Ergänzung zum Vertrag über die Auftragsbearbeitung: Modul «Stellenmeldepflicht-Wächter»

A. Ergänzung Ziff. 2 (Daten und betroffene Personen)

2.x Modul «Stellenmeldepflicht-Wächter». Nutzt der Kunde das Modul, bearbeitet KlarDok zusätzlich:

• Betroffene Personen: Personen mit der Rolle «Inhaber» oder «Admin» beim Kunden (Erfassung, Bestätigungen, Protokoll); allenfalls Personen, die der Kunde in Stellentitel oder Inseratstext nennt.
• Daten: Stellendaten (Stellentitel, Inseratstext, Arbeitsort, Pensum, Stellenantritt, Befristung, kurzer Einsatz, Personalverleih ja/nein, Einsatzbetrieb, AVAM-Berufscode, Job-Room-Stellennummer); Einschätzung (Vorschlag, Listenjahr, bestätigte Einordnung, CH-ISCO-19-Code und Berufsart, Ausnahmen als Schlüssel, Meldeart, Aufschaltungsdatum, Ende der Sperrfrist laut RAV/Job-Room, Rückmeldung an RAV erledigt ja/nein mit Datum); Benutzerkennung und Zeitpunkt von Erfassung, Einordnung, Ausnahmen und Meldung; Firmentyp; Protokolleinträge des Moduls (Zeitpunkt, Benutzerkennung, E-Mail-Adresse, Ereignis, Stellentitel, alter und neuer Wert).
• Nicht umfasst: Daten von Bewerberinnen, Bewerbern und Stellensuchenden (insbesondere RAV-Dossiers, Namen, Lebensläufe, Rückmeldungen je Person) und die Kontaktdaten der Inserat-Vorschau (diese werden nur zur Anzeige verarbeitet, nicht gespeichert). Der Kunde erfasst Daten von Bewerbenden auch nicht in Freitextfeldern. Werden sie dennoch erfasst, ist dies keine Weisung im Sinne dieses Vertrags; KlarDok darf sie nach Rücksprache löschen.
• Eigene Bearbeitung von KlarDok (nicht Auftragsbearbeitung): Annahme der Zusatzbedingungen, Testphase, Abo und Mitteilungen zum Vertrag an Personen mit der Rolle «Inhaber», einschliesslich der Mitteilung vor automatischer Löschung eines pausierten Kontos (vollständig gespeichert, 10 Jahre; wie Ziff. 3.3).
• Zweck: Abgleich mit der Liste der meldepflichtigen Berufsarten, Vorbereitung des Inserats, Sperrfrist-Berechnung, Nachweis des Kunden (Protokoll).
• Keine Übermittlung an Behörden durch KlarDok; die Job-Room-Schnittstelle ist nicht aktiv.

B. Ergänzung Ziff. 11 (Rückgabe und Löschung), neuer Absatz

11.x Moduldaten. Die Moduldaten sind Nachweise des Kunden. Abweichend von Ziff. 11.3 werden sie auf Weisung des Kunden während der Dauer des Moduls und 3 Jahre nach dessen Ende aufbewahrt (Nachweis gegenüber den kantonalen Kontrollbehörden; Verfolgungsverjährung für Übertretungen nach Art. 109 StGB) und danach automatisch gelöscht; die Protokolleinträge des Moduls sind von der allgemeinen Löschfrist des Protokolls ausgenommen. Diese Aufbewahrung gilt nur, solange das Kundenkonto besteht. Löscht der Kunde das ganze Kundenkonto, werden die Moduldaten sofort mitgelöscht, nach einem deutlichen Hinweis mit Empfehlung und Angebot des Exports (freiwillig). Vor der automatischen Löschung eines pausierten Kundenkontos informiert KlarDok die Personen mit der Rolle «Inhaber» mindestens 30 Tage vorher per E-Mail mit demselben Hinweis und einem Link zum Export; ohne diese Mitteilung wird ein Konto mit Moduldaten nicht automatisch gelöscht. Der Kunde kann einzelne Stellen jederzeit löschen und eine frühere Löschung verlangen. Personen mit der Rolle «Inhaber» oder «Admin» können die Moduldaten jederzeit als JSON-Datei (maschinenlesbar) exportieren, auch bei pausiertem Konto; jeder Export wird protokolliert.

