Wie dieser Auftragsverarbeitungsvertrag zur Anwendung kommt: Durch die Nutzung von Blaze Labels zur Verarbeitung personenbezogener Daten des Personals erklären Sie sich mit diesem Standard-Auftragsverarbeitungsvertrag einverstanden. Falls Ihre Organisation eine gegengezeichnete Fassung benötigt, kontaktieren Sie legal@blazeiq.io.
Zwischen:
EGS Enggist and Grandjean Software SA
Rue des Usines 17, 2000 Neuchâtel, Switzerland (CHE-112.254.588)
("Auftragsverarbeiter" / "EGS")
und
Dem im Blaze-Labels-Konto identifizierten Kunden ("Verantwortlicher")
A. Der Verantwortliche hat den von EGS betriebenen Blaze-Labels-Küchenetikettendruckdienst abonniert ("Dienst").
B. Bei der Erbringung des Dienstes verarbeitet EGS personenbezogene Daten im Auftrag des Verantwortlichen, wie in dieser Vereinbarung beschrieben.
C. Diese Vereinbarung wird gestützt auf Artikel 28 der Verordnung (EU) 2016/679 ("DSGVO"), Artikel 28 der UK GDPR sowie Artikel 9 des Schweizer Bundesgesetzes über den Datenschutz (nDSG, in Kraft seit 1. September 2023) geschlossen.
D. Diese Vereinbarung ist Bestandteil der Nutzungsbedingungen zwischen den Parteien und wird durch Verweis in diese einbezogen.
1.1 "Datenschutzrecht" bezeichnet: die DSGVO und die nationalen Umsetzungsgesetze; die UK GDPR und den Data Protection Act 2018; das nDSG und die zugehörigen Verordnungen; sowie jedes andere anwendbare Datenschutzrecht in seiner jeweils geltenden Fassung.
1.2 "Verantwortlicher" bezeichnet das Hotel, Restaurant oder den Gastronomiebetrieb, der den Dienst abonniert hat und über die Zwecke und Mittel der Verarbeitung personenbezogener Daten des Personals entscheidet.
1.3 "Auftragsverarbeiter" bezeichnet EGS, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
1.4 "Betroffene Person" bezeichnet das vom Verantwortlichen beschäftigte oder für ihn tätige Küchen- und Zubereitungspersonal, dessen Namen in Blaze Labels erscheinen.
1.5 "Personenbezogene Daten" hat die in Art. 4 Ziff. 1 DSGVO festgelegte Bedeutung oder die entsprechende anwendbare Definition.
1.6 "Unterauftragsverarbeiter" bezeichnet jeden Dritten, den EGS zur Verarbeitung personenbezogener Daten im Zusammenhang mit dem Dienst beizieht.
1.7 "Sicherheitsvorfall" bezeichnet jede unbeabsichtigte oder unrechtmässige Vernichtung, den Verlust, die Veränderung, die unbefugte Offenlegung von oder den unbefugten Zugang zu personenbezogenen Daten, die im Rahmen dieser Vereinbarung verarbeitet werden.
2.1 Gegenstand. EGS verarbeitet personenbezogene Daten ausschliesslich zur Erbringung des Dienstes. Die Kernverarbeitungstätigkeit besteht in der Erfassung von Druckereignissen im Audit-Protokoll von Blaze Labels: Jedes Mal, wenn ein Küchenmitarbeiter seinen Namen auswählt und ein Lebensmittelzubereitungsetikett gedruckt wird, speichert das System einen Protokolleintrag, der den Namen des Mitarbeiters mit dem gedruckten Artikel, dem Zeitstempel und der Druckerkennung verknüpft.
