ADV

Vereinbarung zur Auftragsdatenverarbeitung (ADV) zwischen dem Besitzer eines HOOP-Kontos («Auftraggeber») und HOOP Corporate Services SA, Heiligkreuzstrasse 5, 9008 St. Gallen («Auftragnehmer»). Einzeln als «Partei» oder gemeinsam als «Parteien» bezeichnet.

1.   Präambel

(1) Der Auftraggeber beauftragt den Auftragnehmer mit Aufgaben zur Verarbeitung von personenbezogenen Daten («Daten») im Sinne datenschutzrechtlicher Bestimmungen. Dabei kann der Auftragnehmer Auftragsverarbeiter oder weiterer Auftragsverarbeiter im datenschutzrechtlichen Sinne sein. Solche Aufgaben finden zur Erfüllung von Verträgen, von Hosting- und Dienstleistungslösungen, Supportanfragen, Wartungsarbeiten oder sonstiger Aufgaben statt, in denen der Auftragnehmer Zugriff auf Daten erhält, zur Verfügung gestellt bekommt oder zur Kenntnis nehmen kann.

(2) Zur Wahrung der gesetzlichen Anforderungen gilt diese Vereinbarung und findet Anwendung auf alle Tätigkeiten, die mit zwischen den Parteien geschlossenen Verträgen in Zusammenhang stehen, bei denen Mitarbeitende des Auftragnehmers oder durch ihn Beauftragte Daten des Auftraggebers verarbeiten. Darüber hinaus gilt sie für zukünftige Verträge zwischen den Parteien, die eine Auftragsdatenverarbeitung vorsehen.

2.   Gegenstand der Vereinbarung

(1) Aus den zwischen den Parteien geschlossenen Verträgen (insbesondere den Allgemeinen Bestimmungen (AB) für das HOOP-Konto), die eine Auftragsdatenverarbeitung beinhalten können, ergeben sich Gegenstand, Art und Zweck dieser Vereinbarung, auf die hier verwiesen wird. In diesen Verträgen können Sonderregelungen enthalten sein, die diese Vereinbarung ergänzen und/oder modifizieren und vorrangig gegenüber dieser Vereinbarung gelten.

(2) Die Auftragsdatenverarbeitung wird durch den Auftragnehmer in der Schweiz erbracht sowie durch die Beauftragung von weiteren Auftragsverarbeitern an den Orten, wie sie sich aus der Liste der weiteren Auftragsverarbeiter ergeben. Es gilt die Liste der weiteren Auftragsverarbeiter, die als Anlage Teil dieser Vereinbarung ist. Mit deren Beauftragung erklärt sich der Auftraggeber hiermit einverstanden.

(3) Eine weitere Verlagerung der Auftragsdatenverarbeitung (inkl. Teilarbeiten dazu) in weitere Drittländer erfolgt nur, wenn die besonderen datenschutzrechtlichen Voraussetzungen erfüllt sind (z. B. Angemessenheitsbeschluss, Standarddatenschutzklauseln, genehmigte Verhaltensregeln oder eine andere geeignete Garantie für die Datenübermittlung). Der Auftraggeber ist dafür verantwortlich, dass erforderliche Rechtsgrundlagen für eine rechtmässige Datenverarbeitung im Auftrag sowie für eine solche ausserhalb des Landes seines Geschäftssitzes vorliegen.

(4) Für den Fall, dass der Auftraggeber einer allfälligen Geheimhaltungspflicht (wie bei Fabrikations- oder Geschäftsgeheimnissen, Berufs-, Bank- oder Amtsgeheimnissen) unterliegt, hat dieser Sorge dafür zu tragen, dass eine unbefugte Offenbarung durch die Auftragsverarbeitung nicht erfolgt. Sofern der Auftraggeber einer gesetzlichen oder beruflichen Geheimhaltungspflicht unterliegt (wie bei Berufs-, Bank-, oder Amtsgeheimnissen) und der Auftragnehmer Zugang zu Informationen, die dieser Geheimhaltungspflicht unterliegen, erhält, so ist der Auftragnehmer als Hilfsperson beigezogen, der solche Informationen offenbart werden und der damit ebenfalls dieser Geheimhaltungspflicht unterstellt wird. Der Auftragnehmer verpflichtet sich, die sich daraus ergebenden Vertraulichkeitsanforderungen stets zu beachten und nimmt zur Kenntnis, dass als beigezogene Hilfsperson eine Verletzung seiner Pflichten zu Konsequenzen im Sinne strafrechtlicher Normen führen kann.

