Auftragsbearbeitungsvertrag

Dieser Auftragsbearbeitungsvertrag («ABV») wird zwischen dem Kunden und der Software Vision AG, Löwenstrasse 11, 8001 Zürich, Schweiz, UID CHE-264.410.040 («Anbieterin») abgeschlossen. Er regelt die Bearbeitung von Personendaten, welche die Anbieterin bei der Erbringung der Dienste im Auftrag des Kunden vornimmt. Er ist zugleich der Vertrag über die Auftragsverarbeitung im Sinne von Art. 28 DSGVO.

Dieser ABV ist Bestandteil des Vertrags (Ziffer 10.1 der Allgemeinen Geschäftsbedingungen, «AGB»). Er wird verbindlich, wenn der Kunde die AGB annimmt, auch durch seinen ersten Organisationsadministrator, oder ein Bestellformular unterzeichnet. Eine gesonderte Unterschrift ist nicht nötig. Auf Anfrage unterzeichnen die Parteien ein Exemplar der geltenden Fassung; dieses hat denselben Inhalt wie diese Seite und ist keine eigene Fassung.

Dieser ABV ergänzt die AGB. Gemäss Ziffer 1.5 der AGB geht er für die Bearbeitung von Personendaten den übrigen Bestandteilen des Vertrags vor. Die Bestimmungen der AGB über Haftung, Gebühren und Laufzeit ändert er nicht (Ziffern 16 und 17 dieses ABV).

1.Begriffe

1.1 Begriffe wie Personendaten, Bearbeiten, Verantwortlicher, Auftragsbearbeiter, betroffene Person, Bekanntgabe ins Ausland und Verletzung der Datensicherheit haben die Bedeutung, die ihnen das Bundesgesetz über den Datenschutz («DSG») und, soweit anwendbar, die EU-Datenschutz-Grundverordnung («DSGVO») geben. Eine Verletzung der Datensicherheit nach DSG entspricht einer Verletzung des Schutzes personenbezogener Daten nach DSGVO. Besonders schützenswerte Personendaten nach DSG umfassen die besonderen Kategorien personenbezogener Daten nach DSGVO.

1.2 Begriffe, die in den AGB definiert sind, etwa Vertrag, KI-Funktionen, Autorisierte Nutzer, Kunde, Kundendaten, Dokumentation, Gäste, Bestellformular, Organisationsadministratoren und Dienste, haben in diesem ABV dieselbe Bedeutung. Zusätzlich gilt:

Anwendbares Datenschutzrecht: das DSG und die Datenschutzverordnung («DSV») sowie, soweit sie auf die Bearbeitung anwendbar sind, die DSGVO und das Datenschutzrecht der Mitgliedstaaten der EU und des EWR.

Personendaten des Kunden: Personendaten in den Kundendaten, welche die Anbieterin im Auftrag des Kunden bearbeitet.

Unterauftragsbearbeiter: ein Dritter, den die Anbieterin beizieht, um Personendaten des Kunden im Auftrag des Kunden zu bearbeiten.

Liste der Unterauftragsbearbeiter: die in Ziffer 6.2 beschriebene Liste der Unterauftragsbearbeiter.

Standardvertragsklauseln: die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäss Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission vom 4. Juni 2021.

EDÖB: der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

1.3 Verweise auf die DSGVO gelten nur, soweit die DSGVO auf die Bearbeitung anwendbar ist. Zwingende Bestimmungen des anwendbaren Datenschutzrechts bleiben vorbehalten.

2.Gegenstand, Rollen und Geltungsbereich

2.1 Die Anbieterin bearbeitet Personendaten des Kunden, um die Dienste gemäss Vertrag zu erbringen, zu sichern und zu unterstützen. Anhang 1 legt Gegenstand, Art und Zweck der Bearbeitung, die Kategorien von Personendaten und betroffenen Personen, die Dauer und die Orte der Bearbeitung fest.

