Auftragsbearbeitungsvertrag (AVV)

Version 1.0 vom 21.10.2026 – Anhang zu den Nutzungsbedingungen MaxiPos Cloud

1. Parteien und Rollen

1.1 Der Kunde (Betrieb, der die MaxiPos-Kasse nutzt) ist für die Bearbeitung der Personendaten seiner Mitarbeitenden, Gäste und Kunden verantwortlich im Sinne von Art. 5 lit. j DSG.

1.2 MSP Group GmbH, Lerzenstrasse 8, 8953 Dietikon, UID CHE-269.046.585 (Kontakt Datenschutz: info@mspgroup.ch) (nachfolgend «Anbieter») bearbeitet diese Personendaten im Auftrag des Kunden als Auftragsbearbeiter im Sinne von Art. 5 lit. k und Art. 9 DSG.

1.3 Soweit die Datenschutz-Grundverordnung der EU (DSGVO) anwendbar ist, gilt dieser Vertrag zugleich als Vertrag nach Art. 28 DSGVO.

2. Gegenstand, Dauer und Zweck

2.1 Gegenstand ist die Bearbeitung von Personendaten im Rahmen der Dienste gemäss den Nutzungsbedingungen: Betrieb der Portale, Synchronisation der Kassendaten, Speicherung von Sicherungen, Bereitstellung von Berichten, Aktualisierungen und Fernwartung.

2.2 Der Vertrag gilt für die Dauer der Nutzungsbedingungen und darüber hinaus, solange der Anbieter Personendaten des Kunden bearbeitet.

2.3 Art der Daten, Kategorien betroffener Personen und Zwecke sind in Anhang 1 beschrieben.

3. Weisungen

3.1 Der Anbieter bearbeitet die Personendaten nur so, wie es der Kunde selbst tun dürfte, und nur auf dessen dokumentierte Weisung. Die Nutzungsbedingungen, dieser Vertrag und die Einstellungen, die der Kunde in Kasse und Portal vornimmt, gelten als Weisungen.

3.2 Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstösst, informiert er den Kunden.

3.3 Der Anbieter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, und gibt sie nicht an Dritte weiter, ausser an die Unterauftragsbearbeiter nach Ziffer 6 oder wenn er gesetzlich dazu verpflichtet ist. In diesem Fall informiert er den Kunden, sofern das Gesetz dies nicht verbietet.

4. Vertraulichkeit

4.1 Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Diese Pflicht gilt auch nach Ende ihrer Tätigkeit.

4.2 Zugriff auf die Daten des Kunden erhalten nur Personen, die ihn für Betrieb, Support oder Fehlerbehebung benötigen.

5. Datensicherheit

5.1 Der Anbieter trifft die technischen und organisatorischen Massnahmen nach Anhang 2, um eine dem Risiko angemessene Datensicherheit zu gewährleisten (Art. 8 DSG, Datenschutzverordnung DSV).

5.2 Der Anbieter darf die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht sinkt.

6. Unterauftragsbearbeiter

6.1 Der Kunde genehmigt die in Anhang 3 aufgeführten Unterauftragsbearbeiter.

6.2 Der Anbieter informiert den Kunden mindestens 30 Tage im Voraus über einen neuen oder ersetzten Unterauftragsbearbeiter (z. B. im Portal oder per E-Mail). Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innert dieser Frist widersprechen; können sich die Parteien nicht einigen, kann der Kunde den Vertrag auf diesen Zeitpunkt kündigen.

6.3 Der Anbieter verpflichtet jeden Unterauftragsbearbeiter vertraglich auf gleichwertige Datenschutzpflichten.

6.4 Daten werden nur in die Schweiz oder in Staaten mit angemessenem Datenschutzniveau gemäss Anhang 1 DSV bekanntgegeben (derzeit: Deutschland). Eine Bekanntgabe in andere Staaten erfolgt nur mit geeigneten Garantien nach Art. 16 Abs. 2 DSG.

7. Unterstützung des Kunden

7.1 Der Anbieter unterstützt den Kunden mit geeigneten Mitteln dabei, Anfragen betroffener Personen zu beantworten (z. B. Auskunft, Berichtigung, Löschung, Herausgabe). Erhält der Anbieter eine solche Anfrage direkt, leitet er sie an den Kunden weiter.

7.2 Der Anbieter unterstützt den Kunden bei einer Datenschutz-Folgenabschätzung und bei Anfragen der Aufsichtsbehörde, soweit sie die Dienste betreffen.

7.3 Für Unterstützung, die über die Funktionen der Dienste hinausgeht, kann der Anbieter seinen Aufwand nach Preisliste verrechnen.

8. Verletzungen der Datensicherheit

8.1 Der Anbieter meldet dem Kunden eine Verletzung der Datensicherheit, die dessen Daten betrifft, so rasch als möglich, in der Regel innert 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die Folgen und die getroffenen oder vorgeschlagenen Massnahmen.

8.2 Der Kunde entscheidet, ob eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) nach Art. 24 DSG und eine Information der betroffenen Personen nötig ist. Der Anbieter unterstützt ihn dabei.

