Vertrag über die Auftragsbearbeitung (AV-Vertrag) – KlarDok App

nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und Art. 28 der Datenschutz-Grundverordnung (DSGVO)

zwischen

dem Unternehmen, das sich für die KlarDok App registriert bzw. es bestellt hat, mit den bei der Registrierung angegebenen Firmenangaben
(nachfolgend «Kunde»)

und

KlarDok Silva, Einzelunternehmen, Inhaber: Kevin Silva Teixeira Alves
Unterdorfstrasse 4, 9443 Widnau, Schweiz, E-Mail: info@klardok.ch
(nachfolgend «KlarDok»)

1. Gegenstand, Zweck und Dauer

1.1 KlarDok stellt dem Kunden das Web-Werkzeug «KlarDok App» zur Verfügung. Grundlage sind die AGB für die KlarDok App und die Bestellung des Kunden (zusammen «Hauptvertrag»). Dieser Vertrag regelt die Bearbeitung von Personendaten der Mitarbeitenden des Kunden, die dabei in der KlarDok App gespeichert werden.

1.2 Zweck der Bearbeitung ist ausschliesslich, dem Kunden die Einhaltung seiner sozialversicherungsrechtlichen Pflichten für Mitarbeitende mit Wohnsitz in Österreich und die Lohnverarbeitung zu erleichtern, nämlich:

• tägliche Selbsterfassung des Arbeitsorts durch die Mitarbeitenden (Büro, Homeoffice, Unterwegs, Abwesend; ohne Angabe des Grundes);
• Berechnung des Homeoffice-Anteils und Anzeige einer Ampel bzw. Warnung;
• Erinnerung vor Ablauf von A1-Bescheinigungen bzw. Ausnahmebestätigungen (nur Anzeige in der KlarDok App, keine Erinnerungs-E-Mails);
• Export für die Lohnbuchhaltung (CSV pro Monat), Export der Daten des Kunden als JSON-Datei und Import eines solchen JSON-Exports (Datenportabilität).

Eine Bearbeitung zu anderen Zwecken, insbesondere zur Leistungs- oder Verhaltenskontrolle der Mitarbeitenden, ist nicht Gegenstand dieses Vertrags (Ziff. 4.5).

1.3 Art der Bearbeitung: Erfassen, Korrigieren, Speichern, Berechnen, Anzeigen (einschliesslich Erinnerungen in der Anwendung), Versand von Anmelde- und Einladungs-E-Mails, Exportieren (CSV, JSON), Importieren (JSON-Export), Löschen.

1.4 Dieser Vertrag gilt, solange der Hauptvertrag dauert (einschliesslich der kostenlosen Testphase), und danach so lange, bis KlarDok die Daten nach Ziff. 11 gelöscht hat.

2. Daten und betroffene Personen

2.1 Betroffene Personen: Mitarbeitende des Kunden, deren Arbeitsort erfasst wird (in der Regel mit Wohnsitz in Österreich, Vorarlberg); Mitarbeitende des Kunden mit der Rolle «Inhaber» oder «Admin» (z. B. Geschäftsleitung, Personalabteilung).

2.2 Datenkategorien:

• Name, Vorname;
• geschäftliche E-Mail-Adresse;
• Wohnsitzstaat und Beschäftigungsgrad (in Prozent);
• Rolle («Inhaber», «Admin» oder «Mitarbeitende») und Status der Einladung;
• pro Arbeitstag ein Eintrag zum Arbeitsort (Büro / Homeoffice / Unterwegs / Abwesend, ohne Angabe des Grundes) mit Datum, Zeitpunkt der Erfassung und allfälliger Korrektur;
• Beginn und Ende der Gültigkeit der A1-Bescheinigung bzw. Ausnahmebestätigung;
• daraus berechnete Werte (Homeoffice-Anteil, Ampelstatus, Erinnerungsdaten);
• Sitzungsdaten (zufällige Sitzungskennung, nur als Hash gespeichert; Beginn und Ablauf der Sitzung; Zeitpunkt der letzten Anmeldung), keine IP-Adressen und keine Geräteangaben;
• zum Schutz vor Missbrauch kurzzeitig pseudonymisierte Zähler für Anmeldeversuche (HMAC von E-Mail-Adresse bzw. IP-Adresse), nach einem Tag gelöscht;
• das Protokoll nach Anhang 1.

