Vereinbarung zur Auftragsbearbeitung

Zweck dieses Dokuments

Bearbeitet Butler Office bei einem Auftrag Personendaten für einen Kunden, stellt Butler Office dafür diese Vereinbarung zur Auftragsbearbeitung (AVV) zur Verfügung. Sie wird verbindlich, wenn sie in der Offerte, der Auftragsbestätigung oder der Leistungsbeschreibung als Vertragsbestandteil bezeichnet oder von beiden Parteien unterzeichnet wird. Die Angaben zum konkreten Auftrag (Anhang 1) werden pro Auftrag ausgefüllt.

Eine unterschriftsfähige Fassung erhalten Sie auf Anfrage über das Kontaktformular.

1. Parteien und Rechtsgrundlagen

1.1 Parteien sind der Kunde und das Einzelunternehmen:

1.2 Diese Vereinbarung richtet sich nach Art. 9 des Schweizer Datenschutzgesetzes (DSG) und Art. 7 der Datenschutzverordnung (DSV). Soweit auf eine Bearbeitung zusätzlich die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) anwendbar ist, gilt diese Vereinbarung auch als Vertrag nach Art. 28 DSGVO; die Begriffe sind dann entsprechend zu verstehen.

2. Rollen

2.1 Modell A: Der Kunde ist Verantwortlicher, Butler Office ist Auftragsbearbeiter.

2.2 Modell B: Der Kunde ist selbst Auftragsbearbeiter für einen Dritten, Butler Office ist Unterauftragsbearbeiter. Der Kunde bestätigt, dass ihm der Verantwortliche den Beizug von Butler Office genehmigt hat, und gibt dessen Weisungen an Butler Office weiter.

2.3 Welches Modell gilt, wird in Anhang 1 festgehalten. Ohne Angabe gilt Modell A.

3. Gegenstand, Dauer, Art und Zweck

3.1 Gegenstand ist die Bearbeitung von Personendaten, die für die im Hauptvertrag vereinbarten Leistungen nötig ist, zum Beispiel Betrieb und Wartung von Websites und Systemen, Verwaltung von Cloud-Diensten, Support, administrative Arbeiten oder Marketing-Arbeiten mit Kundendaten.

3.2 Die Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, solange Butler Office Personendaten des Kunden besitzt.

3.3 Art und Zweck der Bearbeitung, die Kategorien der Personendaten und der betroffenen Personen werden in Anhang 1 beschrieben.

4. Weisungen

4.1 Butler Office bearbeitet die Personendaten nur für die vereinbarten Zwecke und nach den dokumentierten Weisungen des Kunden, nie für eigene Zwecke. Der Hauptvertrag und diese Vereinbarung gelten als Weisung; weitere Weisungen erfolgen in Textform.

4.2 Hält Butler Office eine Weisung für rechtswidrig, teilt Butler Office dies dem Kunden mit und kann die Ausführung bis zur Klärung aussetzen.

4.3 Der Kunde bleibt für die Rechtmässigkeit der Bearbeitung und für die Information der betroffenen Personen verantwortlich.

5. Vertraulichkeit

5.1 Butler Office behandelt die Personendaten vertraulich. Zugriff erhalten nur Personen, die ihn für den Auftrag benötigen und die zur Vertraulichkeit verpflichtet sind. Die Pflicht gilt über das Vertragsende hinaus.

6. Datensicherheit

6.1 Butler Office gewährleistet eine dem Risiko angemessene Datensicherheit nach Art. 8 DSG und Art. 1 bis 6 DSV. Die Massnahmen sind in Anhang 3 beschrieben. Auftragsspezifische Massnahmen können in der Leistungsbeschreibung ergänzt werden.

6.2 Butler Office darf die Massnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsbearbeiter

7.1 Der Kunde genehmigt allgemein den Beizug der in Anhang 2 genannten Unterauftragsbearbeiter.

7.2 Will Butler Office weitere Unterauftragsbearbeiter beiziehen oder bestehende ersetzen, informiert Butler Office den Kunden vorgängig in Textform. Der Kunde kann innert 14 Kalendertagen ab der Information aus sachlich begründeten Datenschutzgründen widersprechen. Finden die Parteien keine Lösung, kann der Kunde die betroffene Leistung kündigen.

7.3 Beigezogene Fachpersonen: Zieht Butler Office für einen Auftrag eine externe Fachperson bei, die Zugriff auf Personendaten des Kunden erhält, wird sie für diesen Auftrag in Anhang 1 oder in der Leistungsbeschreibung freigeschaltet. Dabei werden Zweck, Umfang, Datenkategorien, Art des Zugriffs und Dauer festgehalten. Ohne Zugriff auf Personendaten liegt kein Unterauftrag vor.

