Beilage 2 -Auftragsverarbeitungsvertrag («AVV»)

1. Allgemeines

Dieser AVV wird im Zusammenhang mit den AGB des Auftragsverarbeiters («Hauptvertrag») zwischen dem Nutzer (nachstehend «AG») und AN (zusammen auch «Parteien») abgeschlossen. Datenschutzrechtliche Begriffe entsprechen den Definitionen gemäss dem anwendbaren Recht. Personendaten (inkl. Kopien oder Reproduktionen) bleiben Eigentum des AG.

2. Beschreibung der konkreten Datenbearbeitung

3. Datenschutzgrundsätze

Die Parteien bearbeiten Personendaten ausschliesslich rechtmässig und halten sich an die anwendbaren Datenschutzvorschriften und Grundsätze.

4. Pflichten des AN

Der AN verarbeitet Personendaten nur zweckgebunden gemäss Ziff. 2 hiervor und gemäss den dokumentierten Weisungen des AG. Bei Zweifeln an der Zulässigkeit der Weisungen informiert der AN den AG unverzüglich.

Über eine Weitergabe von Personendaten an Subunternehmer oder sonstige Dritte informiert der AN den AG vorgängig. Die Weitergabe unterliegt der Genehmigung durch den AG und kann nur unter Befolgung der anwendbaren Datenschutzgesetze erfolgen.

Genehmigte Subunternehmer:

Weitere Subunternehmer dürfen nur mit vorheriger ausdrücklicher schriftlicher Zustimmung des AG involviert werden. Der AN haftet uneingeschränkt für Handlungen und Unterlassungen seiner Subunternehmer. Bei Beizug von Subunternehmern aus einem Drittstaat ohne adäquates Datenschutzniveau müssen die Vorgaben der anwendbaren Datenschutzgesetze erfüllt sein. Der Auftragnehmer legt entsprechende Dokumentationen vor.

Der AN verpflichtet alle Mitarbeiter, Hilfspersonen und Subunternehmer zur Geheimhaltung (namentlich Fabrikations- und Geschäftsgeheimnis), soweit nicht bereits gesetzlich vorgesehen. Die Geheimhaltungspflicht gilt auch nach Beendigung der Vertragsbeziehung.

Der AN und seine Subunternehmer implementieren mindestens die in Anlage 1 definierten technischen und organisatorischen Massnahmen (TOM). Der AN unterstützt den AG kostenpflichtig für weitergehende Massnahmen als die in Anlage 1 genannten. Für die Meldung eines Datensicherheitsvorfalles ist das in Anlage 2 enthaltene Meldeformular zu verwenden.

Der AN unterstützt den AG bei Audits und Inspektionen (durchgeführt vom AG und/oder genehmigten Prüfern) und stellt alle notwendigen Informationen zur Verfügung. Der AN stellt dem AG auf Verlangen und gegen die Übernahme der Kostenfolgen durch den AG entsprechende Prüfberichte zur Verfügung. Der AN setzt die Empfehlungen aus Audits und Inspektionen zeitnah um.

Der AN informiert den AG bei einer drohenden Beschlagnahme oder Einziehung von Personendaten des AG (Insolvenzverfahren oder Schritte einer Drittpartei).

Nach Beendigung des Hauptvertrages gibt der AN alle Daten zurück und löscht diese in dokumentierter Weise, sofern gesetzlich zulässig.

5. Betroffenenrechte und Anfragen von Behörden

Der AG ist verantwortlich für die Einhaltung der Betroffenenrechte (u.a. Recht auf Information, Berichtigung, Löschung, Sperrung). Bei einem Auskunftsersuchen einer betroffenen Person muss der AN dem AG alle betreffenden Informationen unverzüglich bereitstellen und den AG auf Verlangen umfassend unterstützen. Kostenfolgen zu Lasten des AG bleiben vorbehalten.

6. Haftung

Die Haftung richtet sich nach dem Hauptvertrag.

Im Rahmen der Anwendbarkeit der DSGVO stellt jede Partei die andere Partei auf erstes Anfordern von und gegen alle Ansprüche Dritter (einschliesslich der betroffenen Personen) bezüglich eines Verstosses gegen diesen AVV, die Gesetze und Vorschriften zum Datenschutz oder gegen datenschutzrelevante Bestimmungen eines Hauptvertrages frei, sofern der Verstoss von der haftbaren Partei rechtlich zu vertreten ist. Die Haftung umfasst uneingeschränkt alle Schadensersatzansprüche Dritter, einschliesslich der Kosten und Aufwendungen, die der empfangenden Partei im Zusammenhang mit der Verletzung oder der Abwehr von Ansprüchen Dritter entstehen. Im Anwendungsbereich der DSGVO haften die Parteien gesamtschuldnerisch gegenüber den betroffenen Personen im Sinne von Art. 82 Abs. 4 DSGVO. Etwaige Haftungsbeschränkungen zwischen dem AG und den betroffenen Personen gelten auch zugunsten des AN.

7. Schlussbestimmungen

Änderungen und Ergänzungen des AVV und all seiner Bestandteile bedürfen der Schriftform.

Sollten Bestimmungen dieses AVV (oder Teile davon) unwirksam, gesetzwidrig oder nicht durchsetzbar sein oder werden, bleiben die übrigen Bestimmungen in vollem Umfang wirksam. Die betreffende Bestimmung ist durch eine für beide Seiten annehmbare wirksame und durchsetzbare Bestimmung zu ersetzen, die den ökonomischen und sonstigen Zielen der Parteien am nächsten kommt. Gleiches gilt für eventuelle Vertragslücken.