2.3 Nicht erfasst werden: Standort- oder GPS-Daten, IP-basierte Ortung, Arbeitszeiten, Gesundheitsdaten (auch keine Gründe für Abwesenheiten), AHV- bzw. Sozialversicherungsnummern, Kopien der A1-Bescheinigungen, Passwörter. Die KlarDok App hat keine Funktion zur automatischen Ortung, keine Upload-Funktion und keine Freitextfelder.

2.4 Es werden keine besonders schützenswerten Personendaten (Art. 5 lit. c DSG) bzw. besonderen Kategorien von Daten (Art. 9 DSGVO) erfasst. Die Eingaben sind auf vorgegebene Werte und Daten beschränkt.

3. Rollen der Parteien

3.1 Der Kunde ist für die Bearbeitung verantwortlich, KlarDok bearbeitet die Daten in seinem Auftrag. Der Kunde stellt sicher, dass er die Daten erheben und KlarDok bekanntgeben darf (insbesondere Art. 328b OR bzw. das für ihn geltende Arbeitsrecht) und dass er seine Mitarbeitenden informiert hat (Art. 19 DSG, Art. 13 DSGVO). Ein Muster-Infoblatt stellt KlarDok zur Verfügung.

3.2 Der Kunde ist dafür verantwortlich, zu beurteilen, welches Datenschutzrecht auf ihn anwendbar ist (DSG; für Kunden in Liechtenstein die DSGVO und das liechtensteinische Datenschutzgesetz; bei Mitarbeitenden mit Wohnsitz in Österreich allenfalls weitere Vorschriften des österreichischen Rechts).

3.3 Konto-, Rechnungs- und Zahlungsdaten des Kunden bearbeitet KlarDok in eigener Verantwortung gemäss der Datenschutzerklärung. Sie fallen nicht unter diesen Vertrag.

4. Weisungen

4.1 KlarDok bearbeitet die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen der KlarDok App durch den Kunden. Weitere Weisungen erteilt der Kunde schriftlich oder per E-Mail an info@klardok.ch. Dies gilt auch für Bekanntgaben ins Ausland (Ziff. 8).

4.2 KlarDok verwendet die Daten nicht für eigene Zwecke, gibt sie nicht an Dritte weiter, verkauft sie nicht und verwendet sie nicht zum Training von KI-Modellen.

4.3 Hält KlarDok eine Weisung für rechtswidrig, teilt es dies dem Kunden unverzüglich mit und kann die Ausführung bis zur Klärung aussetzen.

4.4 Ist KlarDok gesetzlich oder durch eine Behörde verpflichtet, Daten herauszugeben, informiert es den Kunden vorher, soweit das Gesetz dies erlaubt.

4.5 Die KlarDok App ist kein System zur Überwachung des Verhaltens der Mitarbeitenden. Der Kunde verwendet die Daten nicht zur Leistungs- oder Verhaltenskontrolle (vgl. Art. 26 der Verordnung 3 zum Arbeitsgesetz, ArGV 3).

5. Vertraulichkeit

KlarDok behandelt die Daten vertraulich. Personen, die Zugang zu den Daten erhalten, werden vorher schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus. Zugang erhält nur, wer ihn für den Betrieb, den Support oder die Behebung von Störungen braucht.

6. Datensicherheit

KlarDok trifft angemessene technische und organisatorische Massnahmen nach Art. 8 DSG, Art. 1–3 der Datenschutzverordnung (DSV) und Art. 32 DSGVO. Die Massnahmen sind in Anhang 1 beschrieben. KlarDok kann sie anpassen, wenn das Schutzniveau dadurch nicht sinkt.

7. Unterauftragsbearbeiter

7.1 Der Kunde genehmigt die in Anhang 2 aufgeführten Unterauftragsbearbeiter (allgemeine schriftliche Genehmigung nach Art. 9 Abs. 3 DSG und Art. 28 Abs. 2 DSGVO).

7.2 Will KlarDok einen Unterauftragsbearbeiter neu beiziehen oder ersetzen, informiert es den Kunden mindestens 30 Tage vorher per E-Mail. Der Kunde kann innert dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag auf den Zeitpunkt des Wechsels kündigen; bereits bezahlte Beträge für die Restlaufzeit werden anteilig zurückerstattet.

7.3 KlarDok verpflichtet jeden Unterauftragsbearbeiter vertraglich auf Pflichten zum Datenschutz, die diesem Vertrag im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO), und bleibt gegenüber dem Kunden für ihn verantwortlich.

