Vereinbarung zur Auftragsverarbeitung

1. Gegenstand und Geltung

Diese Vereinbarung (nachfolgend «AVV») regelt die Verarbeitung personenbezogener Daten durch Julian Zellner, 8280 Kreuzlingen, Schweiz (nachfolgend «Auftragnehmer») im Auftrag des Kunden (nachfolgend «Auftraggeber») nach Art. 28 DSGVO. Sie ist Bestandteil jedes Vertrags zwischen den Parteien, bei dem der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet, und gilt ab Vertragsschluss ohne gesonderte Unterschrift (Art. 28 Abs. 9 DSGVO, elektronisches Format). Die AGB gelten ergänzend; bei Widerspruch geht diese AVV vor.

Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, der Auftragnehmer ist Auftragsverarbeiter. Verarbeitet der Auftragnehmer Daten zu eigenen Zwecken (z. B. Rechnungsstellung, Kundenverwaltung), ist er selbst verantwortlich; hierfür gilt die Datenschutzerklärung.

Soweit die DSGVO auf den Auftragnehmer mangels Niederlassung in der Union nicht unmittelbar anwendbar ist, vereinbaren die Parteien ihre Anwendung sowie die Anwendung des schweizerischen Datenschutzgesetzes (DSG) zwischen sich vertraglich, jeweils in dem Umfang, in dem sie auf die Verarbeitung anwendbar sind.

2. Gegenstand, Art, Zweck und Dauer

Gegenstand ist die Erbringung der vertraglich vereinbarten Leistungen, insbesondere Erstellung, Betrieb und Wartung von Websites, Einrichtung und Betrieb von Prozessautomatisierungen (Workflows, Schnittstellen, Datenübertragungen zwischen Systemen des Auftraggebers) und technische Beratung sowie laufende IT-Betreuung (E-Mail-Administration, Einrichtung und Betrieb von Datensicherungen, Systemwartung, Support). Die Verarbeitung umfasst je nach Auftrag Erheben, Speichern, Abrufen, Übermitteln, Auswerten, Berichtigen, Sichern und Löschen. Zweck ist ausschliesslich die Durchführung des Vertrags nach Weisung des Auftraggebers. Die Dauer richtet sich nach der Laufzeit des Hauptvertrags.

3. Kategorien von Daten und Betroffenen

Datenarten: Kontaktdaten (Name, E-Mail, Telefon, Anschrift), Vertrags-, Bestell- und Kommunikationsdaten, Nutzungs- und Protokolldaten (z. B. IP-Adresse, Zeitstempel), Inhalte aus Formularen, Dokumenten, Datenbanken und Automatisierungen sowie, bei IT-Betreuung, E-Mail-Postfächer, Dateien und Sicherungskopien (Backups) des Auftraggebers. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sowie Daten über strafrechtliche Verurteilungen dürfen nur nach vorheriger ausdrücklicher Vereinbarung in Textform übermittelt werden.

Betroffene: Kunden, Interessenten, Website-Besucher, Mitarbeiter, Bewerber und Geschäftspartner des Auftraggebers.

4. Weisungen

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, das Recht der Union, eines Mitgliedstaats oder der Schweiz verpflichtet ihn zu einer anderen Verarbeitung; in diesem Fall teilt er dies dem Auftraggeber vorab mit, soweit das Recht dies nicht verbietet. Weisungen ergeben sich aus dem Vertrag und werden im Übrigen in Textform erteilt; mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er eine Weisung für rechtswidrig hält (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er ist berechtigt, deren Ausführung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, sind Zusatzleistungen und werden gesondert vergütet.

Der Auftraggeber trägt die Verantwortung für die Rechtmässigkeit der Verarbeitung, für Rechtsgrundlagen, Einwilligungen, Informationspflichten und die Wahrung der Betroffenenrechte. Der Auftragnehmer prüft die Rechtmässigkeit der vom Auftraggeber vorgegebenen Verarbeitung nicht.

