Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend «AVV») ergänzt die Nutzungsbedingungen zwischen dem Kunden (nachfolgend «Auftraggeber») und der Saldio Systems GmbH, Blattenackerweg 15, 4226 Breitenbach, Schweiz (nachfolgend «Auftragnehmer»). Er regelt die Verarbeitung personenbezogener Daten gemäss Art. 28 DSGVO und Art. 9 revDSG.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet im Rahmen der Nutzung des Saldio-Dienstes personenbezogene Daten, die der Auftraggeber einbringt oder die im Auftrag des Auftraggebers entstehen. Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Art der verarbeiteten Daten:

• Stammdaten (Name, E-Mail-Adresse, Berufsbezeichnung) von Mitarbeitenden und Kontaktpersonen des Auftraggebers;
• Transaktions- und Bewegungsdaten, die im Rahmen der Dienstnutzung entstehen;
• Zugriffsprotokoll- und Nutzungsdaten.

Kategorien betroffener Personen:

• Mitarbeitende und Nutzerkonten des Auftraggebers;
• Kontakte und Geschäftspartner des Auftraggebers, soweit deren Daten in den Dienst eingebracht werden.

Zweck: Erbringung des Saldio-Dienstes gemäss Nutzungsbedingungen.

3. Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Der Auftraggeber erteilt seine Weisungen primär durch die Konfiguration und Nutzung des Dienstes. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, bedürfen der Schriftform und können zusätzliche Kosten verursachen.

4. Vertraulichkeit

Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit. Der Auftragnehmer stellt sicher, dass nur Personen Zugang zu den Daten des Auftraggebers erhalten, die dies für die Aufgabenerfüllung benötigen.

5. Technische und organisatorische Massnahmen (TOMs)

Der Auftragnehmer hat angemessene technische und organisatorische Massnahmen gemäss Art. 32 DSGVO implementiert. Dazu gehören insbesondere:

• Verschlüsselung der Daten während der Übertragung (TLS) und im Ruhezustand;
• Zugriffskontrolle und Berechtigungsmanagement;
• regelmässige Datensicherungen;
• Protokollierung sicherheitsrelevanter Ereignisse;
• Verfahren zur regelmässigen Überprüfung und Bewertung der TOMs.

Eine aktuelle Übersicht der TOMs kann beim Auftragnehmer angefordert werden.

6. Unterauftragnehmer

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragnehmer einzusetzen. Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich zu gleichwertigen Datenschutzverpflichtungen. Über wesentliche Änderungen beim Einsatz von Unterauftragnehmern informiert der Auftragnehmer den Auftraggeber vorab, sodass dieser Einwände erheben kann.

7. Rechte betroffener Personen

Erhält der Auftragnehmer Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), leitet er diese unverzüglich an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung solcher Anfragen, soweit dies mit den ihm zur Verfügung stehenden Mitteln möglich ist.

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäss Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Datenpannen und der Durchführung von Datenschutz-Folgenabschätzungen, soweit solche den Dienst betreffen.

9. Meldung von Datenpannen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens aber innerhalb von 72 Stunden nach Bekanntwerden, soweit dieser Vorfall personenbezogene Daten des Auftraggebers betrifft.

10. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie auf Verlangen zurück, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Auftraggeber kann vor Vertragsende einen Datenexport über die Kontoeinstellungen anfordern.

Dasselbe gilt für Konten, deren kostenlose Testphase ohne Abschluss eines Abonnements abgelaufen ist: diese werden nach Ablauf der in Ziff. 7.2 der Nutzungsbedingungen genannten Frist (30 Tage nach Ende der Testphase) gelöscht. Die Löschung aus Datensicherungen erfolgt im Rahmen des regulären Backup-Zyklus mit dem turnusmässigen Überschreiben der Sicherungen. Nachweise über erteilte Einwilligungen sowie gesetzlich vorgeschriebene Protokolle bleiben von der Löschung ausgenommen (vgl. Datenschutzerklärung, Ziff. «Speicherung und Löschung»).

Löschauftrag. Beauftragt der Auftraggeber die Löschung seines Mandanten über die Kontoeinstellungen, gilt dies als Weisung im Sinne von Ziff. 4. Der Vollzug erfolgt 30 Tage nach Auftragserteilung; bis dahin ist der Auftrag widerrufbar (Ziff. 7.4 der Nutzungsbedingungen).

Abschluss-Backup. Fordert der Auftraggeber vor der Löschung ein Abschluss-Backup an, erteilt er damit die ausdrückliche Weisung, seine Daten über das Vertragsende hinaus für die Dauer von 90 Tagen ausschliesslich zum Zweck der Rückgabe an ihn aufzubewahren. Der Auftragnehmer verarbeitet die Daten in dieser Zeit zu keinem anderen Zweck. Der Zugriff erfolgt ausschliesslich über einen personalisierten Download-Link mit einem 256 Bit langen Zufallstoken, das ausserhalb der Zustellung an den Auftraggeber nur als kryptografischer Hash gespeichert wird; die Zugriffe werden gezählt. Nach Ablauf der 90 Tage wird das Abschluss-Backup automatisch gelöscht; der Auftragnehmer hält den Vollzug der Löschung nachweisbar fest. Ohne Anforderung wird kein Abschluss-Backup erstellt.

11. Nachweise und Audits

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen. Vor-Ort-Audits des Auftraggebers oder eines beauftragten Prüfers sind nach vorheriger schriftlicher Ankündigung und auf Kosten des Auftraggebers möglich; der Auftragnehmer kann stattdessen aktuelle Zertifizierungen (ISO 27001 o. ä.) vorlegen.

12. Internationaler Datentransfer

Soweit personenbezogene Daten in Länder ausserhalb der Schweiz bzw. des Europäischen Wirtschaftsraums (EWR) übermittelt werden, stellt der Auftragnehmer ein angemessenes Schutzniveau durch geeignete Garantien sicher (insbesondere EU-Standardvertragsklauseln oder gleichwertige Massnahmen).

13. Haftung

Die Haftungsbeschränkung gemäss Ziff. 10 der Nutzungsbedingungen gilt – soweit gesetzlich zulässig – auch für Ansprüche aus oder im Zusammenhang mit diesem AVV, einschliesslich des Rückgriffs des Auftraggebers nach Art. 82 Abs. 5 DSGVO.

Im Innenverhältnis trägt jede Partei denjenigen Anteil eines Schadens, der ihrem Verursachungs- und Verschuldensbeitrag entspricht.

Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die darauf beruhen, dass der Auftraggeber Personendaten ohne hinreichende Rechtsgrundlage in den Dienst eingebracht oder rechtswidrige Weisungen erteilt hat.

Die gesamtschuldnerische Haftung gegenüber betroffenen Personen nach Art. 82 Abs. 4 DSGVO sowie Sanktionen der Aufsichtsbehörden bleiben von den vorstehenden Bestimmungen unberührt; diese wirken ausschliesslich im Verhältnis zwischen den Parteien.

14. Rangverhältnis

Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen gehen die Bestimmungen dieses AVV bezüglich Datenschutz vor. Die Haftungsregelung gemäss Ziff. 10 der Nutzungsbedingungen und Ziff. 13 dieses AVV bleibt davon unberührt.