Auftrags­verarbeitungs­vertrag

Vertragsparteien

zwischen dem im Hauptvertrag bezeichneten Schweizer Treuhandbüro mit vollständiger Anschrift als Auftraggeber

und Stefan Stuparevic und Ljubisa Mitrovic, FibuAgent, Hinterbergstrasse 30, 6312 Steinhausen, Schweiz, gemeinsam als Auftragnehmer.

1. Gegenstand und Dauer

FibuAgent bearbeitet Personendaten ausschliesslich zur Erbringung der im Hauptvertrag gewählten Softwareleistungen. Dieser AVV tritt gemeinsam mit dem Hauptvertrag in Kraft, gilt für dessen Dauer und darüber hinaus, solange FibuAgent noch Auftragsdaten bearbeitet.

2. Weisungsgebundene Bearbeitung

FibuAgent bearbeitet Auftragsdaten nur gemäss dokumentierten Weisungen des Auftraggebers und nicht für eigene Zwecke. Das System erstellt Vorschläge; endgültige Buchungen und Freigaben erfolgen durch berechtigte Menschen. Hält FibuAgent eine Weisung für rechtswidrig oder technisch unsicher, wird der Auftraggeber unverzüglich informiert.

3. Vertraulichkeit

Alle Personen mit Zugriff auf Auftragsdaten werden zur Vertraulichkeit verpflichtet und erhalten nur die für ihre Aufgaben erforderlichen Berechtigungen. Gesetzliche und vertragliche Geheimhaltungspflichten des Auftraggebers sind vor einer Datenübermittlung zu berücksichtigen.

4. Datensicherheit

FibuAgent setzt vor der produktiven Bearbeitung angemessene technische und organisatorische Massnahmen um. Die bei Vertragsabschluss geltende Massnahmenliste in Anhang B ist Bestandteil dieses AVV. Änderungen sind zulässig, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird.

5. Unterauftragsbearbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Anhang C aufgeführten Unterauftragsbearbeiter. FibuAgent kündigt eine beabsichtigte Hinzuziehung oder Ersetzung mindestens 30 Tage vorher an. Der Auftraggeber kann innerhalb dieser Frist aus sachlichen Datenschutzgründen widersprechen. FibuAgent verpflichtet Unterauftragsbearbeiter mindestens zu gleichwertigen Datenschutz- und Sicherheitsanforderungen.

6. Bearbeitung im Ausland

Standorte und Übermittlungsgrundlagen werden für jeden Unterauftragsbearbeiter in Anhang C dokumentiert. Eine Bekanntgabe in einen Staat ohne angemessenes Datenschutzniveau erfolgt nur, wenn eine anerkannte Garantie oder eine gesetzliche Ausnahme vorliegt und die erforderliche Risikoprüfung sowie ergänzende Massnahmen durchgeführt wurden.

7. Unterstützung des Auftraggebers

FibuAgent unterstützt den Auftraggeber angemessen bei Auskunft, Berichtigung, Löschung, Herausgabe und Übertragung, bei Datenschutz-Folgenabschätzungen sowie bei Anfragen von Behörden. Betroffenenanfragen werden unverzüglich weitergeleitet und nur gemäss dokumentierter Weisung beantwortet.

8. Verletzungen der Datensicherheit

FibuAgent informiert den Auftraggeber über festgestellte Verletzungen der Datensicherheit möglichst sofort, spätestens innerhalb von 24 Stunden nach Bekanntwerden, und stellt die verfügbaren Informationen zu Art, Umfang, betroffenen Daten, möglichen Folgen und Abhilfemassnahmen bereit. Meldeweg: info@fibuagent.ch, Telefon +41 78 400 20 67.

9. Rückgabe, Export und Löschung

Während der Vertragsdauer kann der Auftraggeber seine Daten über die bereitgestellten Exportfunktionen herausgeben lassen. Nach Vertragsende bleiben Auftragsdaten 30 Tage für einen Export verfügbar. Anschliessend werden sie aus den aktiven Systemen gelöscht. Reguläre Sicherungskopien werden innerhalb weiterer 30 Tage überschrieben oder gelöscht, sofern keine gesetzliche Pflicht oder dokumentierte Weisung entgegensteht.

10. Nachweise und Kontrolle

FibuAgent stellt geeignete Informationen zum Nachweis der Einhaltung bereit. Bei begründetem Anlass kann der Auftraggeber eine angemessene Kontrolle verlangen. Umfang, Zeitpunkt, Vertraulichkeit und Kosten werden vorab abgestimmt; Sicherheit und Rechte anderer Kunden bleiben geschützt.

11. Schlussbestimmungen

Ergänzend gelten der Hauptvertrag und Schweizer Recht. Ausschliesslicher Gerichtsstand ist, soweit gesetzlich zulässig, Zug. Änderungen, Ergänzungen und der Abschluss dieses AVV können in elektronischer Textform erfolgen.

Anhang A – Beschreibung der Bearbeitung

Anhang B – Technische und organisatorische Massnahmen

Für den Softwarezugang sind serverseitig geprüfte Benutzerkonten, sichere Sitzungen, Gerätevertrauen und automatische Kontosperren nach Fehlversuchen eingerichtet. Verpflichtende Zwei-Faktor-Authentifizierung ist vor der Freigabe produktiver Benutzerkonten zu aktivieren. Die folgende weitere Mindestkonfiguration ist vor der produktiven Verarbeitung nachweisbar umzusetzen und bei Vertragsabschluss technisch zu konkretisieren:

• technisch und organisatorisch durchgesetzte Mandantentrennung;
• rollenbasierte Berechtigungen nach dem Prinzip der geringsten Rechte;
• sicherer Wiederherstellungsprozess für Benutzerkonten und zweite Faktoren;
• Verschlüsselung bei der Übertragung und im Ruhezustand;
• nachvollziehbare Protokollierung von Anmeldungen, Änderungen und Freigaben;
• regelmässige, geschützte Sicherungen sowie getestete Wiederherstellungsabläufe;
• geregelte Datenexport-, Sperr- und Löschprozesse;
• Verfahren für Sicherheitsvorfälle, Berechtigungsprüfungen und Softwareaktualisierungen.

Anhang C – Unterauftragsbearbeiter