5. Vertraulichkeit und technische und organisatorische Massnahmen

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit und weist sie in den Datenschutz ein. Er trifft die in Anlage 1 beschriebenen technischen und organisatorischen Massnahmen nach Art. 32 DSGVO. Er darf die Massnahmen weiterentwickeln und durch gleichwertige oder bessere ersetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Der Auftraggeber prüft, ob die Massnahmen für die von ihm übermittelten Daten ein angemessenes Schutzniveau bieten. Er meldet dem Auftragnehmer vorab, wenn Daten mit erhöhtem Schutzbedarf verarbeitet werden sollen.

6. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO einzusetzen. Die derzeit eingesetzten bzw. einsetzbaren Unterauftragsverarbeiter ergeben sich aus Anlage 2. Der Einsatz erfolgt nur, soweit er für den konkreten Auftrag erforderlich ist.

Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens 14 Tage vorher in Textform, gegebenenfalls durch Aktualisierung von Anlage 2 mit Hinweis per E-Mail. Der Auftraggeber kann nur aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist in Textform widersprechen. Widerspricht er, bemühen sich die Parteien um eine gemeinsame Lösung; gelingt sie nicht innerhalb von 30 Tagen, kann der Auftragnehmer den betroffenen Teil der Leistung einstellen oder den Vertrag ausserordentlich kündigen, ohne dass der Auftraggeber daraus Ansprüche herleiten kann. Ohne Widerspruch gilt die Änderung als genehmigt.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, die in dieser AVV festgelegt sind, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Massnahmen (Art. 28 Abs. 4 DSGVO). Bei Standarddiensten grosser Anbieter genügt die Einbeziehung deren üblicher Auftragsverarbeitungsbedingungen, sofern sie diese Anforderungen erfüllen. Für Unterauftragsverarbeiter haftet der Auftragnehmer im Rahmen von Ziff. 13.

Eigene Konten des Auftraggebers: Nutzt der Auftraggeber Dienste auf eigenen Konten oder Verträgen (z. B. eigenes n8n-, Zapier-, Notion-, Google- oder Microsoft-Konto) und greift der Auftragnehmer lediglich im Auftrag des Auftraggebers darauf zu, ist der Anbieter dieses Dienstes Auftragsverarbeiter des Auftraggebers und kein Unterauftragsverarbeiter des Auftragnehmers. Den Vertrag über die Auftragsverarbeitung mit diesem Anbieter schliesst der Auftraggeber selbst. Der Auftragnehmer haftet in diesem Fall nicht für Verfügbarkeit, Sicherheit und Datenschutzkonformität dieses Dienstes.

7. Verarbeitungsort und Drittlandübermittlung

Der Auftragnehmer verarbeitet Daten in der Schweiz, in der Europäischen Union oder im Europäischen Wirtschaftsraum. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO); die Übermittlung des Auftraggebers an den Auftragnehmer ist damit zulässig.

Setzt der Auftragnehmer Unterauftragsverarbeiter mit Verarbeitung in weiteren Drittländern ein (z. B. USA), stützt er die Übermittlung auf einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework bei zertifizierten Anbietern) oder auf die Standardvertragsklauseln der Europäischen Kommission (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) und ergreift, soweit erforderlich, ergänzende Massnahmen. Der Auftraggeber ermächtigt den Auftragnehmer, hierfür im Namen des Auftraggebers Standardvertragsklauseln abzuschliessen, soweit dies erforderlich ist.

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Beantwortung von Anträgen Betroffener (Art. 12–22 DSGVO) sowie bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde), soweit dies unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen erforderlich ist. Anfragen Betroffener leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

Die Unterstützung erfolgt gegen Vergütung nach Aufwand, soweit sie über eine einfache Auskunft hinausgeht oder auf einem Umstand beruht, den der Auftragnehmer nicht zu vertreten hat.

9. Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die den Verantwortungsbereich des Auftragnehmers betrifft, unverzüglich nach Kenntniserlangung in Textform mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO und ergreift geeignete Massnahmen zur Eindämmung. Die Beurteilung der Meldepflicht und die Meldung an Aufsichtsbehörden und Betroffene obliegen dem Auftraggeber. Meldungen des Auftragnehmers stellen kein Schuldanerkenntnis dar.

