Vertrag zur Auftragsbearbeitung

1. Gegenstand und Geltung

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und Swiss GU Group GmbH, die unter der Marke Swizz-IT auftritt (nachfolgend «Swizz-IT»), als Auftragsbearbeiterin. Er regelt die Bearbeitung von Personendaten, die Swizz-IT bei der Erbringung ihrer Leistungen im Auftrag des Kunden vornimmt, nach Art. 9 des Datenschutzgesetzes (DSG) und, soweit anwendbar, nach Art. 28 der Datenschutz-Grundverordnung der EU (DSGVO).

Der Vertrag ist Bestandteil der AGB und gilt mit deren Annahme, ohne separate Unterschrift. Die im Kundenpanel mögliche Bestätigung dient nur dem Nachweis. Für Personendaten, die Swizz-IT als Verantwortliche bearbeitet, etwa die Angaben im Kundenkonto und in Rechnungen, gilt die Datenschutzerklärung.

2. Art, Zweck und Dauer der Bearbeitung

• Art und Zweck: Speichern, Bereitstellen, Übermitteln, Sichern und Löschen von Daten, soweit dies für die bestellten Produkte nötig ist (Webhosting, E-Mail, Website Builder und weitere Produkte).
• Daten: alle Personendaten, die der Kunde auf seinem Hosting, in Datenbanken, in Postfächern oder in anderen Produkten speichert oder durch Besucher seiner Website erheben lässt, einschliesslich der Protokolle seiner Website.
• Betroffene Personen: namentlich Besucherinnen und Besucher der Websites des Kunden, seine Kundinnen und Kunden, Mitarbeitenden und Kontakte sowie Personen, mit denen er per E-Mail verkehrt.
• Dauer: so lange, wie der Vertrag über das betreffende Produkt läuft, und bis zur Löschung nach Ziffer 10.

Swizz-IT kennt die Inhalte des Kunden in der Regel nicht und nimmt von ihnen nur Kenntnis, soweit dies für den Betrieb, für den Support oder für die Abwehr von Gefahren nötig ist. Speichert der Kunde besonders schützenswerte Personendaten, prüft er selbst, ob die Leistungen dafür geeignet sind.

3. Weisungen

Swizz-IT bearbeitet die Daten nur so, wie es der Kunde selbst tun dürfte, und nur nach seinen dokumentierten Weisungen. Als Weisungen gelten die AGB, die Bestellung und die Einstellungen, die der Kunde im Kundenpanel vornimmt. Weitere Weisungen erteilt der Kunde in Textform, etwa per Support-Ticket. Weisungen, die über den vereinbarten Umfang hinausgehen, gelten als Zusatzleistung nach Ziffer B7 der AGB.

Ist Swizz-IT der Ansicht, dass eine Weisung gegen das Datenschutzrecht verstösst, teilt sie dies dem Kunden mit und darf die Ausführung bis zur Klärung aussetzen. Ist Swizz-IT gesetzlich zu einer Bearbeitung verpflichtet, etwa durch eine behördliche Anordnung, informiert sie den Kunden vorher, soweit das Gesetz dies nicht verbietet.

4. Vertraulichkeit

Swizz-IT gewährt nur Personen Zugriff auf die Daten, die ihn für ihre Aufgabe benötigen. Diese Personen sind zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus, soweit sie nicht bereits einer gesetzlichen Schweigepflicht unterstehen.

5. Technische und organisatorische Massnahmen

Swizz-IT trifft insbesondere folgende technische und organisatorische Massnahmen:

• Verbindungen zur Website und zum Kundenpanel sind mit HTTPS verschlüsselt.
• Passwörter für das Kundenpanel werden nur als nicht umkehrbarer Hashwert gespeichert; nach wiederholten Fehlversuchen wird die Anmeldung vorübergehend gesperrt.
• Formulare im Kundenpanel sind gegen untergeschobene Anfragen geschützt, und der Adminbereich ist nur unter einer eigenen Adresse erreichbar.
• Jedes Webhosting-Konto läuft unter einem eigenen Systembenutzer und eigenen PHP-Prozessen, deren Dateizugriff auf das eigene Verzeichnis und temporäre Dateien beschränkt ist.
• Anmeldeversuche werden protokolliert und nach 7 Tagen gelöscht.
• Die physische Sicherheit der Server, namentlich Zutritt, Stromversorgung und Klimatisierung, stellt der Betreiber des Rechenzentrums sicher.