2.2 Der Kunde ist Verantwortlicher, die Anbieterin Auftragsbearbeiterin im Sinne von Art. 9 DSG und Art. 28 DSGVO.

2.3 Bearbeitet der Kunde die Daten seinerseits als Auftragsbearbeiter für einen Dritten, etwa für eine Konzerngesellschaft oder für einen Klienten eines Verwaltungsratssekretariats, handelt die Anbieterin als dessen Unterauftragsbearbeiterin. Der Kunde sichert zu, dass der Verantwortliche seine Weisungen und den Abschluss dieses ABV genehmigt hat. Die Anbieterin befolgt ausschliesslich die Weisungen des Kunden und verkehrt nur mit ihm. Der Kunde gibt die Informationen, die er nach diesem ABV erhält, an den Verantwortlichen weiter.

2.4 Dieser ABV gilt nicht für Personendaten, welche die Anbieterin als Verantwortliche für eigene Zwecke bearbeitet, etwa Benutzerkonten, Anmeldung und Zwei-Faktor-Authentifizierung, eigene Sicherheitsprotokolle der Anbieterin, Abrechnung, Kommunikation mit dem Kunden und Nutzungsdaten (Ziffer 10.2 der AGB). Diese Bearbeitung beschreibt die Datenschutzerklärung. Die Aktivitätsprotokolle der Organisation des Kunden, die Organisationsadministratoren einsehen und exportieren können, sind Kundendaten und fallen unter diesen ABV.

2.5 Die Anbieterin bearbeitet Personendaten des Kunden nicht für eigene Zwecke. Sie verkauft sie nicht, verwendet sie nicht für Werbung und nicht zum Training von KI-Modellen, weder eigener noch solcher Dritter.

3.Weisungen

3.1 Die Anbieterin bearbeitet Personendaten des Kunden nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Bekanntgaben ins Ausland. Dies gilt nicht, soweit Schweizer Recht oder das Recht eines Mitgliedstaats der EU oder des EWR, dem die Anbieterin unterliegt, die Bearbeitung vorschreibt. In diesem Fall teilt die Anbieterin dem Kunden diese rechtlichen Anforderungen vor der Bearbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Weisungen des Kunden sind:

• der Vertrag einschliesslich dieses ABV;
• die Einstellung und Nutzung der Funktionen der Dienste durch den Kunden und seine Autorisierten Nutzer, etwa das Einladen von Personen, das Vergeben von Rollen und Einschränkungen, das Versenden von Benachrichtigungen, das Aktivieren von Integrationen und die Nutzung von KI-Funktionen;
• weitere Weisungen, die Organisationsadministratoren oder andere vertretungsberechtigte Personen des Kunden schriftlich erteilen; eine E-Mail an info@softwarevision.ch genügt.

3.3 Weitere Weisungen müssen mit dem Vertrag vereinbar sein. Weisungen, die Änderungen an den Diensten oder Aufwand über den Vertrag hinaus erfordern, gelten als Anfrage nach Zusatzleistungen; es gilt Ziffer 15.

3.4 Die Nutzung von KI-Funktionen ist Teil der Weisungen des Kunden. KI-Funktionen sind standardmässig eingeschaltet. Der Kunde kann sie für seine Organisation jederzeit auf Anfrage bei der Anbieterin ausschalten lassen. Inhalte der Organisation werden dann nicht mehr an KI-Modellanbieter übermittelt.

3.5 Ist die Anbieterin der Ansicht, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, informiert sie den Kunden unverzüglich. Sie kann die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert. Eine Pflicht zur rechtlichen Prüfung von Weisungen besteht nicht.

4.Vertraulichkeit und Zugriff durch Mitarbeitende der Anbieterin

4.1 Die Anbieterin stellt sicher, dass alle Personen, die sie zur Bearbeitung von Personendaten des Kunden ermächtigt, einer vertraglichen oder gesetzlichen Schweigepflicht unterliegen, die nach Ende ihrer Tätigkeit fortbesteht, und dass sie über die für ihre Tätigkeit massgeblichen Datenschutzpflichten informiert sind.

4.2 Mitarbeitende der Anbieterin greifen nur auf Kundendaten zu, soweit dies für den Betrieb der Dienste, für die Bearbeitung einer Supportanfrage auf Weisung des Kunden, zum Schutz der Sicherheit der Dienste oder aufgrund gesetzlicher Pflichten nötig ist.

