← Zurück

Auftragsverarbeitungsvertrag

Inhalt

zwischen der Nutzerin bzw. dem Nutzer der Ecomone Plattform (nachfolgend «Nutzer», Verantwortlicher)

und der Ecomone GmbH, CHE-411.156.039, Kantonsstrasse 16, 6207 Nottwil, Schweiz (nachfolgend «Ecomone», Auftragsbearbeiter). Kontakt: legal@ecomone.ch.

1. Gegenstand und Geltung

1.1 Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen der Ecomone Plattform (nachfolgend «AGB»). Er regelt die Bearbeitung von Personendaten, die Ecomone im Auftrag des Nutzers vornimmt, wenn der Nutzer über die Plattform Shops betreibt.

1.2 Grundlage sind Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und, soweit auf den Nutzer anwendbar, Art. 28 der Datenschutz-Grundverordnung der EU (DSGVO). Begriffe wie «Personendaten», «Bearbeiten», «Verantwortlicher» und «Auftragsbearbeiter» haben die Bedeutung nach DSG bzw. DSGVO.

1.3 Der Vertrag kommt zustande, indem der Nutzer ihn im Onboarding oder bei einer neuen Fassung in der Anwendung per Häkchen annimmt. Ecomone speichert Zeitpunkt, Fassung, IP-Adresse und Gerät der Annahme.

1.4 Bei Widersprüchen geht dieser Vertrag für Fragen des Datenschutzes den AGB vor. Im Übrigen gelten die AGB.

2. Rollen der Parteien

2.1 Für die Personendaten, die der Nutzer über seine Shops erhebt oder in die Plattform einbringt (Anhang 1), ist der Nutzer Verantwortlicher. Ecomone bearbeitet diese Daten als Auftragsbearbeiter ausschliesslich in seinem Auftrag.

2.2 Nicht unter diesen Vertrag fallen Bearbeitungen, die Ecomone als eigener Verantwortlicher vornimmt, namentlich die Daten des Nutzers selbst (Konto, Abonnement, Abrechnung, Support) sowie die Bearbeitung von Daten aus den Shops, soweit dies für die Sicherheit der Plattform, die Abwehr von Missbrauch und Betrug, die Abrechnung mit dem Nutzer und die Erfüllung gesetzlicher Pflichten nötig ist. Dafür gilt die Datenschutzerklärung von Ecomone. Ecomone darf zudem anonymisierte oder zusammengefasste Auswertungen, die keinen Rückschluss auf einzelne Personen zulassen, zur Verbesserung der Plattform verwenden. Ecomone darf Daten aus den Shops dafür anonymisieren.

2.3 Verbindet der Nutzer seinen Shop mit Diensten Dritter, zum Beispiel Stripe, Meta, Google Ads, TikTok, Versand- oder Logistikdienstleistern, Kursplattformen wie LearningSuite, Automatisierungsdiensten wie Make oder Zapier (Webhooks) oder Drittanwendungen wie Claude, übermittelt Ecomone die dafür nötigen Daten auf seine Weisung. Diese Dritten sind keine Unterauftragsbearbeiter von Ecomone. Der Nutzer schliesst die nötigen Verträge mit ihnen selbst ab und ist für die Bearbeitung bei ihnen verantwortlich.

3. Gegenstand, Art, Zweck und Dauer der Bearbeitung

3.1 Gegenstand, Art und Zweck der Bearbeitung, die Kategorien der Personendaten und der betroffenen Personen ergeben sich aus Anhang 1.

3.2 Die Bearbeitung dauert, solange der Vertrag über die Nutzung der Plattform besteht, und danach, bis die Daten nach Ziff. 13 gelöscht sind.

4. Weisungen

4.1 Ecomone bearbeitet die Personendaten nur auf dokumentierte Weisung des Nutzers. Als Weisung gelten die AGB, dieser Vertrag und die Einstellungen und Funktionen, die der Nutzer in der Anwendung wählt oder verwendet.

