Vereinbarung zur Auftragsbearbeitung (AVV)

für TimeTrackerEasy3

Version 1.0 Stand: August 2026

zwischen

Khan Digital Solutions Saatlenzelg 25 8050 Zürich Schweiz UID CHE-465.769.042

nachfolgend «Khan Digital Solutions» oder «Auftragsbearbeiter»

und

dem jeweiligen Kunden von TimeTrackerEasy3

nachfolgend «Kunde» oder «Verantwortlicher».

1. Gegenstand

Diese Vereinbarung regelt die Bearbeitung von Personendaten durch Khan Digital Solutions im Auftrag des Kunden im Zusammenhang mit der Nutzung von TimeTrackerEasy3.

Sie ergänzt die Allgemeinen Geschäftsbedingungen und die jeweilige Nutzungsvereinbarung.

2. Rangfolge

Soweit diese Vereinbarung besondere Datenschutzbestimmungen enthält, gehen diese für ihren Regelungsgegenstand allgemeinen Bestimmungen der AGB vor.

Individuell schriftlich vereinbarte datenschutzrechtliche Regelungen bleiben vorbehalten.

3. Rollen der Parteien

Der Kunde entscheidet grundsätzlich über Zweck und Inhalt der Bearbeitung der von ihm in TimeTrackerEasy3 eingestellten Mitarbeiter-, Kunden-, Auftrags- und sonstigen Personendaten.

Der Kunde ist daher grundsätzlich Verantwortlicher.

Khan Digital Solutions bearbeitet diese Personendaten grundsätzlich als Auftragsbearbeiter.

Soweit Khan Digital Solutions bestimmte Daten für eigene Zwecke bearbeitet, beispielsweise für:

eigene Vertragsverwaltung
Rechnungsstellung
Buchhaltung
Durchsetzung eigener Ansprüche
eigene Sicherheitszwecke

handelt Khan Digital Solutions hinsichtlich dieser Bearbeitung als eigenständig Verantwortlicher.

4. Dauer

Diese Vereinbarung gilt für die Dauer, während der Khan Digital Solutions im Auftrag des Kunden Personendaten bearbeitet.

Sie gilt gegebenenfalls über das Vertragsende hinaus, solange noch Personendaten des Kunden in ordnungsgemäss vorgehaltenen Sicherungskopien vorhanden sind.

5. Gegenstand und Zweck der Bearbeitung

Die Bearbeitung dient insbesondere der technischen Bereitstellung von TimeTrackerEasy3 und kann umfassen:

Speicherung
Organisation
Darstellung
Berechnung
Änderung auf Weisung des Kunden
Export
Übertragung innerhalb der Anwendung
Zugriffskontrolle
Sicherung
Wiederherstellung
Löschung.

6. Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

Mitarbeitende des Kunden
ehemalige Mitarbeitende
Manager
Benutzer des Systems
Ansprechpartner des Kunden
Kunden bzw. Kontaktpersonen des Kunden
weitere Personen, deren Daten der Kunde zulässigerweise in

Freitextfeldern erfasst.

7. Kategorien von Personendaten

Die bearbeiteten Daten können insbesondere umfassen:

Identitäts- und Kontaktdaten

Name
E-Mail
Telefonnummer
Adresse
Personalnummer
Benutzerkennung.

Beschäftigungsdaten

Eintritt
Austritt
Beschäftigungsgrad
Beschäftigungsart
Sollarbeitszeit
Ferienanspruch
Beschäftigungsperioden.

Arbeitszeitdaten

Arbeitsbeginn
Arbeitsende
Tätigkeit
Arbeitszeit
Reisezeit
Werkstattzeit
Pausen
Unterbrechungen
Auftragszuordnung
Korrekturen.

Ferien- und Abwesenheitsdaten

Ferien
Krankheit
Unfall
Arztbesuch
sonstige Abwesenheiten
Zeitraum
Status
Freitextbemerkungen.

Kunden- und Auftragsdaten

Kundenname
Kontaktperson
Kontaktangaben
Adresse
Auftragsinformationen
Auftragsnotizen
Projektinformationen.

Fotos

optionales Einstempelfoto.

Technische Daten

IP-Adresse
User-Agent
Sessioninformationen
Loginereignisse
Auditinformationen
technische Logs.

8. Besonders schützenswerte Personendaten

Je nach Nutzung können Abwesenheitsdaten einen Gesundheitsbezug aufweisen.

Kunden und Benutzer werden angehalten, keine Diagnosen oder unnötigen medizinischen Informationen in TimeTrackerEasy3 zu erfassen.

