Auftragsverarbeitungs-
vertrag (AVV)
Vereinbarung über die Bearbeitung personenbezogener Daten im Auftrag i.S.d. Art. 9 nDSG sowie Art. 28 DSGVO – zwischen Audienzz AG und dem Auftraggeber im Rahmen der Nutzung von adconsole.
Hintergrund & Zweck
Im Rahmen des zwischen den Parteien geschlossenen Hauptvertrags wird Audienzz personenbezogene Daten des Auftraggebers bearbeiten. Dieser AVV regelt die Rechte und Pflichten der Parteien betreffend dieser Bearbeitung.
Audienzz betreibt die Plattform adconsole, über die Werbeaufträge des Auftraggebers prozessgesteuert erfasst und verwaltet werden. Im Zuge dieser Tätigkeit erhält Audienzz Einblick oder Zugriff auf personenbezogene Daten des Auftraggebers oder bearbeitet diese im Auftrag.
Die Parteien schliessen diesen Auftragsverarbeitungsvertrag ab, um den gesetzlichen Anforderungen an die Bearbeitung personenbezogener Daten im Auftrag gemäss Art. 9 des Schweizer Bundesgesetzes über den Datenschutz (nDSG) sowie, soweit anwendbar, Art. 28 der Verordnung (EU) 2016/679 (DSGVO) Rechnung zu tragen.
Gegenstand, Art und Umfang der Datenbearbeitung sowie die Kategorien betroffener Personen und Personendaten sind in Anlage 1 beschrieben. Die technischen und organisatorischen Massnahmen (TOM) ergeben sich aus Anlage 2. Die zugelassenen Unterauftragsbearbeiter sind in Anlage 2 aufgeführt.
1. Begriffe und Anwendungsbereich
1.1 Die in diesem AVV verwendeten Begriffe entsprechen den Definitionen des nDSG sowie der DSGVO. Insbesondere bezeichnet „Personendaten“ alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen; „Bearbeitung“ umfasst jeden Vorgang im Zusammenhang mit Personendaten.
1.2 Der Auftraggeber ist „Verantwortlicher“ bzw. „Inhaber der Datensammlung“; Audienzz ist „Auftragsbearbeiter“ bzw. „Auftragsverarbeiter“ im Sinne der genannten Gesetze.
1.3 Dieser AVV gilt für sämtliche Bearbeitungen, die Audienzz im Auftrag des Auftraggebers im Zusammenhang mit dem Hauptvertrag und der Nutzung von adconsole durchführt, unabhängig davon, ob diese bei Vertragsabschluss bereits beauftragt sind oder erst später.
2. Rechte und Pflichten des Auftraggebers
2.1 Der Auftraggeber ist für die Beurteilung der Zulässigkeit der Datenbearbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.
2.2 Der Auftraggeber erteilt Weisungen an Audienzz grundsätzlich schriftlich (E-Mail genügt). Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
2.3 Das Weisungsrecht des Auftraggebers wird durch den Hauptvertrag und diesen AVV beschränkt. Weisungen, die für Audienzz zusätzlichen Aufwand verursachen und über den vereinbarten Leistungsumfang hinausgehen, werden vom Auftraggeber gesondert vergütet.
3. Rechte und Pflichten von Audienzz
3.1 Audienzz bearbeitet Personendaten ausschliesslich im Rahmen dieses AVV und nach Weisung des Auftraggebers. Eine Bearbeitung für eigene Zwecke ist ausgeschlossen, mit Ausnahme der für den Betrieb der Plattform notwendigen Verarbeitungen (z.B. Logs, Backups, Sicherheitsmassnahmen).
3.2 Audienzz bearbeitet Personendaten wenn möglich in der Schweiz oder in Mitgliedstaaten der EU bzw. des EWR. Eine Bearbeitung in Drittstaaten ist zulässig, sofern ein angemessenes Datenschutzniveau besteht oder geeignete Garantien, insbesondere EU-Standardvertragsklauseln und erforderliche Zusatzmassnahmen, vereinbart wurden.
3.3 Audienzz sichert die Umsetzung und jederzeitige Einhaltung der in Anlage 2 beschriebenen technischen und organisatorischen Massnahmen zu. Diese können weiterentwickelt werden, dürfen aber den dort beschriebenen Schutzstandard nicht unterschreiten. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber mitgeteilt.
3.4 Audienzz unterstützt den Auftraggeber bei der Wahrnehmung der Rechte betroffener Personen. Auskunfts-, Berichtigungs- und Löschbegehren werden unverzüglich an den Auftraggeber weitergeleitet; Audienzz stellt die hierfür notwendigen Informationen proaktiv zur Verfügung.
