<!-- Source page: https://mreport.ch/auftragsverarbeitung/ -->

# Auftragsverarbeitung (AVV)

Diese Auftragsverarbeitung beschreibt die Verarbeitung personenbezogener Daten durch die Earlybyte GmbH beim Betrieb von mReport. Für eine unterzeichnete Fassung oder Rückfragen wende dich an info@earlybyte.ch.

## Parteien

Diese Auftragsverarbeitung gilt zwischen dir bzw. deinem Unternehmen als **Verantwortlicher** (Auftraggeber) und der **Earlybyte GmbH**, Tössuferweg 25, 8406 Winterthur, Schweiz, als **Auftragsverarbeiterin** (Anbieterin von mReport). Sie ergänzt die [AGB](/agb/) und die [Datenschutzerklärung](/datenschutz/).

## Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch die Earlybyte GmbH im Auftrag des Verantwortlichen zum Zweck der Bereitstellung von mReport. Die Auftragsverarbeitung dauert für die Laufzeit der Nutzung von mReport und endet mit deren Beendigung.

## Art, Zweck und Umfang der Verarbeitung

mReport liest über eine OAuth-Verbindung Zeiteinträge und die dafür notwendigen Stamm- und Konfigurationsdaten aus bexio aus und berechnet daraus Stundenrapporte (für Mitarbeitende, Projekte und die Firma), die als PDF exportiert werden können. Verarbeitet werden die Daten ausschliesslich zur Erbringung dieser Leistungen und gemäss den dokumentierten Weisungen des Verantwortlichen.

## Kategorien betroffener Personen

- Mitarbeitende und Nutzer des Verantwortlichen (Workspace-Mitglieder)
- In den bexio-Zeiteinträgen genannte Personen (z. B. rapportierende Mitarbeitende)

## Kategorien personenbezogener Daten

- Identifikations- und Kontaktdaten (Name, E-Mail-Adresse, Rolle)
- Zeiterfassungs- und Projektdaten aus bexio (Zeiteinträge, Projekte, Arbeitspakete, Kontakte, Nutzer)
- Aus diesen Daten berechnete Rapport- und Konfigurationsdaten
- Abrechnungsbezogene Metadaten (ohne Zahlungskartendaten)

## Pflichten der Auftragsverarbeiterin

Die Earlybyte GmbH verpflichtet sich, entsprechend revDSG (insb. Art. 9) und, soweit anwendbar, Art. 28 DSGVO:

- personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
- die zur Verarbeitung berechtigten Personen zur Vertraulichkeit zu verpflichten;
- geeignete technische und organisatorische Massnahmen (TOM) zum Schutz der Daten zu treffen (siehe unten);
- Unterauftragsverarbeiter nur unter Einhaltung der nachstehenden Bedingungen einzusetzen;
- den Verantwortlichen im Rahmen des Zumutbaren bei der Wahrung von Betroffenenrechten sowie bei Sicherheits- und Meldepflichten zu unterstützen;
- den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten zu informieren;
- die Daten nach Beendigung nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht;
- dem Verantwortlichen die zum Nachweis erforderlichen Informationen bereitzustellen und Überprüfungen im angemessenen Rahmen zu ermöglichen, sofern Vertraulichkeit, Sicherheit und berechtigte Interessen anderer Kunden gewahrt bleiben.

## Weisungen

Massgeblich sind die dokumentierten Weisungen des Verantwortlichen, einschliesslich der Nutzung der in mReport bereitgestellten Funktionen (u. a. Datenexport und Löschung unter «Firma → Datenschutz»). Ergänzende Weisungen können an info@earlybyte.ch gerichtet werden.

## Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter im notwendigen Umfang zu. Über beabsichtigte wesentliche Änderungen informieren wir vorgängig, sodass ein begründeter Widerspruch möglich ist.

- **bexio AG** – Datenquelle (Zeiterfassung), OAuth-Anbindung. Standort: Schweiz.
- **Hetzner Online GmbH** – Hosting der Anwendung und Datenbank. Standort: Deutschland (EU).
- **Stripe Payments Europe, Ltd. / Stripe, Inc.** – Zahlungsabwicklung und Abrechnung. Standort: Irland / USA.
- **Brevo (Sendinblue GmbH)** – Versand transaktionaler E-Mails. Standort: Deutschland (EU).
- **Earlybyte GmbH – Hudson** – KI-gestützte Hilfsfunktionen (Feiertagsimport, Farbschema-Analyse); ruft KI-Modelle von Google und OpenAI auf. Standort: Deutschland (EU); KI-Modelle ggf. USA.
- **GitLab Inc.** – Hosting der Website (GitLab Pages). Standort: USA.
- **Google Ireland Limited** – Google Analytics (nur mit Einwilligung). Standort: Irland / USA.
- **Infomaniak Network SA** – Betriebsinfrastruktur (Protokollierung/Kennzahlen). Standort: Schweiz.

## Technische und organisatorische Massnahmen (TOM)

Wir setzen angemessene TOM zum Schutz personenbezogener Daten ein, insbesondere:

- verschlüsselte Übertragung (HTTPS/TLS) und verschlüsselte Speicherung sensibler Zugangsdaten (z. B. bexio-Auth-Kontext);
- serverseitige Prüfung von Zugangstoken; keine dauerhafte Speicherung von bexio-Zugangstoken im Klartext;
- rollenbasierte Zugriffskontrolle und Mandantentrennung je Workspace;
- Betrieb in einem Rechenzentrum in Deutschland (EU) mit gesicherter Infrastruktur;
- Protokollierung sicherheitsrelevanter Ereignisse (ohne Speicherung von Tokens oder Report-Inhalten in der Betriebstelemetrie);
- regelmässige Sicherungen (Backups) auf Infrastrukturebene;
- regelmässige Aktualisierung und Wartung der eingesetzten Systeme im Rahmen des Betriebs.

## Internationale Übermittlung

Die Anwendung wird in Deutschland (EU) betrieben. Einzelne Unterauftragsverarbeiter können Daten ausserhalb der Schweiz/EU (insb. USA) verarbeiten; hierfür werden geeignete Garantien (z. B. Standardvertragsklauseln) verwendet.

## Löschung und Rückgabe

Nach Beendigung der Nutzung werden die personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann Daten jederzeit selbst über die Exportfunktion in der Anwendung beziehen.

## Kontakt

Earlybyte GmbH, Tössuferweg 25, 8406 Winterthur, info@earlybyte.ch

_Stand: August 2026._