3.   Dauer der Vereinbarung

(1) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit der Verträge, die eine Auftragsdatenverarbeitung zum Gegenstand haben, sofern sich aus den Bestimmungen dieser Vereinbarung nicht darüberhinausgehende Verpflichtungen oder Kündigungsrechte ergeben.

(2) Die Parteien können diese Vereinbarung unter Einhaltung einer Frist von 4 Wochen kündigen, wenn ein schwerwiegender Verstoss gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt. Bei einfachen – also weder vorsätzlichen noch grob fahrlässigen – Verstössen setzt die eine Vertragspartei der anderen eine angemessene Frist, innerhalb welcher diese den Verstoss beheben kann.

(3) Da die HOOP-Dienste ohne diese Vereinbarung nicht erbracht werden können, endet mit einer Kündigung dieser Vereinbarung auch der Vertrag über die Nutzung des HOOP-Kontos auf den gleichen Zeitpunkt.

4.   Art und Zweck der Verarbeitung, Art der Daten sowie Kategorien betroffener Personen

(1) Die Tätigkeiten des Auftragnehmers umfassen Leistungen, wie sie in den zwischen den Parteien geschlossenen Verträgen beschrieben sind und bei denen eine Auftragsdatenverarbeitung möglich ist.

Die Tätigkeiten des Auftragnehmers können dabei u.a. folgendes umfassen:

• Hosting von Applikationen, Software-Lösungen und Daten
• Bereitstellung des HOOP-Kontos und der HOOP-Dienste als Software-as-a-Service
• Erstellung von Dokumenten sowie deren Übermittlung an Behörden, Urkundspersonen, Banken oder weitere Beteiligte nach Weisung des Auftraggebers
• Bereitstellung KI-gestützter Funktionen
• Installation und Test von Software
• Nachbesserungen an erbrachten Leistungen
• Wartung, Installation und Test von Hotfixes, Service-Packs sowie neuen Software-Versionen
• Tätigkeiten im Rahmen des Supports
• Zugriff auf und Verarbeitung von Daten

Dabei sind folgende Arten der Verarbeitung möglich:

• Erheben, Erfassen, die Organisation oder das Ordnen von Daten
• Speicherung, Anpassung oder Veränderung von Daten
• Auslesen, Abfragen, Verwendung sowie Offenlegung von Daten durch Übermittlung
• Verbreitung oder andere Form der Bereitstellung, Abgleich oder Verknüpfung von Daten
• Einschränkung, Löschen oder Vernichtung von Daten

(2) Die dabei verarbeiteten Arten der Daten sowie die Kategorien betroffener Personen ergeben sich aus dem jeweiligen Vertragsgegenstand und den zu erbringenden Diensten. Dabei können folgende Arten von Daten betroffen sein:

• Personenstammdaten
• Kopien und Details von Identitäts- und Ausweispapieren
• Angaben zu Beteiligungen sowie zu wirtschaftlich berechtigten Personen (z.B. Aktien- und Anteilbuch, Transparenzregister)
• Angaben zu Forderungen, Gläubigern und Schuldnern (z.B. Betreibungen, Verlustscheine)
• Signatur- und Identifikationsdaten (z.B. für qualifizierte elektronische Signaturen)
• Informationen über das Berufsleben wie Stellenbezeichnung, Funktion etc.
• Informationen über das private Leben bspw. Wohnsitz, Familienstand etc.
• Benutzerinformationen wie Logindaten, Kundennummer, Nutzerverhalten, Verbrauchsverhalten
• Kommunikationsdaten (z.B. Telefon, E-Mail-Adresse)
• Vertragsstammdaten (Vertragsbezeichnung, Produkt-bzw. Vertragsinteresse)
• Kundenhistorie
• Abrechnungs- oder Zahlungsdaten
• Planungs- und Steuerungsdaten
• Projektdaten
• Auskunftsangaben (von Dritten, z.B. Auskunfteien, Daten aus öffentlichen Verzeichnissen)
• Technische Informationen wie IP-Adresse, Geräteinformationen etc.
• Jegliche Daten, die der Auftraggeber im Rahmen der Datenverarbeitung an den Auftragnehmer übermittelt

Darüber hinaus können ebenfalls besondere Kategorien personenbezogener Daten / besonders schützenswerter Daten betroffen sein, wobei sich die Einordnung der Daten aufgrund der jeweils anzuwendenden Datenschutzgesetzgebung ergibt.