5.Datensicherheit

5.1 Die Anbieterin trifft die in Anhang 2 beschriebenen technischen und organisatorischen Massnahmen. Sie sollen eine dem Risiko angemessene Datensicherheit gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Bearbeitung sowie der Sensibilität von Sitzungsunterlagen (Art. 8 DSG, Art. 1 bis 6 DSV, Art. 32 DSGVO).

5.2 Die Anbieterin kann die Massnahmen an den technischen Fortschritt oder an neue Risiken anpassen, sofern das Gesamtschutzniveau nicht sinkt. Auf Anfrage stellt sie die aktuelle Beschreibung der Massnahmen zur Verfügung.

5.3 Einige Massnahmen hängen von Einstellungen ab, die der Kunde steuert, etwa Rollen, Einschränkungen, Sicherheitsstufen für Dokumente, Regeln für Gäste, die automatische Abmeldung bei Inaktivität und die Zwei-Faktor-Authentifizierung seiner Nutzer. Der Kunde ist dafür verantwortlich, Einstellungen zu wählen, die der Sensibilität seiner Daten entsprechen.

6.Unterauftragsbearbeiter

6.1 Der Kunde erteilt der Anbieterin die allgemeine schriftliche Genehmigung, Unterauftragsbearbeiter beizuziehen. Die Unterauftragsbearbeiter, die bei Abschluss dieses ABV auf der Liste der Unterauftragsbearbeiter stehen, gelten als genehmigt.

6.2 Die Liste der Unterauftragsbearbeiter nennt jeden Unterauftragsbearbeiter, seine Leistung, das Land, in dem er Personendaten des Kunden bearbeitet, und die Garantie für eine allfällige Bekanntgabe ins Ausland. Die Anbieterin sendet sie dem ersten Organisationsadministrator, wenn sie die Organisation des Kunden einrichtet, und dem Kunden jederzeit auf Anfrage an info@softwarevision.ch. Die Kategorien von Unterauftragsbearbeitern und ihre Länder sind in Anhang 3 und auf der Seite Unterauftragsbearbeiter aufgeführt.

6.3 Die Anbieterin informiert die Organisationsadministratoren mindestens 14 Tage bevor ein neuer oder ersetzender Unterauftragsbearbeiter mit der Bearbeitung von Personendaten des Kunden beginnt, per E-Mail. Die Mitteilung nennt den Unterauftragsbearbeiter, seine Leistung und sein Land. In einem Notfall, etwa wenn ein Unterauftragsbearbeiter ausfällt oder ein Sicherheitsrisiko darstellt, kann die Anbieterin sofort einen Ersatz beiziehen und informiert die Organisationsadministratoren unverzüglich; der Kunde kann dann innert 14 Tagen nach der Mitteilung nach Ziffer 6.4 widersprechen. Dienstleister, die keine Personendaten des Kunden bearbeiten, sind keine Unterauftragsbearbeiter und werden nicht angekündigt.

6.4 Innerhalb dieser Frist kann der Kunde der Änderung aus berechtigten datenschutzrechtlichen Gründen schriftlich und mit Begründung widersprechen; eine E-Mail genügt. Die Parteien suchen dann nach Treu und Glauben eine Lösung. Finden sie keine, kann der Kunde die betroffenen Dienste auf den Zeitpunkt kündigen, in dem der neue Unterauftragsbearbeiter mit der Bearbeitung beginnt; vorausbezahlte Gebühren werden nach Ziffer 13.7 der AGB erstattet. Widerspricht der Kunde nicht innert Frist, gilt die Änderung als genehmigt.

6.5 Die Anbieterin zieht einen Unterauftragsbearbeiter nur auf Grundlage eines schriftlichen Vertrags bei, der auch in elektronischer Form abgeschlossen sein kann und ihm dieselben Datenschutzpflichten wie dieser ABV auferlegt, soweit sie für seine Leistung massgeblich sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Massnahmen. Die Anbieterin wählt ihre Unterauftragsbearbeiter sorgfältig aus.

6.6 Die Anbieterin haftet dem Kunden für die Erfüllung der Pflichten ihrer Unterauftragsbearbeiter wie für ihre eigene, vorbehältlich Ziffer 16.

