Auftragsbearbeitungsvertrag.

Zwischen

Edelweiss Creation SA, CHE-107.431.117, Rue des Frères-Lumière 6, 1723 Marly, Schweiz, Herausgeberin des Dienstes Jenialo,

nachfolgend «Auftragsbearbeiterin»,

und

der Kundenorganisation, die beim Abschluss des Abonnements bezeichnet wird,

nachfolgend «Verantwortliche».

1. Gegenstand und Dauer

Dieser Vertrag regelt die Bearbeitung von Personendaten, welche die Auftragsbearbeiterin im Auftrag der Verantwortlichen im Rahmen des Dienstes Jenialo vornimmt.

Er tritt mit dem Abschluss des Abonnements in Kraft und endet mit diesem. Die Pflichten zur Vertraulichkeit und zur Herausgabe der Daten gelten über das Vertragsende hinaus.

2. Rollen

Die Verantwortliche bestimmt Zweck und Mittel der Bearbeitung der Daten ihrer Freiwilligen, Teilnehmenden sowie Spenderinnen und Spender. Sie ist für die Einhaltung des anwendbaren Rechts verantwortlich, insbesondere für die Information der betroffenen Personen und für das Vorliegen einer Rechtsgrundlage.

Die Auftragsbearbeiterin bearbeitet diese Daten ausschliesslich auf dokumentierte Weisung im Sinne von Art. 9 DSG.

Für ihre eigenen Kundendaten, namentlich Administrationskonten, Rechnungsstellung und Support, ist die Auftragsbearbeiterin hingegen selbst Verantwortliche. Diese Daten fallen nicht unter diesen Vertrag, sondern unter die Datenschutzerklärung von Jenialo.

3. Art der Bearbeitung

4. Besonders schützenswerte Personendaten

Der Dienst ermöglicht der Verantwortlichen, eigene Felder einzurichten. Je nach Inhalt, etwa Ernährungseinschränkungen, medizinische Kompetenzen oder Angaben zur Gesundheit, können diese Felder besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG offenlegen, namentlich Daten über die Gesundheit oder über religiöse Überzeugungen.

Die Verantwortliche anerkennt, dass:

• sie allein darüber entscheidet, solche Felder einzurichten und solche Daten zu beschaffen;
• die Einwilligung der betroffenen Personen in diesem Fall ausdrücklich im Sinne von Art. 6 Abs. 7 lit. a DSG erfolgen muss.

Der Dienst richtet standardmässig kein Feld ein, das besonders schützenswerte Personendaten offenlegen könnte.

Die Auftragsbearbeiterin stellt im öffentlichen Anmeldeformular einen Platz für die Datenschutzhinweise der Verantwortlichen sowie ein Kästchen für die ausdrückliche Einwilligung zur Verfügung und hält den Zeitpunkt dieser Einwilligung fest.

5. Weisungen

Die Auftragsbearbeiterin bearbeitet die Daten nur auf Weisung der Verantwortlichen. Als dokumentierte Weisungen gelten dieser Vertrag, die Allgemeinen Geschäftsbedingungen und die Nutzung des Dienstes durch die Konten der Verantwortlichen.

Die Auftragsbearbeiterin informiert die Verantwortliche, wenn sie der Ansicht ist, dass eine Weisung gegen das anwendbare Recht verstösst.

Die Auftragsbearbeiterin verwendet die Daten der Verantwortlichen unter keinen Umständen, um etwas vorzuführen, zu verbessern oder zu trainieren. Die Demonstrationsorganisation des Dienstes wird mit generierten Daten betrieben, niemals mit echten Daten einer Kundin.

6. Vertraulichkeit

Jede Person, die zur Bearbeitung dieser Daten befugt ist, ist durch Arbeitsvertrag oder durch gesonderte Erklärung zur Vertraulichkeit verpflichtet. Diese Pflicht gilt über das Ende der Zusammenarbeit hinaus.