Auf diesen AVV ist ☒ DSG (inkl. DSV) ☐ DSGVO ☐ anderes Recht: ____________ anwendbar. Regeln des IPRG und anderer multi- oder bilateraler internationaler Kollisionsnormen sind ausgeschlossen. Ausschliesslicher Gerichtsstand ist Schlieren.

8. Anhänge

Anhang 1 TOM

Anhang 2 Meldeformular

Ort, Datum: ___________

Für den Auftragnehmer:

_____________________ Andreas von Kirschten

Anlage 1: Technische und organisatorische Massnahmen (TOM)

1. Organisatorische Massnahmen/Kontrollen

Zweck: Verhinderung von Informationssicherheitsvorfällen aufgrund organisatorischer Lücken.

Im Unternehmen ergriffene Massnahmen:

Andere:______________________________________________________________________________________________

2. Vertraulichkeit (Art. 2 lit. a DSV; Art. 32 Abs. 1 lit. b DSGVO)

Physische Zugangskontrollen/kein unbefugter Zugriff auf Datenverarbeitungssysteme.

Zweck: Unbefugten wird der "physische" Zugang zu Datenverarbeitungsanlagen, die zur Verarbeitung personenbezogener Daten verwendet werden, verweigert.

Im Unternehmen ergriffene Massnahmen:

Andere: ______________________________________________________________________________________________

Physische Zugangskontrolle:

Kein unbefugter Systemzugriff.

Zweck: Nur autorisierte Personen können auf die Datenverarbeitungssysteme zugreifen, diese können nur von ihnen genutzt werden.

Im Unternehmen ergriffene Massnahmen:

Andere: ______________________________________________________________________________________________

Zugriffskontrolle

Kein unbefugtes Lesen, Kopieren, Ändern oder Entfernen innerhalb des Systems. z.B. Berechtigungskonzepte und bedarfsgerechte Zugriffsrechte, Protokollierung von Zugriffen.

Zweck: Es soll sichergestellt werden, dass nur Personen Zugriff auf das Datenverarbeitungssystem haben und dass der Zugriff ausschliesslich auf diese personenbezogenen Daten beschränkt ist, die dieser Zugriffsberechtigung unterliegen.

Im Unternehmen ergriffene Massnahmen:

Andere: ______________________________________________________________________________________________

Trennkontrolle:

Getrennte Verarbeitung von Daten, die für verschiedene Zwecke erhoben werden. (Z.B. Sandboxing, Mandantenfähigkeit)

Zweck: Technische Sicherstellung der zweckgebundenen Verarbeitung der personenbezogenen Daten.

Im Unternehmen ergriffene Massnahmen:

Andere:

Die Verarbeitung personenbezogener Daten erfolgt so, dass die Daten ohne die Nutzung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, indem diese zusätzlichen Informationen gesondert gespeichert werden und geeignete technische und organisatorische Massnahmen getroffen wurden.

3. Integrität (Art. 2 lit. b DSV; Art. 32 Abs. 1 lit. b DSGVO)

Freigabesteuerung/kein unbefugtes Lesen, Kopieren, Ändern oder Entfernen während des Transports oder der elektronischen Übertragung (z.B Verschlüsselung, VPN, Signatur, etc.)

Zweck: Sicherstellung, dass Datenträger während des Transports oder der elektronischen Übermittlung nicht ohne Genehmigung gelesen, kopiert, verändert oder entfernt werden können, oder Überprüfung und Feststellung, wo die Übermittlung personenbezogener Daten mittels Datenübertragungsmöglichkeiten vorgesehen ist. Insofern werden die Transport- und Datenträgersteuerungen durch die Übergabesteuerung kombiniert.

Im Unternehmen ergriffene Massnahmen:

Andere: ______________________________________________________________________________________________

Eingabekontrolle:

Feststellung, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, geändert oder entfernt wurden, z.B. Protokollierung, Dokumentenmanagement

Zweck:

Sicherstellung der Überprüfbarkeit eines Verarbeitungsvorgangs (Eingabe, Änderung, Löschung) personenbezogener Daten. Autor, Inhalt und Zeitpunkt der Datenspeicherung sollten ermittelt werden können.

Im Unternehmen ergriffene Massnahmen:

Andere: ______________________________________________________________________________________________

4. Verfügbarkeit und Belastbarkeit

Mengenverfügbarkeitskontrolle

Schutz vor versehentlicher oder mutwilliger Zerstörung oder Verlust, z.B.: Backup-Konzept (online/offline, onsite/offsite), unterbrechungsfreie Stromversorgung, Virenschutz, Firewall, Meldekanäle, Notfallpläne.

Zweck:

Sicherstellung, dass die personenbezogenen Daten nicht versehentlich vernichtet werden und vor Verlust geschützt sind. Die eingesetzten Systeme müssen im Störungsfall wiederhergestellt werden können.

Im Unternehmen ergriffene Massnahmen:

Andere: ______________________________________________________________________________________________

5. Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung

Auftragssteuerung: Keine Auftragsdatenverarbeitung ohne entsprechende Weisungen des Auftraggebers, z.B. klare Vertragsgestaltung, formalisierte Auftragsverwaltung, strenge Auswahl des Dienstleisters, Verpflichtung zur Vorkasse, Nachprüfungen.

Zweck: Die im Auftrag zu verarbeitenden Daten sind nur nach Weisung des Auftraggebers zu verarbeiten. Indirekt damit verbunden ist die Weisungspflicht des Auftraggebers gegenüber den Auftragnehmern.

Im Unternehmen gelten folgende Massnahmen:

Andere: __________________________________________________________________________________________

Anlage 2: Template zur Meldung von Datenschutzverletzungen

Meldung an: den Datenschutz- bzw. Informationsschutzverantwortlichen des «Verantwortlichen»