8. Bekanntgabe ins Ausland

8.1 Daten werden nur in Staaten bekanntgegeben, die in Anhang 2 genannt sind. Für Staaten ohne angemessenen Datenschutz nach Anhang 1 DSV bzw. ohne Angemessenheitsbeschluss der EU-Kommission stützt sich KlarDok auf geeignete Garantien nach Art. 16 Abs. 2 DSG bzw. Art. 46 DSGVO, nämlich die Standardvertragsklauseln der EU-Kommission (SCC), soweit nötig mit den vom EDÖB anerkannten Anpassungen für die Schweiz. Die Grundlage für jeden Empfänger ist in Anhang 2 angegeben.

8.2 Für Kunden in Liechtenstein: KlarDok hat Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der EU-Kommission besteht. Die Daten werden in der EU (Irland) gespeichert (Anhang 2).

9. Unterstützung des Kunden

9.1 KlarDok unterstützt den Kunden mit den Funktionen der KlarDok App (Anzeigen, Korrigieren, Exportieren als CSV oder JSON, Löschen) und auf Anfrage dabei, Gesuche betroffener Personen zu beantworten (Art. 25–32 DSG, Art. 15–22 DSGVO). Mitarbeitende können ihre eigenen Einträge selbst korrigieren. Erhält KlarDok ein Gesuch direkt, leitet es dieses unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

9.2 KlarDok stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die er für die Datensicherheit, die Meldung von Verletzungen, eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation (Art. 22–24 DSG, Art. 32–36 DSGVO) oder für Anfragen einer Aufsichtsbehörde (EDÖB, Datenschutzstelle Liechtenstein, österreichische Datenschutzbehörde) braucht.

9.3 Unterstützung, die über die Funktionen der KlarDok App hinausgeht und nicht durch ein Versäumnis von KlarDok nötig wird, kann KlarDok nach vorheriger Absprache zu einem vorher vereinbarten, angemessenen Ansatz verrechnen.

10. Verletzungen der Datensicherheit

10.1 KlarDok meldet dem Kunden jede Verletzung der Datensicherheit, welche die Daten des Kunden betrifft, unverzüglich, spätestens innert 48 Stunden nach Kenntnis (Art. 24 Abs. 3 DSG, Art. 33 Abs. 2 DSGVO), per E-Mail an die Personen mit der Rolle «Inhaber» und «Admin» des Kunden.

10.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen, getroffene und vorgeschlagene Massnahmen, Kontaktstelle. Fehlende Angaben reicht KlarDok nach, sobald sie vorliegen.

10.3 Ob die Verletzung einer Aufsichtsbehörde oder betroffenen Personen zu melden ist, entscheidet der Kunde. Für Kunden, die der DSGVO unterstehen, gilt die Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO. KlarDok unterstützt den Kunden dabei.

11. Rückgabe und Löschung

11.1 Der Kunde kann seine Daten jederzeit über die Exportfunktion herunterladen (Personen mit der Rolle «Inhaber» oder «Admin»), als CSV (pro Monat) und als JSON-Datei in einem maschinenlesbaren Format. Einen JSON-Export kann er wieder in die KlarDok App importieren.

11.2 Einträge bleiben gespeichert, bis der Kunde sie löscht. Das Protokoll zu einem Eintrag bzw. einer Person wird so lange aufbewahrt wie der Eintrag bzw. die Person und mit ihr gelöscht; Protokolleinträge zum Kundenkonto werden mit dem Kundenkonto gelöscht.

11.3 Nach Ende des Hauptvertrags stehen die Daten dem Kunden noch 30 Tage für den Export als CSV oder JSON zur Verfügung; die Rückgabe der Daten erfolgt über diesen Export. Danach löscht KlarDok sie, ausser eine gesetzliche Pflicht verlangt eine längere Aufbewahrung. Endet die kostenlose Testphase, ohne dass der Kunde ein kostenpflichtiges Abonnement abgeschlossen hat, gilt dies ab Ende der Testphase (Ziff. 5.4 der AGB). Solange KlarDok kein kostenpflichtiges Abonnement anbietet, verlängert sich die Testphase (Ziff. 5.2 der AGB), und es erfolgt keine Löschung wegen Ablaufs der Testphase; schliesst der Kunde innert dieser 30 Tage ein Abonnement ab, werden die Daten nicht gelöscht. Datensicherungen werden im ordentlichen Zyklus überschrieben, spätestens nach 30 Tagen.

