Rechtliches & Datenschutz
Auftragsbearbeitung
Transparente Grundlage für die Verarbeitung von Analytics-Daten im Auftrag unserer Kunden.
Stand: 11. Oktober 2026
Vertragsparteien und Rollen
Diese Vereinbarung regelt die Auftragsbearbeitung zwischen dem in der Bestellung bezeichneten Kunden als Verantwortlichem und minddraft AG, Säntisstrasse 12 6345 Neuheim Schweiz, als Auftragsbearbeiter beziehungsweise Auftragsverarbeiter. Sie ergänzt den Vertrag über wayfold, sofern sie ausdrücklich einbezogen wurde. Es gelten das schweizerische Datenschutzgesetz und, soweit anwendbar, Art. 28 DSGVO. Eigene Konto-, Vertrags-, Zahlungs- und Supportzwecke von minddraft AG sind in der Datenschutzerklärung getrennt beschrieben.
Gegenstand, Art, Zweck und Dauer
Gegenstand ist die Erfassung, zeitlich begrenzte Zuordnung, Speicherung, Auswertung und Löschung der vom Kunden aktivierten Website-Signale zur Nutzungsanalyse und Verbesserung seiner Website. Zum beauftragten Teamwerkzeug gehören die bewusst erstellten Testmodus-Issues. Die Verarbeitung dauert für den vereinbarten Leistungszeitraum und die anschliessenden festgelegten Rückgabe- und Löschfristen an.
Datenarten und betroffene Personen
Betroffen sind Besucher der Kundenwebsites sowie zur Nutzung der Teamwerkzeuge berechtigte Personen. Besucherbezogen verarbeitet werden flüchtige IP-/User-Agent-Eingaben, kurzlebige Zuordnungen, bereinigte Pfade und Ereignisse, Herkunfts-/Kampagnenwerte, grobe Geräte-/Länderangaben und aktivierte Heatmap-/Performance-Signale. Der Umfang ist in der Erklärung zur Besucheranalyse begrenzt. Testmodus-Issues enthalten bewusst erstellte Kommentare, Pins, strukturelle Elementreferenzen, Positionsangaben, Zeitpunkte, Status und Autorenzuordnung. Sie setzen Anmeldung und bewusste Aktivierung voraus und werden nicht an Besucher-Sessions angehängt. Besondere Kategorien personenbezogener Daten, Formularinhalte und direkte Besucherkennungen sind nicht für die Erfassung vorgesehen; der Kunde darf sie nicht übermitteln.
Weisungen und Pflichten des Kunden
Der Kunde bestimmt Zweck und zulässige Konfiguration, informiert Betroffene und stellt die erforderliche Rechtsgrundlage sicher. Dokumentierte Weisungen ergeben sich aus Vertrag, aktivierten Funktionen und berechtigten schriftlichen Anfragen. minddraft AG verarbeitet die beauftragten Daten nur nach diesen Weisungen, einschliesslich Übermittlungen, soweit keine zwingende gesetzliche Pflicht entgegensteht. In diesem Fall wird der Kunde vorab informiert, soweit zulässig. Bei einer nach unserer Einschätzung rechtswidrigen Weisung informieren wir den Kunden unverzüglich und setzen die betroffene Verarbeitung bis zur Klärung aus.
Vertraulichkeit und Zugriff
Personen mit Zugang zu beauftragten Daten werden zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Pflicht. Zugriffsrechte werden auf die jeweilige Aufgabe begrenzt. Die Workspace- und Rollenprüfung begrenzt reguläre Kundenzugriffe; administrative Kundenverwaltung ist von Besucheranalysen getrennt.
Technische und organisatorische Massnahmen
Die vereinbarten technischen Massnahmen umfassen die Begrenzung und Validierung zulässiger Eingaben, bereinigte URLs und Eventwerte, serverseitige Workspace- und Rollenprüfungen, zeitlich begrenzte Testmodus-Zugänge, verschlüsselte serverseitige Integrationstoken und HTTPS-Übertragung. Besucherkennungen werden nicht an Kundennamen oder Team-Issues gekoppelt. Private Profilbilder und ausdrücklich geteilte Issue-Screenshots werden nur nach Berechtigungsprüfung ausgeliefert. Zugänge und Geheimnisse werden auf erforderliche Aufgaben beschränkt. Die Betriebsverantwortung liegt bei minddraft AG. Die Produktionsdatenbank nutzt tägliche verwaltete Supabase-Sicherungen; das rollierende Wiederherstellungsfenster beträgt rund sieben Tage. Datenbank-Sicherungen enthalten keine separat hochgeladenen Dateien. Kein PITR, keine unabhängige zusätzliche Sicherung und keine bestimmte Wiederherstellungszeit werden zugesichert. Bei Wiederherstellung sind bereits angewiesene Löschungen erneut zu berücksichtigen, bevor Daten wieder regulär genutzt werden. Sicherheitsmassnahmen werden an Risiken und technischen Stand angepasst; das vereinbarte Schutzniveau darf dadurch nicht abgesenkt werden.