TimeTrackerEasy3 bearbeitet nach aktuellem Funktionsumfang keine biometrischen Templates und führt keine automatische biometrische Identifikation durch.

9. Weisungsgebundene Bearbeitung

Khan Digital Solutions bearbeitet die vom Kunden kontrollierten Personendaten grundsätzlich nur:

zur Erbringung von TimeTrackerEasy3
entsprechend dem Vertrag
entsprechend dokumentierten Weisungen des Kunden
oder wenn eine gesetzliche Verpflichtung besteht.

Kann eine Weisung nach Auffassung von Khan Digital Solutions gegen anwendbares Datenschutzrecht verstossen, kann Khan Digital Solutions den Kunden darauf hinweisen und die Umsetzung bis zur Klärung aussetzen, soweit dies zulässig ist.

10. Verantwortlichkeit des Kunden

Der Kunde ist insbesondere verantwortlich für:

die Rechtmässigkeit der Datenbeschaffung
zulässige Bearbeitungszwecke
Information der betroffenen Personen
erforderliche Rechtsgrundlagen
arbeitsrechtliche Zulässigkeit
Datenminimierung
korrekte Benutzerberechtigungen
gesetzliche Aufbewahrung
die Rechtmässigkeit von Freitextangaben
die Entscheidung über die Foto-Funktion.

11. Vertraulichkeit

Khan Digital Solutions stellt sicher, dass Personen, die im Rahmen ihrer Tätigkeit berechtigten Zugang zu Kundendaten erhalten, diese vertraulich behandeln.

Der Zugriff ist auf das notwendige Mass zu beschränken.

12. Support

Regulärer Anwendungssupport erfolgt grundsätzlich ohne routinemässige inhaltliche Einsichtnahme in Kundendaten.

Soweit möglich erfolgt die Unterstützung per Screen-Sharing, wobei der Kunde bzw. dessen Mitarbeiter den eigenen Bildschirm steuert.

Ist ein weitergehender technischer Zugriff für einen konkreten Supportfall, einen Sicherheitsvorfall oder den Betrieb erforderlich, wird dieser auf das erforderliche Mass beschränkt.

13. Technische und organisatorische Massnahmen

Khan Digital Solutions trifft angemessene technische und organisatorische Massnahmen unter Berücksichtigung:

des Stands der Technik
der Art der Daten
des Umfangs der Bearbeitung
des Risikos für betroffene Personen
der Verhältnismässigkeit der Massnahmen.

Die wesentlichen aktuellen Massnahmen sind im Anhang «TOM» beschrieben.

14. Sicherheitsverletzungen

Erlangt Khan Digital Solutions Kenntnis von einer Verletzung der Datensicherheit, die Personendaten betrifft, welche im Auftrag des Kunden bearbeitet werden, informiert Khan Digital Solutions den Kunden ohne unangemessene Verzögerung.

Soweit verfügbar, werden insbesondere Informationen bereitgestellt über:

Art des Vorfalls
betroffene Datenkategorien
mögliche Auswirkungen
bereits ergriffene oder vorgesehene Gegenmassnahmen.

Die Entscheidung über eine gesetzlich erforderliche Meldung an eine Aufsichtsbehörde oder betroffene Personen liegt grundsätzlich beim verantwortlichen Kunden, soweit das Gesetz nichts anderes vorsieht.

15. Unterstützung bei Betroffenenrechten

Khan Digital Solutions unterstützt den Kunden im angemessenen und technisch möglichen Umfang bei der Bearbeitung von Anfragen betroffener Personen.

Dazu können insbesondere gehören:

Auskunft
Berichtigung
Löschung
Datenexport.

Erhält Khan Digital Solutions eine Anfrage, die eindeutig Kundendaten betrifft, kann die Anfrage an den jeweiligen Kunden weitergeleitet werden.

Über den normalen Leistungsumfang hinausgehender erheblicher Unterstützungsaufwand kann, soweit rechtlich zulässig und nicht von Khan Digital Solutions verursacht, nach vorgängiger Information nach Aufwand verrechnet werden.

Der aktuelle Standardstundensatz beträgt CHF 200.

16. Datenschutz-Folgenabschätzung und Behörden

Khan Digital Solutions unterstützt den Kunden im angemessenen Umfang, soweit Informationen über die von Khan Digital Solutions durchgeführte Auftragsbearbeitung benötigt werden.

Erheblicher Zusatzaufwand kann nach vorgängiger Vereinbarung separat verrechnet werden, soweit gesetzlich zulässig.

17. Unterauftragsbearbeiter

Der Kunde erteilt Khan Digital Solutions eine allgemeine Genehmigung, geeignete Unterauftragsbearbeiter einzusetzen, soweit dies für die Leistungserbringung erforderlich ist.