6.7 Dienste Dritter, die der Kunde selbst anbindet, etwa sein Microsoft-Konto für die Anmeldung, Kalenderanwendungen oder Videokonferenzdienste, sind keine Unterauftragsbearbeiter der Anbieterin. Für ihre Nutzung gelten die eigenen Verträge des Kunden mit diesen Dritten und Ziffer 12 der AGB.

7.Bearbeitungsorte und Bekanntgabe ins Ausland

7.1 Kundendaten werden in Rechenzentren in der Schweiz (Zürich) gespeichert. Die Applikation, die sie bearbeitet, läuft auf Servern in der EU (Deutschland). Sicherungskopien werden in der Schweiz oder in der EU aufbewahrt. KI-Modellanbieter bearbeiten Inhalte, die an KI-Funktionen übermittelt werden, in der EU; sie speichern sie nach der Antwort nicht und verwenden sie nicht zum Training. Die Fehlerüberwachung erfolgt in der EU (Deutschland).

7.2 Für den E-Mail-Versand und für SMS-Anmeldecodes setzt die Anbieterin Anbieter mit Sitz in den Vereinigten Staaten ein. Die Versandinfrastruktur des E-Mail-Anbieters befindet sich in Irland; SMS werden in den Vereinigten Staaten bearbeitet. E-Mails enthalten Namen, E-Mail-Adressen, Benachrichtigungstexte, Titel von Sitzungen und Traktanden sowie Nachrichten, die Autorisierte Nutzer verfassen, aber keine Dateianhänge. SMS enthalten die Telefonnummer und den Anmeldecode.

7.3 Einige Unterauftragsbearbeiter, die Personendaten des Kunden in der Schweiz oder der EU bearbeiten, haben ihren Sitz in den Vereinigten Staaten oder gehören zu dort ansässigen Unternehmensgruppen und können von dort für Support oder Betrieb auf Daten zugreifen. Ein solcher Zugriff ist eine Bekanntgabe ins Ausland und fällt unter Ziffer 7.4.

7.4 Die Anbieterin gibt Personendaten des Kunden in ein Land, dessen Gesetzgebung nach Feststellung des Bundesrats oder, soweit die DSGVO anwendbar ist, der Europäischen Kommission keinen angemessenen Datenschutz gewährleistet, nur bekannt, wenn:

• der Empfänger nach dem Swiss-U.S. Data Privacy Framework und, soweit die DSGVO anwendbar ist, nach dem EU-U.S. Data Privacy Framework zertifiziert ist; oder
• die Anbieterin mit dem Empfänger die Standardvertragsklauseln, Modul 3 (Auftragsbearbeiter an Auftragsbearbeiter), mit den Anpassungen für die Schweiz nach Ziffer 7.5 abgeschlossen hat; oder
• eine andere Garantie oder Ausnahme nach Art. 16 und 17 DSG und Kapitel V DSGVO greift.

7.5 Soweit die Standardvertragsklauseln Bekanntgaben erfassen, die dem DSG unterstehen, gilt: (a) Der EDÖB ist für diese Bekanntgaben die zuständige Aufsichtsbehörde; (b) Verweise auf die DSGVO sind für diese Bekanntgaben als Verweise auf das DSG zu verstehen; (c) der Begriff «Mitgliedstaat» darf nicht so ausgelegt werden, dass betroffene Personen in der Schweiz von der Möglichkeit ausgeschlossen werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort einzuklagen (Klausel 18(c) der Standardvertragsklauseln); und (d) für Bekanntgaben, die ausschliesslich dem DSG unterstehen, unterstehen die Standardvertragsklauseln Schweizer Recht und Streitigkeiten den Schweizer Gerichten.

7.6 Die Europäische Kommission anerkennt, dass die Schweiz ein angemessenes Datenschutzniveau gewährleistet. Bekanntgaben eines Kunden in der EU oder im EWR an die Anbieterin erfordern deshalb keine weiteren Garantien.