11.4 Aufbewahrungspflichten des Kunden (z. B. für Lohn- und Sozialversicherungsunterlagen) bleiben beim Kunden. KlarDok ist kein Archiv für diese Aufbewahrung.

11.5 Auf Verlangen bestätigt KlarDok die Löschung per E-Mail.

12. Kontrollen

12.1 KlarDok stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO), insbesondere eine aktuelle Beschreibung der Massnahmen nach Anhang 1 und die Liste nach Anhang 2.

12.2 Weitergehende Kontrollen sind einmal pro Jahr oder bei begründetem Verdacht auf einen Verstoss möglich, mit einer Vorankündigung von mindestens 30 Tagen, während der üblichen Geschäftszeiten und ohne Zugang zu Daten anderer Kunden. Der Kunde kann dafür eine zur Verschwiegenheit verpflichtete Fachperson beauftragen. Die Kosten trägt der Kunde, ausser die Kontrolle ergibt einen wesentlichen Verstoss von KlarDok.

12.3 Kontrollen bei Unterauftragsbearbeitern erfolgen über deren veröffentlichte Berichte und Nachweise.

13. Haftung

Für die Haftung gilt der Hauptvertrag (Ziff. 8 der AGB für die KlarDok App). Die Haftung für Absicht und grobe Fahrlässigkeit bleibt unbeschränkt (Art. 100 Abs. 1 OR). Ansprüche betroffener Personen nach zwingendem Recht (z. B. Art. 82 DSGVO) bleiben vorbehalten.

14. Schlussbestimmungen

14.1 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz von Personendaten geht.

14.2 Soweit die DSGVO auf den Kunden anwendbar ist, gilt dieser Vertrag zugleich als Vertrag nach Art. 28 Abs. 3 DSGVO. Verweise auf das DSG gelten dann sinngemäss für die entsprechenden Bestimmungen der DSGVO; zwingende Bestimmungen der DSGVO gehen vor.

14.3 Änderungen dieses Vertrags bedürfen der Schrift- oder Textform; eine E-Mail mit Bestätigung beider Parteien genügt. Ziff. 7.2 bleibt vorbehalten.

14.4 Sollte eine Bestimmung unwirksam sein, bleibt der Rest des Vertrags gültig.

14.5 Es gilt Schweizer Recht. Ausschliesslicher Gerichtsstand ist der Sitz von KlarDok Silva in Widnau (SG), Schweiz, auch für Kunden mit Sitz in Liechtenstein. Zwingende Zuständigkeiten zugunsten betroffener Personen (z. B. Art. 79 DSGVO) bleiben vorbehalten.

14.6 Vertragsschluss. Dieser Vertrag wird elektronisch abgeschlossen, indem der Kunde ihn bei der Registrierung bzw. im Bestellprozess ausdrücklich akzeptiert. KlarDok speichert Zeitpunkt und Version der Annahme. Die elektronische Form genügt (Art. 9 DSG; Art. 28 Abs. 9 DSGVO). Alternativ können die Parteien den Vertrag unterzeichnen (unten).

Unterschriften (optional, alternativ zur elektronischen Annahme nach Ziff. 14.6)

Kunde

Firma: ______________________

Ort, Datum: ______________________

______________________________
Name, Funktion

KlarDok Silva

Ort, Datum: ______________________

______________________________
Kevin Silva Teixeira Alves, Inhaber

---

Anhang 1: Technische und organisatorische Massnahmen (Art. 8 DSG, Art. 1–3 DSV, Art. 32 DSGVO)