4.2 Weitere Weisungen erteilt der Nutzer in Textform (zum Beispiel per E-Mail an legal@ecomone.ch). Ecomone ist nicht verpflichtet, Weisungen umzusetzen, die über den Funktionsumfang der Plattform hinausgehen. Verursacht eine Weisung zusätzlichen Aufwand, kann Ecomone dafür eine angemessene Vergütung verlangen.

4.3 Ist Ecomone der Ansicht, dass eine Weisung gegen das Datenschutzrecht verstösst, informiert Ecomone den Nutzer und darf die Umsetzung aussetzen, bis der Nutzer sie bestätigt oder ändert.

4.4 Ist Ecomone gesetzlich zu einer Bearbeitung verpflichtet, zum Beispiel durch eine behördliche Anordnung, teilt Ecomone dies dem Nutzer vorher mit, sofern das Gesetz es nicht verbietet.

5. Pflichten des Nutzers

5.1 Der Nutzer ist dafür verantwortlich, dass die Bearbeitung der Daten in seinen Shops rechtmässig ist. Er stellt namentlich sicher, dass sein Shop eine zutreffende Datenschutzerklärung enthält, dass die nötigen Einwilligungen vorliegen (zum Beispiel für Newsletter, Werbe-Pixel und Cookies) und dass er Anfragen betroffener Personen beantwortet.

5.2 Die Plattform ist nicht für besonders schützenswerte Personendaten nach Art. 5 lit. c DSG bzw. Art. 9 DSGVO (zum Beispiel Gesundheitsdaten) ausgelegt. Der Nutzer bearbeitet solche Daten nur, soweit sie sich aus seinem Sortiment zwangsläufig ergeben, und trifft die nötigen zusätzlichen Massnahmen selbst.

5.3 Der Nutzer entscheidet selbst, ob er KI-Funktionen auf Daten seiner Kundinnen und Kunden anwendet, zum Beispiel Antwortvorschläge im Postfach. Er informiert seine Kundinnen und Kunden in seiner Datenschutzerklärung darüber.

5.4 Der Nutzer schützt seine Zugangsdaten, vergibt Rechte an Teammitglieder nur im nötigen Umfang und informiert Ecomone unverzüglich, wenn er Fehler oder Unregelmässigkeiten bei der Bearbeitung feststellt.

5.5 AGB Ziff. 16 (Schadloshaltung) gilt auch für Ansprüche, die auf einer Verletzung der Pflichten des Nutzers aus diesem Vertrag beruhen.

6. Vertraulichkeit

6.1 Ecomone gewährt nur Personen Zugriff auf die Personendaten, die ihn für ihre Aufgabe brauchen, und verpflichtet sie zur Vertraulichkeit, soweit sie nicht schon gesetzlich zur Verschwiegenheit verpflichtet sind. Die Pflicht gilt über das Ende ihrer Tätigkeit hinaus.

6.2 Für den Support greift das Team von Ecomone nur auf Konto und Shop des Nutzers zu, wenn dies für die Lösung eines Anliegens, die Sicherheit oder den Betrieb der Plattform nötig ist. Support-Zugriffe über den Support-Modus werden protokolliert. Ecomone kann für den Support auch ausgewählte Community-Supporter beiziehen. Sie sind zur Vertraulichkeit verpflichtet, greifen nur mit Freigabe des Nutzers und für begrenzte Zeit auf den Shop zu, und ihre Zugriffe werden protokolliert.

7. Datensicherheit

7.1 Ecomone trifft angemessene technische und organisatorische Massnahmen, um die Personendaten vor Verlust, unbefugtem Zugriff, Veränderung und Bekanntgabe zu schützen (Art. 8 DSG, Art. 32 DSGVO). Die Massnahmen sind in Anhang 2 beschrieben.

