Auftragsverarbeitungsvertrag (AVV) — MailFlow-Anhang

Der Kunde ist Verantwortlicher im Sinne des Schweizer DSG und — soweit anwendbar — der EU-DSGVO für die über MailFlow verarbeiteten personenbezogenen Daten seiner Organisation, Mitarbeitenden, Kunden und Kommunikationspartner.

Die Leftclick AG ist Auftragsverarbeiterin für die Verarbeitung, die zur Bereitstellung von MailFlow erforderlich ist (Hosting, Betrieb, Support, konfigurierte Automatisierung, KI-Funktionen gemäss Kundeneinstellungen).

Microsoft 365 / Exchange Online verbleibt in der Regel beim Kunden bzw. Microsoft als eigenständiger Anbieter; MailFlow greift über vom Kunden autorisierte Schnittstellen (Microsoft Graph) auf Postfachdaten zu.

Betroffene Personen: Mitarbeitende und Beauftragte des Kunden, Geschäftskontakte, Newsletter-Abonnenten, Support-Anfragende und sonstige Personen, deren Daten in verbundenen Postfächern vorkommen.

Kategorien personenbezogener Daten: E-Mail-Adressen, Anzeigenamen, Betreffzeilen und Nachrichteninhalte (Text/HTML), Anhänge und Metadaten (Zeitstempel, Absender/Empfänger, Thread-IDs, Ordner, Kategorien/Tags), Kalender- und Abwesenheitsbezüge soweit aktiviert, Konfigurationsdaten (Workflows, Regeln, Signaturen), Protokolle zu Verarbeitungsschritten, KI-Klassifikationen und -Vorschläge, Nutzer- und Mandanteneinstellungen, Abrechnungs- und Vertragsdaten des Kunden.

Besondere Kategorien nach Art. 9 DSGVO werden vom Kunden nur verarbeitet, wenn er hierfür eine Rechtsgrundlage hat; die Auftragsverarbeiterin verarbeitet solche Inhalte nicht gezielt, kann sie aber technisch in E-Mails erhalten.

Zwecke: Bereitstellung und Betrieb von MailFlow als SaaS, Postfach-Anbindung, Workflow- und Regelausführung, Spam-/Bedrohungserkennung, KI-gestützte Klassifikation und Assistentenfunktionen, OCR/Dokumentenklassifikation soweit gebucht, Terminplanung/Abwesenheiten soweit aktiviert, Fehleranalyse, Sicherheit, Abrechnung und Vertragserfüllung.

Art der Verarbeitung: Erheben, Speichern, Strukturieren, Auslesen, Übermitteln an autorisierte Subprocessor, Analysieren (regelbasiert und KI), Löschen nach konfigurierten Fristen. Vollständige E-Mail-Inhalte werden nicht dauerhaft in der MailFlow-Datenbank archiviert, sofern nicht ausdrücklich anders dokumentiert; Verarbeitung erfolgt primär transitiv über Microsoft Graph.

Die Auftragsverarbeiterin verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen, die sich aus dem Vertrag, diesen Dokumenten, der Konfiguration in MailFlow und dokumentierten Support-Anweisungen ergibt.

Personen mit Zugang zu Produktionssystemen sind zur Vertraulichkeit verpflichtet und erhalten Zugang nur nach dem Need-to-know-Prinzip.

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsbearbeitern gemäss der aktuellen MailFlow-Subprocessor-Liste. Wesentliche Änderungen (neuer Subprocessor oder neues Drittland) werden mit einer Ankündigungsfrist von mindestens 30 Tagen mitgeteilt; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den betroffenen MailFlow-Vertrag kündigen.

Die Auftragsverarbeiterin stellt sicher, dass Unterauftragsbearbeiter mindestens gleichwertige Schutzpflichten übernehmen (AVV-Kette).

• Aktuelle Liste: siehe /legal/subprocessors

Primäres Hosting der MailFlow-Anwendung und zugehöriger Infrastruktur: Rechenzentren der Hetzner Online GmbH in der Europäischen Union (derzeit Deutschland/Finnland je nach Cluster).

