// avv

Auftrags­verarbeitung (AVV)

Stand: 14. Oktober 2026 · Version 1

Parteien: das Unternehmen, das 7brain nutzt, als Verantwortliche („du“), und die 7Cloud AG, Bahnhofstrasse 19, 9100 Herisau, Schweiz, als Auftragsverarbeiterin („wir“). Der Vertrag erfüllt die Anforderungen von Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, von Art. 28 der Datenschutz-Grundverordnung der EU (DSGVO). „Bearbeiten“ meint jeden Umgang mit Personendaten, auch „Verarbeiten“ im Sinn der DSGVO.

1. Gegenstand und Dauer
2. Art und Zweck
3. Arten von Personendaten
4. Betroffene Personen
5. Weisungen und deine Pflichten
6. Vertraulichkeit
7. Technische und organisatorische Massnahmen
8. Unterauftragsverarbeiter
9. Unterstützung bei Betroffenenrechten
10. Meldung von Datenschutzverletzungen
11. Löschung und Rückgabe
12. Kontrollrechte
13. Lernen über Firmen hinweg
14. Haftung und Schlussbestimmungen

1. Gegenstand und Dauer

Gegenstand ist die Bearbeitung von Personendaten durch uns in deinem Auftrag, wenn wir dir 7brain nach den AGB und deinem Angebot bzw. der Auftragsbestätigung bereitstellen. Der AVV gilt so lange wie dieser Vertrag. Unsere Pflichten aus dem AVV gelten weiter, bis alle Daten nach Abschnitt 11 gelöscht oder zurückgegeben sind.

Nicht unter diesen AVV fallen die Daten, die wir als eigene Verantwortliche bearbeiten, zum Beispiel für die Vertragsverwaltung und Rechnungsstellung. Dafür gilt unsere Datenschutzerklärung.

2. Art und Zweck

Art: Abrufen von Daten über die Schnittstellen der Dienste, die du freigibst; Speichern, Ordnen, Auswerten (auch mit KI-Modellen), Anzeigen und Löschen; Übermittlung an die Unterauftragsverarbeiter nach Abschnitt 8.

Zweck: dir Analysen, Warnungen, Empfehlungen, Aufgaben und Berichte zu liefern, den Chat mit Sevi zu betreiben, von dir freigegebene Änderungen in deinen Konten auszuführen und – wenn du Slack verbindest – Nachrichten in deinem Slack zu senden und zu empfangen. Wir bearbeiten die Daten zu keinem anderen Zweck, ausser du stimmst nach Abschnitt 13 zu.

3. Arten von Personendaten

• Nutzerdaten: Name, E-Mail-Adresse, Rolle und Firma der Personen, die 7brain nutzen, sowie Anmeldedaten.
• Nutzungsdaten: Eingaben im Chat mit Sevi, Freigaben und Protokolldaten (wer wann was freigegeben oder geändert hat).
• Shop-Daten: Bestell- und Produktdaten wie Beträge, Mengen, Rabatte, Rückerstattungen, Datum und Versandland. Ohne Namen und ohne E-Mail-Adressen deiner Kundinnen und Kunden.
• Werbedaten: Kampagnen, Anzeigen, Ausgaben und Kennzahlen der Plattformen, keine Daten einzelner Personen, die deine Anzeigen gesehen haben.
• E-Mail-Marketing-Daten: Statistiken und Aufbau von Kampagnen und Flows, keine Empfängerdaten.
• Slack (nur wenn verbunden): die Nachrichten, die an Sevi gerichtet sind, und die dafür nötigen Angaben wie Benutzer- und Kanal-Kennung.

Besonders schützenswerte Personendaten (Art. 5 lit. c DSG) bzw. besondere Kategorien (Art. 9 DSGVO) sind für 7brain nicht vorgesehen.

4. Betroffene Personen

• deine Mitarbeitenden und Beauftragten, die 7brain nutzen;
• deine Kundinnen und Kunden, nur indirekt über Bestelldaten ohne Namen und E-Mail-Adressen;
• Personen in deinem Slack-Arbeitsbereich, die mit Sevi schreiben, wenn du Slack verbindest.

5. Weisungen und deine Pflichten

• Wir bearbeiten die Daten nur nach deinen dokumentierten Weisungen. Weisungen sind die AGB, dein Angebot, dieser AVV, deine Einstellungen und Freigaben in der App sowie Weisungen per E-Mail.
• Verpflichtet uns ein Gesetz zu einer anderen Bearbeitung, teilen wir dir das vorher mit, soweit das Gesetz es nicht verbietet.
• Halten wir eine Weisung für rechtswidrig, informieren wir dich unverzüglich. Wir dürfen sie aussetzen, bis du sie bestätigst oder änderst.
• Du bist dafür verantwortlich, dass die Bearbeitung rechtmässig ist, insbesondere dass eine Rechtsgrundlage besteht und die betroffenen Personen informiert sind.

6. Vertraulichkeit

Alle Personen, die bei uns Zugriff auf deine Daten haben, sind zur Vertraulichkeit verpflichtet. Diese Pflicht gilt auch nach Ende ihrer Tätigkeit und nach Ende dieses Vertrags.

Anfragen von Behörden. Wir geben deine Daten an Behörden nur heraus, wenn wir rechtlich dazu verpflichtet sind. Jede Anfrage prüfen wir auf ihre Rechtmässigkeit, gegen unrechtmässige Anfragen gehen wir vor, wir geben nur das Minimum heraus, das verlangt werden darf, und wir dokumentieren jede Anfrage samt unserer Antwort und Begründung. Soweit es gesetzlich zulässig ist, informieren wir dich vorher.