Khan Digital Solutions verpflichtet Unterauftragsbearbeiter im erforderlichen Umfang zu angemessenen Datenschutz- und Sicherheitsstandards.

18. Änderung von Unterauftragsbearbeitern

Beabsichtigt Khan Digital Solutions, einen wesentlichen Unterauftragsbearbeiter neu hinzuzuziehen oder auszutauschen, informiert Khan Digital Solutions den Kunden in geeigneter Form vorab.

Der Kunde kann aus wichtigen, objektiv nachvollziehbaren datenschutzrechtlichen Gründen widersprechen.

Können die Parteien keine angemessene Lösung finden, bleiben die ihnen nach Vertrag und Gesetz zustehenden Rechte vorbehalten.

19. Aktueller wesentlicher Unterauftragsbearbeiter

Zum Stand August 2026:

Infomaniak Network AG Rue Eugène Marziano 25 1227 Les Acacias (GE) Schweiz

Leistung: Hosting / Serverinfrastruktur / technische Speicherung

Mögliche Daten: Die auf der Produktivplattform gespeicherten Daten von TimeTrackerEasy3.

Land: Schweiz.

20. Externe Feiertagsdaten

TimeTrackerEasy3 kann OpenHolidays bzw. einen vergleichbaren Dienst zum Abruf öffentlicher Feiertagsinformationen verwenden.

Nach aktuellem technischen Stand werden hierfür keine Mitarbeiterstammdaten benötigt.

Der Dienst ist deshalb nicht automatisch als Auftragsbearbeiter für Mitarbeiterdaten einzuordnen.

21. Datenbekanntgabe ins Ausland

Khan Digital Solutions beabsichtigt, die zentrale Hostingverarbeitung von TimeTrackerEasy3 grundsätzlich in der Schweiz durchzuführen.

Falls eine Bekanntgabe von Personendaten in einen Staat ohne angemessenes Datenschutzniveau erforderlich wird, werden die nach anwendbarem Datenschutzrecht notwendigen Garantien und Massnahmen getroffen.

22. Einstempelfotos

Ist die Foto-Funktion auf Wunsch des Kunden aktiviert, bearbeitet Khan Digital Solutions die entsprechenden Fotos im Auftrag des Kunden.

Die reguläre aktive Aufbewahrungsdauer beträgt grundsätzlich 40 Tage.

Nach Ablauf wird die Bilddatei automatisch gelöscht.

Der Arbeitszeiteintrag selbst bleibt erhalten.

Fotos werden nicht für biometrische Gesichtserkennung verwendet.

23. GPS

Khan Digital Solutions verarbeitet über TimeTrackerEasy3 nach aktuellem Funktionsumfang keine GPS-Trackingdaten der Mitarbeitenden.

24. Datenrückgabe und Vertragsende

Nach Ende des SaaS-Vertrags wird dem Kunden grundsätzlich während 30 Tagen Gelegenheit gegeben, die über die vorhandenen Exportfunktionen verfügbaren Daten zu sichern.

Nach Ablauf dieser Frist kann Khan Digital Solutions die produktiven Mandantendaten löschen, soweit keine gesetzliche Verpflichtung zur weiteren Aufbewahrung besteht.

Der Kunde bleibt für seine gesetzliche Archivierung verantwortlich.

25. Löschung

Nach Beendigung der Verarbeitung löscht Khan Digital Solutions Auftragsdaten entsprechend:

dem Vertrag
den Weisungen des Kunden
der vorgesehenen Löschfrist
zwingenden gesetzlichen Pflichten.

Gesetzlich erforderliche eigene Geschäftsunterlagen von Khan Digital Solutions bleiben davon unberührt.

26. Kontroll- und Informationsrechte

Khan Digital Solutions stellt dem Kunden auf angemessene Anfrage diejenigen Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieser Vereinbarung nachzuweisen.

Prüfungen und Audits müssen:

verhältnismässig sein
rechtzeitig angekündigt werden
den Betrieb und die Sicherheit anderer Kunden nicht beeinträchtigen
Vertraulichkeitsinteressen berücksichtigen.

Soweit kein begründeter Sicherheitsvorfall oder wesentlicher Verstoss vorliegt, können erhebliche zusätzliche Auditaufwendungen nach vorgängiger Vereinbarung nach Aufwand verrechnet werden.

27. Verantwortungsabgrenzung

Khan Digital Solutions ist nicht verantwortlich für Datenbearbeitungen, die der Kunde ausserhalb der vertraglich vorgesehenen Funktionen oder entgegen geltendem Recht veranlasst.