7.4 Butler Office überbindet Unterauftragsbearbeitern vertraglich Pflichten, die dieser Vereinbarung entsprechen, und bleibt dem Kunden gegenüber für deren Einhaltung verantwortlich.

7.5 Dienste, die der Kunde selbst bei einem Anbieter bezieht (zum Beispiel Microsoft 365 im eigenen Mandanten), sind keine Unterauftragsbearbeiter von Butler Office. Dafür gilt der Vertrag des Kunden mit dem Anbieter.

8. Bearbeitung im Ausland

8.1 Butler Office bearbeitet die Personendaten in der Schweiz und in Staaten, für die der Bundesrat einen angemessenen Datenschutz festgestellt hat (Anhang 1 DSV). Die Standorte der Unterauftragsbearbeiter nennt Anhang 2.

8.2 Eine Bearbeitung in anderen Staaten erfolgt nur nach vorgängiger Information des Kunden und nur mit Garantien nach Art. 16 Abs. 2 DSG, zum Beispiel mit vom EDÖB anerkannten Standarddatenschutzklauseln.

9. Rechte betroffener Personen

9.1 Wendet sich eine betroffene Person mit einem Begehren (zum Beispiel Auskunft, Berichtigung, Löschung, Datenherausgabe) an Butler Office, leitet Butler Office es ohne Verzug an den Kunden weiter und beantwortet es nicht selbst.

9.2 Butler Office unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung solcher Begehren.

10. Verletzungen der Datensicherheit

10.1 Butler Office meldet dem Kunden eine Verletzung der Datensicherheit, die dessen Personendaten betrifft, so rasch als möglich (Art. 24 Abs. 3 DSG).

10.2 Die Meldung nennt, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die voraussichtlichen Folgen sowie die getroffenen und geplanten Massnahmen. Fehlende Angaben werden nachgereicht.

10.3 Butler Office unterstützt den Kunden bei dessen Meldepflichten und trifft die zumutbaren Massnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern.

11. Weitere Unterstützung

11.1 Butler Office unterstützt den Kunden auf Anfrage mit den verfügbaren Informationen bei Datenschutz-Folgenabschätzungen, beim Verzeichnis der Bearbeitungstätigkeiten und bei Anfragen von Aufsichtsbehörden.

11.2 Unterstützung, die über die Mitwirkungspflichten eines Auftragsbearbeiters hinausgeht, wird nach vorgängiger Ankündigung zu den vereinbarten Ansätzen verrechnet.

12. Nachweise und Kontrollen

12.1 Butler Office stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieser Vereinbarung nachzuweisen.

12.2 Genügen diese Informationen aus sachlichen Gründen nicht, kann der Kunde die Einhaltung nach Voranmeldung, zu den üblichen Geschäftszeiten und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden selbst oder durch eine zur Vertraulichkeit verpflichtete Prüfperson kontrollieren. Der Kunde trägt seine Kosten; den Aufwand von Butler Office vergütet er, soweit die Kontrolle keine wesentlichen Verstösse ergibt.

12.3 Für Rechenzentren der Unterauftragsbearbeiter gelten deren Nachweise und Kontrollrechte.

13. Rückgabe und Löschung

13.1 Bei Vertragsende gibt Butler Office die Personendaten nach Wahl des Kunden zurück oder löscht sie. Ohne Weisung gibt Butler Office die Daten im Rahmen der Übergabe heraus und löscht danach die verbliebenen Bestände.

13.2 Kopien in Datensicherungen werden mit dem Ablauf der jeweiligen Sicherung gelöscht und bis dahin nicht mehr aktiv bearbeitet. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.

13.3 Butler Office bestätigt die Löschung auf Wunsch in Textform.

14. Haftung, Rangfolge und Schlussbestimmungen

14.1 Für die Haftung gilt der Hauptvertrag mit den AGB.

14.2 In Fragen der Bearbeitung von Personendaten im Auftrag geht diese Vereinbarung dem Hauptvertrag und den AGB vor.

14.3 Änderungen erfolgen in Textform. Anwendbares Recht und Gerichtsstand richten sich nach dem Hauptvertrag.