2.2 Keine Zweitnutzung. EGS verarbeitet personenbezogene Daten nicht für andere Zwecke als die in dieser Vereinbarung festgelegten. EGS wird personenbezogene Daten weder verkaufen, vermieten noch kommerzialisieren, noch sie zur Entwicklung oder Verbesserung eines anderen Produkts als des Dienstes verwenden.
| Kategorie | Beschreibung | Beispiele |
|---|---|---|
| Name des Personals | Anzeigename des Küchenmitarbeiters, wie in Blaze Labels erfasst | "Maria Santos" |
| Name des Lebensmittelartikels | Name des Lebensmittelartikels, für den das Etikett gedruckt wurde | "Hühnerbrühe" |
| Zeitstempel | Datum und Uhrzeit des Druckereignisses | 2025-04-01 07:42 UTC |
| Druckerkennung | Interne Kennung des verwendeten Druckers | MAC-Adresse oder Netzwerk-IP |
Es werden keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet — keine Gesundheits-, biometrischen, genetischen, rassischen oder politischen Daten.
Küchen- und Zubereitungspersonal, das vom Verantwortlichen beschäftigt, beauftragt oder unter dessen Leitung tätig ist und dessen Namen im Blaze-Labels-System als autorisierte Nutzer erscheinen.
5.1 Zweck. Die Verarbeitung erfolgt für: (a) die Erstellung gedruckter Lebensmittelzubereitungsetiketten für Lebensmittelsicherheit und Rückverfolgbarkeit; (b) die Führung eines Druck-Audit-Protokolls zum Nachweis der Einhaltung von Lebensmittelsicherheitsvorschriften; (c) die Ermöglichung der Überprüfung des Druckverlaufs und der Untersuchung von Vorfällen im Bereich der Lebensmittelsicherheit durch autorisierte Vorgesetzte.
5.2 Dauer. Die Verarbeitung dauert für die Laufzeit des Abonnements an. Druckprotokolldatensätze werden zwei (2) Jahre ab dem Datum des Druckereignisses aufbewahrt und anschliessend automatisch und dauerhaft gelöscht.
5.3 Beendigung. Nach Beendigung löscht oder gibt EGS nach Wahl des Verantwortlichen innerhalb von 30 Tagen sämtliche personenbezogenen Daten zurück, ausser soweit eine Aufbewahrung gesetzlich vorgeschrieben ist.
EGS verarbeitet personenbezogene Daten nur nach dokumentierten Weisungen des Verantwortlichen. EGS informiert den Verantwortlichen, falls eine Weisung gegen das Datenschutzrecht verstossen würde.
EGS stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, einer verbindlichen Vertraulichkeitspflicht unterliegen. Der Zugang ist auf Personal beschränkt, das ihn zur Erfüllung seiner Aufgaben benötigt.
EGS setzt die in Anlage 1 festgelegten Massnahmen um und hält sie aufrecht. Diese werden mindestens jährlich überprüft.
EGS wird ohne 30 Tage vorherige schriftliche Ankündigung an den Verantwortlichen keinen neuen Unterauftragsverarbeiter beiziehen. Der Verantwortliche erteilt hiermit eine vorherige allgemeine Genehmigung für die in Anlage 2 aufgeführten Unterauftragsverarbeiter. EGS legt allen Unterauftragsverarbeitern gleichwertige datenschutzrechtliche Pflichten auf und bleibt für deren Leistung vollumfänglich verantwortlich.
EGS unterstützt den Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). EGS leitet direkte Anfragen betroffener Personen umgehend an den Verantwortlichen weiter, ohne selbst direkt zu antworten.
EGS unterstützt bei: der Sicherheit der Verarbeitung (Art. 32); Datenschutz-Folgenabschätzungen (Art. 35); vorheriger Konsultation (Art. 36); und der Meldung von Sicherheitsvorfällen. EGS benachrichtigt den Verantwortlichen ohne unangemessene Verzögerung und innerhalb von 72 Stunden, nachdem EGS Kenntnis von einem Sicherheitsvorfall erlangt hat, der dessen personenbezogene Daten betrifft, und stellt dabei folgende Angaben bereit: Art des Vorfalls, ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Massnahmen.
Druckprotokolldatensätze werden nach Ablauf der zweijährigen Aufbewahrungsfrist automatisch gelöscht. Der Verantwortliche kann jederzeit eine vorzeitige Löschung beantragen — EGS wird dies innerhalb von 30 Tagen umsetzen und schriftlich bestätigen. Eine auf Anfrage vorgenommene Löschung ist eine endgültige Löschung (nicht wiederherstellbar).