7.7 Die Liste der Unterauftragsbearbeiter nennt für jeden Unterauftragsbearbeiter das Land und die Garantie. Auf Anfrage stellt die Anbieterin dem Kunden die Angaben zur Verfügung, die er benötigt, um die Länder in seiner eigenen Datenschutzerklärung zu nennen (Art. 19 Abs. 4 DSG, Art. 13 und 14 DSGVO), sowie eine Kopie der massgeblichen Garantien; geschäftliche Bedingungen können geschwärzt werden.

8.Anfragen von Behörden

8.1 Verlangt ein Gericht oder eine Behörde Personendaten des Kunden von der Anbieterin, verweist die Anbieterin die Behörde soweit möglich an den Kunden und informiert den Kunden unverzüglich, sofern das Gesetz dies nicht verbietet. Die Anbieterin gibt Personendaten des Kunden nur heraus, wenn sie rechtlich dazu verpflichtet ist, und nur im erforderlichen Umfang. Sie prüft die Rechtmässigkeit der Anfrage und ficht Anfragen an, die sie für rechtswidrig hält.

8.2 Die Anbieterin gewährt Behörden nicht freiwillig Zugriff auf Personendaten des Kunden und hat keine Schnittstellen eingerichtet, die Behörden einen direkten Zugriff darauf ermöglichen.

9.Begehren betroffener Personen

9.1 Der Kunde ist für die Beantwortung von Begehren betroffener Personen verantwortlich. Wendet sich eine betroffene Person bezüglich Personendaten des Kunden direkt an die Anbieterin, leitet die Anbieterin das Begehren unverzüglich an den Kunden weiter und beantwortet es nicht in der Sache, ausser mit einem Verweis an den Kunden, sofern der Kunde nichts anderes anweist.

9.2 Die Anbieterin unterstützt den Kunden mit geeigneten technischen und organisatorischen Massnahmen nach Möglichkeit bei der Beantwortung von Begehren um Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe oder -übertragung und Widerspruch (Art. 25 bis 32 DSG, Kapitel III DSGVO). Viele Begehren können Organisationsadministratoren mit den Funktionen der Dienste erledigen, etwa durch Bearbeiten und Löschen von Inhalten, Verwalten von Nutzern und Exportieren von Registern und Aktivitätsprotokollen. Bieten die Dienste für ein Begehren keine Funktion, etwa für das Löschen aller Personendaten eines einzelnen Autorisierten Nutzers, führt die Anbieterin es auf schriftliche Weisung des Kunden innert angemessener Frist aus.

10.Unterstützung bei den Pflichten des Kunden

10.1 Unter Berücksichtigung der Art der Bearbeitung und der ihr zur Verfügung stehenden Informationen unterstützt die Anbieterin den Kunden bei der Einhaltung seiner Pflichten betreffend:

• die Datensicherheit (Art. 8 DSG, Art. 32 DSGVO);
• die Meldung von Verletzungen der Datensicherheit an den EDÖB oder eine andere Aufsichtsbehörde und die Information betroffener Personen (Art. 24 DSG, Art. 33 und 34 DSGVO);
• Datenschutz-Folgenabschätzungen (Art. 22 DSG, Art. 35 DSGVO);
• die Konsultation des EDÖB oder einer anderen Aufsichtsbehörde vor der Bearbeitung (Art. 23 DSG, Art. 36 DSGVO).

10.2 Die Anbieterin unterstützt vor allem, indem sie diesen ABV und seine Anhänge zur Verfügung stellt und Fragen des Kunden beantwortet. Auf Anfrage stellt sie auch die Angaben bereit, die der Kunde für sein Verzeichnis der Bearbeitungstätigkeiten und, soweit Art. 5 DSV anwendbar ist, für sein Bearbeitungsreglement benötigt. Anhang 2 beschreibt die Aktivitätsprotokolle sachlich; der Kunde beurteilt, ob sie seinen eigenen Protokollierungspflichten genügen, etwa nach Art. 4 DSV.

11.Verletzungen der Datensicherheit

11.1 Die Anbieterin meldet dem Kunden eine Verletzung der Datensicherheit, die Personendaten des Kunden bei der Anbieterin oder ihren Unterauftragsbearbeitern betrifft, unverzüglich, spätestens aber innert 48 Stunden, nachdem sie davon Kenntnis erlangt hat. Sie sendet die Meldung per E-Mail an die Organisationsadministratoren und nutzt, wo angebracht, zusätzlich andere Kanäle.