Der Zugriff des Personals der Auftragsbearbeiterin auf die Daten einer Organisation ist auf das für den Support Erforderliche beschränkt. Insbesondere gewährt die Administrationsoberfläche der Plattform ausschliesslich Zugriff auf die Organisationen und deren Abonnementsstatus, nicht aber auf Freiwillige, Spenderinnen und Spender oder Dokumente. Jeder Zugriff wird protokolliert, und das Protokoll wird der Verantwortlichen auf Anfrage zur Verfügung gestellt.

7. Sicherheitsmassnahmen

Die nachstehenden Massnahmen sind umgesetzt und überprüft. Sie können weiterentwickelt werden, ohne dass das Schutzniveau je gesenkt wird.

Abschottung. Jede Organisation ist durch Sicherheitsrichtlinien auf Zeilenebene abgeschottet, die auf sämtlichen Tabellen aktiv sind. Diese Abschottung wird durch eine Testreihe überprüft, die nach jeder Änderung des Datenbankschemas erneut ausgeführt wird: organisationsübergreifendes Lesen, Schreiben und Einfügen, mit Positivkontrolle.

Hosting in der Schweiz. Anwendung und Server bei Infomaniak, in Schweizer Rechenzentren. Datenbank, Authentifizierung und Dateien bei Supabase, Region Zürich.

Verschlüsselung. Durchgehende Übertragung über HTTPS. Die Passwörter der Konten werden vom Authentifizierungsanbieter gehasht. Die Zugangsdaten zu den E-Mail-Konten der Organisationen werden verschlüsselt in der Datenbank gespeichert.

Zugang. Die Administrationskonten sind durch ein Passwort geschützt; Passwörter, die bekanntermassen von einem Datenleck betroffen sind, werden abgelehnt. Das Konto mit Zugriff auf die Produktionsinfrastruktur ist durch eine Zwei-Faktor-Authentifizierung geschützt.

Datensicherung. Die Datenbank wird vom Hosting-Anbieter täglich gesichert. Die Dateien, das heisst Bestätigungen, Berichte, Spendenbescheinigungen, Dokumente und Unterschriften, werden jede Nacht bei einem zweiten Schweizer Anbieter gesichert, der vom Anbieter der Datenbank unabhängig ist; überschriebene oder gelöschte Versionen werden neunzig Tage aufbewahrt. Die Wiederherstellung wird regelmässig erprobt.

Löschung. Der Dienst ermöglicht die endgültige Löschung eines Freiwilligendatensatzes, ohne dass Restdaten zurückbleiben.

Verfügbarkeit der Daten bei Zahlungsverzug. Bei Zahlungsverzug oder Kündigung wird der Zugang vor jeder Sperrung auf Lesezugriff beschränkt. Lesen, Filtern, Exportieren und Herunterladen bleiben möglich. Eine Organisation kann ihre Daten somit jederzeit abrufen, auch wenn sie nicht mehr bezahlt.

8. Unterauftragsbearbeiter

Die Verantwortliche genehmigt den Beizug der folgenden Unterauftragsbearbeiter:

Stripe bearbeitet keine Daten von Freiwilligen. Stripe bearbeitet die Rechnungsdaten der Organisation und die Zahlungsangaben der Person, die das Abonnement abschliesst.

Die Auftragsbearbeiterin führt diese Liste auf einer öffentlichen Seite nach. Sie informiert die Verantwortliche über jede Ergänzung und jeden Wechsel mindestens dreissig Tage im Voraus. Die Verantwortliche kann aus einem wichtigen, den Datenschutz betreffenden Grund widersprechen; kommt keine Einigung zustande, kann sie kostenlos kündigen und erhält den bereits bezahlten Betrag anteilsmässig zurück.

Die Auftragsbearbeiterin überbindet jedem Unterauftragsbearbeiter Pflichten, die jenen dieses Vertrags gleichwertig sind, und haftet für deren Verletzungen wie für eigene.

9. Bekanntgabe ins Ausland

Die Daten der Freiwilligen bleiben in der Schweiz gespeichert.