Insbesondere bleibt der Kunde für arbeitsrechtliche und datenschutzrechtliche Voraussetzungen des Einsatzes von Mitarbeiterkontrollfunktionen verantwortlich.

28. Änderungen des AVV

Khan Digital Solutions kann diese Vereinbarung anpassen, wenn dies aufgrund:

gesetzlicher Entwicklungen
behördlicher Vorgaben
technischer Änderungen
Änderungen der Unterauftragsbearbeiter
Sicherheitsanforderungen

erforderlich wird.

Wesentliche Änderungen werden den betroffenen Kunden in geeigneter Form mitgeteilt.

29. Rechtswahl und Gerichtsstand

Es gilt Schweizer Recht.

Soweit gesetzlich zulässig, gilt der in den AGB vereinbarte Gerichtsstand am Sitz von Khan Digital Solutions.

30. Teilunwirksamkeit

Sollte eine Bestimmung dieses AVV unwirksam oder undurchsetzbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Die unwirksame Bestimmung ist soweit rechtlich zulässig durch eine Regelung zu ersetzen oder so auszulegen, dass sie dem ursprünglich beabsichtigten wirtschaftlichen und datenschutzrechtlichen Zweck möglichst nahekommt.

============================================================ ANHANG 1 ZUM AVV BESCHREIBUNG DER AUFTRAGSBEARBEITUNG ============================================================

Gegenstand: Bereitstellung und Betrieb von TimeTrackerEasy3.

Dauer: Dauer des SaaS-Vertrags zuzüglich Übergangs- und Löschfristen.

Zwecke:

Zeiterfassung
Mitarbeiterverwaltung
Ferien-/Absenzenverwaltung
Kunden-/Auftragsverwaltung
Rapportierung
Authentifizierung
Systemsicherheit
Support.

Betroffene Personen:

Mitarbeitende
ehemalige Mitarbeitende
Benutzer
Manager
Ansprechpartner
Kundenkontaktpersonen.

Daten:

Stammdaten
Kontaktdaten
Beschäftigungsdaten
Zeitdaten
Ferien
Absenzen
potenziell gesundheitsbezogene Abwesenheitsangaben
Kunden-/Auftragsdaten
Fotos
technische Protokolldaten.

============================================================ ANHANG 2 ZUM AVV TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN ============================================================

Khan Digital Solutions setzt nach aktuellem technischen Stand insbesondere folgende Schutzmassnahmen ein:

Zugangsschutz

individuelle Benutzerkonten
Rollen- und Berechtigungsmodell
Passwort-Hashing mit Argon2
Schutz gegen wiederholte Loginversuche
Session-basierte Authentifizierung.

Transportverschlüsselung

HTTPS/TLS
HSTS.

Browser- und Websicherheit

Secure Cookies
HttpOnly Cookies
SameSite-Schutz
CSRF-Schutz
Content Security Policy
restriktive CORS-Konfiguration
Frame-Schutz
nosniff.

Mandantentrennung

serverseitige Filterung nach Betrieb/Firma
rollenbasierte Berechtigungen
Zugriff auf Mitarbeiter- und Firmendaten nach Mandant.

Datenbank

PostgreSQL
keine direkte öffentliche Exponierung der produktiven Datenbank
interne Container-/Netzwerkkommunikation.

Fotos

geschützter Fotoendpunkt
Zugriff nur für berechtigte Benutzer
maximal vorgesehene Dateigrösse
begrenzte Bildformate
automatische Löschung nach der definierten Retention.

Logging

Auditlogging ausgewählter administrativer Vorgänge
Login-Sicherheitsprotokolle
technische Fehlerprotokolle
Docker-Logrotation.

Produktive Docker-Logrotation:

max-size: 20 MB max-file: 5

Datenminimierung

kein GPS-Tracking
keine biometrischen Templates
keine Gesichtserkennung
Fotos mit begrenzter Retention
keine Dokumentuploadfunktion für Arztzeugnisse im aktuellen

Funktionsumfang.

============================================================ ANHANG 3 ZUM AVV UNTERAUFTRAGSBEARBEITER ============================================================

Stand: August 2026

1. Infomaniak Network AG

Adresse: Rue Eugène Marziano 25 1227 Les Acacias (GE) Schweiz

Zweck: Hosting und technische Infrastruktur.

Ort: Schweiz.

Daten: Je nach Nutzung sämtliche innerhalb von TimeTrackerEasy3 produktiv gespeicherten Kundendaten.

Weitere Unterauftragsbearbeiter sind aufzunehmen, sobald sie tatsächlich Personendaten im Auftrag von Khan Digital Solutions für TimeTrackerEasy3 bearbeiten.