3.5 Audienzz unterstützt den Auftraggeber in angemessenem Umfang bei Datenschutz-Folgenabschätzungen sowie bei Anfragen der zuständigen Aufsichtsbehörden.
3.6 Audienzz meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, soweit Personendaten des Auftraggebers betroffen sind und die Verletzung voraussichtlich ein Risiko für betroffene Personen begründet, unverzüglich nach Kenntnisnahme.
3.7 Macht der Auftraggeber eine Weisung geltend, die nach Auffassung von Audienzz gegen anwendbares Datenschutzrecht verstösst, weist Audienzz den Auftraggeber unverzüglich darauf hin und ist berechtigt, die Durchführung der Weisung bis zu deren Bestätigung oder Anpassung auszusetzen.
3.8 Audienzz benennt einen internen oder externen Datenschutzbeauftragten und teilt dem Auftraggeber dessen Kontaktdaten mit. Aktuelle Kontaktdaten sind in Anlage 1 hinterlegt.
3.9 Audienzz führt ein Verzeichnis der Bearbeitungstätigkeiten gemäss den anwendbaren gesetzlichen Anforderungen.
4. Unterauftragsbearbeiter
4.1 Der Auftraggeber erteilt Audienzz die generelle Vorab-Zustimmung zum Beizug der in Anlage 2 aufgeführten Unterauftragsbearbeiter.
4.2 Audienzz informiert den Auftraggeber rechtzeitig vor dem Beizug eines neuen Unterauftragsbearbeiters oder dem Wechsel eines bestehenden in Textform (E-Mail genügt). Der Auftraggeber kann gegen die geplante Änderung innerhalb von 30 Tagen ab Eingang der Information aus wichtigen, datenschutzrechtlichen Gründen schriftlich Widerspruch erheben.
Erfolgt kein Widerspruch innerhalb dieser Frist, gilt der neue Unterauftragsbearbeiter als genehmigt.
4.3 Bei begründetem Widerspruch des Auftraggebers werden die Parteien einvernehmlich nach einer Lösung suchen. Kann innerhalb von 30 Tagen keine Einigung erzielt werden, sind beide Parteien berechtigt, den von der Änderung betroffenen Teil des Hauptvertrags ausserordentlich zu kündigen.
4.4 Audienzz verpflichtet jeden Unterauftragsbearbeiter mit schriftlichem Vertrag auf dieselben Datenschutzpflichten, wie sie in diesem AVV vereinbart sind, einschliesslich des Auditrechts gemäss Ziff. 5.
4.5 Unterauftragsbearbeiter haben Sitz und bearbeiten Personendaten wenn möglich in der Schweiz oder in einem Mitgliedstaat der EU bzw. des EWR, oder in einem Land mit angemessenem Datenschutzniveau gemäss Beschluss der zuständigen Behörde.
4.6 Audienzz haftet dem Auftraggeber für die Einhaltung der datenschutzrechtlichen Pflichten durch die eingesetzten Unterauftragsbearbeiter wie für eigenes Handeln
5. Datensicherheit, Vertraulichkeit & Audit
5.1 Audienzz gewährleistet durch die in Anlage 2 beschriebenen technischen und organisatorischen Massnahmen ein dem Risiko angemessenes Schutzniveau.
5.2 Audienzz verpflichtet alle Personen, die zur Bearbeitung von Personendaten des Auftraggebers berechtigt sind, vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit. Diese Verpflichtung gilt auch nach Beendigung des jeweiligen Anstellungsverhältnisses fort.
5.3 Audienzz überprüft die technischen und organisatorischen Massnahmen regelmässig und anlassbezogen und passt sie bei Bedarf an.
5.4 Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV zu kontrollieren. Audienzz unterstützt den Auftraggeber dabei und stellt insbesondere die folgenden Nachweise zur Verfügung:
- aktuelle Dokumentation der technischen und organisatorischen Massnahmen
- Auditberichte und Zertifikate (sofern vorhanden)
- Antworten auf konkrete Fragen zum Schutzniveau
5.5 Vor-Ort-Inspektionen werden mit angemessener Vorankündigung und während der üblichen Geschäftszeiten durchgeführt. Sie dürfen den Geschäftsbetrieb von Audienzz nicht unverhältnismässig beeinträchtigen. Beauftragte Dritte des Auftraggebers dürfen keine Wettbewerber von Audienzz sein und sind zur Vertraulichkeit verpflichtet.
5.6 Die Kosten für Audits trägt grundsätzlich der Auftraggeber. Werden bei einem Audit erhebliche Mängel festgestellt, die Audienzz zu vertreten hat, trägt Audienzz die direkten Kosten der Folgeprüfung.
6. Dauer, Beendigung & Rückgabe der Daten
6.1 Dieser AVV tritt mit Unterzeichnung durch beide Parteien in Kraft und gilt für die Dauer des Hauptvertrags. Er endet automatisch mit der Beendigung des Hauptvertrags.