11.2 Die Meldung beschreibt, soweit bekannt:

• die Art der Verletzung, einschliesslich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Massnahmen, um die Verletzung zu beheben und ihre möglichen nachteiligen Folgen zu mildern;
• eine Kontaktperson für weitere Informationen.

11.3 Liegen nicht alle Informationen gleichzeitig vor, liefert die Anbieterin sie unverzüglich schrittweise nach, sobald sie verfügbar sind.

11.4 Die Anbieterin trifft die nötigen Massnahmen, um die Verletzung einzudämmen und ihre Folgen zu mildern, dokumentiert sie und unterstützt den Kunden bei der Meldung an den EDÖB oder eine andere Aufsichtsbehörde und bei der Information betroffener Personen. Behörden oder betroffene Personen informiert die Anbieterin nicht im Namen des Kunden, ausser auf seine Weisung oder wenn das Gesetz es verlangt.

11.5 Eine Meldung nach dieser Ziffer ist kein Eingeständnis eines Verschuldens oder einer Haftung.

12.Rückgabe und Löschung

12.1 Während der Laufzeit des Vertrags kann der Kunde Kundendaten mit den in der Dokumentation beschriebenen Exportfunktionen exportieren und Inhalte in den Diensten löschen.

12.2 Nach Vertragsende stehen die Kundendaten den Organisationsadministratoren während 14 Tagen für den Export zur Verfügung. Weitergehende Unterstützung beim Export über die Standardfunktionen hinaus wird zu den jeweils geltenden Ansätzen der Anbieterin verrechnet (Ziffer 18.2 der AGB). Der Kunde kann die Anbieterin stattdessen schriftlich anweisen, die Kundendaten früher zu löschen.

12.3 Nach Ablauf der Exportfrist löscht die Anbieterin die Personendaten des Kunden einschliesslich Kopien. Sicherungskopien werden innert weiterer 14 Tage gelöscht. Bis dahin verwendet die Anbieterin Sicherungskopien nur zur Wiederherstellung von Daten.

12.4 Ist die Anbieterin nach Schweizer Recht oder nach dem Recht eines Mitgliedstaats der EU oder des EWR, dem sie unterliegt, zur Aufbewahrung verpflichtet, beschränkt sie die Bearbeitung auf diesen Zweck und löscht die Daten, sobald die Pflicht endet. Für diese Daten gilt dieser ABV weiter.

12.5 Auf Anfrage bestätigt die Anbieterin die Löschung schriftlich.

13.Nachweis und Kontrollen

13.1 Die Anbieterin stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 9 DSG, Art. 28 DSGVO und dieses ABV nötig sind, insbesondere diesen ABV und seine Anhänge, die Liste der Unterauftragsbearbeiter und schriftliche Antworten auf angemessene Sicherheitsfragebogen.

13.2 Reichen diese Informationen zum Nachweis nicht aus, nach einer Verletzung der Datensicherheit, die Personendaten des Kunden betrifft, oder wenn eine zuständige Aufsichtsbehörde es verlangt, kann der Kunde oder eine von ihm beauftragte unabhängige Prüfstelle eine Kontrolle durchführen, einschliesslich einer Inspektion vor Ort oder aus der Ferne.

13.3 Für Kontrollen nach Ziffer 13.2 gilt:

• höchstens einmal pro Vertragsjahr, ausser nach einer Verletzung der Datensicherheit, die Personendaten des Kunden betrifft, oder wenn eine Aufsichtsbehörde es verlangt;
• schriftliche Ankündigung mindestens 30 Tage im Voraus mit Angabe des vorgesehenen Umfangs;
• während der Geschäftszeiten der Anbieterin an Schweizer Werktagen und ohne unzumutbare Störung ihres Betriebs;
• die Prüfstelle ist zur Vertraulichkeit verpflichtet, unabhängig und keine Konkurrentin der Anbieterin;
• kein Zugang zu Daten anderer Kunden und Zugang zu Geschäftsgeheimnissen der Anbieterin nur, soweit für die Kontrolle nötig;
• Unterauftragsbearbeiter werden anhand der Informationen und Prüfberichte kontrolliert, die sie der Anbieterin zur Verfügung stellen;
• der Kunde überlässt der Anbieterin kostenlos eine Kopie des Prüfberichts.