7.2 Ecomone darf die Massnahmen an die technische Entwicklung anpassen, solange das Schutzniveau nicht sinkt.

8. Unterauftragsbearbeiter

8.1 Der Nutzer erteilt Ecomone die allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen. Die bei Abschluss beigezogenen Unterauftragsbearbeiter sind in Anhang 3 aufgeführt. Die jeweils aktuelle Liste steht in Ziff. 9 der Datenschutzerklärung von Ecomone.

8.2 Ecomone informiert den Nutzer mindestens 30 Tage im Voraus per E-Mail oder in der Anwendung, bevor ein Unterauftragsbearbeiter hinzukommt oder ersetzt wird. Der Nutzer kann innert dieser Frist aus wichtigen datenschutzrechtlichen Gründen widersprechen. Finden die Parteien keine Lösung, kann der Nutzer den Vertrag auf das Inkrafttreten der Änderung kündigen. Weitere Ansprüche bestehen nicht.

8.3 Muss ein Unterauftragsbearbeiter kurzfristig ersetzt werden, um Sicherheit oder Betrieb der Plattform zu gewährleisten, darf Ecomone dies sofort tun und informiert den Nutzer unverzüglich danach. Ziff. 8.2 gilt sinngemäss.

8.4 Ecomone verpflichtet die Unterauftragsbearbeiter vertraglich auf Datenschutzpflichten, die diesem Vertrag im Wesentlichen entsprechen. Soweit auf die Bearbeitung die DSGVO anwendbar ist, bleibt Ecomone gegenüber dem Nutzer für die Einhaltung der Datenschutzpflichten durch die Unterauftragsbearbeiter verantwortlich (Art. 28 Abs. 4 DSGVO). Die Beschränkungen nach AGB Ziff. 15.3 gelten auch hier. Ausgeschlossen ist die Haftung für entgangenen Gewinn, mittelbare Schäden sowie Bussen und Abmahnkosten des Nutzers.

9. Bekanntgabe ins Ausland

9.1 Ecomone und die Unterauftragsbearbeiter bearbeiten Personendaten in der Schweiz, im EWR und in den in Anhang 3 genannten Ländern. Mit der Annahme dieses Vertrags genehmigt der Nutzer diese Bekanntgaben.

9.2 Werden Daten in ein Land ohne angemessenen Datenschutz bekanntgegeben, zum Beispiel in die USA, stellt Ecomone einen geeigneten Schutz sicher (Art. 16 f. DSG, Art. 44 ff. DSGVO), namentlich durch eine Zertifizierung des Empfängers nach dem Swiss-U.S. bzw. EU-U.S. Data Privacy Framework oder durch die Standardvertragsklauseln der EU-Kommission mit den für die Schweiz nötigen Anpassungen.

10. Unterstützung des Nutzers

10.1 Einen Teil der Anfragen betroffener Personen, namentlich Auskunft und Herausgabe, kann der Nutzer selbst über die Exportfunktionen der Anwendung erledigen. Darüber hinaus unterstützt Ecomone den Nutzer im zumutbaren Rahmen.

10.2 Wendet sich eine betroffene Person direkt an Ecomone, leitet Ecomone die Anfrage an den Nutzer weiter und beantwortet sie nicht selbst, ausser der Nutzer weist dies an.

10.3 Ecomone unterstützt den Nutzer im zumutbaren Rahmen bei der Datensicherheit, bei Datenschutz-Folgenabschätzungen und bei Anfragen von Datenschutzbehörden, soweit dies die Bearbeitung durch Ecomone betrifft und der Nutzer die Informationen nicht selbst hat.

10.4 Übersteigt der Aufwand für die Unterstützung das übliche Mass, kann Ecomone eine angemessene Vergütung verlangen, ausser der Aufwand beruht auf einer Pflichtverletzung von Ecomone.

11. Verletzungen der Datensicherheit

11.1 Ecomone meldet dem Nutzer eine Verletzung der Datensicherheit, die seine Personendaten betrifft, so rasch wie möglich nach Kenntnis (Art. 24 Abs. 3 DSG, Art. 33 Abs. 2 DSGVO).