EGS stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung notwendig sind, und gestattet Audits durch den Verantwortlichen oder dessen beauftragten Prüfer, vorbehaltlich: 30 Tage schriftlicher Vorankündigung; üblicher Geschäftszeiten; Kostentragung des Audits durch den Verantwortlichen; Bindung des Prüfers an eine Vertraulichkeitspflicht. EGS kann die Auditpflicht anstelle einer Vor-Ort-Prüfung durch Vorlage aktueller ISO-27001- oder SOC-2-Zertifizierungsberichte erfüllen.
7.1 Rechtsgrundlage. Der Verantwortliche sichert zu, dass er über eine geeignete Rechtsgrundlage für die Verarbeitung personenbezogener Daten des Personals verfügt und diese aufrechterhält, einschliesslich, soweit erforderlich, der Einholung von Einwilligungen oder der Erteilung von Hinweisen an betroffene Personen.
7.2 Information des Personals. Der Verantwortliche stellt sicher, dass betroffene Personen im Einklang mit Art. 13–14 DSGVO (oder gleichwertigen Bestimmungen) über die in dieser Vereinbarung beschriebene Verarbeitung informiert werden. Dies umfasst die Bereitstellung oder den Aushang eines Datenschutzhinweises für das Personal — eine Vorlage ist auf Anfrage bei EGS oder unter blaze.calcmenu.io/privacy erhältlich.
7.3 Richtigkeit. Der Verantwortliche ist für die Richtigkeit der in den Dienst eingegebenen personenbezogenen Daten verantwortlich. EGS haftet nicht für Fehler bei vom Verantwortlichen bereitgestellten Daten.
EGS benachrichtigt den Verantwortlichen schriftlich mindestens 30 Tage vor der Hinzufügung, Ersetzung oder Entfernung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb von 20 Tagen aus vertretbaren datenschutzrechtlichen Gründen widersprechen. Können sich die Parteien nicht über den Widerspruch einigen und beeinträchtigt die Änderung die Compliance-Pflichten des Verantwortlichen wesentlich, kann der Verantwortliche den betroffenen Dienst mit 30 Tagen Frist ohne Vertragsstrafe kündigen.
9.1 Speicherort. Sämtliche im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten werden auf Supabase-Infrastruktur in Zürich, Schweiz (AWS eu-central-2) gespeichert. EGS ist ebenfalls in der Schweiz niedergelassen. Die Verarbeitung findet im gewöhnlichen Betrieb somit vollständig innerhalb der Schweiz statt.
9.2 Angemessenheit — Übermittlungen aus dem EWR. Die Schweiz profitiert von einem Angemessenheitsbeschluss der Europäischen Kommission (Beschluss 2000/518/EG vom 26. Juli 2000, zuletzt im Rahmen der Überprüfung der Kommission vom 15. Januar 2024 bestätigt). Übermittlungen aus dem EWR an den Dienst erfordern keine Standardvertragsklauseln oder sonstige Übermittlungsgarantien.
9.3 Angemessenheit — Übermittlungen aus dem Vereinigten Königreich. Das Vereinigte Königreich erkennt die Schweiz weiterhin als Land mit angemessenem Schutzniveau an; die vor dem Brexit ergangene EU-Angemessenheitsentscheidung gilt als retained law nach dem Data Protection Act 2018 fort. Übermittlungen vom Vereinigten Königreich an den Dienst erfordern weder das IDTA noch das britische Addendum.
9.4 Garantien für Unterauftragsverarbeiter. Supabase, Inc. ist ein in den USA ansässiges Unternehmen, dessen Support-Personal auf die in der Schweiz gehostete Umgebung nach dem Grundsatz der Kenntnis nur bei Bedarf ("need-to-know") zugreifen kann. EGS hat den Auftragsverarbeitungsvertrag von Supabase akzeptiert, der die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der Kommission) und das britische Addendum für jeden derartigen Zugriff einbezieht, zusammen mit der Transfer Impact Assessment von Supabase.
9.5 Künftige Übermittlungen. Sollte eine weitere Übermittlung ausserhalb der Schweiz, des EWR oder des Vereinigten Königreichs erforderlich werden, setzt EGS vor der Übermittlung einen geeigneten Übermittlungsmechanismus um (Angemessenheitsbeschluss, Standardvertragsklauseln mit Transfer Impact Assessment, verbindliche interne Datenschutzvorschriften oder gleichwertige Massnahme) und benachrichtigt den Verantwortlichen.