Diese Daten können folgende Kategorien von betroffenen Personen betreffen:

• Natürliche Personen wie der Auftraggeber, Mitarbeitende des Auftraggebers, Bewerber, Freelancer, Mitarbeitende von (potentiellen) Kunden, End- und Geschäftskunden, Abonnenten, Interessenten, Geschäftspartner, Lieferanten, Handelsvertreter, Verkäufer und Händler sowie deren jeweiligen Mitarbeitenden als Ansprechpartner
• Gründer, Organe, Zeichnungsberechtigte, Aktionäre, Gesellschafter und wirtschaftlich berechtigte Personen von Unternehmen sowie Gläubiger und Schuldner in Betreibungsverfahren
• Bei juristischen Personen deren natürliche Personen wie ihre Mitarbeitenden, Mitarbeitende deren Geschäftspartner, Vertragspartner, Dienstleistungsnehmer, Dienstleister oder andere Hilfspersonen von (potentiellen) Kunden, Lieferanten, Verkäufern, Händlern
• Bei Rechtseinheiten deren natürliche Personen wie ihre Mitarbeitenden von öffentlich-rechtlichen Körperschaften, in Form von Geschäftspartnern, Vertragspartnern, Dienstleistungsnehmer, Dienstleister oder andere Hilfspersonen von (potentiellen) Kunden, Lieferanten

5.   Rechte und Weisungsbefugnisse sowie Pflichten des Auftraggebers

(1) Für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen ist allein der Auftraggeber bzw. seine Kunden als Verantwortliche (im Folgenden «Verantwortliche») im Sinne des Datenschutzes verantwortlich. Der Auftragnehmer wird alle Anfragen, sofern sie erkennbar an den Auftraggeber oder einen Verantwortlichen gerichtet sind, an den Auftraggeber weiterleiten.

(2) Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen können gemeinsam zwischen den Parteien abgestimmt und schriftlich oder in einem dokumentierten elektronischen Format festgelegt werden.

(3) Der Auftraggeber hat das Recht, Weisungen an den Auftragnehmer zu erteilen und erteilt diese Weisungen in der Regel schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen hat der Auftraggeber unverzüglich schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. Die Weisungen sind für ihre Geltungsdauer und anschliessend noch für mindestens fünf volle Kalenderjahre aufzubewahren. Weisungen, die im jeweiligen Vertrag nicht vorgesehen sind, werden als Antrag auf eine Leistungsänderung behandelt und sind entsprechend durch den Auftraggeber zu vergüten.

(4) Weisungsberechtigte des Auftraggebers und Weisungsempfänger des Auftragnehmers werden zwischen den Parteien festgelegt, dabei werden die zu nutzenden Kommunikationskanäle bestimmt.

(5) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Verletzungen des Schutzes der Daten, Fehler oder Unregelmässigkeiten bei der Prüfung der Auftragsergebnisse feststellt oder ihm solche bekannt werden. Der Auftragnehmer trifft die erforderlichen Massnahmen zur Sicherheit der Daten und zur Minderung möglicher nachteiliger Folgen der betroffenen Personen und kann sich hierzu mit dem Auftraggeber absprechen.

(6) Der Auftraggeber bzw. seine Kunden sind alleinige Verantwortliche für die Daten, die dem Auftragnehmer zur Verfügung gestellt werden. Der Auftraggeber gewährleistet, dass diese Daten auf rechtmässige Weise verarbeitet wurden (Informationspflichten, Rechtsgrundlage, Einhaltung von Datenschutzgrundsätzen, etc.) und durch ihn weiterhin verarbeitet werden dürfen.

(7) Grundsätzlich wird der Auftraggeber Leistungen durch den Auftragnehmer, die nicht durch ein Fehlverhalten des Auftragnehmers verursacht sind, nach den tatsächlich angefallenen Aufwendungen vergüten. Hierfür gelten die jeweils aktuellen Stundensätze des Auftragnehmers.

