Auftrags-Daten-Vereinbarung (ADV)

1. Allgemeiner Hinweis

Diese Regelung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus dem Vertragsverhältnis von Kibe AG mit dem Kunden ergeben. Massgebend sind insbesondere die gesetzlichen Bestimmungen: des schweizerischen Datenschutzgesetzes (DSG) und die Verordnung zum Datenschutzgesetz (VDSG). Diese Regelung findet Anwendung auf alle Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen durch Kibe AG personenbezogene Daten ("Daten") des Kunden verarbeitet werden.

1.1 Datenschutzbeauftragter / Datenschutzberater (DSG)

Wenn Sie Fragen oder Anregungen zu diesen Informationen haben oder sich wegen der Geltendmachung Ihrer Rechte an uns wenden möchten, richten Sie Ihre Anfrage bitte an:

Kibe AG
Datenschutzbeauftragter
Thundorferstrasse 120
CH-8500 Frauenfeld
+41 52 720 49 40
[email protected]
www.kibe.ch

2. Anwendungsbereich und Vertragsbestandteile

Zwischen der Kibe AG ("Kibe" oder "Auftragsverarbeiter") und dem Kunden ("Kunde" oder "Verantwortlicher") besteht ein Vertrag (Hauptvertrag) in Bezug auf gewisse Dienstleistungen im Bereich der IT. Im Rahmen des Vertrages verarbeitet die Kibe AG personenbezogene Daten ("die Daten") im Auftrag des Kunden.

Dieser Auftragsverarbeitungsvertrag (ADV) regelt die Verarbeitung der Daten des Kunden durch die Kibe AG im Sinne des Schweizerischen Bundesgesetzes über den Datenschutz (DSG) und ist integraler Bestandteil des Hauptvertrages.

3. Gegenstand und Dauer der Auftragsverarbeitung

Die Art der Daten, die Kategorie der betroffenen Personen sowie Dauer und Zweck der Verarbeitung sind, soweit im Hauptvertrag nicht ausdrücklich anders geregelt, wie folgt:

• Art der Daten: Die verarbeiteten Daten umfassen Personenstammdaten, Kommunikationsdaten (z.B. E-Mail), Anmeldedaten, Dokumente und andere Daten, die der Auftragsverarbeiter im Zusammenhang mit den vertraglichen Leistungen für den Verantwortlichen verarbeitet. Der Verantwortliche gewährleistet, keine besonders schützenswerte Daten, ohne vorgängige schriftliche Absprache mit dem Datenschutzbeauftragten zur Verarbeitung, zu übermitteln.
• Kategorie betroffener Personen: Mitarbeiter, Kunden, Lieferanten und etwaige weitere mit dem Verantwortlichen verbundene Personen, deren Daten der Verantwortliche dem Auftragsverarbeiter im Rahmen des allgemeinen Vertrages übermittelt.
• Dauer und Zweck: Die Dauer dieses ADV richtet sich nach der Dauer des Vertragsverhältnisses. Der Zweck ist beschränkt auf die Erbringung der Dienstleistungen unter dem Vertragsverhältnis.

Beispiele von Datenarten:

• Personalstammdaten (z.B. Name, Vorname, Adresse, Geburtsdatum)
• Buchhaltungsdaten (Infoniqa Finanz- und Lohndaten)
• Kontakt- und Kommunikationsdaten (z.B. E-Mail, Telefon)
• Vertragsstammdaten (z.B. Produkte, Vertragsbeziehungen)
• IT-Nutzungsdaten

Dieser ADV gilt ausschliesslich für die Verarbeitung der Daten durch den Auftragsverarbeiter und dessen beigezogenen Subunternehmern. Beauftragt der Kunde den Auftragsverarbeiter mit der Verarbeitung von Daten auf Infrastruktur oder mit Software von Dritten, so ist der Kunde für die Einhaltung der Datenschutzbestimmungen durch diese Dritte verantwortlich.

4. Verantwortung und Weisungen

Der Verantwortliche ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmässigkeit der Datenweitergabe an den Auftragsverarbeiter sowie für die Rechtmässigkeit der Datenverarbeitung und den Weisungen allein verantwortlich.

Der Auftragsverarbeiter verarbeitet die Daten ausschliesslich für die Zwecke des Hauptvertrages und gemäss den dokumentierten Weisungen des Verantwortlichen. Weisungen müssen stets schriftlich oder in elektronischer Form erfolgen. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstösst. Der Auftragsverarbeiter darf die Umsetzung der Weisung so lange aussetzen, bis sie vom Verantwortlichen bestätigt oder abgeändert wurde.

Werden Daten aufgrund gesetzlicher Vorschriften und entgegen den Weisungen des Verantwortlichen verarbeitet, ist der Auftragsverarbeiter verpflichtet, den Verantwortlichen vorgängig über die betreffende Verarbeitung und Rechtmässigkeit der Bearbeitung zu informieren, sofern dem nicht ein wichtiges öffentliches Interesse entgegensteht.

5. Pflichten des Verantwortlichen

• Der Verantwortliche ist verantwortlich für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen. Der Verantwortliche gewährleistet, dass die Verarbeitung der Daten durch den Auftragsverarbeiter gemäss diesem ADV und den Weisungen keine anwendbaren gesetzliche Bestimmungen verletzt.
• Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmässigkeiten bei Prüfung der Auftragsverarbeitung feststellt.
• Der Verantwortliche ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen des Auftragsverarbeiters vertraulich zu behandeln.
• Der Verantwortliche ist verpflichtet, seine Weisungen an den Auftragsverarbeiter zu dokumentieren.

6. Datensicherheit

Der Auftragsverarbeiter hat angemessene technische und organisatorische Massnahmen zu ergreifen und aufrechtzuerhalten, so dass die Bearbeitung den Anforderungen der anwendbaren Datenschutzgesetze entspricht und den Schutz der Rechte der betroffenen Personen gewährleistet.

