Anhang 1:
Auftragsbearbeitungs­vereinbarung

A. Geltungsbereich und Merkmale der Auftragsbearbeitung

Diese Vereinbarung regelt das Bearbeiten von Personendaten durch die Dienstleisterin als Auftragsbearbeiterin bzw. Unterauftragsbearbeiterin des Auftraggebers als Verantwortlicher bzw. Auftragsbearbeiter im Rahmen der Erfüllung des Hauptvertrags.

Soweit der Auftraggeber selbst Auftragsbearbeiter ist (z.B. eines seiner Kunden), ist ausschliesslich er für die Kommunikation mit seinem Verantwortlichen zuständig und die Dienstleisterin darf seine Anweisungen als jene des Verantwortlichen betrachten und davon ausgehen, dass er von ihm stets ermächtigt handelt.

Erfasst sind alle Personendaten, die die Dienstleisterin im Rahmen der Bearbeitung vom Auftraggeber, einem verbundenen Unternehmen von ihm oder einem Dritten erhält, oder welche die Dienstleisterin in Rahmen der Bearbeitung selbst erschafft.

Gegenstand, Dauer, Art und Zweck der Bearbeitung, sowie die Kategorien der bearbeiteten Personendaten und der betroffenen Personen sind wie in Anhang 1A angegeben festgelegt.

B. Pflichten des Auftraggebers

Der Auftraggeber verpflichtet sich und garantiert gegenüber der Dienstleisterin, dass:

1. die Bearbeitung, die Beauftragung der Dienstleisterin und seine Anweisungen an die Dienstleisterin unter Einhaltung des DSG und, soweit anwendbar, der kantonalen Datenschutzgesetze und auch sonst rechtmässig erfolgen und während der Laufzeit der Vereinbarung bleiben;
2. die technischen und organisatorischen Massnahmen gemäss Anhang 1B (technische und organisatorische Massnahmen) im Hinblick auf die Bearbeitung und die damit verbundenen Risiken angemessen sind und während der Laufzeit der Vereinbarung bleiben;
3. er alle Mitteilungen, Registrierungen, behördliche Genehmigungen und Einwilligungen von betroffenen Personen, die für eine rechtmässige Bearbeitung von Personendaten durch die Dienstleisterin als Auftragsbearbeiterin nach DSG und, soweit anwendbar, nach kantonalem Datenschutzrecht erforderlich sind, gemacht oder eingeholt hat; und
4. er alle Anfragen von betroffenen Personen, die ihre Rechte gemäss den anwendbaren Datenschutzvorschriften ausüben, von Aufsichtsbehörden und sonstigen Dritten zur Bearbeitung rechtskonform und angemessen beantwortet.

C. Bearbeitung von Personendaten durch den Dienstleister

1. Pflichten des Dienstleisters

Die Dienstleisterin verpflichtet sich gegenüber dem Auftraggeber:

1. Personendaten, soweit nicht anders vereinbart, nur für die Zwecke des Auftraggebers und jeweils nur zum Zwecke der Erfüllung des Hauptvertrages gemäss den dokumentierten Weisungen des Auftraggebers zu bearbeiten; der Hauptvertrag einschliesslich dieser Vereinbarung sowie die von den Parteien vereinbarten Leistungen und vom Auftraggeber gewählten Konfigurationen und Optionen und im Rahmen des Hauptvertrags vorgesehenen Instruktionen sind die abschliessenden und verbindlichen Weisungen des Auftraggebers, soweit nichts anderes vereinbart ist. Will der Auftraggeber diese Weisungen anpassen, schlägt er dies der Dienstleisterin vor; soweit kein besonderer Prozess zur Vertragsanpassung vorgesehen ist, prüft die Dienstleisterin den Anpassungswunsch in guten Treuen; können sich die Parteien nicht innert dreissig (30) Tagen auf eine Anpassung einigen, kann der Auftraggeber die Auftragsbearbeitung und die davon betroffene Leistung des Hauptvertrags ausserordentlich kündigen, soweit er zeigt, dass die verlangte Vertragsanpassung datenschutzrechtlich notwendig ist;
2. keine Personendaten ins Ausland bekanntzugeben oder zu übermitteln, ausser:
   1. an den Auftraggeber selbst, seine verbundenen Unternehmen oder an Dritte in Erfüllung einer Anweisung des Auftraggebers oder wie vom Hauptvertrag vorgesehen (dies gilt nicht für Übermittlungen an Unterauftragsbearbeiter der Dienstleisterin oder sonst von dieser beigezogene Dritte);
   2. soweit im Hauptvertrag nichts Strengeres vereinbart ist, an einen Empfänger in einem Land mit angemessenem Datenschutzniveau;
   3. soweit im Hauptvertrag nichts Strengeres vereinbart ist, an einen Empfänger, der nicht in einem Land mit angemessenem Datenschutzniveau ist, soweit die nach DSG und, soweit anwendbar, dem kantonalen Datenschutzrecht für eine rechtmässige Bekanntgabe bzw. Übermittlung der Personendaten erforderlichen Voraussetzungen geschaffen worden sind; oder
   4. dies ist mit dem Auftraggeber im Hauptvertrag oder anderweitig vereinbart;
3. die technischen und organisatorischen Massnahmen gemäss Anhang 1B (technische und organisatorische Massnahmen) vorzusehen und aufrechtzuerhalten, um die Vertraulichkeit, Integrität und Verfügbarkeit von Personendaten sowie die Nachvollziehbarkeit ihrer Bearbeitung entsprechend den Vorgaben der anwendbaren Datenschutzvorschriften jederzeit zu gewährleisten und Personendaten vor unbefugter Bearbeitung, unbefugtem Zugriff oder unbefugter Offenlegung sowie vor versehentlicher oder unrechtmässiger Verfälschung, Zerstörung oder Verlust zu schützen, wobei zwischen den Parteien in Bezug auf die Nachvollziehbarkeit der Bearbeitung ferner als vereinbart gilt, dass der Auftraggeber sicherzustellen hat, dass allfällige den Parteien obliegende Protokollierungspflichten (wie insbesondere jene nach Artikel 4 der Schweizer Verordnung über den Datenschutz, soweit anwendbar) eingehalten werden; die Dienstleisterin darf diese Massnahmen bei Bedarf anpassen, sofern das Schutzniveau insgesamt im Wesentlichen erhalten wird; in diesen Fällen passt sie Anhang 1B (technische und organisatorische Massnahmen) an und teilt dies dem Auftraggeber in geeigneter Weise mit;
4. sich bei der Bearbeitung von Personendaten nur auf Mitarbeiter und andere Hilfspersonen zu verlassen, die vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind;
5. die Bearbeitung von Personendaten an Dritte (ausser Mitarbeiter und andere Hilfspersonen, welche die Anforderungen gemäss Ziffer II.C.1.d) dieses Abschnitts erfüllen) nur mit der schriftlichen Zustimmung des Auftraggebers und nur an einen Unterauftragsbearbeiter zu delegieren, der sich nach den Vorgaben zur Auftragsbearbeitung gemäss DSG und den anwendbaren kantonalen Datenschutzrecht verpflichtet hat. Die Zustimmung gilt als generell erteilt für alle Unterauftragsbearbeiter auf der Liste der Unterauftragsbearbeiter, welche im Anhang 1C oder im Hauptvertrag bezeichnet haben; will die Dienstleisterin die Liste um weitere Unterauftragsbearbeiter erweitern oder anpassen, so teilt sie dies dem Auftraggeber in geeigneter Weise mindestens sechzig (60) Tage im Voraus in Textform mit (z.B. durch eine E-Mail oder eine Benachrichtigungsfunktion bei Anpassungen der Liste, soweit sie im Internet bereitgestellt wird). Der Auftraggeber kann einer Erweiterung oder Anpassung der Liste innert fünfzehn (15) Tagen schriftlich widersprechen; er wird dies nur aus datenschutzrechtlichen und berechtigten Gründen tun; können sich die Parteien nicht innert fünfzehn (15) Tagen einigen, kann der Auftraggeber die Auftragsbearbeitung und die davon betroffene Leistung des Hauptvertrags ausserordentlich kündigen, soweit er zeigt, dass der Widerspruch datenschutzrechtlich notwendig ist; strengere Regelungen über den Beizug von Unterauftragnehmer zugunsten des Auftraggebers im Hauptvertrag bleiben vorbehalten;
6. dem Auftraggeber unverzüglich an die vom Auftraggeber bezeichnete E-Mail-Adresse jede Verletzung der Datensicherheit (was auch jede Verletzung des Schutzes von Personendaten im Sinne des DSG oder des anwendbaren kantonalen Datenschutzrechts umfasst) zu melden, sowie jene Informationen gemäss Artikel 24 Abs. 2 DSG und, sofern vorhanden, den entsprechenden Bestimmungen des anwendbaren kantonalen Datenschutzrechts, welche der Dienstleisterin vernünftigerweise zur Verfügung stehen;
7. den Auftraggeber auf sein Ersuchen hin bei der Einhaltung des DSG und der anwendbaren kantonalen Datenschutzvorschriften unter Berücksichtigung der Art der Bearbeitung sowie der der Dienstleisterin zur Verfügung stehenden Informationen zu unterstützen, insbesondere bei der Erfüllung seiner Verpflichtungen (i) gegenüber betroffenen Personen, die ihre Rechte gemäss den anwendbaren Datenschutzvorschriften ausüben, und (ii) zur Umsetzung angemessener technischer und organisatorischer Schutzmassnahmen, zur Meldung von Datensicherheitsverletzungen und zur Durchführung von gesetzlich vorgeschriebenen Datenschutz-Folgeabschätzungen und Vorabkontrollen oder -konsultationen;
8. den Auftraggeber unverzüglich zu informieren, wenn eine Weisung des Auftraggebers ihrer Meinung nach gegen anwendbare datenschutzrechtliche oder andere anwendbare Vorschriften verstösst;
9. dem Auftraggeber alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung dieser Ziffer II.C.1 durch die Dienstleisterin nachzuweisen, und Prüfungen und Inspektionen durch den Auftraggeber oder durch vom Auftraggeber dazu beauftragte Prüfgesellschaften zuzulassen und daran mitzuwirken; der Auftraggeber stimmt zu, dass er dieses Prüfrecht soweit möglich nur dadurch ausübt, dass er auf die Prüfung der von der Dienstleisterin allfällig zur Verfügung gestellten Zertifizierungen und Prüfberichte unabhängiger Prüfgesellschaften abstellt; und
10. entsprechend der Wahl des Auftraggebers, vorbehaltlich anwendbarer gesetzlicher Aufbewahrungspflichten, bei Beendigung des Hauptvertrages oder auf Verlangen dem Auftraggeber alle oder bestimmte Personendaten an den Auftraggeber zurückzugeben oder zu löschen, ohne eine Kopie davon aufzubewahren, und dem Auftraggeber diese Löschung zu bestätigen.