11.2 Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Daten und Personen, die möglichen Folgen und die getroffenen oder geplanten Massnahmen. Was noch nicht bekannt ist, reicht Ecomone nach.

11.3 Ecomone trifft unverzüglich die angemessenen Massnahmen, um die Verletzung zu beheben und die Folgen zu mindern. Die Meldung an die Behörde und an betroffene Personen ist Sache des Nutzers. Ecomone unterstützt ihn dabei nach Ziff. 10.

12. Nachweis und Kontrollen

12.1 Ecomone stellt dem Nutzer auf Anfrage die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieses Vertrags braucht, zum Beispiel eine Beschreibung der Massnahmen und die Zertifikate oder Prüfberichte der Unterauftragsbearbeiter.

12.2 Reichen diese Informationen nicht aus, kann der Nutzer höchstens einmal pro Jahr eine Kontrolle durchführen oder durch eine zur Verschwiegenheit verpflichtete Fachperson durchführen lassen, die kein Mitbewerber von Ecomone ist. Die Kontrolle ist mindestens 30 Tage im Voraus anzukündigen, findet während der Geschäftszeiten statt und darf den Betrieb nicht unnötig stören. Kontrollen bei Unterauftragsbearbeitern richten sich nach deren Bedingungen.

12.3 Die Kosten der Kontrolle trägt der Nutzer, ausser sie ergibt eine wesentliche Verletzung dieses Vertrags durch Ecomone. Kontrollen auf Anordnung einer Behörde bleiben vorbehalten.

13. Ende der Bearbeitung, Rückgabe und Löschung

13.1 Der Nutzer kann seine Daten während der Vertragsdauer jederzeit über die Exportfunktionen der Anwendung herunterladen. Er exportiert sie vor dem Vertragsende selbst (AGB Ziff. 13.4). Damit gelten die Daten als zurückgegeben.

13.2 Nach Vertragsende löscht oder anonymisiert Ecomone die Personendaten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten, die aufbewahrt werden müssen, namentlich Bestellungen und Rechnungen, sperrt Ecomone für jede andere Bearbeitung und löscht sie nach Ablauf der Frist. Daten in Sicherungskopien werden im ordentlichen Ablauf überschrieben und bis dahin nicht mehr aktiv bearbeitet.

13.3 Löscht der Nutzer während der Vertragsdauer Daten in der Anwendung, entfernt Ecomone sie aus dem laufenden System, soweit die Anwendung eine Löschung vorsieht. Bestellungen und Belege werden wegen der Aufbewahrungspflichten nur archiviert. Ziff. 13.2 Satz 2 gilt sinngemäss.

14. Laufzeit

Dieser Vertrag gilt, solange der Vertrag über die Nutzung der Plattform besteht. Er endet automatisch mit diesem. Pflichten, die ihrer Natur nach über das Vertragsende hinaus gelten (namentlich Ziff. 6 und 13), bleiben bestehen.

15. Haftung

Die Haftung richtet sich nach den AGB (Ziff. 15). Zwingende Haftungsbestimmungen des Datenschutzrechts gegenüber betroffenen Personen bleiben vorbehalten.

16. Änderungen

Ecomone kann diesen Vertrag ändern, namentlich wenn Gesetz, Rechtsprechung oder Behördenpraxis dies erfordern oder die Plattform weiterentwickelt wird. Für das Verfahren gilt AGB Ziff. 19.1 sinngemäss. Die Liste der Unterauftragsbearbeiter wird nach Ziff. 8 angepasst.

17. Schlussbestimmungen

17.1 Es gilt schweizerisches Recht. Gerichtsstand ist Luzern, Schweiz. Soweit die DSGVO zwingend etwas anderes vorschreibt, geht diese vor.