13.4 Jede Partei trägt ihre eigenen Kosten einer Kontrolle. Der Kunde erstattet der Anbieterin zudem deren angemessene Kosten für Aufwand, der über einen üblichen Aufwand hinausgeht, zu ihren jeweils geltenden Ansätzen. Deckt die Kontrolle eine wesentliche Verletzung dieses ABV durch die Anbieterin auf, trägt die Anbieterin ihre Kosten vollständig selbst.

13.5 Die Anbieterin arbeitet mit Aufsichtsbehörden zusammen, soweit das Gesetz es verlangt.

14.Pflichten des Kunden

14.1 Als Verantwortlicher ist der Kunde für die Rechtmässigkeit der Bearbeitung verantwortlich. Insbesondere:

• stellt der Kunde sicher, dass er für die Bearbeitung eine Rechtsgrundlage hat, auch für das Einladen von Personen in die Dienste und das Hochladen von Sitzungsunterlagen;
• informiert er die betroffenen Personen, einschliesslich Autorisierter Nutzer und der in Sitzungsunterlagen genannten Personen, über die Bearbeitung, auch über die Aktivitätsprotokolle (Ziffer 5.7 der AGB);
• erteilt er nur rechtmässige Weisungen;
• entscheidet er, ob er besonders schützenswerte Personendaten in die Kundendaten aufnimmt, und stellt Rollen, Einschränkungen und Sicherheitsstufen für Dokumente entsprechend ein;
• entscheidet er über die Nutzung von KI-Funktionen;
• hält er seine Konten und Geräte sicher und informiert die Anbieterin unverzüglich, wenn er Fehler oder Unregelmässigkeiten bei der Bearbeitung feststellt;
• erfüllt er seine eigenen Pflichten als Verantwortlicher, etwa die Meldung von Verletzungen der Datensicherheit an die Behörden und die Durchführung von Datenschutz-Folgenabschätzungen.

15.Kosten der Unterstützung

15.1 Die Unterstützung nach den Ziffern 9, 10 und 13.1 erbringt die Anbieterin über die Standardfunktionen der Dienste und die bei ihr vorhandenen Informationen in angemessenem Umfang kostenlos. Meldungen nach Ziffer 11 sind immer kostenlos.

15.2 Aufwand, der über die Standardfunktionen und das Angemessene hinausgeht, kann die Anbieterin nach vorgängiger Information des Kunden zu ihren jeweils geltenden Ansätzen verrechnen. Aufwand, der nötig wird, weil die Anbieterin oder ihre Unterauftragsbearbeiter diesen ABV oder anwendbares Datenschutzrecht verletzt haben, verrechnet sie nicht.

16.Haftung

16.1 Die Haftung aus oder im Zusammenhang mit diesem ABV richtet sich nach Ziffer 21 der AGB. Deren Beschränkungen und Ausschlüsse gelten für alle Ansprüche aus diesem ABV, einschliesslich der Haftung der Anbieterin für ihre Unterauftragsbearbeiter nach Ziffer 6.6.

16.2 Der Vorrang dieses ABV nach Ziffer 1.5 der AGB gilt nur für die Bearbeitung von Personendaten. Er ändert die Haftungsbeschränkungen der AGB nicht und begründet keine eigene oder unbeschränkte Haftung.

16.3 Dieser ABV beschränkt weder die Haftung gegenüber betroffenen Personen nach zwingendem Recht, etwa nach Art. 82 DSGVO, noch eine Haftung, deren Beschränkung zwingendes Recht nicht zulässt.

17.Laufzeit und Beendigung

17.1 Dieser ABV beginnt mit dem Vertrag und gilt, solange die Anbieterin Personendaten des Kunden bearbeitet, einschliesslich der Export- und Löschfristen nach Ziffer 12. Er kann nicht unabhängig vom Vertrag gekündigt werden.

17.2 Bestimmungen, die ihrer Natur nach über das Ende dieses ABV hinaus gelten, bleiben in Kraft, insbesondere die Ziffern 4, 12.4, 12.5, 16 und 19.