6.   Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet Daten im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers.

(2) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine von ihm erteilte Weisung offensichtlich gegen gesetzliche Vorschriften verstösst. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber nach Überprüfung bestätigt oder geändert wird. Sofern der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftraggebers zu einer Haftung des Auftragnehmers führen kann, steht es ihm frei, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen.

(3) Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemässen Datenverarbeitung erforderlich sind, sowie Daten im Hinblick auf die Einhaltung eigener bestehender Aufbewahrungspflichten.

(4) Der Auftragnehmer darf die im Auftrag verarbeiteten Daten nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken.

(5) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten und überwachen, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird.

(6) Der Auftragnehmer führt ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung, welches alle erforderlichen Angaben eines Verarbeitungsverzeichnisses enthält.

(7) Die Daten werden von sonstigen Datenbeständen strikt getrennt. Eine physische Trennung ist nicht zwingend erforderlich.

(8) Bei der Erfüllung der Rechte der betroffenen Personen durch den Auftraggeber, der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Benachrichtigung der von einer Verletzung des Schutzes betroffenen Personen, bei erforderlichen Datenschutz-Folgenabschätzungen des Auftraggebers sowie bei erforderlichen Konsultationen einer Aufsichtsbehörde wird der Auftragnehmer im notwendigen Umfang mitwirken und den Auftraggeber, soweit möglich, angemessen unterstützen.

(9) Die Verarbeitung von Daten ausserhalb der Betriebsstätte des Auftragnehmers, beispielsweise im Home Office von Mitarbeitenden, ist hiermit durch den Auftraggeber gestattet. In solchen Fällen werden entsprechende technische und organisatorische Massnahmen zur Datensicherheit getroffen.

(10) Der Auftragnehmer verpflichtet sich, bei der auftragsgemässen Verarbeitung der Daten die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung der vertraglichen Beziehung fort. Er wird Daten so lange vertraulich behandeln, wie es der Vertrag mit dem Auftraggeber sowie das anwendbare Recht vorschreiben und sie nur so verwenden, wie es für die Aufrechterhaltung oder Erbringung der Dienstleistung erforderlich ist.

(11) Daten dürfen nicht an Dritte weitergegeben werden, ausser dies ist erforderlich, um den Weisungen des Auftraggebers, den Pflichten gemäss Vertrag, Gesetz oder einer gültigen und verbindlichen Anordnung einer zuständigen staatlichen Behörde (wie einer Verfügung) nachzukommen. Der Auftragnehmer wird im Falle einer Anordnung auf Zugang zu oder Herausgabe von Daten und bevor er einer solchen Anordnung nachkommt, (a) sofern rechtlich zulässig, den Auftraggeber informieren, und wenn dies nicht der Fall ist, versuchen, die Erlaubnis zur Information des Auftraggebers einzuholen, um ihm zu ermöglichen, eine solche Anordnung anzufechten, sowie (b) selbst angemessene rechtliche Möglichkeiten ausschöpfen, sofern eine solche Anordnung auf der Grundlage von Mängeln nach dem Recht der anfordernden Behörde, dem anwendbaren Recht sowie etwaiger Konflikte mit dem anwendbaren Recht anfechtbar ist, und nur – soweit möglich – die Daten herausgeben, die zur Erfüllung der Anordnung erforderlich sind.

(12) Der Auftragnehmer hat seine Mitarbeitenden vor Aufnahme der Tätigkeit mit den für sie massgebenden Bestimmungen des Datenschutzes vertraut gemacht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet.

7.   Mitteilungspflichten des Auftragnehmers bei Verletzungen des Schutzes von Daten

(1) Wenn dem Auftragnehmer eine Verletzung des Schutzes der Daten oder der Datensicherheit bekannt wird, meldet er diese dem Auftraggeber unverzüglich mündlich, in Schrift- oder Textform ab Kenntnis.

(2) Die Mitteilung an den Auftraggeber enthält zumindest folgende Informationen:

a. eine Beschreibung der Art der Verletzung des Schutzes der Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

b. eine Beschreibung seiner ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und ggf. Massnahmen zur Abmilderung von möglichen nachteiligen Auswirkungen.