17.2 Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Rest gültig. AGB Ziff. 20.3 gilt sinngemäss.

Anhang 1: Beschreibung der Bearbeitung

Betroffene Personen: Kundinnen und Kunden des Nutzers, Besucherinnen und Besucher seiner Shops, Newsletter-Abonnenten, Personen, die dem Nutzer über den Shop oder das Postfach schreiben, Teammitglieder des Nutzers, soweit sie in der Anwendung erfasst sind.

Kategorien von Personendaten:

  • Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Liefer- und Rechnungsadresse
  • Bestelldaten: bestellte Produkte, Beträge, Rechnungen, Rabattcodes, Rückerstattungen, hochgeladene Dateien für personalisierte Produkte, digitale Downloads und Lizenzschlüssel, Versand- und Sendungsdaten, Zahlungsstatus (keine vollständigen Kartennummern, diese gehen direkt an Stripe)
  • Abgebrochene Bestellungen: Kontaktdaten und Inhalt des Warenkorbs
  • Kommunikation: Nachrichten und E-Mails im Postfach, Produktbewertungen (Name, E-Mail, Land, Text)
  • Marketing: Newsletter- und Pop-up-Anmeldungen und Einwilligungen, Wahl im Cookie-Banner mit gehashter IP-Adresse
  • Nutzungsdaten der Shops: zufällige Besucher- und Sitzungskennung, besuchte Seiten, aufgerufene Produkte, Herkunftsseite, Kampagnen-Kennungen, Browser, Gerät, ungefährer Standort (Stadt, Region und ungefähre Koordinaten), IP-Adresse bei Bestellungen, Öffnungen und Klicks in E-Mails, Merkmale des Browsers zur Wiedererkennung von Geräten (wenn der Nutzer dies einschaltet)
  • Support: Daten aus dem Shop, die bei einem Support-Zugriff sichtbar werden, und Inhalte, die der Nutzer im Support-Chat teilt

Besonders schützenswerte Personendaten: nicht vorgesehen (Ziff. 5.2).

Art und Zweck der Bearbeitung: Speichern, Anzeigen, Verarbeiten und Übermitteln der Daten, um die Plattform bereitzustellen, namentlich:

  • Shops betreiben und ausliefern (Hosting)
  • Bestellungen, Zahlungen über Stripe, Rechnungen, Versand und Rückerstattungen abwickeln
  • E-Mails an Kundinnen und Kunden versenden (Bestellbestätigungen, Versandinfos, Newsletter, automatische Abläufe) und das Postfach des Shops betreiben
  • Adressen bei der Eingabe prüfen und ergänzen
  • Besucherstatistik, Auswertungen und Zuordnung von Bestellungen zu Werbekampagnen im Händler-Backend anzeigen
  • KI-Funktionen ausführen, die der Nutzer verwendet, zum Beispiel Antwortvorschläge im Postfach
  • Daten an Dienste übermitteln, die der Nutzer verbindet (Ziff. 2.3)
  • Support leisten, Fehler finden und beheben, Daten sichern

Aufbewahrung im laufenden Betrieb: Es gelten folgende Richtwerte: Daten aus dem Besuch der Shops (zum Beispiel aufgerufene Produkte, IP-Adressen aus Bestellungen, abgebrochene Bestellungen) 30 Tage bis 14 Monate, danach nur zusammengezählt ohne Personenbezug. Technische Protokolle wenige Tage bis 12 Monate. Bilder im KI-Chat 90 Tage. Support-Chats und Tickets bis 3 Jahre nach Abschluss. Nachweise von Einwilligungen 3 Jahre. Übrige Daten bis zur Löschung durch den Nutzer oder bis Vertragsende (Ziff. 13).

Anhang 2: Technische und organisatorische Massnahmen

Zutritt zu den Rechenzentren: Die Plattform läuft vollständig bei spezialisierten Cloud-Anbietern (Anhang 3). Deren Rechenzentren sind physisch gesichert und nach anerkannten Standards wie ISO 27001 oder SOC 2 geprüft. Ecomone betreibt keine eigenen Server.

