Vereinbarung zur Auftragsbearbeitung

Fassung vom 2. November 2026

Zwischen

(nachfolgend «Kundin»)

und

Schiffbaustrasse 10, CH-8005 Zürich

(nachfolgend «Anbieterin»)

(Kundin und Anbieterin je einzeln eine «Partei» und zusammen die «Parteien»)

Allgemeine Bestimmungen

1. Gegenstand und Anwendungsbereich dieser Vereinbarung

1. Diese Vereinbarung über die Auftragsbearbeitung («Vereinbarung») konkretisiert die Rechte und Pflichten der Parteien in Bezug auf die Auftragsbearbeitung, die sich für sie aus dem anwendbaren Datenschutzrecht ergeben. Sie ergänzt diesbezüglich die vertraglichen Vereinbarungen zwischen den Parteien. Dabei kann es sich um einen einzelnen oder mehrere Verträge zwischen den Parteien über die Leistungserbringung für die Kundin handeln («Vertrag»).
2. Die Vereinbarung gilt nur in Bezug auf Dienstleistungen, bei denen die Anbieterin Personendaten im Auftrag und für Zwecke der Kundin bearbeitet («Auftragsbearbeitung»), wobei die Kundin entweder Verantwortliche oder Auftragsbearbeiterin und die Anbieterin entweder Auftragsbearbeiterin oder Unter-Auftragsbearbeiterin ist.
3. Diese Vereinbarung gilt ausdrücklich nicht für Bearbeitungen von Personendaten, bei denen die Anbieterin die Zwecke und Mittel der Bearbeitung bestimmt und somit unter anwendbaren Datenschutzgesetzen für die Datenbearbeitung verantwortlich ist.
4. Diese Vereinbarung ist ein integraler Bestandteil des Vertrags. Die Bestimmungen dieser Vereinbarung schränken die Rechte und Pflichten der Parteien in Bezug auf die Erbringung von Dienstleistungen unter dem Vertrag nicht ein. Ihren Regelungsgegenstand betreffend gehen die Bestimmungen dieser Vereinbarung indes den Bestimmungen des Vertrags vor.

2. Laufzeit der Vereinbarung

1. Die Laufzeit dieser Vereinbarung entspricht der Dauer des Vertrags, sofern sich aus den Bestimmungen dieser Vereinbarung keine zeitlich darüberhinausgehenden Verpflichtungen ergeben. Bei solchen überdauernden Verpflichtungen besteht diese Vereinbarung solange fort, bis die entsprechenden Verpflichtungen erloschen sind.
2. Durch diese Regelung modifizieren die Parteien nicht die im Vertrag vereinbarten Kündigungsrechte.

3. Definitionen

1. Die in dieser Vereinbarung in Fettschrift hervorgehobenen und in Anführungs- und Schlusszeichen gesetzten Begriffe haben in der gesamten Vereinbarung die ihnen darin zugeschriebene Bedeutung.
2. Die in dieser Vereinbarung verwendeten datenschutzbezogenen Begriffe wie «Personendaten» (personenbezogene Daten), «betroffene Person», «Verantwortlicher», «Auftragsbearbeiter», oder «Datenschutz-Folgenabschätzung» haben die ihnen im Schweizer DSG bzw. (wo anwendbar) in der EU-DSGVO zugeschriebene Bedeutung.