2. Sonderaufwand, Schadloshaltung

Soweit im Einzelfall nichts anderes vereinbart ist, wird der Auftraggeber der Dienstleisterin ihren Aufwand und ihre Auslagen vergüten, die ihr dadurch entstehen, dass sie dem Auftraggeber Unterstützungsleistungen gemäss Ziff. II.C.1 erbringt, ihm Prüfungen erlaubt oder diese unterstützt, von ihm verlangte Änderungen im Zusammenhang mit der Auftragsbearbeitung umsetzt oder ihn sonst bei der Einhaltung des DSG und dem anwendbaren kantonalen Datenschutzrecht unterstützt, jeweils soweit er nicht zeigen kann, dass dieser Aufwand von der Dienstleisterin selbst verschuldet worden ist oder er gemäss ausdrücklicher Regelung im Hauptvertrag nicht vom Auftraggeber zu tragen ist.

Der Auftraggeber hat die Dienstleisterin gegen jegliche Ansprüche Dritter aufgrund einer Verletzung dieser Vereinbarung oder anwendbarer Datenschutzvorschriften schad- und klaglos zu halten. Eine solche Schadloshaltung gilt insbesondere bezüglicher aller Schäden, Kosten, Administrativsanktionen, Ansprüche oder Aufwendungen, die der Dienstleisterin als Folge solcher Verletzungen entstehen. Sie unterliegt, wie auch ein etwaiger Schadenersatzanspruch der Dienstleisterin und ihrer verbundenen Unternehmen, mangels ausdrücklich in Bezug auf diese Klausel abweichende Vereinbarung nicht etwaigen im Hauptvertrag vereinbarten Haftungsbegrenzungen oder -ausschlüssen.