6.2 Pflichten zum Schutz der Personendaten gelten über das Vertragsende hinaus, bis sämtliche Personendaten an den Auftraggeber zurückgegeben oder datenschutzgerecht gelöscht sind. Vereinbarte Vertraulichkeitspflichten gelten unbefristet fort.
6.3 Nach Beendigung des Hauptvertrags löscht Audienzz die im Auftrag bearbeiteten Personendaten nach Massgabe des anwendbaren Löschkonzepts oder gibt sie dem Auftraggeber zurück, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen entgegenstehen. Daten in Backups werden im Rahmen der regulären Backup-Zyklen gelöscht oder überschrieben und bis dahin nicht produktiv genutzt.
7. Haftung
7.1 Audienzz haftet dem Auftraggeber für Schäden, die durch eine Verletzung dieses AVV entstehen, im Rahmen der gesetzlichen Bestimmungen und nach Massgabe der nachfolgenden Bestimmungen.
7.2 Die Haftung von Audienzz ist, soweit gesetzlich zulässig, auf den Gesamtbetrag der vom Auftraggeber im Rahmen des Hauptvertrags in den letzten zwölf Monaten vor dem schadensbegründenden Ereignis tatsächlich gezahlten Vergütungen begrenzt. Diese Begrenzung gilt nicht bei Vorsatz oder grober Fahrlässigkeit sowie nicht für Schäden aus der Verletzung von Leben, Körper oder Gesundheit.
7.3 Im Aussenverhältnis haftet jede Partei gegenüber betroffenen Personen nach den anwendbaren gesetzlichen Bestimmungen. Im Innenverhältnis haftet jede Partei für Schäden, die durch ihr zurechenbares Verschulden verursacht wurden.
7.4 Schadenersatzansprüche verjähren, soweit gesetzlich zulässig, innerhalb von zwölf Monaten ab Kenntnis vom Schaden und der ersatzpflichtigen Partei.
8. Schlussbestimmungen
8.1 Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam sein oder werden, bleiben die übrigen Bestimmungen davon unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck der unwirksamen am nächsten kommt.
8.2 Im Fall eines Widerspruchs zwischen diesem AVV und dem Hauptvertrag gehen die Bestimmungen dieses AVV in Bezug auf die Bearbeitung von Personendaten vor.
8.3 Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform; das gilt auch für die Aufhebung dieses Schriftformerfordernisses. E-Mail mit qualifizierter elektronischer Signatur oder bestätigter Gegenzeichnung genügt.
8.4 Auf diesen AVV ist Schweizer Recht anwendbar, unter Ausschluss der Kollisionsnormen des IPRG sowie des UN-Kaufrechts. Ausschliesslicher Gerichtsstand ist Zürich.
Anlage 1: Gegenstand der Datenbearbeitung
Beschreibung von Art, Zweck und Umfang der Datenbearbeitung sowie der betroffenen Personen und Datenkategorien gemäss Art. 9 nDSG / Art. 28 Abs. 3 DSGVO.
A. Zweck der Datenbearbeitung
Die Personendaten werden für die prozessgesteuerte Abwicklung der Werbekampagnen des Auftraggebers bearbeitet. Dazu gehören insbesondere die Erfassung, Pflege und Verwaltung von Werbeaufträgen, die Kommunikation mit den jeweils Beteiligten sowie das Reporting gegenüber dem Auftraggeber.
B. Art und Umfang der Bearbeitung
- Erfassen und Speichern von Werbeauftragsdaten
- Verwalten von Benutzerkonten und Zugriffsrechten
- Versenden von System-Benachrichtigungen und Reportings
- Backup und technische Wartung der Plattform
- Logging zu Sicherheits- und Nachvollziehbarkeitszwecken
Betroffene Personen & Datenkategorien
Kategorien betroffener Personen:
Mitarbeitende des Auftraggebers
Personen, die im Namen des Auftraggebers adconsole nutzen (Sachbearbeitung, Mediaplanung, Buchhaltung).
Werbekunden / Kontakte
Ansprechpersonen auf Seiten der Werbekunden des Auftraggebers, soweit deren Daten in adconsole hinterlegt werden.
Kategorien personenbezogener Daten:
Pflichtdaten
Name, E-Mail-Adresse, Geschlecht, Sprache, Login / Benutzer-ID.
Optionale Daten
Funktion, Geburtsdatum, Adresse, Telefonnummer.
Technische Daten
IP-Adresse, Logdaten, Zeitstempel der Aktivitäten.
C. Datenschutzbeauftragter Audienzz AG
Name: Genoud Fabienne
Funktion: Datenschutzbeauftragte
Organisation: Audienzz AG
E-Mail: [email protected]