Nutzungsbedingungen und Auftragsbearbeitungsvertrag
Diese Texte regeln die Nutzung von SynCal durch den Gastgeber und die Bearbeitung der Daten seiner Gäste durch ZRS in seinem Auftrag. Sie werden über ein Kontrollkästchen im Formular zur Kontoerstellung oder Zugangsanfrage akzeptiert.
Fassung vom 12. Oktober 2026
Nutzungsbedingungen
1. Herausgeberin
ZRS-Holding Sàrl, Le Chenit (Vaud), Schweiz, contact@zrs-holding.com («ZRS»).
2. Gegenstand
Diese Bedingungen regeln die Nutzung von SynCal, der von ZRS herausgegebenen Buchungsseite für Termine (app.syncal.ch), durch den Gastgeber, also die Person oder das Unternehmen, die bzw. das ein Konto eröffnet, um Termine anzubieten. Sie gelten, sobald der Gastgeber das Kontrollkästchen im Formular zur Kontoerstellung oder Zugangsanfrage ankreuzt.
3. Zugang zum Dienst
Der Gastgeber erstellt sein Konto selbst, mit seiner E-Mail und einem Passwort, oder meldet sich mit seinem Infomaniak-Konto an (Option). Eine Zugangsanfrage bleibt möglich, um begleitet zu werden: ZRS prüft sie und kann sie ablehnen.
4. Angebote und Preise
Gratis: 0 CHF, für eine Person, einen Termintyp, einen verbundenen Kalender und 30 bestätigte Buchungen pro Monat, mit dem Hinweis «mit SynCal» auf der Seite. Pro: 12 CHF exkl. MwSt. pro Nutzer und Monat oder 120 CHF exkl. MwSt. pro Jahr. Team: 19 CHF exkl. MwSt. pro Nutzer und Monat oder 190 CHF exkl. MwSt. pro Jahr, mindestens 2 Nutzer. Zwei Monate gratis bei Jahreszahlung. 14 Tage Pro testen ohne Zahlungskarte: Die Testphase beginnt mit der Erstellung des Kontos, danach automatische Rückkehr zum Gratis-Plan, ohne Abbuchung.
5. Wechsel zu Pro oder Team
Es gibt keine Online-Zahlung. Der Gastgeber beantragt den Wechsel aus seinem Bereich, und ZRS aktiviert das Angebot manuell.
6. Rechnungsstellung
Rechnungen sind innert 30 Tagen netto nach Erhalt zahlbar. Andernfalls kann ein Verzugszins von 5 % pro Jahr erhoben werden.
7. Kündigung
Monatliche Pläne: Kündigung mit einer Frist von 30 Tagen vor dem nächsten Fälligkeitstermin. Jahrespläne: Die Kündigung wird am Ende der gebuchten Periode wirksam, vorbehaltlich einer Frist von 60 Tagen, ohne anteilige Rückerstattung. Der Gratis-Plan kann jederzeit aufgegeben werden; die Löschung des Kontos wird unter contact@zrs-holding.com verlangt.
8. Pflichten des Gastgebers
Der Gastgeber nutzt SynCal gemäss Schweizer Recht. Er ist für die von ihm eingegebenen Inhalte verantwortlich (Termintypen, Fragen, Begrüssung) und informiert seine Gäste über die Bearbeitung ihrer Daten, für die er verantwortlich ist (siehe den Auftragsbearbeitungsvertrag unten).
9. Verfügbarkeit
SynCal wird «wie besehen» bereitgestellt, im Rahmen der geltenden Gesetze. ZRS garantiert keine zahlenmässige Verfügbarkeit.
10. Geistiges Eigentum
Der gesamte Code, die Marken, Logos und die Dokumentation sind ausschliessliches Eigentum der ZRS-Holding Sàrl. Über die reine Nutzung des Dienstes hinaus wird keine Abtretung oder Lizenz gewährt.
11. Haftung
Die Haftung von ZRS ist auf den Gesamtbetrag begrenzt, der dem Gastgeber in den letzten zwölf Monaten in Rechnung gestellt wurde. ZRS haftet nicht für indirekte Schäden, Datenverluste oder Dienstunterbrechungen, ausser bei grober Fahrlässigkeit oder Absicht.
12. Daten des Gastgebers
Der Gastgeber bleibt Eigentümer seiner Daten und der von ihm bearbeiteten Daten seiner Gäste. Sie können über die vorgesehenen Funktionen exportiert werden (iCal- und CSV-Export, je nach Angebot).
13. Anwendbares Recht und Gerichtsstand
Schweizer Recht. Jede Streitigkeit unterliegt der ausschliesslichen Zuständigkeit des Kantonsgerichts des Kantons Waadt.