18.Änderungen dieses ABV

18.1 Die Anbieterin kann diesen ABV aus sachlichen Gründen ändern, insbesondere bei Rechtsänderungen, Vorgaben von Aufsichtsbehörden, neuen oder geänderten Funktionen oder Sicherheitsanforderungen. Es gelten die Ziffern 24.2 und 24.3 der AGB: Die Anbieterin teilt dem Kunden die Änderung mindestens 14 Tage vor Inkrafttreten mit und zeigt, was sich ändert; der Kunde kann vor dem Inkrafttreten widersprechen oder auf diesen Zeitpunkt kündigen.

18.2 Änderungen, die den Schutz der Personendaten des Kunden verringern, bedürfen der ausdrücklichen Zustimmung des Kunden.

18.3 Wechsel von Unterauftragsbearbeitern richten sich nach Ziffer 6, Änderungen der technischen und organisatorischen Massnahmen nach Ziffer 5.2. Redaktionelle Korrekturen, welche die Rechte und Pflichten der Parteien nicht berühren, sind ohne Mitteilung zulässig. Auf Anfrage stellt die Anbieterin frühere Fassungen dieses ABV zur Verfügung.

19.Anwendbares Recht, Gerichtsstand und Sprache

19.1 Dieser ABV untersteht dem materiellen Schweizer Recht unter Ausschluss der Kollisionsnormen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG). Zwingende Bestimmungen der DSGVO und des übrigen anwendbaren Datenschutzrechts bleiben vorbehalten.

19.2 Ausschliesslicher Gerichtsstand ist Zürich, Schweiz. Die Rechte betroffener Personen und die Befugnisse der Aufsichtsbehörden bleiben vorbehalten. Für Standardvertragsklauseln, welche die Anbieterin abschliesst, gelten deren eigene Bestimmungen über das anwendbare Recht und den Gerichtsstand, vorbehältlich Ziffer 7.5.

19.3 Dieser ABV liegt in deutscher und englischer Sprache vor. Bei Abweichungen geht die deutsche Fassung vor.

19.4 Ist eine Bestimmung dieses ABV ungültig oder nicht durchsetzbar, bleibt der übrige ABV gültig. Die Bestimmung wird durch eine gültige ersetzt, die ihrem Zweck am nächsten kommt.

20.Kontakt und Mitteilungen

20.1 Der Kunde richtet Weisungen, Widersprüche, Anfragen und andere Mitteilungen nach diesem ABV an info@softwarevision.ch.

20.2 Die Anbieterin sendet Mitteilungen nach diesem ABV, einschliesslich Meldungen von Verletzungen der Datensicherheit und neuer Unterauftragsbearbeiter, per E-Mail an die Organisationsadministratoren des Kunden. Der Kunde stellt sicher, dass jederzeit mindestens ein Organisationsadministrator erreichbar ist, und hält deren E-Mail-Adressen aktuell.

20.3 E-Mail genügt jedem Formerfordernis nach diesem ABV.

Anhang 1Angaben zur Bearbeitung

Anhang 2Technische und organisatorische Massnahmen

Die Anbieterin trifft die folgenden Massnahmen. Nur dieser Anhang beschreibt die Massnahmen, zu denen sich die Anbieterin nach diesem ABV verpflichtet; Beschreibungen an anderer Stelle, etwa auf der Website, sind nicht Bestandteil davon. Für Änderungen gilt Ziffer 5.2.

Anhang 3Unterauftragsbearbeiter

Der Kunde genehmigt Unterauftragsbearbeiter in den folgenden Kategorien. Die Liste der Unterauftragsbearbeiter nennt sie namentlich (Ziffer 6.2). Die Tabelle zeigt die Kategorien am Tag des Inkrafttretens dieser Fassung; spätere Änderungen erfolgen nach Ziffer 6 und werden auf der Seite Unterauftragsbearbeiter ausgewiesen.

Einige dieser Anbieter gehören zu Unternehmensgruppen mit Sitz in den Vereinigten Staaten (Ziffer 7.3). Bekanntgaben in die Vereinigten Staaten sind durch die Garantien nach Ziffer 7.4 abgedeckt.