Swizz-IT passt die Massnahmen dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken. Für die Sicherheit seiner eigenen Anwendungen, Passwörter und Sicherungen ist der Kunde nach den AGB selbst verantwortlich.

6. Unterauftragsbearbeiter

Der Kunde erlaubt Swizz-IT, Unterauftragsbearbeiter der folgenden Kategorien beizuziehen. Swizz-IT verpflichtet sie vertraglich auf einen gleichwertigen Datenschutz.

Den Beizug eines neuen oder den Ersatz eines bestehenden Unterauftragsbearbeiters kündigt Swizz-IT mindestens 30 Tage im Voraus per E-Mail an. Der Kunde kann aus wichtigen datenschutzrechtlichen Gründen in Textform widersprechen. Finden die Parteien keine Lösung, kann der Kunde die betroffenen Produkte auf den Zeitpunkt der Änderung kündigen.

Daten gibt Swizz-IT nur in Staaten mit angemessenem Datenschutz bekannt oder mit geeigneten Garantien, etwa Standardvertragsklauseln, die von der Schweiz anerkannt sind.

7. Unterstützung bei Rechten betroffener Personen

Macht eine betroffene Person ihre Rechte geltend, etwa auf Auskunft, Berichtigung oder Löschung, ist der Kunde dafür zuständig. Viele Daten kann er im Kundenpanel oder in seinen Anwendungen selbst einsehen, ändern und löschen. Wendet sich eine betroffene Person direkt an Swizz-IT, leitet Swizz-IT die Anfrage an den Kunden weiter.

Soweit der Kunde die Anfrage nicht selbst beantworten kann, unterstützt ihn Swizz-IT mit geeigneten Massnahmen. Ebenso unterstützt sie ihn im Rahmen der ihr verfügbaren Informationen bei der Datensicherheit, bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden. Aufwand, der über den vereinbarten Umfang hinausgeht, wird nach Ziffer B7 der AGB verrechnet.

8. Meldung von Verletzungen der Datensicherheit

Swizz-IT meldet dem Kunden so rasch als möglich, nachdem sie davon Kenntnis erhalten hat, jede Verletzung der Datensicherheit, die seine Daten betrifft. Die Meldung erfolgt an die im Kundenkonto hinterlegte E-Mail-Adresse und enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die möglichen Folgen und die ergriffenen Massnahmen.

Ob eine Meldung an die zuständige Behörde oder an die betroffenen Personen nötig ist, beurteilt der Kunde als Verantwortlicher; Swizz-IT unterstützt ihn dabei nach Ziffer 7.

9. Nachweis und Kontrolle

Swizz-IT stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die er für den Nachweis der Einhaltung dieses Vertrags benötigt. Weitergehende Prüfungen, auch durch eine vom Kunden beauftragte, zur Verschwiegenheit verpflichtete Fachperson, sind nach vorgängiger Anmeldung in Textform mit angemessener Frist möglich. Sie finden während der Geschäftszeiten statt und dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen. Der Aufwand von Swizz-IT wird nach Ziffer B7 der AGB verrechnet.

10. Rückgabe und Löschung bei Vertragsende

Während der Vertragsdauer kann der Kunde seine Daten jederzeit selbst herunterladen, etwa über den Dateizugang (FTP), die Datenbanksicherung im Kundenpanel oder sein E-Mail-Programm. Dies gilt als Rückgabe der Daten.

Nach dem Ende des Vertrags löscht Swizz-IT die Daten des Kunden nach Ziffer A15 der AGB, das heisst 30 Tage nach Vertragsende. Daten in Sicherungen werden im Rahmen des üblichen Sicherungszyklus überschrieben. Vorbehalten bleiben gesetzliche Pflichten zur Aufbewahrung.

11. Haftung, Laufzeit und Rangfolge

Für die Haftung gilt Ziffer A13 der AGB. Dieser Vertrag gilt, solange Swizz-IT Personendaten im Auftrag des Kunden bearbeitet. Bei Widersprüchen zu den AGB geht er in Fragen des Datenschutzes vor. Änderungen richten sich nach Ziffer A18 der AGB. Fragen zu diesem Vertrag beantwortet Swizz-IT unter info@swizz-it.com.