14. Sprache und Fassung
Französisch ist die Referenzsprache; bei Abweichungen zwischen Übersetzungen gilt die französische Fassung. Die akzeptierte Fassung und das Datum der Annahme werden gespeichert.
Auftragsbearbeitungsvertrag (Art. 9 nDSG)
Dieser Vertrag ergänzt die obigen Bedingungen. Er wird zwischen dem Gastgeber als Verantwortlichem und der ZRS-Holding Sàrl als Auftragsbearbeiterin im Sinne von Artikel 9 des Bundesgesetzes über den Datenschutz (nDSG) geschlossen.
1. Rollen
Der Gastgeber ist Verantwortlicher für die Personendaten seiner Gäste. ZRS ist Auftragsbearbeiterin: Sie hostet diese Daten und bearbeitet sie im Auftrag des Gastgebers mit SynCal.
2. Gegenstand, Zweck und Dauer
Termine anbieten, Termine erfassen und bestätigen, Erinnerungen und Stornierungen versenden. Der Vertrag dauert so lange, wie der Gastgeber SynCal nutzt.
3. Daten und betroffene Personen
Gäste: Name, E-Mail-Adresse, Telefon, Unternehmen, Nachricht, Antworten auf die Fragen des Gastgebers, Sprache der Seite, gewählter Termin, Videokonferenz-Link, Stornierungs-Token, Daten der Erstellung, Stornierung und Teilnahmebestätigung. Gastgeber: Name und E-Mail-Adresse des Kontos, Sprache, Name der Organisation, Seitenadresse, Titel, Farbe, Logo und Begrüssung, falls hinterlegt; Version der akzeptierten Bedingungen mit Datum und Uhrzeit; Daten der Kontoerstellung und der Bestätigung der Adresse. Zwei Anmeldearten: per E-Mail und Passwort (das Passwort wird nie gespeichert, nur ein Hash) oder über das Infomaniak-Konto (OIDC: SynCal sieht das Infomaniak-Passwort nie). Die Zugänge zu seinem Kalender (CalDAV-App-Passwort oder private iCal-Adresse) werden verschlüsselt gespeichert.
4. Weisungen
ZRS bearbeitet die Daten ausschliesslich nach den Weisungen des Gastgebers, das heisst um SynCal wie hier beschrieben zu betreiben. Sie führt nur Bearbeitungen aus, die der Gastgeber selbst vornehmen dürfte. Kein Weiterverkauf, keine Werbung.
5. Vertraulichkeit
ZRS behandelt die Daten vertraulich und gewährt nur Personen Zugang, die ihn für den Betrieb von SynCal benötigen.
6. Sicherheit
ZRS trifft die im Anhang beschriebenen technischen und organisatorischen Massnahmen, um Verletzungen der Datensicherheit zu vermeiden (Art. 8 nDSG).
7. Weiterer Auftragsbearbeiter
Der Gastgeber ermächtigt die Infomaniak Network SA, Genf, Schweiz, als weiteren Auftragsbearbeiter von ZRS tätig zu sein: Hosting, E-Mail, kMeet-Videokonferenz, Kalender und Sicherungen (Swiss Backup). ZRS zieht ohne vorherige Genehmigung des Gastgebers keinen weiteren bei (Art. 9 Abs. 3 nDSG).
8. Bekanntgabe ins Ausland
Standardmässig keine. Wählt der Gastgeber, einen Google- oder Microsoft-Kalender per iCal-Adresse lesen zu lassen, ist das seine Wahl und Verantwortung: Google und Microsoft sind keine Auftragsbearbeiter von ZRS.
9. Rechte der betroffenen Personen
ZRS unterstützt den Gastgeber bei der Beantwortung von Auskunfts-, Berichtigungs- und Löschungsgesuchen. Wer an contact@zrs-holding.com schreibt, erhält innert dreissig Tagen eine Antwort; die Person kann sich auch an den Gastgeber wenden.
10. Verletzung der Datensicherheit
ZRS meldet dem Gastgeber jede Verletzung der Datensicherheit spätestens 72 Stunden, nachdem sie sie festgestellt hat (Art. 24 Abs. 3 nDSG: so rasch als möglich). Die Kontaktperson bei ZRS ist unter contact@zrs-holding.com erreichbar. Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten obliegt dem Gastgeber, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt (Art. 24 Abs. 1 nDSG).
11. Aufbewahrung und Löschung
Termine und Daten der Gäste: zwölf Monate nach dem Ende des Termins automatisch gelöscht, unabhängig vom Status. Abgelehnte Zugangsanfragen: zwölf Monate nach der Ablehnung gelöscht. Bei Vertragsende kann der Gastgeber die Löschung seiner Daten unter contact@zrs-holding.com verlangen und vorher seine Termine exportieren (iCal- und CSV-Export, je nach Angebot). Ein Gastgeber kann sein Konto selbst löschen (Konto, unten auf der Seite): Dies löscht seine Termintypen, Termine, die Daten seiner Gäste, Tokens, den verbundenen Kalender und das Logo; kommende Gäste werden benachrichtigt.