(3) Für den Fall, dass eine Informationspflicht gegenüber Dritten (wie z.B. den betroffenen Personen) oder eine sonstige, für den Auftraggeber geltende gesetzliche Meldepflicht (z.B. bei einer Aufsichtsbehörde) besteht, ist der Auftraggeber bzw. der Verantwortliche für deren Einhaltung verantwortlich.

8.   Unterauftragsverhältnisse mit weiteren Auftragsverarbeitern

(1) Zu solchen Auftragsverhältnissen zählen Leistungen, die sich unmittelbar auf die Erbringung der Hauptleistung oder Teile der Hauptleistung aus dieser Vereinbarung beziehen. Nicht dazu zählen reine Nebenleistungen, wie etwa Telekommunikations-, Post- oder Transportdienstleistungen, Reinigungs- oder Bewachungsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt. Wartung, Pflege- und Prüfleistungen sowie die Entsorgung von Datenträgern stellen – soweit der Zugriff oder eine Kenntnisnahme auf Daten des Auftraggebers möglich ist – solche Auftragsverhältnisse dar, soweit diese für IT-Systeme erbracht werden, die auch im Zusammenhang mit der Erbringung von Leistungen für den Auftraggeber genutzt werden.

(2) Die Beauftragung von weiteren Auftragsverarbeitern (z. B. Hinzuziehung oder Ersetzung) zur Verarbeitung von Daten des Auftraggebers ist dem Auftragnehmer unter Berücksichtigung der nachfolgenden Regelungen im Grundsatz gestattet. Die jeweils aktuelle Liste der beauftragten weiteren Auftragsverarbeiter ist auf der Webseite des Auftragnehmers abrufbar.

(3) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung (z.B. des Ortes der Datenverarbeitung), Hinzuziehung oder Ersetzung von weiteren Auftragsverarbeitern, wodurch der Auftraggeber gegen derartige Änderungen Einspruch erheben kann.

(4) Erfolgt kein Einspruch des Auftraggebers innerhalb der vom Auftragnehmer kommunizierten und angemessenen Frist, ist der Auftraggeber mit der Änderung einverstanden. Erfolgt ein Einspruch innerhalb dieser Frist, ist die Beauftragung des weiteren Auftragsverarbeiters nicht gestattet. In einem solchen Fall werden sich die Parteien bemühen, eine einvernehmliche Lösung hinsichtlich des weiteren Auftragsverarbeiters zu finden. Sollte dies nicht möglich sein, steht den Parteien ein ausserordentliches Kündigungsrecht zu. In Notfallsituationen wird der Auftraggeber unverzüglich reagieren und ggf. seinen Einspruch erheben.

(5) Der Auftragnehmer trägt dafür Sorge, dass er den weiteren Auftragsverarbeiter sorgfältig auswählt.

(6) Eine Beauftragung von weiteren Auftragsverarbeitern in Drittländern darf nur erfolgen, wenn dafür die besonderen datenschutzrechtlichen Voraussetzungen erfüllt sind. Der Auftragnehmer wird dies durch entsprechende Massnahmen sicherstellen. Soweit hingegen eine solche Übermittlung von Daten durch den Auftraggeber selbst aktiviert wird, obliegt die Einhaltung der entsprechenden Bestimmungen ausschliesslich ihm.

(7) Der Auftragnehmer stellt vertraglich sicher, dass die vereinbarten Regelungen zwischen ihm und dem Auftraggeber auch gegenüber weiteren Auftragsverarbeitern gelten. Der Vertrag mit dem weiteren Auftragsverarbeiter ist schriftlich oder in elektronischer Form abzufassen.

9.   Technische und organisatorische Massnahmen

(1) Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitung derart berücksichtigt, dass durch geeignete technische und organisatorische Massnahmen das Risiko auf Dauer eingedämmt wird.

(2) Eine Liste der durch den Auftragnehmer getroffenen technischen und organisatorischen Massnahmen ist als Anlage Teil dieser Vereinbarung und beim Auftragnehmer erhältlich. Die darin enthaltenen Massnahmen stellen die passend zum ermittelten Risiko unter Berücksichtigung der Schutzziele nach Stand der Technik eingesetzten Massnahmen beim Auftragnehmer dar.