Datenschutzverletzungen
minddraft AG informiert den Kunden nach Bekanntwerden einer Verletzung des Schutzes der beauftragten personenbezogenen Daten unverzüglich. Die Mitteilung enthält die verfügbaren Angaben zur Art des Vorfalls, betroffenen Daten und Personen, möglichen Folgen, Gegenmassnahmen und einer Kontaktstelle. Noch fehlende Angaben werden nachgereicht. Der Kunde entscheidet über seine Meldungen an Behörden und Betroffene; minddraft AG unterstützt ihn dabei.
Unterauftragnehmer
Der Kunde genehmigt allgemein den Einsatz der in der Dienstleisterübersicht als Infrastruktur-Auftragsbearbeiter beschriebenen Hetzner- und Supabase-Dienste. Die Übersicht ist Bestandteil dieser Vereinbarung. Zahlungsanbieter für eigene Abrechnungszwecke und vom Kunden selbst gewählte Google-Dienste sind nicht allein deshalb Unterauftragnehmer der Besucheranalyse. Wir verpflichten Unterauftragnehmer zu entsprechenden Datenschutzpflichten und bleiben dem Kunden gegenüber für die Erfüllung unserer Pflichten verantwortlich. Über Ergänzungen oder Ersatz informieren wir den Workspace-Owner mindestens 30 Tage vor dem vorgesehenen Einsatz per E-Mail. Der Kunde kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Wir suchen eine zumutbare Alternative; ist keine Lösung möglich, kann der Kunde die betroffene Leistung vor dem Wechsel ohne zusätzliche Kündigungsgebühr beenden. Eine erforderliche Notfalländerung zum Schutz von Daten wird unverzüglich mit Begründung mitgeteilt; die Rechte des Kunden bleiben bestehen.
Datenstandorte und Auslandübermittlungen
Die Anwendung läuft bei Hetzner in Deutschland, die primäre Supabase-Datenbank in Zürich, Schweiz. Die Dienstleisterübersicht beschreibt die Datenarten und weitere Empfängerländer. Eine Übermittlung oder ein Fernzugriff aus einem anderen Staat erfolgt nur auf dokumentierter Weisungsgrundlage oder aufgrund einer mitgeteilten zwingenden gesetzlichen Pflicht. Für Staaten ohne angemessenes Datenschutzniveau sind geeignete Garantien, insbesondere anwendbare Standardvertragsklauseln mit erforderlichen Schweizer Anpassungen und ergänzenden Massnahmen, vorzusehen. Nachweise zu den eingesetzten Garantien werden dem Kunden auf Anfrage zur Verfügung gestellt.
Unterstützung des Kunden
minddraft AG unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten, Sicherheitsanforderungen, Datenschutz-Folgenabschätzungen und erforderlichen Behördenkonsultationen. Direkt eingehende Anfragen zu Kundendaten werden an den Kunden weitergeleitet, soweit zulässig. Eine zusätzliche Besucheridentifikation wird nicht allein zur Zuordnung einer Anfrage aufgebaut.
Rückgabe und Löschung
Der Kunde kann während des Vertrags die verfügbaren Exporte nutzen und eine weitergehende Rückgabe seiner Auftragsdaten in einem gängigen maschinenlesbaren Format unter support@wayfold.ch verlangen. Vor einer beauftragten Löschung ist eine gewünschte Rückgabe anzugeben. Nach Vertragsende löschen wir die Auftragsdaten auf dokumentierte Weisung oder geben sie nach Wahl des Kunden zurück und löschen verbleibende Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Wir bestätigen die Bearbeitung ohne unangemessene Verzögerung und informieren über eine rechtlich notwendige weitere Aufbewahrung. Die Löschung einer Website entfernt ihre Auftragsdaten aus der aktiven Datenbank. Bereits vorhandene Datenbank-Sicherungen werden nicht einzeln umgeschrieben; Restkopien laufen im rollierenden Sicherungsfenster von rund sieben Tagen aus und bleiben bis dahin für reguläre Nutzung gesperrt. Eigene gesetzliche Geschäftsnachweise werden getrennt und zweckgebunden aufbewahrt. Die Bezeichnung von Daten als «aggregiert» allein berechtigt nicht zu einer weiteren personenbezogenen Nutzung.
Nachweise und Kontrollen
minddraft AG stellt die zum Nachweis der vereinbarten Datenschutzpflichten erforderlichen Informationen zur Verfügung und ermöglicht entsprechende Kontrollen durch den Kunden oder einen von ihm beauftragten Prüfer. Umfang und Ablauf werden unter Schutz anderer Kunden und vertraulicher Informationen koordiniert. Praktische Absprachen dürfen gesetzlich erforderliche Nachweise und Kontrollen nicht ausschliessen.
Einbeziehung und Kontakt
Diese Vereinbarung wird durch ausdrückliche Einbeziehung in die Kundenvereinbarung geschlossen; dies kann elektronisch erfolgen. Der Kunde wird durch die Angaben der Bestellung bestimmt, minddraft AG durch das Impressum. Ein Login oder die Aktivierung des Testmodus allein schliesst diese Vereinbarung nicht ab. Die Beschreibung der Besucheranalyse und die Dienstleisterübersicht konkretisieren Gegenstand, Datenumfang und Infrastruktur. Bei Widersprüchen haben die Datenschutzpflichten dieser Vereinbarung Vorrang vor allgemeinen Leistungsbedingungen. Kontakt für Weisungen und Datenschutzanfragen: support@wayfold.ch.