12. Information und Kontrolle
Auf schriftliche Anfrage stellt ZRS dem Gastgeber die Informationen zur Verfügung, die zur Überprüfung der Einhaltung dieses Vertrags nötig sind.
13. Anwendbares Recht und Gerichtsstand
Schweizer Recht. Jede Streitigkeit unterliegt der ausschliesslichen Zuständigkeit des Kantonsgerichts des Kantons Waadt.
Anhang: Sicherheitsmassnahmen (Stand 12. Oktober 2026)
Tatsächlich umgesetzte Massnahmen, erfasst vom SynCal-Team. Bekannte Grenzen sind angegeben.
Hosting
Server in Genf, bei Infomaniak. Dieser Server hostet auch andere ZRS-Produkte.
Verschlüsselung bei der Übertragung
Alles läuft über HTTPS; HTTP wird umgeleitet; HSTS von einem Jahr; der Server akzeptiert nur TLS 1.2 und 1.3 (Konfiguration).
Verschlüsselung im Ruhezustand
Kalender-Zugangsdaten (CalDAV-App-Passwort, private iCal-Adresse) und die Daten der Gäste (Name, E-Mail, Telefon, Unternehmen, Nachricht, Antworten auf Fragen sowie Name und E-Mail der Warteliste) werden von der Anwendung verschlüsselt (AES-256-GCM); der Schlüssel liegt ausserhalb der Datenbank, in der Serverkonfiguration, und wird verschlüsselt extern gesichert. Das schützt vor dem Lesen einer Kopie der Datenbank; es schützt nicht vor jemandem, der den Anwendungsserver kontrolliert. Namen und E-Mail-Adressen der Gastgeber sowie Termindaten bleiben lesbar. Eine Festplattenverschlüsselung wurde nicht festgestellt.
Zugriffskontrolle
PostgreSQL-Datenbank nur lokal erreichbar, mit eigener Anwendungsrolle. Serverzugang nur per SSH-Schlüssel (Passwort deaktiviert), mit einem Administrationskonto. SSH-Anmeldungen werden protokolliert; Lesezugriffe auf die Datenbank nicht. Lokale Firewall aktiv: Eingehender Verkehr standardmässig verweigert, nur SSH und das Web (Ports 80 und 443) sind offen.
Authentifizierung der Gastgeber
Anmeldung per E-Mail und Passwort oder über das Infomaniak-Konto (OIDC: SynCal sieht das Infomaniak-Passwort nie). Für ein Konto mit E-Mail und Passwort: mindestens 12 Zeichen, triviale Passwörter werden abgelehnt, das Passwort wird nie gespeichert (scrypt-Hash mit zufälligem Salt pro Passwort); Adresse bestätigt über einen Einmal-Link, 24 Stunden gültig; vergessenes Passwort über einen Einmal-Link, 1 Stunde gültig; Sperre von 15 Minuten nach 5 Fehlversuchen in Folge und Begrenzung der Versuche pro IP-Adresse; identische Antworten, ob die Adresse existiert oder nicht. Die Zwei-Faktor-Authentifizierung ist für diese Konten heute nicht verfügbar; bei der Infomaniak-Anmeldung hängt sie vom Infomaniak-Konto des Gastgebers ab.
Trennung zwischen Gastgebern
Jede Anfrage aus dem Gastgeberbereich wird auf den angemeldeten Gastgeber gefiltert. Dies ist durch automatisierte Tests abgedeckt und wurde im internen Sicherheitsaudit von ZRS vom 16. September 2026 überprüft. Ein externes Audit gab es nicht.
Kalenderzugriff und Datenminimierung
Kalender lesen: nur freie oder belegte Zeiträume, ohne Titel, Teilnehmer oder Details. Zeitzone und IP-Adresse des Gastes werden nicht gespeichert.
Cookies
Gästen wird kein Cookie gesetzt, es gibt kein Messwerkzeug. Ein technisches Sitzungs-Cookie wird bei der Anmeldung eines Gastgebers gesetzt.
Sicherungen
Tägliche Sicherung der Datenbank bei Infomaniak (Swiss Backup), mit täglicher Kontrolle und Alarm. Eine Wiederherstellung wurde am 12. September 2026 getestet.
Protokolle
Fehler und E-Mail-Versand (Code und Domain) ohne Nachrichteninhalt; Zugriffsprotokolle des Servers werden 14 Tage aufbewahrt.
Automatische Löschung
Ein täglicher Lauf löscht Daten, deren Aufbewahrungsdauer abgelaufen ist, mit einem Protokoll, das nur Zahlen enthält.