Bereich	Massnahme
Datensparsamkeit	Nur die Felder nach Ziff. 2.2. Keine Ortung (kein GPS, keine IP-basierte Standortbestimmung), keine Arbeitszeiten, keine Gesundheitsdaten, keine Uploads, keine Freitextfelder. Pro Tag ein einziger, von der mitarbeitenden Person selbst gesetzter Wert aus vier vorgegebenen Werten (Büro, Homeoffice, Unterwegs, Abwesend).
Verschlüsselung	Übertragung ausschliesslich über HTTPS/TLS. Verschlüsselung der gespeicherten Daten durch den Datenbankanbieter (Supabase, at rest).
Anmeldung	Keine Passwörter. Anmeldung nur über einen einmal verwendbaren Link per E-Mail, 15 Minuten gültig. Anmelde- und Einladungslinks sowie Sitzungskennungen werden nur als Hash gespeichert. Anmeldeversuche sind zahlenmässig begrenzt. Einladungslinks für neue Mitarbeitende sind 72 Stunden gültig und nur einmal verwendbar; Personen mit der Rolle «Inhaber» oder «Admin» können sie widerrufen und neu senden. Anmelde- und Einladungs-Mails werden mit der Absenderadresse noreply@klardok.ch über den Versanddienst Resend versendet; KlarDok behält davon keine Kopie. Öffnungs- und Klick-Tracking ist ausgeschaltet. E-Mails zum Vertrag an Personen mit der Rolle «Inhaber» (Verfügbarkeit des Abonnements, Erinnerung vor Ende der Testphase, Preis- und AGB-Änderungen) versendet die Anwendung ebenfalls selbst über Resend, nicht über Stripe; von diesen Mitteilungen zum Vertrag speichert die Anwendung als Nachweis den vollständigen Text mit Zeitpunkt, Empfänger und Message-ID in der Datenbank. Antworten an noreply@klardok.ch werden nicht gelesen; Kontakt über info@klardok.ch. Sie betreffen Kontodaten nach Ziff. 3.3 (eigene Bearbeitung von KlarDok). Erinnerungen zu A1-Fristen werden nicht per E-Mail versendet.
Sitzungen	Sitzungs-Cookie mit den Attributen HttpOnly und Secure; es werden keine IP-Adressen und keine Geräteangaben zur Sitzung gespeichert. Mitarbeitende: 30 Tage, bei Nutzung verlängert, höchstens 90 Tage. «Inhaber» und «Admin»: 12 Stunden. Schaltflächen «Abmelden» und «Auf allen Geräten abmelden». Entfernen einer Person sowie Änderung ihrer Login-E-Mail-Adresse (auch durch die Person selbst) oder Rolle beenden alle ihre Sitzungen; danach ist eine neue Anmeldung nötig.
Rollen	Drei Rollen. «Mitarbeitende»: Erfassung und Korrektur der eigenen Einträge. «Admin»: Verwaltung der Mitarbeitenden, Einladungen, A1-Fristen, Export und Import (CSV, JSON); Änderung der Login-E-Mail-Adresse und Beenden der Sitzungen nur bei Personen mit der Rolle «Mitarbeitende». «Inhaber»: gleiche Rechte wie «Admin», zusätzlich Verwaltung von Abonnement und Zahlung, Änderung des Firmennamens, Ernennen und Entfernen von Admins, Änderung der Login-E-Mail-Adresse von Admins und anderen Inhabern, Beenden ihrer Sitzungen sowie Löschen des gesamten Kundenkontos. Admins können bei anderen Admins und bei Personen mit der Rolle «Inhaber» weder die Login-E-Mail-Adresse ändern noch Sitzungen beenden und können Inhaber auch nicht bearbeiten oder entfernen. Export und Import nur für «Inhaber» und «Admin», nicht für «Mitarbeitende». Jede Person kann ihre eigene Login-E-Mail-Adresse ändern; danach enden alle ihre Sitzungen. Jedes Kundenkonto hat stets mindestens eine Person mit der Rolle «Inhaber» (serverseitig und in der Datenbank erzwungen). Die Inhaber sind beim Kunden dafür verantwortlich, dass die Zugänge korrekt sind (AGB Ziff. 4.4).
Trennung der Kunden	Jeder Datensatz ist einem Kunden zugeordnet. Jede Abfrage prüft serverseitig, ob die angemeldete Person zu diesem Kunden gehört; die Kennung wird nie aus Angaben des Browsers übernommen.
Administrativer Zugang	Zugang zu Hosting, Datenbank, Code-Verwaltung und Zahlungsdienst nur für den Inhaber bzw. die von ihm beauftragten, nach Ziff. 5 zur Vertraulichkeit verpflichteten Personen, jeweils mit Zwei-Faktor-Authentifizierung. Zugangsschlüssel nur in geschützten Umgebungsvariablen, nicht im Code.
Zugriff auf Kundendaten	Nur wenn für Support oder Störungsbehebung nötig, möglichst mit Zustimmung des Kunden.
Entwicklung und Tests	Nur mit erfundenen Testdaten. Kundendaten werden nicht in Entwicklungs-, Test- oder KI-Werkzeuge kopiert.
Protokoll	Jede Änderung eines Eintrags wird protokolliert (wer, wann, alter und neuer Wert), ebenso Änderungen an Personen, A1-Daten, Konten, Rollen, Einladungen und Sitzungen sowie Exporte und Importe. Aufbewahrung nach Ziff. 11.2. Der Kunde kann das Protokoll einsehen. Zusätzlich protokolliert KlarDok in eigener Verantwortung (Kontodaten, Ziff. 3.3), welche Person mit der Rolle «Inhaber» welche Mitteilung zum Vertrag (Verfügbarkeit des Abonnements, Erinnerung vor Ende der Testphase, Preis- und AGB-Änderungen) mit welchem Inhalt wann erhalten hat; diese Nachweise werden 10 Jahre aufbewahrt, auch nach Löschung des Kundenkontos, und enthalten keine Einträge zum Arbeitsort. Anwendungslogs enthalten keine Inhalte der Einträge.
Verfügbarkeit	Tägliche Datensicherung beim Datenbankanbieter; Sicherungen werden spätestens nach 30 Tagen überschrieben. Die Wiederherstellung wird regelmässig getestet.
Löschung	Löschung von Einträgen durch den Kunden; Löschung aller Daten 30 Tage nach Vertragsende bzw. nach Ende der Testphase ohne Abonnement (Ziff. 11.3); Letzteres erst, wenn KlarDok das kostenpflichtige Abonnement anbietet (AGB Ziff. 5.2).
Software-Pflege	Regelmässige Aktualisierung von Abhängigkeiten; Sicherheitsupdates werden zeitnah eingespielt.
Vorfälle	Eindämmen, Ursache klären, Kunden nach Ziff. 10 informieren, dokumentieren.
Personen	Vertraulichkeitsverpflichtung nach Ziff. 5 für alle Personen mit Zugang.