Supabase Inc. ist eine Gesellschaft nach US-amerikanischem Recht, auch wenn die Daten in der Schweiz gespeichert sind: Es gelten der Auftragsbearbeitungsvertrag von Supabase und dessen Standardvertragsklauseln. Stripe arbeitet für die Rechnungsdaten von Irland und den USA aus, gestützt auf einen Angemessenheitsbeschluss oder auf Standardvertragsklauseln, je nach Vertragspartei.

Push-Benachrichtigungen werden über den Benachrichtigungsdienst des Browsers oder des Betriebssystems des Geräts der betroffenen Person übermittelt, namentlich Apple, Google oder Mozilla. Ihr Inhalt ist Ende-zu-Ende-verschlüsselt und für diese Dienste nicht lesbar.

10. Unterstützung

Die Auftragsbearbeiterin unterstützt die Verantwortliche im zumutbaren Rahmen und unter Berücksichtigung der Art der Bearbeitung dabei:

• Begehren um Auskunft, Berichtigung, Löschung und Herausgabe der Daten zu beantworten;
• eine Datenschutz-Folgenabschätzung durchzuführen, wenn diese erforderlich ist;
• die Einhaltung ihrer Pflichten nachzuweisen.

Der Dienst stellt die Exportfunktionen zur Verfügung, die erforderlich sind, um solche Begehren ohne Mitwirkung der Auftragsbearbeiterin zu beantworten.

11. Verletzung der Datensicherheit

Die Auftragsbearbeiterin meldet der Verantwortlichen jede Verletzung der Datensicherheit so rasch als möglich, spätestens innert achtundvierzig Stunden, nachdem sie davon Kenntnis erlangt hat.

Die Meldung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen, die voraussichtlichen Folgen und die ergriffenen Massnahmen.

Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten gemäss Art. 24 DSG obliegt der Verantwortlichen; die Auftragsbearbeiterin unterstützt sie dabei.

12. Aufbewahrungsdauer

Vorbehältlich anderslautender Weisung der Verantwortlichen:

13. Vertragsende

Nach Vertragsende verfügt die Verantwortliche über neunzig Tage, um ihre Daten zu exportieren; während dieser Zeit bleibt der Lesezugriff bestehen.

Nach Ablauf dieser Frist löscht die Auftragsbearbeiterin die Daten, vorbehältlich gesetzlicher Aufbewahrungspflichten. Die Datensicherungen folgen ihrem eigenen Zyklus und werden spätestens neunzig Tage danach gelöscht.

Die Auftragsbearbeiterin bestätigt die Löschung auf Anfrage schriftlich.

14. Audit

Die Verantwortliche kann einmal jährlich mit einer Vorankündigung von dreissig Tagen die Informationen verlangen, die zur Überprüfung der Einhaltung dieses Vertrags erforderlich sind.

Ein Audit vor Ort ist möglich, wenn ein wichtiger Grund dies rechtfertigt, auf Kosten der verlangenden Partei, ohne Beeinträchtigung des Dienstes und ohne Zugriff auf Daten anderer Organisationen.

15. Haftung

15.1 Jede Partei haftet der anderen für den Schaden, den sie durch Verletzung dieses Vertrags verursacht.

15.2 Die Haftung der Auftragsbearbeiterin ist auf den direkten und tatsächlich erlittenen Schaden beschränkt. Soweit gesetzlich zulässig, sind ausgeschlossen: entgangener Gewinn, Reputationsschäden, indirekte Schäden und Folgeschäden sowie der Verlust von Daten, welche die Verantwortliche aus den ihr zur Verfügung gestellten Exporten hätte wiederherstellen können.

15.3 Die Haftung der Auftragsbearbeiterin ist zudem pro Kalenderjahr und für alle Ansprüche zusammen auf den höheren der beiden folgenden Beträge begrenzt: die Summe der Zahlungen der Verantwortlichen in den zwölf Monaten vor dem schädigenden Ereignis oder CHF 1’000.