(3) Der Auftragnehmer wird bei gegebenem Anlass, sowie in regelmässigen Abständen, eine Überprüfung, Bewertung und Evaluation der Wirksamkeit der Massnahmen durchführen. Das Ergebnis samt Auditbericht kann dem Auftraggeber auf Anfrage mitgeteilt werden. Sie können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden.

(4) Soweit die beim Auftragnehmer getroffenen Massnahmen den Anforderungen des Auftraggebers nicht genügen, benachrichtigt der Auftraggeber den Auftragnehmer unverzüglich.

10.   Rechte und Ansprüche der Betroffenen

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten Massnahmen bei der Erfüllung von dessen Pflichten in Bezug auf Anfragen und Ansprüche der betroffenen Personen.

(2) Wendet sich eine betroffene Person mit Forderungen zur Berichtigung, Sperrung, Löschung oder Auskunft an den Auftragnehmer, wird der Auftragnehmer die betroffene Person unverzüglich an den Auftraggeber verweisen, sofern eine offensichtliche Zuordnung an den Auftraggeber nach Angaben der betroffenen Person möglich ist, und wartet dessen Weisungen ab.

(3) Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber bzw. Verantwortlichen nicht, nicht richtig oder nicht fristgerecht beantwortet wird.

11.   Kontrollen und Überprüfungen

(1) Der Auftragnehmer überprüft in regelmässigen Abständen die internen Prozesse und erklärt sich damit einverstanden, dass der Auftraggeber vor Beginn der Verarbeitung und während der Vertragsdauer berechtigt ist, die Einhaltung der Vorschriften über Datenschutz und Datensicherheit regelmässig im angemessenen und erforderlichen Umfang zu überprüfen.

(2) Der Auftragnehmer wird, soweit erforderlich, bei diesen Überprüfungen unterstützend mitwirken. Das Ergebnis ist zu dokumentieren.

(3) Überprüfungen werden zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. Der Auftragnehmer darf diese von der Unterzeichnung einer Verschwiegenheitserklärung abhängig machen. Der Auftraggeber stimmt der Benennung eines unabhängigen externen Prüfers durch den Auftragnehmer zu, sofern der Auftragnehmer eine Kopie des Auditberichts auf Anfrage des Auftraggebers zur Verfügung stellt.

(4) Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde eine Überprüfung vornehmen, ist eine Unterzeichnung einer Verschwiegenheitsverpflichtung nicht erforderlich, wenn diese Aufsichtsbehörde einer berufsrechtlichen oder gesetzlichen Verschwiegenheit unterliegt, bei der ein Verstoss nach dem Strafgesetzbuch strafbewehrt ist.

(5) Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Datenschutzaufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

12.   Verpflichtung des Auftragnehmers nach Beendigung des Auftrags

(1) Nach Abschluss der vertraglichen Arbeiten oder jederzeit auf Anforderung des Auftraggebers hat der Auftragnehmer sämtliche in seinen Besitz gelangte Daten und Datenbestände des Auftraggebers, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber nach seiner Weisung auszuhändigen oder datenschutzgerecht zu löschen bzw. zu vernichten oder vernichten zu lassen (sofern dem keine Aufbewahrungspflicht entgegensteht). Gleiches gilt für Backups, Test- und Ausschussmaterialien.

(2) Der Auftragnehmer kann den Nachweis der ordnungsgemässen Löschung auf Anfrage des Auftraggebers führen. Zu entsorgende Unterlagen sind mit einem Aktenvernichter zu vernichten. Zu entsorgende Datenträger sind entsprechend ihrer Sicherheitsklassifizierung zu vernichten. Die Löschung bzw. Vernichtung können dem Auftraggeber mit Datumsangabe auf Anfrage bestätigt werden.

(3) Der Auftraggeber hat das Recht, die vollständige und vertragsgemässe Rückgabe bzw. Löschung der Daten beim Auftragnehmer zu kontrollieren.

13.   Haftung bei Verletzung dieser Vereinbarung

(1) Für den Ersatz von Schäden, die eine betroffene Person wegen einer nach den Datenschutzgesetzen unzulässigen oder unrichtigen Datenverarbeitung oder Nutzung im Rahmen dieser Vereinbarung erleidet, haften Auftraggeber und Auftragnehmer gegenüber dieser betroffenen Person solidarisch, sofern dies die anwendbaren Gesetze und Vorschriften zum Datenschutz so vorsehen.

