Auftragsbearbeitungsvertrag (AVV)

1. Präambel und Rollen der Parteien

Dieser Auftragsbearbeitungsvertrag (nachfolgend «AVV») konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software kanal-os. Er ist integrierender Bestandteil des Hauptvertrags (AGB und Auftragsformular) zwischen [ANBIETER-DATEN: Firma und Sitz des Anbieters] (nachfolgend «Auftragsbearbeiter» oder «Anbieter») und dem Kunden (nachfolgend «Verantwortlicher»).

Der Kunde (z. B. der Kanalbetrieb) ist hinsichtlich der Personendaten seiner Mitarbeitenden und seiner Endkunden (Auftraggeber, Bewohner, Kontaktpersonen usw.) datenschutzrechtlich Verantwortlicher. Der Anbieter bearbeitet diese Personendaten ausschliesslich im Auftrag und nach Weisung des Kunden und ist Auftragsbearbeiter im Sinne von Art. 9 nDSG.

2. Gegenstand, Dauer und Zweck der Bearbeitung

Gegenstand der Auftragsbearbeitung ist die Bereitstellung und der Betrieb der Software kanal-os als Software as a Service, einschliesslich Speicherung, Strukturierung, Anzeige und Übermittlung der vom Kunden eingegebenen bzw. erzeugten Daten.

Zweck ist die Erbringung der im Hauptvertrag vereinbarten Leistungen für den betrieblichen Ablauf des Kunden (insbesondere Feldrapportierung, Disposition, Dokumentation, Inspektions- und Sanierungsprozesse sowie die Anbindung an Drittsysteme).

Dauer: Die Auftragsbearbeitung dauert für die Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, vorbehältlich der Regelungen zur Löschung und Rückgabe (Ziff. 10).

3. Art der Daten und Kategorien betroffener Personen

Je nach den vom Kunden genutzten Modulen und den von ihm eingegebenen Inhalten werden insbesondere folgende Kategorien von Personendaten bearbeitet:

• Stammdaten von Auftraggebern und Kontaktpersonen (Name, Adresse, Telefon, E-Mail);
• Liegenschafts- und auftragsbezogene Angaben (z. B. Objektadresse, Terminwünsche, Wohnungsnummer);
• Rapport-, Inspektions- und Sanierungsdaten inklusive Foto- und Videodokumentation;
• Sprach- bzw. Diktatdaten aus der Feldrapportierung;
• Rechnungs- und Zahlungsbezugsdaten (im Zusammenspiel mit dem Buchhaltungssystem des Kunden);
• Benutzer- und Zugriffsdaten der Mitarbeitenden des Kunden (Nutzerkonten, Rollen, Protokolle).

Kategorien betroffener Personen: Auftraggeber und Kunden des Kunden, Bewohnerinnen und Bewohner betroffener Liegenschaften, Kontaktpersonen sowie Mitarbeitende des Kunden.

[ANWALT: Prüfen, ob im konkreten Einsatz besonders schützenswerte Personendaten bearbeitet werden, und die Kategorien bei Bedarf ergänzen.]

4. Weisungsgebundenheit

Der Anbieter bearbeitet die Personendaten ausschliesslich im Rahmen des Hauptvertrags, dieses AVV und der dokumentierten Weisungen des Kunden. Der Kunde erteilt seine Weisungen grundsätzlich durch die Nutzung und Konfiguration der Software; darüber hinausgehende Einzelweisungen erfolgen in Textform.

Ist der Anbieter der Auffassung, dass eine Weisung des Kunden gegen anwendbares Datenschutzrecht verstösst, informiert er den Kunden. Der Anbieter ist berechtigt, die Ausführung einer offensichtlich rechtswidrigen Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert.

5. Vertraulichkeit

Der Anbieter verpflichtet die zur Bearbeitung der Personendaten befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Geheimhaltungspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung der Tätigkeit fort.

6. Technische und organisatorische Massnahmen (TOM)

Der Anbieter trifft angemessene technische und organisatorische Massnahmen, um die Sicherheit der Bearbeitung zu gewährleisten, insbesondere:

• Mandantentrennung: Jeder Kunde wird auf einer eigenen, logisch getrennten Instanz mit eigener Datenbank betrieben (Instance-per-Tenant); die Daten verschiedener Kunden werden nicht in einer gemeinsamen Datenbank vermischt.
• Verschlüsselung: Übertragung ausschliesslich über verschlüsselte Verbindungen (HTTPS/TLS); Speicherung bei den eingesetzten Infrastruktur-Dienstleistern nach deren Verschlüsselungsstandards.
• Zugriffskontrolle: rollenbasierte Zugriffsrechte, individuelle Nutzerkonten und Unterstützung der Zwei-Faktor-Authentisierung.
• Datensicherung: regelmässige Backups der Datenbank, einschliesslich Point-in-Time-Recovery über den Datenbank-Dienstleister (Neon).
• Protokollierung: Erfassungen und Freigaben sind Nutzern zugeordnet; sicherheitsrelevante Vorgänge werden protokolliert.