I. ZUTRITTSKONTROLLE

Verhindert unbefugten physischen Zugang zu IT-Systemen, in denen personenbezogene Daten verarbeitet werden.

Massnahmen:

• Betrieb der Server in ISO 27001-zertifiziertem Rechenzentrum in der Schweiz
• Elektronische Zugangskontrollen mit Chipkarten oder biometrischen Verfahren
• Videoüberwachung und Protokollierung von Zutritten
• Sicherheitspersonal beim Hosting-Dienstleister

II. ZUGANGSKONTROLLE

Verhindert unbefugten Zugang zu IT-Systemen durch Dritte.

Massnahmen:

• Passwortschutz mit Richtlinien (Mindestlänge, regelmässiger Wechsel)
• Zwei-Faktor-Authentifizierung für Admin- und Hosting-Zugänge
• VPN-Zugänge mit Authentifizierung für Remote-Arbeit
• Deaktivierung inaktiver Konten

III. ZUGRIFFSKONTROLLE

Stellt sicher, dass nur befugte Nutzer Zugriff auf personenbezogene Daten haben.

Massnahmen:

• Rollen- und Rechtemanagement (z. B. getrennte Rollen für Support, Buchhaltung, Technik)
• Logging und regelmässige Prüfung der Zugriffe
• Zugriff nur nach dem Need-to-know-Prinzip

IV. WEITERGABEKONTROLLE

Stellt sicher, dass personenbezogene Daten bei der Übertragung oder Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Massnahmen:

• SSL/TLS-Verschlüsselung für alle Webshop-Verbindungen
• Verschlüsselte Kommunikation mit Zahlungsdienstleistern (z. B. Stripe, PayPal)
• ADV-Verträge mit Drittdienstleistern

V. EINGABEKONTROLLE

Ermöglicht die Nachvollziehbarkeit von Datenänderungen.

Massnahmen:

• Protokollierung von Datenänderungen in der Kundenverwaltung
• Logging von Logins und Bearbeitungsvorgängen durch Admins
• Zeitstempelung und Benutzer-ID in Datenbanklogs

VI. AUFTRAGSKONTROLLE

Stellt sicher, dass Auftragsverarbeiter nur gemäss Weisung handeln.

Massnahmen:

• Abschluss von Auftragsbearbeitungsverträgen (ADV)
• Auswahl von Dienstleistern nach Datenschutzkriterien
• Regelmässige Kontrolle der Dienstleister durch Audits oder Berichte
• Dokumentation der Weisungen an Dienstleister

VII. VERFÜGBARKEITSKONTROLLE

Schützt vor zufälliger oder vorsätzlicher Zerstörung bzw. Verlust von Daten.

Massnahmen:

• Tägliche verschlüsselte Backups, Speicherung an getrennten Standorten
• Notfallkonzepte und Wiederherstellungsverfahren (Disaster Recovery)
• Firewall, DDoS-Schutz, Virenscanner, Intrusion Detection Systems (IDS)
• USV und Brandschutzmassnahmen im Rechenzentrum

VIII. TRENNUNGSGEBOT

Stellt sicher, dass für unterschiedliche Zwecke erhobene Daten getrennt verarbeitet werden.

Massnahmen:

• Trennung von Test- und Produktivsystemen
• Logische Trennung der Daten innerhalb von Datenbanken (z. B. Mandantenfähigkeit)
• Zweckbindung durch systemische Einschränkungen der Datennutzung

IX. PRIVACY BY DESIGN / BY DEFAULT

Datenschutz wird bereits bei der Entwicklung berücksichtigt.

Massnahmen:

• Datensparsamkeit: nur erforderliche Daten werden erhoben
• Standardmässig deaktivierte Newsletter-Option
• Pseudonymisierung von Nutzerdaten im Tracking

X. SCHULUNG / SENSIBILISIERUNG / KONTROLLE

Stellt sicher, dass Mitarbeitende sensibilisiert sind und Vorgaben eingehalten werden.

Massnahmen:

• Regelmässige Datenschutz- und IT-Sicherheitsschulungen
• Verpflichtung zur Vertraulichkeit
• Interne Datenschutzrichtlinien
• Überprüfung und Aktualisierung der Massnahmen mindestens einmal jährlich