(2) Etwaige Haftungsbeschränkungen zwischen dem Auftraggeber und seinen Kunden bzw. den Geschädigten gelten auch zugunsten des Auftragnehmers, so dass er nicht verpflichtet ist, den Auftraggeber für Beträge zu entschädigen, die er aufgrund solcher Haftungsbeschränkungen nicht zu zahlen hat.

(3) Im Übrigen gelten die in den jeweiligen zwischen den Parteien geschlossenen Verträgen vereinbarten Haftungsregelungen.

14.   Sonstiges

(1) Vereinbarungen zu den technischen und organisatorischen Massnahmen sowie Kontroll- und Prüfungsunterlagen sind von beiden Parteien für ihre Geltungsdauer und anschliessend noch für mind. fünf volle Kalenderjahre aufzubewahren.

(2) Der Auftragnehmer behält sich Änderungen dieser Vereinbarung vor (wie bei Änderungen von gesetzlichen Bestimmungen oder bestehender Rechtsprechung sowie von Marktgegebenheiten). Sie werden dem Auftraggeber im Voraus bekannt gegeben. Der Auftraggeber kann diesen widersprechen, wenn diese eine wesentliche Änderung der vertraglichen Bestimmungen mit sich bringen, die ihn erheblich benachteiligen. Solche Änderungen gelten als akzeptiert, wenn der Auftraggeber nicht innerhalb von 4 Wochen nach Bekanntgabe der Änderungen schriftlich seinen Widerspruch gegen die Änderungen erhebt. Im Widerspruchsfall werden sich die Parteien bemühen, eine einvernehmliche Lösung hinsichtlich dieser Änderungen zu finden. Sollte dies nicht möglich sein, steht jeder Partei ein ausserordentliches Kündigungsrecht dieser Vereinbarung auf den Zeitpunkt des Inkrafttretens der geplanten Änderungen zu. Änderungen gelten in jedem Fall als akzeptiert, wenn die Leistungen des Auftragnehmers ab dem Zeitpunkt des Inkrafttretens der Änderungen genutzt werden.

(3) Änderungen, Ergänzungen sowie Nebenabreden zur Vereinbarung bedürfen der Schriftform oder es ist ein dokumentiertes elektronisches Format erforderlich, ausgenommen von diesem Formerfordernis sind einseitige Änderungen dieser Vereinbarung durch den Auftragnehmer. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Gesondert zwischen dem Auftragnehmer und Auftraggeber schriftlich vereinbarte Änderungen oder Ergänzungen dieser Vereinbarung behalten ihre Gültigkeit auch bei einer neuen Version dieser Vereinbarung.

(4) Die Einrede des Zurückbehaltungsrechts wird hinsichtlich der für den Auftraggeber verarbeiteten Daten ausgeschlossen.

(5) Sollten sich Bestimmungen dieser Vereinbarung als unwirksam oder nichtig erweisen, so hat dies nicht die Unwirksamkeit oder Nichtigkeit der übrigen Bestimmungen zur Folge, sondern diese werden durch solche ersetzt, die dem wirtschaftlichen Zweck der Vereinbarung am nächsten kommen. Das Gleiche gilt bei einer Vertragslücke.

(6) Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist der Sitz des Auftragnehmers, mit Ausnahme zwingend bestehender Gerichtsstände. Der Auftragnehmer ist jedoch berechtigt, eine Streitigkeit auch bei dem für den Sitz des Auftraggebers zuständigen Gericht anhängig zu machen.

(7) Diese Vereinbarung untersteht schweizerischem Recht unter Ausschluss des internationalen Privatrechts und des Wiener Kaufrechts.

(8) Diese Vereinbarung liegt in unterschiedlichen Sprachen vor. Bei Abweichungen oder Widersprüchen ist die deutsche Fassung massgebend.

(9) Diese Fassung gilt ab 20.11.2026 und ersetzt die Vereinbarung V 2.00 vom 01.07.2024.

Anlagen:

Liste «Weitere Auftragsverarbeiter»

Liste «Technische und organisatorische Massnahmen» auf Anfrage