[ANWALT: TOM vor Veröffentlichung mit dem tatsächlichen technischen Stand abgleichen und ggf. als separates, versioniertes Anhang-Dokument führen (z. B. Verschlüsselung at rest, Löschkonzept, Notfallplan).]

7. Beizug weiterer Auftragsbearbeiter (Subprozessoren)

Der Kunde erteilt dem Anbieter die allgemeine Ermächtigung, zur Erbringung der Leistung weitere Auftragsbearbeiter (Subprozessoren) beizuziehen. Der Anbieter verpflichtet diese vertraglich auf ein Datenschutzniveau, das den Anforderungen dieses AVV entspricht.

Im Zeitpunkt dieser Fassung werden die folgenden Subprozessoren eingesetzt. Welche davon tatsächlich Daten bearbeiten, hängt von den vom Kunden genutzten Modulen und Schnittstellen ab:

[ANWALT: Subprozessorenliste vor Veröffentlichung final verifizieren: exakte Firmenbezeichnungen und Adressen, aktuelle Rechenzentrums-Standorte, jeweils gültige Transfergrundlage (SCC / Angemessenheit) sowie ob je nach Modulzuschnitt weitere oder weniger Subprozessoren zum Einsatz kommen.]

Der Anbieter informiert den Kunden über beabsichtigte Änderungen in Bezug auf den Beizug oder die Ersetzung von Subprozessoren mit angemessener Vorlaufzeit und räumt dem Kunden [ANWALT: Widerspruchsrecht und Frist festlegen (z. B. 30 Tage) sowie Folgen eines Widerspruchs (Sonderkündigungsrecht)] ein.

8. Unterstützung des Verantwortlichen

Der Anbieter unterstützt den Kunden im Rahmen des technisch Möglichen und mit angemessenem Aufwand bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere:

• bei der Beantwortung von Gesuchen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe), namentlich durch geeignete technische Funktionen und, soweit erforderlich, durch Auskunft;
• bei der Gewährleistung der Datensicherheit und, soweit einschlägig, bei einer Datenschutz-Folgenabschätzung;
• bei der Meldung von Verletzungen der Datensicherheit.

9. Meldung von Verletzungen der Datensicherheit

Der Anbieter meldet dem Kunden eine ihm bekannt gewordene Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt, ohne unangemessene Verzögerung nach Kenntnisnahme. Die Meldung enthält die verfügbaren Angaben zur Art der Verletzung, den betroffenen Datenkategorien und den getroffenen bzw. vorgeschlagenen Massnahmen.

Die Beurteilung einer allfälligen Meldepflicht gegenüber dem EDÖB und den betroffenen Personen (Art. 24 nDSG) obliegt dem Kunden als Verantwortlichem.

10. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Hauptvertrags stellt der Anbieter dem Kunden dessen Daten während einer Übergangsfrist zum Export bereit (siehe AGB Ziff. 13). Nach Ablauf dieser Frist löscht der Anbieter die Kundendaten und veranlasst deren Löschung bei den Subprozessoren, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

[ANWALT: Konkrete Löschfristen und den Umgang mit Backups (Aufbewahrungsdauer, gestaffelte Löschung) festlegen und mit den Fristen im AVV/AGB abstimmen.]

11. Nachweise und Kontrollrechte

Der Anbieter stellt dem Kunden die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen in geeigneter Form zur Verfügung.

[ANWALT: Ausgestaltung der Audit- und Kontrollrechte festlegen (z. B. Nachweis über Zertifikate/Berichte, angekündigte Vor-Ort-Prüfungen, Häufigkeit, Kostentragung, Geheimhaltung) und mit dem tatsächlichen Betriebsmodell abstimmen.]

12. Bekanntgabe ins Ausland

Eine Bekanntgabe von Personendaten ins Ausland erfolgt nur unter den Voraussetzungen von Art. 16 f. nDSG. Soweit Subprozessoren in Staaten ohne angemessenes Datenschutzniveau Daten bearbeiten (siehe Ziff. 7), stellt der Anbieter geeignete Garantien sicher, insbesondere durch Standardvertragsklauseln.

13. Haftung und Schlussbestimmungen

[ANWALT: Haftungsregelung des AVV mit der Haftungsklausel der AGB abstimmen (Umfang, Höchstbetrag, Rückgriff) und juristisch prüfen.]

Im Übrigen gelten die Bestimmungen des Hauptvertrags (AGB), insbesondere zu anwendbarem Recht und Gerichtsstand, sinngemäss. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in Bezug auf die Auftragsbearbeitung die Regelungen dieses AVV vor.