Zugang zu den Systemen: Anmeldung mit persönlichem Konto und Passwort, wahlweise Passkeys, Zwei-Faktor-Anmeldung oder Anmeldung über Google oder Apple. Zugänge des Ecomone-Teams sind persönlich und auf die nötigen Rechte beschränkt.

Zugriff auf die Daten: Rollen und Rechte pro Space und Shop. Die Daten der verschiedenen Nutzer sind in der Datenbank durch Zugriffsregeln auf Zeilenebene (Row Level Security) voneinander getrennt. Das Team von Ecomone erhält Zugriff nur, soweit es ihn für seine Aufgabe braucht.

Übertragung: Alle Verbindungen sind verschlüsselt (HTTPS/TLS). Die Daten sind bei den Anbietern auch im gespeicherten Zustand verschlüsselt.

Protokollierung: Support-Zugriffe im Support-Modus, Ansichten und Änderungen von Community-Supportern, Annahmen von Verträgen, Einwilligungen im Cookie-Banner und Anfragen über Schnittstellen und Drittanwendungen werden protokolliert.

Verfügbarkeit und Wiederherstellung: Regelmässige automatische Sicherungen der Datenbank, Schutz vor Überlastungsangriffen (DDoS) und Fehlerüberwachung.

Trennung: Daten verschiedener Nutzer, Spaces und Shops werden logisch getrennt bearbeitet. Tests führt Ecomone nur in eigenen Test- oder Demoshops durch.

Datenminimierung: Nur nötige Daten werden erhoben. Kurze Löschfristen für Nutzungsdaten (Anhang 1), gehashte IP-Adressen beim Cookie-Banner, möglichst keine Personendaten in der Fehlerüberwachung, keine Kartennummern auf der Plattform, automatische Maskierung von IBAN und Kartennummern in Support-Chats, soweit sie erkannt werden.

Organisation: Vertraulichkeitspflicht aller Mitarbeitenden, sorgfältige Auswahl und vertragliche Verpflichtung der Unterauftragsbearbeiter, festgelegter Ablauf bei Verletzungen der Datensicherheit, Datenschutz schon bei der Entwicklung neuer Funktionen (Privacy by Design und by Default).

Anhang 3: Unterauftragsbearbeiter

DienstleisterWofürOrt der Bearbeitung
Supabase Inc. (über Lovable Cloud)Datenbank, Dateispeicher, AnmeldungEU (Irland)
Cloudflare, Inc.Hosting der Shops und der Anwendung, Schutz vor Angriffen, Videosweltweit, USA
Lovable Labs Incorporated ABBetrieb der Plattform, Vermittlung von KI- und KartendienstenSchweden, USA
Resend (Plus Five Five, Inc.)Versand von E-Mails der ShopsEU (Irland), USA
Mailgun Technologies, Inc.Postfach der Shops (Senden und Empfangen)USA
Anthropic PBCKI-FunktionenUSA
Google LLC / Google Ireland Ltd. (Gemini, Maps Platform)KI-Funktionen, Adressprüfung an der KasseUSA
OpenAI, L.L.C.Bilderstellung und ÜbersetzungenUSA
OneSignal, Inc.Push-Mitteilungen an den Nutzer, zum Beispiel bei einem neuen VerkaufUSA
Functional Software, Inc. (Sentry)FehlerüberwachungUSA

Nicht Unterauftragsbearbeiter von Ecomone sind Dienste, mit denen der Nutzer einen eigenen Vertrag hat oder die er selbst verbindet, namentlich Stripe, Meta, Google Ads, TikTok, Versand- und Logistikdienstleister sowie Drittanwendungen (Ziff. 2.3).

Stand: November 2026

Stand: 02.11.2026

Fragen dazu? legal@ecomone.ch← Zurück