10. Nachweise und Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber auf Anforderung alle erforderlichen Informationen zum Nachweis der Einhaltung dieser AVV zur Verfügung, insbesondere durch Auskünfte, Selbstauskünfte oder vorhandene Zertifikate und Prüfberichte Dritter (z. B. der Unterauftragsverarbeiter).

Genügen diese Nachweise im Einzelfall nicht, ermöglicht der Auftragnehmer Überprüfungen einschliesslich Inspektionen durch den Auftraggeber oder einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragnehmer im Wettbewerb stehenden Prüfer. Diese sind mindestens 30 Tage vorher in Textform anzukündigen, finden höchstens einmal pro Kalenderjahr statt (ausser bei konkretem Verdacht einer Datenschutzverletzung oder auf Anordnung einer Aufsichtsbehörde), während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung von Geheimhaltungspflichten gegenüber anderen Kunden. Die Kosten des Prüfers und der Aufwand des Auftragnehmers sind vom Auftraggeber zu tragen.

11. Verzeichnis, Ansprechpartner

Der Auftragnehmer führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht bestellt, da hierzu keine gesetzliche Pflicht besteht. Ansprechpartner für Fragen zum Datenschutz ist Julian Zellner, E-Mail: zellidev@zellner.cc.

12. Dauer, Rückgabe und Löschung

Diese AVV gilt für die Dauer der Leistungserbringung und endet mit dem Hauptvertrag. Nach Vertragsende gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers, die dieser innerhalb von 30 Tagen nach Vertragsende in Textform mitteilt, in einem gängigen Format heraus oder löscht sie. Fehlt eine fristgerechte Mitteilung, löscht der Auftragnehmer die Daten spätestens 90 Tage nach Vertragsende. Dies gilt nicht, soweit das Recht der Union, eines Mitgliedstaats oder der Schweiz eine Speicherung verlangt. Kopien in Sicherungen werden im regulären Zyklus überschrieben. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform. Der Auftraggeber ist für die rechtzeitige Sicherung seiner Daten selbst verantwortlich.

13. Haftung

Für die Haftung zwischen den Parteien gelten die Haftungsregelungen der AGB (Ziff. 9), auch für Ansprüche aus dieser AVV. Unberührt bleibt die Haftung gegenüber Betroffenen nach Art. 82 DSGVO. Im Innenverhältnis haften die Parteien nach ihrem Anteil an der Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO); der Auftraggeber stellt den Auftragnehmer frei, soweit der Auftraggeber für den Schaden verantwortlich ist, insbesondere wegen rechtswidriger Weisungen, fehlender Rechtsgrundlagen oder unzureichender Information der Betroffenen. Bussgelder gegen eine Partei dürfen nicht an die andere Partei weitergegeben werden, soweit dies rechtlich unzulässig ist.

14. Schlussbestimmungen

Es gilt das Recht, das nach Ziff. 15 der AGB anwendbar ist; zwingende Vorschriften der DSGVO und des DSG bleiben unberührt. Änderungen und Ergänzungen dieser AVV bedürfen der Textform. Wird das Eigentum oder die Verfügungsgewalt über Daten des Auftraggebers durch Massnahmen Dritter gefährdet (z. B. Pfändung, Insolvenz), informiert der Auftragnehmer den Auftraggeber unverzüglich. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt; an die Stelle der unwirksamen Bestimmung tritt die wirksame Regelung, die dem Zweck von Art. 28 DSGVO am nächsten kommt.