15.4 Die Ziffern 15.2 und 15.3 gelten weder bei rechtswidriger Absicht noch bei grober Fahrlässigkeit (Art. 100 Abs. 1 OR).

15.5 Diese Ziffer regelt das Verhältnis zwischen den Parteien. Sie schränkt weder die Rechte der betroffenen Personen gegenüber der einen oder anderen Partei noch die Befugnisse des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten ein. Entschädigt die Verantwortliche eine betroffene Person für eine Verletzung, die der Auftragsbearbeiterin zuzurechnen ist, bleibt ihr der Rückgriff im Rahmen der vorstehenden Ziffern vorbehalten.

15.6 Die Verantwortliche haftet für die Folgen ihrer eigenen Entscheide und stellt die Auftragsbearbeiterin von allen daraus entstehenden Ansprüchen Dritter frei, insbesondere wenn sie:

• Daten ohne Rechtsgrundlage oder ohne Information der betroffenen Personen bearbeitet;
• über die von ihr eingerichteten Felder besonders schützenswerte Personendaten im Sinne von Ziffer 4 beschafft, ohne die nach Art. 6 Abs. 7 lit. a DSG erforderliche ausdrückliche Einwilligung eingeholt zu haben;
• an einer Weisung festhält, welche die Auftragsbearbeiterin ihr gemäss Ziffer 5 als rechtswidrig gemeldet hat;
• Daten, zu denen ihr der Dienst Zugang gewährt, selbst veröffentlicht oder verbreitet.

15.7 Die Verantwortliche bewahrt ihre eigenen Exporte auf. Die Auftragsbearbeiterin sichert die Daten gemäss Ziffer 7, ohne dass dies die Verantwortliche von ihrer eigenen Sorgfaltspflicht entbindet.

16. Änderung dieses Vertrags

Die Auftragsbearbeiterin kann diesen Vertrag anpassen, insbesondere um Änderungen des Rechts, der Sicherheitsmassnahmen oder der Liste der Unterauftragsbearbeiter Rechnung zu tragen.

Jede Änderung wird der Verantwortlichen mindestens dreissig Tage vor ihrem Inkrafttreten per E-Mail an die Rechnungsadresse und durch einen Hinweis im Dienst mitgeteilt. Eine Änderung darf das vereinbarte Schutzniveau in keinem Fall senken.

Lehnt die Verantwortliche eine Änderung ab, kann sie ihr Abonnement bis zum Datum des Inkrafttretens kündigen und erhält den bereits bezahlten Betrag anteilsmässig zurück. Die weitere Nutzung des Dienstes nach diesem Datum gilt als Zustimmung.

17. Abschluss und Annahme

Dieser Vertrag wird beim Abschluss eines Abonnements elektronisch geschlossen. Die Verantwortliche nimmt ihn über ein Kästchen an, das von jenem der Allgemeinen Geschäftsbedingungen getrennt ist. Datum, Uhrzeit und die angenommene Version werden gespeichert, und der Text dieser Version bleibt über den Dienst abrufbar.

Die Auftragsbearbeiterin bewahrt jede veröffentlichte Version auf, solange eine Organisation daran gebunden ist, und mindestens zehn Jahre nach dem Ende des letzten unter dieser Version abgeschlossenen Abonnements.

Eine eigenhändige Unterschrift ist nicht erforderlich. Die Parteien können jedoch ein unterzeichnetes Exemplar vereinbaren; dieses geht für das betreffende Vertragsverhältnis der elektronischen Annahme vor.

18. Anwendbares Recht, Gerichtsstand und Sprache

Es gilt Schweizer Recht. Gerichtsstand ist der Sitz der Auftragsbearbeiterin, unter Vorbehalt zwingender Gerichtsstände.

Dieser Vertrag liegt in französischer und deutscher Sprache vor. Bei Abweichungen ist die französische Fassung massgebend.

Eine Frage zu diesem Vertrag? Schreiben Sie uns.