Diese Fassung gilt für die Beta-Phase. Sie wird vor der öffentlichen Öffnung rechtlich geprüft.

Auftragsbearbeitungsvertrag (AVV) Tonbüro

Version 0.3 · 30.10.2026 · zwischen dem Studio (Verantwortlicher; Angaben beim Anlegen) und SteamingStack GmbH, Kapellenstrasse 2, 3700 Spiez (Auftragsbearbeiter, «Betreiber»). Angenommen durch Klick beim Anlegen des Studios; Version und Zeitpunkt werden gespeichert.

Gegenstand. Der Betreiber stellt die App Tonbüro bereit und speichert und verarbeitet dabei Personendaten des Studios (Anhang 1) nach dessen Weisung. Grundlage: Art. 9 DSG; für EU-Betroffene Art. 28 DSGVO.
Weisungen. Weisungen erteilt das Studio über die Funktionen der App und die Studio-Einstellungen; weitere Weisungen schriftlich an (Kontakt folgt mit dem Start). Der Betreiber meldet, wenn eine Weisung seiner Ansicht nach gegen Datenschutzrecht verstösst.
Zweckbindung. Der Betreiber bearbeitet die Daten nur für den Betrieb der App, nie für eigene Zwecke. Er sieht Inhalte eines Studios nicht ein, ausser das Studio gewährt einen zeitlich begrenzten Support-Zugang (höchstens 24 Stunden, protokolliert).
Vertraulichkeit. Personen, die beim Betreiber Zugriff haben, sind zur Vertraulichkeit verpflichtet.
Sicherheit. Der Betreiber hält die technischen und organisatorischen Massnahmen in Anhang 3 ein und entwickelt sie weiter, ohne das Schutzniveau zu senken.
Unterauftragsbearbeiter. Das Studio stimmt den in Anhang 2 genannten Unterauftragsbearbeitern zu. Änderungen teilt der Betreiber mindestens 30 Tage im Voraus in der App mit; das Studio kann in dieser Frist kündigen (Nutzungsbedingungen, Ziffer 8).
Datenstandort. Speicherung in der Schweiz. Übermittlung ins Ausland nur über die in Anhang 2 genannten Dienste mit angemessenem Schutz (Standardvertragsklauseln).
Betroffenenrechte. Der Betreiber unterstützt das Studio mit den Funktionen der App (Export pro Nutzer, Konto-Löschung, Berichtigung). Anfragen von Betroffenen, die beim Betreiber eingehen, leitet er an das Studio weiter.
Datenpannen. Der Betreiber meldet dem Studio Verletzungen der Datensicherheit, die dessen Daten betreffen, unverzüglich, spätestens innert 72 Stunden nach Kenntnis, mit Art, Umfang, Folgen und Massnahmen.
Nachweis. Auf Anfrage stellt der Betreiber Informationen zur Verfügung, die den Nachweis der Einhaltung dieses Vertrags ermöglichen (höchstens einmal jährlich, auf Kosten des Studios, nach Terminabsprache).
Löschung und Rückgabe. Bei Vertragsende kann das Studio seine Daten als Export (ZIP, 7 Tage abrufbar) beziehen. Danach, spätestens 30 Tage nach Löschung des Studios, löscht der Betreiber die Daten einschliesslich Backups nach deren Ablauf (etwa vier Wochen). Daten im eigenen Speicher des Studios (WebDAV, S3, kDrive) berührt der Betreiber nicht. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.
Dauer. Gilt, solange das Studio besteht. Haftung sowie anwendbares Recht und Gerichtsstand: Nutzungsbedingungen, Ziffern 10 und 11.

Anhang 1 · Daten und Betroffene

Betroffene: Kundinnen und Kunden, Gäste, Mieter, Teammitglieder, Crew und Band bei Live-Einsätzen, Kontakte des Studios.
Datenarten: Kontakt- und Stammdaten, Termine, Projekt- und Audio-/Videodateien, Kommentare, Offerten und Rechnungen, Mietanfragen, Aufgaben, Mitteilungen, Schadensmeldungen mit Fotos, Standort während eines Live-Einsatzes (freiwillig, befristet).
Keine besonders schützenswerten Daten vorgesehen. Lädt das Studio solche hoch, ist es dafür verantwortlich.

Anhang 2 · Unterauftragsbearbeiter

Dienst	Leistung	Standort
Infomaniak Network SA, Genf	Server, Speicher, Backups, E-Mail-Versand	Schweiz
Apple Inc.	Push-Mitteilungen (APNs), «Mit Apple anmelden»	USA
Google LLC	Push-Mitteilungen (FCM), «Mit Google anmelden», Google-Kalender-Anbindung sofern vom Studio aktiviert	USA
Apple Inc.	iCloud-Kalender-Anbindung (CalDAV) sofern vom Studio aktiviert	USA
Infomaniak kDrive	nur, wenn das Studio kDrive als eigenen Speicher verbindet	Schweiz

Anhang 3 · Technische und organisatorische Massnahmen (TOM)

Bereich	Massnahme
Zugangskontrolle	Anmeldung nur mit bestätigter E-Mail oder Apple/Google; Passwörter als Argon2-Prüfwert; steigende Sperren bei Fehlversuchen (pro Konto und pro IP); Sitzungen jederzeit serverseitig widerrufbar; Admin-Funktionen nur mit gültigem Anmelde-Token.
Zugriffskontrolle	Jede Anfrage prüft Identität, Objekt und Studio auf dem Server; Rollen mit minimalen Rechten; fremde Studio-Daten sind technisch unerreichbar (eigener Datenordner je Studio); Betreiber-Bereich ohne Zugriff auf Studio-Inhalte; Support-Zugang nur vom Studio gewährt, befristet, protokolliert.
Übertragung	Nur verschlüsselte Verbindungen (TLS); Sicherheits-Header; eingeschränkte Browser-Herkunft; Foto-Links signiert und befristet.
Eingabe und Nachvollziehbarkeit	Audit-Log wichtiger Konto-Aktionen; Sicherheits-Ereignisprotokoll (Anmeldefehler, Sperren, Admin-Aktionen) mit maskierten Adressen, 90 Tage.
Verfügbarkeit	Atomare Speicherung mit Sicherungskopie; automatische Backups (7 Tages- und 4 Wochenstände) mit Platzprüfung; Überwachung des Dienstes; Server stürzt bei Fehlern nicht ab.
Missbrauchsschutz	Anfragegrenzen pro IP und Konto; Grenzen für Registrierung, Uploads, Mails und Mitteilungen; automatische Pause und Sperre bei Verdacht; Wegwerf-Adressen blockiert; Upload-Prüfung (Typ, Grösse, Dateiname).
Trennung	Ein Datenordner je Studio; Plan-Grenzen je Studio; Staging getrennt von Produktion.
Löschung	Konto-Selbstlöschung mit Bereinigung aller Speicher; Studio-Löschung zweistufig (30 Tage Frist); gelöschte Kommentare werden geleert; automatische Fristen (Sicherheitslog 90 Tage, Schadensmeldungen 24 Monate).
Organisation	Keine Secrets im Code (Secret-Scanner vor jedem Commit); Abhängigkeiten aktuell gehalten; Sicherheitsprüfung vor jedem Produktiv-Deploy; keine Personendaten in Protokollen.