Auftragsbearbeitungsvertrag (AVV)
Einleitung und Vertragsparteien
Dieser Auftragsbearbeitungsvertrag («AVV») ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen («AGB») zwischen dem Kunden (nachfolgend «Verantwortlicher») und der Mailing Intelligence AG (nachfolgend «Auftragsbearbeiter»). Er regelt die Bearbeitung von Personendaten durch den Auftragsbearbeiter im Auftrag des Verantwortlichen gemäss Art. 9 des Bundesgesetzes über den Datenschutz (DSG, SR 235.1). Mit der Registrierung und Nutzung der AIMI-Plattform tritt dieser AVV automatisch in Kraft.
CHE-328.465.413
aimail.ch
- Gegenstand und Zweck
- Art der bearbeiteten Daten
- Rollenverteilung
- Weisungsgebundenheit
- Infrastruktur und Modellwahl
- Technische und organisatorische Massnahmen
- Subunternehmer
- Unterstützungspflichten
- Datenschutzverletzungen
- Vertraulichkeit
- Löschung und Rückgabe
- Kontrollrechte
- Automatisierte Entscheidungen
- Haftung
- Gesamtbetrachtung Datenschutz
- Laufzeit und Schlussbestimmungen
Art. 1 – Gegenstand und Zweck der Bearbeitung
Art. 2 – Art der bearbeiteten Daten
Je nach Nutzung der Plattform können insbesondere folgende Datenkategorien bearbeitet werden:
- Identifikationsdaten (Name, E-Mail-Adresse, Berufsbezeichnung)
- Kommunikationsinhalte (E-Mail-Text, Betreff, Anhang-Metadaten)
- Mandats- und Vertragsinformationen
- Finanz- und Vermögensdaten, sofern diese Bestandteil der Kommunikation sind
- Besonders schützenswerte Personendaten gemäss Art. 5 DSG, sofern diese Bestandteil der Korrespondenz sind (z.B. Gesundheitsdaten, politische Ansichten, biometrische Daten)
Art. 3 – Rollenverteilung
Art. 4 – Weisungsgebundenheit
Die Bearbeitung erfolgt ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Als dokumentierte Weisung gelten insbesondere:
- Der Hauptvertrag (AGB) und dieser AVV
- Systemseitige Konfigurationen in der AIMI-Plattform
- Dokumentierte Support-Anfragen
Gesetzliche Offenlegungspflichten bleiben vorbehalten. Ist der Auftragsbearbeiter der Ansicht, dass eine Weisung gegen das DSG oder andere anwendbare Vorschriften verstösst, informiert er den Verantwortlichen unverzüglich schriftlich.
Art. 5 – Infrastruktur und Modellwahl
Art. 6 – Technische und organisatorische Massnahmen (TOM)
Der Auftragsbearbeiter trifft angemessene Massnahmen gemäss Art. 8 DSG und dem aktuellen Stand der Technik. Eine detaillierte Beschreibung ist in Anhang 1 enthalten:
- Verschlüsselung: TLS für alle Datenübertragungen; Verschlüsselung sensibler Daten im Ruhezustand
- Mandantentrennung: Strikte Trennung auf Applikations- und Datenbankebene – keine Datenverknüpfung zwischen Kunden
- Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (RBAC), Need-to-Know-Prinzip
- Protokollierung: Sicherheitsrelevante Systemzugriffe werden protokolliert
- Keine Klartext-Persistenz: Keine dauerhafte Speicherung von E-Mail-Inhalten oder Authentifizierungsdaten im Klartext
- Prompt-Verarbeitung: Inhalte werden ausschliesslich innerhalb der Schweizer Infrastruktur verarbeitet
- Keine Trainingsweitergabe: Prompt-Inhalte werden nicht systematisch zu Trainingszwecken durch den Auftragsbearbeiter weiterverwendet
- Infrastruktur: ISO-27001-zertifizierte Rechenzentren; jährliche Penetrationstests durch Infomaniak
- Datensicherung: Regelmässige Backups gemäss Löschkonzept (Anhang 1)
Art. 7 – Subunternehmer
Der Verantwortliche erteilt seine allgemeine Genehmigung für den Einsatz des nachfolgend genannten Subunternehmers. Die aktuelle vollständige Liste ist in Anhang 2 enthalten.
Rue Eugène-Marziano 25, 1227 Genf · CHE-185.477.109
Bei Hinzufügung oder Änderung eines Subunternehmers wird der Verantwortliche vorab informiert. Er kann innerhalb von 30 Tagen schriftlich Einwände erheben. Erhebt er keine Einwände, gilt die Änderung als genehmigt. Subunternehmer werden vertraglich zur Einhaltung gleichwertiger Datenschutzpflichten verpflichtet.