Datenbank- und Plattformkomponenten (Supabase-Stack) werden auf der vom Betreiber kontrollierten Infrastruktur bei Hetzner betrieben; Speicherort der produktiven Instanz ist die EU.

KI-Verarbeitung: Microsoft Azure OpenAI Service, Region Sweden Central (EU/EWR), für Inferenz von Prompts und Antworten; Kundendaten werden ohne ausdrückliche schriftliche Vereinbarung nicht zum Training von Modellen der Auftragsverarbeiterin oder Microsoft verwendet.

Microsoft Graph: Zugriff auf Postfächer in der vom Kunden gewählten Microsoft-365-Region.

Soweit eine Übermittlung in Drittländer ohne angemessenes Schutzniveau erforderlich ist, werden EU-Standardvertragsklauseln (SCC) oder gleichwertige Garantien gemäss DSGVO/DSG vereinbart und im Leftclick-AVV geregelt.

Die Auftragsverarbeiterin implementiert angemessene TOM gemäss Art. 8 DSG bzw. Art. 32 DSGVO. Eine Zusammenfassung der für MailFlow relevanten Massnahmen findet sich unter /legal/toms.

Massnahmen umfassen u. a. Verschlüsselung sensibler Felder pro Mandant (DEK/KEK), TLS für Transport, Zugriffskontrolle, Protokollierung, Backups, Schwachstellenmanagement und Incident-Prozesse.

KI-Funktionen dienen Klassifikation, Vorschlägen, Assistenten und OCR; Ergebnisse sind probabilistisch. Der Verantwortliche konfiguriert, ob Vorschläge nur angezeigt oder automatisiert ausgeführt werden.

Prompts und relevante Kontextausschnitte können an Azure OpenAI (Sweden Central) übermittelt werden. Protokolle zu Anfragen und Fehlern werden für begrenzte Zeit gespeichert (siehe TOMs/Löschfristen).

Kein Training mit Kundendaten oder E-Mail-Inhalten für allgemeine Modelle ohne ausdrückliche schriftliche Vereinbarung.

Die Auftragsverarbeiterin informiert den Verantwortlichen ohne unangemessene Verzögerung, nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit MailFlow, spätestens innerhalb von 72 Stunden, soweit zumutbar.

Die Meldung enthält verfügbare Informationen zu Art der Verletzung, betroffenen Datenkategorien, wahrscheinlichen Folgen und ergriffenen Massnahmen. Der Verantwortliche bleibt für Meldungen an Aufsichtsbehörden und betroffene Personen verantwortlich.

Die Auftragsverarbeiterin unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit), soweit technisch möglich und vertraglich vereinbart.

Anfragen an info@leftclick.ch werden innerhalb angemessener Frist bearbeitet.

Während der Vertragslaufzeit werden Daten nur so lange gespeichert, wie für die Zwecke erforderlich oder der Kunde konfiguriert hat.

Nach Vertragsende: Export der konfigurierbaren Mandantendaten über MailFlow oder auf Anfrage für 60 Tage, soweit technisch verfügbar. Danach Löschung oder Anonymisierung in Produktionssystemen gemäss dokumentierten Fristen, ausgenommen gesetzliche Aufbewahrungspflichten der Auftragsverarbeiterin (z. B. Rechnungsbelege).

Der Verantwortliche ist für Archivierung seiner E-Mail-Bestände in Microsoft 365 selbst verantwortlich.

Der Verantwortliche kann angemessene Nachweise zur Einhaltung dieses Anhangs anfordern (z. B. TOMs, Subprocessor-Liste, Zertifizierungen sofern vorhanden). Vor-Ort-Audits nur nach vorheriger Abstimmung, in angemessenem Umfang und zu Lasten des Verantwortlichen, höchstens einmal jährlich.

Dieser Anhang gilt für die Dauer der MailFlow-Nutzung und endet mit Beendigung aller Verarbeitung durch die Auftragsverarbeiterin, vorbehältlich Lösch-/Aufbewahrungsfristen in Ziff. 11.