftskunden unverzüglich, sobald ihm eine Verletzung der Datensicherheit bei den im Auftrag bearbeiteten Personendaten bekannt wird, und stellt ihm die für eine allfällige Meldung an den EDÖB bzw. an betroffene Personen erforderlichen Informationen zur Verfügung.

10. Löschung & Rückgabe

Nach Beendigung des Hauptvertrags löscht der Anbieter die im Auftrag bearbeiteten Personendaten innert 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch stellt er dem Geschäftskunden vorher einen Export der Daten in einem gängigen Format zur Verfügung.

11. Nachweis & Kontrolle

Der Anbieter stellt dem Geschäftskunden auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung (insbesondere zu TOM und Unterauftragsbearbeitern). Weitergehende Kontrollen erfolgen nach vorheriger Abstimmung und in einer Form, die den Betrieb nicht unverhältnismässig beeinträchtigt.

12. Kontakt

Datenschutzanfragen richtest du an team@getpassly.ch.