Jede Partei haftet für Schäden, die aus ihrer Verletzung dieser Vereinbarung oder des Datenschutzrechts entstehen. Die gesamte Haftung von EGS unterliegt einer allfälligen Haftungsobergrenze in der Hauptvereinbarung, ausser dass keine Partei eine nach anwendbarem Recht unzulässige Haftung ausschliesst (einschliesslich Betrug oder vorsätzlichem Fehlverhalten). Haften beide Parteien einer betroffenen Person gegenüber für denselben Schaden, wird die Haftung nach dem Grad der jeweiligen Verantwortlichkeit der Parteien aufgeteilt.
Diese Vereinbarung unterliegt Schweizer Recht (Kanton Neuchâtel), unbeschadet zwingender Bestimmungen der DSGVO oder der UK GDPR. Die Gerichte von Neuchâtel, Kanton Neuchâtel, sind ausschliesslich zuständig, vorbehaltlich zwingender Zuständigkeitsbestimmungen des Datenschutzrechts (einschliesslich des Rechts betroffener Personen, Ansprüche vor der Aufsichtsbehörde ihres gewöhnlichen Aufenthaltsorts geltend zu machen).
Diese Vereinbarung geht der Hauptvereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten geht und ein Widerspruch besteht. EGS kann diese Vereinbarung zur Berücksichtigung von Änderungen des Datenschutzrechts mit 30 Tagen schriftlicher Vorankündigung wesentlicher Änderungen anpassen; die fortgesetzte Nutzung gilt als Zustimmung. Im Falle eines Widerspruchs zwischen der englischen Fassung und einer Übersetzung geht die englische Fassung vor.
Dieser Auftragsverarbeitungsvertrag ist selbstvollziehend.
Durch die Erstellung eines Blaze-Labels-Kontos und die Verarbeitung personenbezogener Daten des Personals über den Dienst akzeptiert der Verantwortliche diesen Auftragsverarbeitungsvertrag in seiner Gesamtheit. Eine Gegenzeichnung ist für die rechtliche Verbindlichkeit dieser Fassung zwischen den Parteien nach Art. 28 Abs. 9 DSGVO, der Auftragsverarbeitungsverträge in elektronischer Form zulässt, nicht erforderlich.
Eine gegengezeichnete PDF-Fassung dieses Auftragsverarbeitungsvertrags, einschliesslich eines ausgefüllten Deckblatts zur Identifikation der Rechtsperson des Verantwortlichen, ist auf Anfrage bei legal@blazeiq.io erhältlich. EGS sendet eine unterzeichnete Kopie innerhalb von 10 Werktagen zurück.
Datum des Inkrafttretens: Der Tag, an dem der Verantwortliche den Dienst erstmals nutzt, oder das Datum des Inkrafttretens der gegengezeichneten Fassung, je nachdem, welcher Zeitpunkt früher liegt.
| Unterauftragsverarbeiter | Rechtsperson | Datenspeicherort | Verarbeitete Daten | Garantien |
|---|---|---|---|---|
| Supabase | Supabase, Inc. | Zürich, Schweiz — AWS eu-central-2 | Alle personenbezogenen Daten gemäss Ziffer 3 (Name des Personals, Lebensmittelartikel, Zeitstempel, Druckerkennungen) | Supabase-Standard-Auftragsverarbeitungsvertrag (EU-Standardvertragsklauseln + britisches Addendum); SOC 2 Typ II; ISO 27001 über AWS; Daten werden ausschliesslich innerhalb der Schweiz gehostet (EU-/UK-Angemessenheit) |
EGS hat den Auftragsverarbeitungsvertrag von Supabase akzeptiert, der Standardvertragsklauseln für jede Verarbeitung durch Supabase-Personal ausserhalb der EU/des EWR einbezieht. Eine Kopie ist auf Anfrage erhältlich (vorbehaltlich der Schwärzung wirtschaftlich vertraulicher Informationen).