Die Massnahmen müssen ein Datensicherheitsniveau sicherstellen, das den Risiken für die Rechte und Freiheiten der betroffenen Personen angemessen ist, und Schutz vor versehentlicher oder unrechtmässiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder Zugriff auf übermittelte, gespeicherte oder anderweitig bearbeitete Personendaten bieten. Unbefugten ist der Zutritt zu Datenbearbeitungsanlagen, mit denen Personendaten bearbeitet werden, zu verwehren (Zutrittskontrolle).

Es ist zu verhindern, dass Datenbearbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle). Es ist zu gewährleisten, dass die zur Benutzung eines Datenbearbeitungssystems Berechtigten ausschliesslich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass Personendaten bei der Bearbeitung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle).

Es ist zu gewährleisten, dass Personendaten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung von Personendaten vorgesehen ist (Weitergabekontrolle).

Es ist sicherzustellen, dass nachträglich überprüft und festgestellt werden kann, ob und von wem Personendaten in Datenbearbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle).

Es ist zu gewährleisten, dass Personendaten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle). Es ist auch zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt bearbeitet werden können (Trennungskontrolle).

7. Subunternehmen und Ort der Verarbeitung

Die Verarbeitung der Daten findet ausschliesslich in der Schweiz oder in einem Mitgliedsstaat des Europäischen Wirtschaftraums (EWR) statt (relevant unter anderem: Standort des Servers und Ort, von dem aus ein Datenzugriff möglich ist).

Die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation bedarf der vorherigen Zustimmung des Verantwortlichen.

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, Subunternehmer gemäss den Bestimmungen dieses ADV beizuziehen. Als Subunternehmer im Sinne dieser Regelung sind solche Dienstleister zu verstehen, deren Leistungen sich unmittelbar auf die Erbringung der Hauptleistung unter dem Hauptvertrag beziehen und die Verarbeitung von Daten betrifft.

Mitarbeiter des Auftragsverarbeiters können die Daten auch in Privatwohnungen im Rahmen der Homeofficearbeit verarbeiten, sofern angemessene Massnahmen ergriffen wurden.

8. Pflichten des Partners als Auftragsverarbeiter

• Der Auftragsverarbeiter und ihm unterstellte Personen, die Zugang zu den personenbezogenen Daten haben, werden die personenbezogenen Daten ausschliesslich auf Weisung des Verantwortlichen verarbeiten, es sei denn, sie sind gesetzlich zur Verarbeitung verpflichtet.
• Der Auftragsverarbeiter hat von den von ihm durchgeführten Verarbeitungstätigkeiten ein Verzeichnis zu führen.
• Der Auftragsverarbeiter führt die Datenverarbeitung mittels geeigneter technischer und organisatorischer Massnahmen durch.
• Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit dabei, dass dieser seinen Pflichten hinsichtlich der Rechte der betroffenen Personen nachkommen kann.
• Der Auftragsverarbeiter verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen als die vereinbarten, insbesondere nicht für eigene Zwecke.
• Der Auftragsverarbeiter verpflichtet sich, alle im Rahmen des Vertragsverhältnisses bearbeiteten Personendaten vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung des Vertrags bestehen.

9. Löschung und Rückgabe von Personendaten

• Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt. Davon ausgenommen sind Sicherheitskopien soweit diese zur Gewährleistung einer ordnungsgemässen Datenbearbeitung erforderlich sind sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
• Nach Beendigung der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Verantwortlichen, hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Unterlagen sowie Datenbestände, welche im Zusammenhang mit dem Auftragsverhältnis stehen, dem Verantwortlichen auszuhändigen oder nach vorgängiger Zustimmung des Verantwortlichen datenschutzgerecht zu vernichten.
• Dokumentationen, welche dem Nachweis der ordnungsgemässen Datenbearbeitung dienen, sind durch den Auftragsverarbeiter entsprechend den gesetzlich geltenden Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

10. Haftung

• Verantwortlicher und Auftragsverarbeiter haften gegenüber betroffener Personen entsprechend der im DSG getroffenen Regelung. Im Innenverhältnis zwischen den Parteien haftet der Auftragsverarbeiter für den durch eine Verarbeitung verursachten Schaden jedoch nur, wenn er seinen ihm speziell durch die DSG auferlegten Pflichten nicht nachgekommen ist, oder unter Nichtbeachtung der rechtmässig erteilten Anweisungen des Verantwortlichen oder gegen dessen Anweisungen gehandelt hat.
• Weiter gelten die Haftungsbeschränkungen gemäss Hauptvertrag.

11. Schlussbestimmungen

Die Kibe AG behält sich vor, diesen ADV jederzeit anzupassen und informiert die Kunden in geeigneter Weise (auch in elektronischer Form) vorgängig über die Änderungen. Änderungen oder Ergänzungen dieses ADV werden zum Vertragsbestandteil, wenn der Kunde nicht innert 30 Tagen seit Kenntnisnahme der geänderten Bestimmungen widerspricht.

Sollten eine oder mehrere Bestimmungen dieses ADV oder des restlichen Vertrags ungültig, unwirksam oder nichtig sein oder werden, so wird diese Bestimmung durch eine gültige und wirksame Bestimmung ersetzt, welche dem Sinn der ursprünglichen Bestimmung am nächsten kommt und dem wirtschaftlichen Gleichgewicht der Parteien entspricht.

Diese Auftragsdatenvereinbarung ist ein integraler Bestandteil des Hauptvertrages. Mit der Einverständniserklärung zum Hauptvertrag erklären sich die Parteien auch einverstanden mit der vorliegenden Auftragsdatenvereinbarung.