9. Kontrollrechte

9.1 Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind (z. B. eine aktuelle Beschreibung der Massnahmen nach Anhang 2).

9.2 Weitergehende Kontrollen (z. B. Prüfungen vor Ort) erfolgen nach vorheriger Absprache, während der Geschäftszeiten, unter Wahrung der Vertraulichkeit gegenüber anderen Kunden und auf Kosten des Kunden.

10. Löschung und Rückgabe

10.1 Nach Vertragsende gibt der Anbieter dem Kunden die Daten gemäss Ziffer 10 der Nutzungsbedingungen zurück (Export während 30 Tagen) und löscht sie spätestens nach 60 Tagen, einschliesslich Kopien, soweit keine gesetzliche Aufbewahrungspflicht beim Anbieter besteht.

10.2 Während der Vertragsdauer gelten die Löschfristen nach Anhang 1. Die Aufbewahrung der Geschäftsunterlagen ist Sache des Kunden (Ziffer 4 der Nutzungsbedingungen).

11. Haftung und Schlussbestimmungen

11.1 Für die Haftung gelten die Nutzungsbedingungen.

11.2 Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den Nutzungsbedingungen vor.

11.3 Es gilt Schweizer Recht. Gerichtsstand ist Dietikon (Kanton Zürich).

---

Anhang 1 – Daten, betroffene Personen, Zwecke, Löschfristen

Kategorien betroffener Personen

• Mitarbeitende und Benutzer des Kunden (Kassierer, Service, Küche, Inhaber, Buchhaltung)
• Gäste und Kunden des Kunden (z. B. Liefer- und Abholkunden, Rechnungs- bzw. Debitorenkunden, Treuepunkte-Kunden)
• Ansprechpersonen des Kunden (Inhaber, Geschäftsführung)

Kategorien von Personendaten

Besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG werden durch die Dienste nicht gezielt bearbeitet. Der Kunde verzichtet darauf, solche Daten in Freitextfeldern (z. B. Notizen) zu erfassen.

Löschfristen während der Vertragsdauer

---

Anhang 2 – Technische und organisatorische Massnahmen (TOM)

Zutritt und Infrastruktur

• Die Portale laufen auf Servern eines professionellen Hosting-Anbieters in Rechenzentren in Deutschland mit Zutrittskontrolle, Brandschutz und unterbrechungsfreier Stromversorgung (gemäss Angaben des Hosters).
• Der Server ist durch Firewall und Schutzsoftware gegen Angriffe und Schadsoftware geschützt.

Zugang und Zugriff

• Verschlüsselte Übertragung aller Daten zwischen Kasse, Browser und Portal (HTTPS/TLS).
• Passwörter und PIN-Codes werden nur als kryptografische Hashwerte gespeichert.
• Sperre bzw. Verzögerung nach mehreren fehlgeschlagenen Anmeldeversuchen.
• Kassen melden sich mit eigenen, widerrufbaren Geräteschlüsseln an; ein gesperrtes Gerät kann keine Daten mehr senden.
• Rollen- und Rechtekonzept im Portal (z. B. Inhaber, Buchhaltung, nur Berichte); jeder Kunde sieht ausschliesslich seine eigenen Daten (logische Mandantentrennung).
• Optionale Zwei-Faktor-Anmeldung (TOTP), wo verfügbar.
• Administrativer Zugang zu Server und Datenbanken nur für berechtigte Personen des Anbieters, mit persönlichen Zugangsdaten.

Weitergabe und Eingabe

• Sicherungsdateien liegen in Verzeichnissen, die aus dem Internet nicht abrufbar sind.
• Änderungen an Einstellungen, Stornos, Zahlungsart-Korrekturen und weitere sicherheitsrelevante Vorgänge werden mit Benutzer und Zeitpunkt protokolliert.
• Fernwartung nur nach Freigabe durch den Kunden im Einzelfall, über einen eigenen Fernwartungsserver mit verschlüsselter Verbindung.

Verfügbarkeit und Wiederherstellung

• Die Kasse arbeitet auch ohne Internetverbindung; die Daten bleiben lokal erhalten und werden nachgesendet.
• Automatische Sicherungen der Kassendatenbank (lokal und auf Wunsch im Portal).
• Tägliche Sicherung des gesamten Servers durch den Hoster; jede Sicherung wird 1 Monat aufbewahrt und danach automatisch gelöscht.

Organisation

• Vertraulichkeitsverpflichtung aller Personen mit Datenzugriff.
• Software-Aktualisierungen werden vor der Auslieferung automatisiert getestet.
• Prozess für die Meldung von Sicherheitsvorfällen an den Kunden (Ziffer 8 AVV).
• Regelmässige Überprüfung dieser Massnahmen, mindestens einmal jährlich.

---

Anhang 3 – Genehmigte Unterauftragsbearbeiter

Nicht als Unterauftragsbearbeiter des Anbieters gelten Dienste, die der Kunde selbst direkt beauftragt, insbesondere Zahlungsterminals und Zahlungsdienste (z. B. Wallee, Worldline, SumUp, TWINT). Für diese gelten die Verträge zwischen dem Kunden und dem jeweiligen Anbieter.