Auftragsverarbeitungsvertrag

1. Geltungsbereich und Parteien

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Teil der Allgemeinen Geschäftsbedingungen zwischen ABIT Technology, Adrian Shajkofci (CHE-233.067.408), Rue des Champs du Bourg 28, 1920 Martigny, Schweiz („Auftragsverarbeiter“) und der Organisation, die Demo-Creator nutzt („Kunde“). Er gilt, wenn der Auftragsverarbeiter bei der Bereitstellung von Demo-Creator personenbezogene Daten im Auftrag des Kunden verarbeitet, und setzt Art. 28 DSGVO sowie Art. 9 des Schweizer Datenschutzgesetzes (DSG) um.

Der AVV gilt mit der Annahme der Geschäftsbedingungen durch den Kunden und bedarf keiner Unterschrift. Ein gegengezeichnetes Exemplar ist auf Anfrage erhältlich.

2. Gegenstand, Dauer und Zweck

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, um Demo-Creator wie in den Geschäftsbedingungen und im Benutzerhandbuch beschrieben zu hosten, zu betreiben, abzusichern und zu unterstützen, solange der Kunde den Dienst nutzt und bis zur Löschung nach Abschnitt 11. Die Verarbeitung umfasst Speicherung, Anzeige, Veröffentlichung auf Weisung des Kunden, Übersetzung und Sprachausgabe auf Anfrage, Statistiken, Benachrichtigungen und Backups.

3. Betroffene Personen und Datenkategorien

Betroffene Personen sind die Mitglieder des Arbeitsbereichs des Kunden, Personen, die Demos des Kunden ansehen, Lernende in Schulungen des Kunden sowie Personen, die Kontaktformulare des Kunden absenden oder in seinen persönlichen Links genannt werden.

Die Daten umfassen Namen, E-Mail-Adressen, Konto- und Rollenangaben; Inhalte, die der Kunde hochlädt oder aufnimmt, einschließlich Screenshots, die personenbezogene Daten zeigen können; Nutzungsdaten wie Sitzungskennungen, angesehene Schritte, Zeiten, Gerätekategorie und ungefähres Land; Schulungsfortschritt, Antworten, Punktzahlen und Zertifikate sowie Einträge in Kontaktformularen. Der Kunde verwendet keine besonderen Kategorien personenbezogener Daten, sofern dies nicht erforderlich und rechtmäßig ist.

4. Weisungen des Kunden

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Diese ergeben sich aus den Geschäftsbedingungen, diesem AVV und der Nutzung und Konfiguration von Demo-Creator durch den Kunden. Verlangt das Gesetz eine andere Verarbeitung, informiert der Auftragsverarbeiter den Kunden vorher, sofern das Gesetz dies nicht verbietet. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, teilt er dies dem Kunden mit.

5. Vertraulichkeit

Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, sind zur Vertraulichkeit verpflichtet und greifen nur darauf zu, soweit dies für Bereitstellung, Sicherheit oder Support des Dienstes erforderlich ist.

6. Sicherheit

Der Auftragsverarbeiter setzt die im Anhang und auf der Sicherheitsseite beschriebenen technischen und organisatorischen Maßnahmen um und hält sie dem Risiko angemessen. Er darf sie anpassen, sofern das Schutzniveau insgesamt nicht sinkt.

7. Unterauftragsverarbeiter

Der Kunde genehmigt die auf der Sicherheitsseite aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet jeden von ihnen auf Datenschutzpflichten, die diesem AVV entsprechen, und bleibt für ihre Leistung verantwortlich.

Der Auftragsverarbeiter kündigt einen neuen Unterauftragsverarbeiter auf dieser Seite mindestens 30 Tage vor Beginn der Verarbeitung an. Der Kunde kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; findet sich keine Lösung, kann er den betroffenen Dienst kündigen und erhält im Voraus gezahlte Entgelte anteilig zurück.

8. Internationale Übermittlungen

Personenbezogene Daten werden in der EU gehostet. Verarbeitet ein Unterauftragsverarbeiter sie in einem Land ohne von der Schweiz oder der EU anerkannten Angemessenheitsbeschluss, stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission mit den für die Schweiz erforderlichen Anpassungen oder auf einen anderen gültigen Übermittlungsmechanismus.

9. Unterstützung

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Kunden bei Anfragen betroffener Personen, vor allem über die Export-, Bearbeitungs- und Löschfunktionen von Demo-Creator, und stellt angemessene Informationen für Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden bereit.

10. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Kunden unverzüglich, spätestens innerhalb von 72 Stunden, nachdem ihm eine Verletzung des Schutzes der personenbezogenen Daten des Kunden bekannt geworden ist. Die Meldung beschreibt die Art der Verletzung, soweit bekannt die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sie wird ergänzt, sobald weitere Informationen vorliegen.

11. Löschung und Rückgabe

Während der Laufzeit kann der Kunde seine Inhalte jederzeit exportieren und löschen. Nach Löschung der Organisation des Kunden oder Vertragsende löscht der Auftragsverarbeiter die personenbezogenen Daten des Kunden innerhalb von 30 Tagen aus den aktiven Systemen; Kopien in Backups laufen mit der 30-tägigen Backup-Rotation ab. Dies gilt nicht für Daten, die der Auftragsverarbeiter gesetzlich aufbewahren muss, etwa Rechnungsunterlagen.

12. Informationen und Prüfungen

Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, darunter die Sicherheitsseite und Antworten auf angemessene Sicherheitsfragebögen. Reicht dies nicht aus, kann der Kunde auf eigene Kosten eine Prüfung durchführen, mit 30 Tagen Vorankündigung, zu Geschäftszeiten und höchstens einmal jährlich, es sei denn, eine Aufsichtsbehörde verlangt etwas anderes oder es ist eine Datenschutzverletzung eingetreten.

13. Haftung und Vorrang

Die Haftung aus diesem AVV richtet sich nach den Geschäftsbedingungen. Widerspricht dieser AVV den Geschäftsbedingungen beim Schutz personenbezogener Daten, geht dieser AVV vor. Wie für die Geschäftsbedingungen gilt Schweizer Recht, vorbehaltlich zwingenden Datenschutzrechts.

Anhang: technische und organisatorische Maßnahmen

• Hosting in einem Rechenzentrum von OVHcloud in Deutschland (EU), mit täglichen Backups, die 30 Tage aufbewahrt werden.
• Verschlüsselung bei der Übertragung über HTTPS (TLS 1.2 oder neuer); Geheimnisse gespeichert mit AES-256-GCM; Passwörter als gesalzene scrypt-Hashes.
• Rollenbasierter Zugriff je Organisation, optionales Single Sign-on, widerrufbare Sitzungen und bestätigte E-Mail-Adresse für sensible Aktionen.
• Jede Abfrage ist auf die gewählte Organisation beschränkt; Entwürfe bleiben bis zur Veröffentlichung privat.
• Web Application Firewall auf Basis des OWASP Core Rule Set, Ratenbegrenzung und strenge Content Security Policy.
• Audit-Log für Aktionen der Plattformverwaltung; Zugriff des Personals nur, soweit für Betrieb, Sicherheit oder Support nötig.
• Vorfallmanagement mit Meldung von Datenschutzverletzungen innerhalb von 72 Stunden.