Art. 8 – Unterstützungspflichten
Der Auftragsbearbeiter unterstützt den Verantwortlichen im Rahmen des technisch und organisatorisch Möglichen bei:
- Auskunftsbegehren, Lösch- und Berichtigungsanträgen betroffener Personen
- Datenschutzfolgeabschätzungen (DSFA) gemäss Art. 22 DSG
- Meldungen von Datenschutzverletzungen beim EDÖB (Art. 24 DSG)
- Nachweisen zur Compliance gegenüber Aufsichtsbehörden
Art. 9 – Datenschutzverletzungen
Der Auftragsbearbeiter informiert den Verantwortlichen unverzüglich – und soweit möglich innerhalb von 72 Stunden nach Bekanntwerden – über Verletzungen der Datensicherheit, die Personendaten des Verantwortlichen betreffen oder betreffen könnten. Die Meldung erfolgt per E-Mail an die im Kundenkonto hinterlegte Adresse und enthält mindestens:
- Art und Beschreibung der Datenpanne
- Betroffene Datenkategorien und betroffene Personen (soweit bekannt)
- Wahrscheinliche Folgen der Verletzung
- Getroffene oder vorgeschlagene Abhilfemassnahmen
Die Prüfung einer allfälligen Meldepflicht gegenüber dem EDÖB (Art. 24 DSG) obliegt dem Verantwortlichen. Die 72-Stunden-Meldung des Auftragsbearbeiters dient als Grundlage für diese Prüfung.
Art. 10 – Vertraulichkeit
Alle Personen beim Auftragsbearbeiter und bei Subunternehmern mit Zugang zu Personendaten des Verantwortlichen unterliegen einer vertraglichen Geheimhaltungspflicht. Zugriffe sind strikt auf Personen beschränkt, die den Zugang zur Erfüllung ihrer Aufgaben benötigen («Need-to-Know»).
Informationen über die technischen Verarbeitungsprozesse und Infrastruktur von AIMI sind Betriebsgeheimnisse der Mailing Intelligence AG und dürfen nicht an Dritte weitergegeben werden.
Art. 11 – Löschung und Rückgabe
Art. 12 – Kontrollrechte des Verantwortlichen
Der Verantwortliche kann die Einhaltung dieses AVV in angemessenem Umfang prüfen. Der Nachweis kann insbesondere erfolgen durch:
- Dokumentation der technischen und organisatorischen Massnahmen (Anhang 1)
- Sicherheitsberichte und Protokolle
- Zertifizierungen (ISO 27001 der Infrastruktur durch Infomaniak)
- Schriftliche Auskünfte auf begründete Anfrage
Physische Vor-Ort-Prüfungen sind in Abstimmung mit dem Auftragsbearbeiter möglich, sofern sie die Sicherheit anderer Kunden nicht beeinträchtigen. Der Auftragsbearbeiter kann dafür eine Vertraulichkeitsvereinbarung verlangen. Allfällige Kosten gehen zulasten des Verantwortlichen.
Art. 13 – Automatisierte Einzelentscheidungen
AIMI trifft keine automatisierten Entscheidungen mit Rechtswirkung oder ähnlich erheblicher Wirkung gegenüber betroffenen Personen im Sinne von Art. 21 DSG. Die Plattform erstellt ausschliesslich Entwürfe und Vorschläge. Der Versand von E-Mails erfolgt stets manuell und liegt im alleinigen Ermessen des Nutzers.
Art. 14 – Haftung
Die Haftung richtet sich nach dem Hauptvertrag (AGB). Der Auftragsbearbeiter haftet im Zusammenhang mit diesem AVV für Schäden, die durch nachgewiesene Verletzungen seiner Pflichten aus diesem Vertrag entstehen.
Der Auftragsbearbeiter haftet nicht für Datenschutzverstösse, die daraus entstehen, dass der Verantwortliche AIMI ohne ausreichende Rechtsgrundlage oder entgegen den Bestimmungen dieses AVV einsetzt. Der Verantwortliche stellt den Auftragsbearbeiter von entsprechenden Ansprüchen Dritter frei.
Art. 15 – Gesamtbetrachtung Datenschutz-Compliance
AIMI stellt die DSG-konforme Verarbeitung sämtlicher Daten innerhalb des eigenen Verantwortungsbereichs sicher. Die vollständige Datenschutz-Compliance der geschäftlichen E-Mail-Kommunikation eines Unternehmens hängt jedoch nicht allein von AIMI ab.
E-Mails durchlaufen in der Regel mehrere Systeme: vom E-Mail-Anbieter des Absenders über allfällige Routing- und Sicherheitsinfrastrukturen bis zum E-Mail-Anbieter des Empfängers. Jeder dieser vor- und nachgelagerten Dienste kann den Datenschutzstandard der gesamten Kommunikationskette beeinflussen. Insbesondere der Einsatz von E-Mail-Diensten mit Serverstandorten ausserhalb der Schweiz oder des EWR kann dazu führen, dass Daten US-amerikanischem oder anderem ausländischem Recht unterliegen – unabhängig davon, dass AIMI selbst die Daten ausschliesslich in der Schweiz verarbeitet.
Art. 16 – Laufzeit und Schlussbestimmungen
Fragen zu diesem AVV
Bei Fragen zu diesem Auftragsbearbeitungsvertrag oder zu datenschutzrechtlichen Themen rund um AIMI wenden Sie sich bitte über das Kontaktformular an uns. Bitte vermerken Sie im Betreff «AVV / Datenschutz».