Anlage 1: Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Vertraulichkeit

Zugriffskontrolle: Zugang zu Systemen nur mit persönlichen Zugängen, Passwortmanager, Zwei-Faktor-Authentifizierung wo verfügbar; Berechtigungen nach dem Need-to-know-Prinzip.
Zutrittskontrolle: Arbeit in nicht öffentlich zugänglichen Räumen; Endgeräte werden bei Abwesenheit gesperrt.
Geräteschutz: Vollständige Festplattenverschlüsselung, aktuelle Betriebssysteme, automatische Sicherheitsupdates, Bildschirmsperre.
Trennungskontrolle: Daten verschiedener Auftraggeber werden in getrennten Projekten, Konten oder Mandanten geführt.
Zugangsdaten des Auftraggebers werden nur in verschlüsselten Tresoren (z. B. Passwortmanager, Secret-Stores der eingesetzten Dienste) gespeichert und nach Projektende gelöscht bzw. der Zugang zurückgegeben.

Integrität

Weitergabekontrolle: Übertragung nur verschlüsselt (TLS 1.2 oder höher); Datenweitergabe an Dritte nur im Rahmen der Weisungen und dieser AVV.
Eingabekontrolle: Änderungen an Quellcode, Konfigurationen und Workflows werden versioniert (Git) bzw. in den Systemen protokolliert, soweit vom eingesetzten Dienst unterstützt.
Auftragskontrolle: Verarbeitung nur nach Weisung; Auswahl von Unterauftragsverarbeitern nach Datenschutz- und Sicherheitsniveau.

Verfügbarkeit und Belastbarkeit

Regelmässige Sicherungen von Quellcode und Konfigurationen (Versionsverwaltung, externe Repositories); Datensicherungen der Auftraggeberdaten nur, soweit im Einzelvertrag vereinbart.
Nutzung von Hosting-Anbietern mit redundanter Infrastruktur und DDoS-Schutz.
Notfallprozess: Rückspielen aus Versionsverwaltung bzw. Neubereitstellung der Website; Wiederherstellungsziele nur nach Einzelvereinbarung.

Verfahren zur Überprüfung und Bewertung

Vorfallbearbeitung: Sicherheitsvorfälle werden erfasst, bewertet und dem Auftraggeber nach Ziff. 9 gemeldet.
Datenschutzfreundliche Voreinstellungen: Es werden nur die Daten verarbeitet, die für den Zweck erforderlich sind (Datenminimierung); Testdaten sind nach Möglichkeit anonymisiert oder synthetisch.

Anlage 2: Unterauftragsverarbeiter

Eingesetzt wird nur, was für den jeweiligen Auftrag erforderlich ist. Welche Dienste im konkreten Auftrag zum Einsatz kommen, ergibt sich aus Angebot oder Einzelvertrag oder wird dem Auftraggeber auf Anfrage in Textform mitgeteilt.

Website-Hosting: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Zweck: Auslieferung und Betrieb der Website, Verbindungs- und Protokolldaten. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
Workflow-Automatisierung: n8n GmbH, Berlin, Deutschland (n8n Cloud); Zapier, Inc., San Francisco, USA; Make (Celonis, Inc.), USA. Zweck: Ausführung von Workflows und Datenübertragung zwischen Systemen des Auftraggebers. Bei selbst gehosteten Instanzen: Hosting-Anbieter innerhalb der EU/des EWR oder der Schweiz.
Datenbanken, Wissensmanagement, Projektorganisation: Notion Labs, Inc., USA (für Kunden im EWR ggf. Notion Labs Ireland Limited, Irland); Formagrid Inc. (Airtable), San Francisco, USA. Zweck: Speicherung und Bearbeitung von Inhalten und Daten des Auftrags.
Kommunikation und Zusammenarbeit: Google (Google Workspace, z. B. E-Mail, Drive; Vertragspartner für Kunden im EWR: Gesellschaft in Irland); Microsoft Ireland Operations Limited, Dublin, Irland (Microsoft 365); Slack Technologies Limited, Dublin, Irland. Zweck: E-Mail-Kommunikation, Dateiaustausch, Abstimmung im Projekt.
KI-Dienste (nur nach ausdrücklicher Freigabe des Auftraggebers in Textform): z. B. OpenAI, Anthropic. Der Auftragnehmer wählt Konditionen, bei denen Auftraggeberdaten nicht zum Training von Modellen verwendet werden.

Für Dienste mit Sitz in den USA gilt Ziff. 7 dieser AVV.