Anhang 2: Unterauftragsbearbeiter

Unterauftragsbearbeiter	Leistung	Speicherort / Land	Grundlage (Art. 16 DSG / Kap. V DSGVO)
Supabase Inc. (USA)	Datenbank: Speicherung aller Daten nach Ziff. 2.2, Datensicherung	Irland (EU), Region Dublin (AWS eu-west-1). Ein Zugriff durch Supabase Inc. aus den USA (z. B. Betrieb, Support) ist möglich.	Irland (EU): Staat mit angemessenem Datenschutz (Anhang 1 DSV); USA (möglicher Zugriff): Standardvertragsklauseln (SCC) im Data Processing Addendum von Supabase
Vercel Inc., San Francisco (USA)	Hosting der Anwendung und der Server-Funktionen	Server-Funktionen in der Region Frankfurt, Deutschland (EU, «fra1»); statische Inhalte über das weltweite CDN von Vercel. Kundendaten werden bei Vercel nicht dauerhaft gespeichert, sondern nur während einer Anfrage verarbeitet. Anwendungslogs enthalten keine Inhalte der Einträge.	Deutschland: Angemessenheit gemäss Anhang 1 DSV; USA (möglicher Zugriff): Standardvertragsklauseln (SCC) im Data Processing Addendum von Vercel
Resend (Plus Five Five, Inc., San Francisco, USA)	Versand der Login- und Einladungs-Mails mit der Absenderadresse noreply@klardok.ch; Inhalt: E-Mail-Adresse, gegebenenfalls Name der Person und Firma des Kunden, Anmelde- bzw. Einladungslink, keine Einträge zum Arbeitsort. Öffnungs- und Klick-Tracking ausgeschaltet. Über denselben Weg versendet KlarDok die E-Mails zum Vertrag an Personen mit der Rolle «Inhaber» (eigene Bearbeitung von KlarDok nach Ziff. 3.3). Resend speichert die versendeten E-Mails nur kurzfristig und löscht sie spätestens 90 Tage nach Vertragsende.	Versand über die Region Irland (EU, AWS eu-west-1); Zugriff durch Resend aus den USA möglich	Irland: Angemessenheit gemäss Anhang 1 DSV; USA: Standardvertragsklauseln (SCC) im Data Processing Addendum von Resend

Stripe (Stripe Payments Europe, Ltd., Irland) wickelt nur die Zahlungen des Kunden ab, erst ab Wahl des kostenpflichtigen Abonnements, versendet keine E-Mails im Auftrag von KlarDok und erhält keine Daten von Mitarbeitenden. Stripe ist deshalb nicht Unterauftragsbearbeiter nach diesem Vertrag (siehe Ziff. 3.3).