Anhang 1: Angaben zum Auftrag

Anhang 1 wird pro Auftrag ausgefüllt, in der Regel als Teil der Leistungsbeschreibung:

• Auftrag und Hauptvertrag
• Rolle: Modell A oder Modell B
• Art und Zweck der Bearbeitung
• Kategorien von Personendaten; besonders schützenswerte Personendaten ja oder nein
• Kategorien betroffener Personen
• Betroffene Systeme und Speicherorte
• Für diesen Auftrag freigeschaltete Unterauftragsbearbeiter und beigezogene Fachpersonen – je mit Zweck, Umfang, Datenkategorien, Art des Zugriffs und Dauer
• Dauer sowie Rückgabe- und Löschfristen
• Ansprechpersonen für Weisungen und für Meldungen

Anhang 2: Unterauftragsbearbeiter

Weitere Unterauftragsbearbeiter, die nur für einen bestimmten Auftrag eingesetzt werden, nennt Anhang 1.

Anhang 3: Technische und organisatorische Massnahmen (TOM)

Diese Kundenfassung beschreibt die Massnahmen von Butler Office in allgemeiner Form. Sicherheitsrelevante Einzelheiten werden nicht veröffentlicht. Für die Rechenzentren gelten zusätzlich die Massnahmen der in Anhang 2 genannten Anbieter. Auftragsspezifische Massnahmen hält die Leistungsbeschreibung fest.

1. Zutritt

Server, die Butler Office für Hosting-Leistungen einsetzt, stehen in Rechenzentren der in Anhang 2 genannten Anbieter; der physische Zutritt richtet sich nach deren Massnahmen.

2. Zugang

Die Serververwaltung erfolgt über verschlüsselte Verbindungen mit schlüsselbasierter Anmeldung. Verwaltungsoberflächen sind nur über verschlüsselte Verbindungen erreichbar. Anmeldeversuche an Websites werden begrenzt und protokolliert. Test- und Staging-Umgebungen sind durch einen zusätzlichen Zugangsschutz gesichert.

3. Zugriff

Administrative Konten werden auf das Nötige beschränkt. Das Bearbeiten von Programmdateien über die Verwaltungsoberfläche von Websites ist deaktiviert. Zugriffe auf Kundensysteme werden für den jeweiligen Auftrag erteilt.

4. Trennung

Produktiv- und Staging-Umgebungen sind getrennte Installationen mit getrennten Datenbanken. Änderungen werden zuerst in der Staging-Umgebung geprüft.

5. Übertragung

Websites werden ausschliesslich verschlüsselt (TLS) ausgeliefert. Der E-Mail-Versand von Websites und die Übertragung von Dateien auf Server erfolgen über verschlüsselte Verbindungen.

6. Verfügbarkeit

Änderungen an Websites werden als versionierte Releases ausgerollt, die sich auf den vorherigen Stand zurücksetzen lassen. Für die Verfügbarkeit der Rechenzentren gelten die Massnahmen der Anbieter; zugesicherte Verfügbarkeiten bestehen nur, wenn sie vereinbart sind.

7. Wiederherstellung

Vor Änderungen an Inhalten und Datenbanken werden eine Datenbanksicherung und ein Inhalts-Snapshot mit Prüfsummen erstellt; die Wiederherstellung wird vor der Änderung im Probelauf geprüft.

8. Protokollierung

Server-Zugriffe und fehlgeschlagene Anmeldungen werden protokolliert. Änderungen durch die Bereitstellungswerkzeuge werden mit Zeitpunkt und Ergebnis festgehalten; der Quellcode wird versioniert.

9. Patch- und Update-Management

Sicherheitsaktualisierungen des eingesetzten Content-Management-Systems werden automatisch eingespielt. Aktualisierungen von Erweiterungen werden manuell und zuerst in der Staging-Umgebung durchgeführt.

10. Backup

Datensicherungen für Kundensysteme werden pro Auftrag vereinbart (Umfang, Häufigkeit, Aufbewahrung). Ohne Vereinbarung besteht kein Anspruch auf eine Datensicherung durch Butler Office.

11. Sicherheitsvorfälle

Sicherheitsvorfälle werden vom Inhaber beurteilt und dokumentiert. Betroffene Kunden werden nach Ziffer 10 dieser Vereinbarung informiert.

12. Beigezogene Fachpersonen

Externe Fachpersonen arbeiten im Auftrag und nach Weisung von Butler Office auf der Infrastruktur von Butler Office. Zugriff auf Personendaten eines Kunden erhalten sie nur, wenn es der konkrete Auftrag erfordert und sie dafür freigeschaltet sind (Ziffer 7.3).

13. Staging und Testdaten

Staging-Umgebungen sind zugangsgeschützt und von Suchmaschinen ausgeschlossen.

14. Datenschutzmanagement

Für den Datenschutz ist der Inhaber verantwortlich. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsbearbeitung. Die Massnahmen werden bei wesentlichen Änderungen überprüft und angepasst.