7. Technische und organisatorische Massnahmen

Wir schützen die Daten mit folgenden Massnahmen:

• Verschlüsselung bei der Übertragung (TLS) und bei der Speicherung.
• Tresor für Zugangsdaten: Zugangsdaten zu deinen Konten liegen in einem eigenen, verschlüsselten Tresor.
• Strikte Mandantentrennung in der Datenbank (Row-Level-Security): Jede Firma sieht nur ihre eigenen Daten. Das ist durch automatische Tests nachgewiesen.
• Rollenbasierte Rechte: Zugriff nur, soweit eine Rolle ihn braucht.
• Protokollierung (Audit-Log) von Freigaben und Änderungen.
• Datensicherung: jede Nacht verschlüsselt, mit einer Wiederherstellungsprobe jede Woche.
• Datenminimierung: grundsätzlich nur Leserechte; keine Namen und E-Mail-Adressen deiner Kundinnen und Kunden.
• Löschung nach Vertragsende (Abschnitt 11).

Wir passen die Massnahmen dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

8. Unterauftragsverarbeiter

Du genehmigst den Einsatz der folgenden Unterauftragsverarbeiter:

• Übermittlung in die USA: gestützt auf das Data Privacy Framework (einschliesslich des Swiss-US Data Privacy Framework), sofern der Anbieter zertifiziert ist, sonst auf Standardvertragsklauseln.
• Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem AVV entspricht. Für sie haften wir wie für eigenes Handeln.
• Änderungen kündigen wir mindestens 30 Tage vorher per E-Mail an. Du kannst innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden wir keine Lösung, kannst du den Vertrag auf den Zeitpunkt der Änderung kündigen.
• Die Dienste, die du selbst verbindest (zum Beispiel Shopify, Meta, Google, Klaviyo, TikTok, Pinterest), sind keine Unterauftragsverarbeiter von uns. Mit ihnen hast du eigene Verträge.

9. Unterstützung bei Betroffenenrechten

• Wir unterstützen dich mit geeigneten Massnahmen, damit du Anfragen betroffener Personen beantworten kannst, etwa auf Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe oder Widerspruch.
• Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an dich weiter.
• Wir unterstützen dich ausserdem, soweit nötig, bei Datenschutz-Folgenabschätzungen und bei Rücksprachen mit Aufsichtsbehörden.

10. Meldung von Datenschutzverletzungen

Erfahren wir von einer Verletzung der Datensicherheit, die deine Daten betrifft, melden wir sie dir ohne unangemessene Verzögerung, spätestens innerhalb von 48 Stunden. Die Meldung enthält, soweit bekannt: was passiert ist, welche Arten und ungefähr wie viele Daten und Personen betroffen sind, die wahrscheinlichen Folgen und was wir dagegen tun. Wir ergreifen sofort Massnahmen, um den Schaden zu begrenzen, und informieren dich laufend.

11. Löschung und Rückgabe nach Vertragsende

• Nach Vertragsende löschen wir alle Personendaten, die wir in deinem Auftrag bearbeitet haben, innerhalb von 30 Tagen. Auf Wunsch geben wir sie dir vorher in einem gängigen Format heraus.
• Verschlüsselte Sicherungen laufen innerhalb von 30 Tagen aus und werden dann automatisch gelöscht.
• Ausgenommen ist, was wir gesetzlich aufbewahren müssen. Auf Wunsch bestätigen wir dir die Löschung per E-Mail.
• Wie du die Löschung schon während der Laufzeit verlangen kannst, steht unter Datenlöschung.

12. Kontrollrechte

• Wir stellen dir alle Informationen zur Verfügung, die du brauchst, um die Einhaltung dieses AVV nachzuweisen, zum Beispiel eine Beschreibung der Massnahmen nach Abschnitt 7.
• Darüber hinaus darfst du die Einhaltung nach rechtzeitiger Anmeldung selbst prüfen oder durch eine zur Verschwiegenheit verpflichtete Prüferin oder einen Prüfer prüfen lassen, die oder der nicht für einen Mitbewerber tätig ist. Die Prüfung soll den Betrieb möglichst wenig stören.
• Prüfungen durch eine zuständige Aufsichtsbehörde unterstützen wir.

13. Lernen über Firmen hinweg (nur mit deiner Zustimmung)

• Nur wenn du ausdrücklich zustimmst (siehe AGB, Abschnitt 11), weist du uns damit an, aus deiner Nutzung abstraktes Handwerkswissen zu gewinnen – zum Beispiel zum Aufbau von E-Mail-Flows, zur Kontostruktur, zum Tracking und zur Funnel-Mechanik – und es zu anonymisieren und mit dem anderer Firmen zusammenzufassen.
• Nie einbezogen werden markenbezogene Inhalte (Gestaltung von Anzeigen, Botschaften, Tonalität, Personas) und Personendaten. Ein Rückschluss auf dich, deinen Shop oder einzelne Personen ist ausgeschlossen.
• Das Ergebnis enthält keine Personendaten mehr und fällt nach der Anonymisierung nicht mehr unter diesen AVV.
• Ohne deine Zustimmung findet das nicht statt. Du kannst die Zustimmung jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail an info@7cloud.ai.

14. Haftung und Schlussbestimmungen

• Für die Haftung gelten die AGB, soweit das Gesetz nichts anderes zwingend vorschreibt.
• Bei Widersprüchen geht dieser AVV in Fragen des Datenschutzes den AGB vor.
• Es gilt Schweizer Recht; Gerichtsstand ist Herisau, Schweiz. Zwingende Vorschriften der DSGVO bleiben unberührt.
• Diesen AVV gibt es auf Deutsch und Englisch. Bei Abweichungen gilt die deutsche Fassung.

Stand: 14. Oktober 2026, Version 1.

Fragen? info@7cloud.ai · Impressum · Datenschutz · AGB