C. Ergänzung Anhang 1 (Technische und organisatorische Massnahmen)

Bereich	Massnahme
Datensparsamkeit (Modul)	Nur die Felder nach Ziff. 2.x. Keine Felder, Tabellen oder Uploads für Daten von Bewerbenden; die Schnittstellen des Moduls sind strikt und weisen zusätzliche Felder ab. Kontaktdaten der Inserat-Vorschau werden nicht gespeichert. Jedes Freitextfeld (Stellentitel, Inseratstext bis 10 000 Zeichen, Kontaktfelder der Vorschau) zeigt den Hinweis, keine Daten von Bewerbenden einzutragen. Ausnahmen nur als Schlüssel, ohne Namen.
Rollen (Modul)	Zugriff nur für «Inhaber» und «Admin»; Aktivieren und Beenden des Moduls nur «Inhaber». «Mitarbeitende» ohne Zugriff. Serverseitig geprüft.
Bestätigungspflicht	Einordnung, Ausnahmen und Meldung werden nur mit ausdrücklichem Bestätigungs-Häkchen wirksam; gespeichert werden bestätigende Person und Zeitpunkt.
Protokoll (Modul)	Zwölf Ereignisarten: Modul aktiviert, Modul beendet, Stelle erfasst, Einordnung bestätigt, Ausnahme bestätigt, Meldung bestätigt, Rückmeldung an RAV, Stelle gelöscht, Firmentyp geändert, Export der Moduldaten, Erinnerung Testphase versandt, Erinnerung Verlängerung versandt; jeweils mit Zeitpunkt, Benutzerkennung, E-Mail-Adresse, Stellentitel bzw. Betreff, alter und neuer Wert. Der Kunde kann das Protokoll einsehen.
Listenversion	Jede Einschätzung speichert das Jahr der verwendeten Liste.
Aufbewahrung (Modul)	Dauer des Moduls plus 3 Jahre, danach automatische tägliche Löschung, nur solange das Kundenkonto besteht. Löschung des Kundenkontos nur nach Warnhinweis mit Export-Angebot; automatische Löschung pausierter Konten nur nach E-Mail mindestens 30 Tage vorher mit Export-Link. Datensicherungen spätestens nach 30 Tagen überschrieben.
Export	JSON-Datei, nur für «Inhaber» und «Admin», auch bei pausiertem Konto; jeder Export wird protokolliert.
Schnittstelle Job-Room	Nicht aktiv (technisch abgeschaltet); es werden keine Daten an Job-Room oder das SECO übermittelt.

D. Ergänzung Anhang 2 (Unterauftragsbearbeiter)

Keine neuen Unterauftragsbearbeiter. In der Spalte «Leistung» wird ergänzt:

• Supabase: «… sowie Daten des Moduls ‹Stellenmeldepflicht-Wächter› nach Ziff. 2.x»;
• Vercel: «… einschliesslich Modul ‹Stellenmeldepflicht-Wächter› (auch Verarbeitung der Inserat-Vorschau ohne Speicherung)»;
• Resend: «… sowie Mitteilungen zum Vertrag des Moduls an Personen mit der Rolle ‹Inhaber› (Erinnerungen vor Ende der Testphase und vor Verlängerung, Mitteilung vor automatischer Löschung; eigene Bearbeitung von KlarDok; keine Stellen- oder Kandidatendaten)».

Das SECO bzw. Job-Room wäre bei einer späteren direkten Anbindung kein Unterauftragsbearbeiter, sondern Empfänger der Meldung des Kunden; dies wird bei Aktivierung geregelt.

E. Verzeichnis der Bearbeitungstätigkeiten

Verzeichnis-Auftragsbearbeiter-Tracker.md, Ziff. 3 um das Modul ergänzen; Ziff. 4 (Drittländer) unverändert.