Beschreibung der Auftragsbearbeitung und Pflichten der Parteien

4. Angaben zur Auftragsbearbeitung und Zweck

1. Gegenstand und Zweck der Auftragsbearbeitung sind die Bereitstellung von Software als Dienstleistung für die Kundin sowie die Erbringung diesbezüglicher Bereitstellungs- und Betriebsleistungen.
2. Die Art der Bearbeitung, die Art der bearbeiteten Personendaten («vertragsgegenständliche Personendaten») und der Kreis (Kategorien) betroffener Personen bestimmen sich ebenfalls nach dem Vertrag und den Leistungsbeschreibungen der Anbieterin in Verbindung mit allfälligen separaten Weisungen der Kundin.
3. Die Auftragsbearbeitung erfolgt in der Schweiz und in Staaten der EU/des EWR sowie weltweit, wobei die Anbieterin die datenschutzrechtliche Zulässigkeit der Weiterübermittlung an bestehende oder gemäss der Regelung zur Vorabinformation im Abschnitt «Unter-Auftragsbearbeiter» neu hinzutretende Unter-Auftragsbearbeiter in Staaten ohne angemessenes Datenschutzniveau durch Abschluss von EU-Standardvertragsklauseln (Modul 3) sicherstellt.
4. Die Dauer der Bearbeitung bestimmt sich nach dem Abschnitt «Laufzeit der Vereinbarung».

5. Weisungsgebundenheit, Zweckbindung und Kontrolle

Die Anbieterin verpflichtet sich und sichert zu, dass die Anbieterin alle vertragsgegenständlichen Personendaten (i) ausschliesslich zu den im Abschnitt «Angaben zur Auftragsbearbeitung und Zweck» beschriebenen Zwecken, (ii) in Übereinstimmung mit den Weisungen der Kundin sowie (iii) in Übereinstimmung mit dieser Vereinbarung bearbeitet; und (iv) nicht für eigene Zwecke verwendet.

6. Datensicherheit

1. Die Anbieterin verpflichtet sich, im Interesse der Vertraulichkeit, Integrität und vertragsgemässen Verfügbarkeit der vertragsgegenständlichen Personendaten angemessene technische und organisatorische Schutzmassnahmen zu treffen.
2. Die Anbieterin implementiert hierzu Zugangskontrollen, Zugriffskontrollen sowie Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen. Bei der Auswahl der Massnahmen berücksichtigt die Anbieterin den Stand der Technik, die Implementierungskosten sowie die Art, den Umfang, die Umstände und die Zwecke der Bearbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für betroffene Personen.

7. Meldung von Verletzungen der Datensicherheit

1. Wenn die Anbieterin eine Verletzung der Sicherheit bemerkt, die darin besteht, dass vertragsgegenständliche Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden («Verletzung der Datensicherheit»), wird die Anbieterin die Verletzung der Datensicherheit so rasch als möglich und ohne schuldhaftes Zögern der Kundin melden. Die Anbieterin wird die Verletzung der Datensicherheit sodann (i) untersuchen und die Auswirkungen ermitteln, (ii) die Kundin detailliert über die Verletzung der Datensicherheit informieren und (iii) angemessene Massnahmen ergreifen, um die Auswirkungen zu mildern und das Risiko, das sich aus der Verletzung der Datensicherheit für betroffene Personen möglicherweise ergibt, so gering wie möglich zu halten.
2. Die Anbieterin wird die Kundin in angemessener Weise unterstützen, um die Kundin bei der Erfüllung ihrer Verpflichtungen zu unterstützen, Verletzungen der Datensicherheit an zuständige Aufsichtsbehörden oder an betroffene Personen zu melden.

8. Informations- und Unterstützungspflichten

1. Die Anbieterin verpflichtet sich, die Kundin so rasch als möglich und von sich aus zu informieren, (i) wenn die Anbieterin der Ansicht ist, dass die Anbieterin in absehbarer Zeit nicht mehr in der Lage ist, den Pflichten gemäss dieser Vereinbarung nachzukommen; sowie (ii) über jede Anfrage zur Ausübung von Betroffenenrechten, welche die Anbieterin direkt von betroffenen Personen in Bezug auf vertragsgegenständliche Personendaten erhalten hat (vorausgesetzt, die Anbieterin kann eine Zuordnung an die Kundin gestützt auf die Angaben der betroffenen Person vornehmen; andernfalls wird die Anbieterin die betroffene Person bitten, sich an die für die Datenbearbeitung Verantwortliche zu wenden).
2. Die Anbieterin verpflichtet sich, die Kundin auf Anfrage bei der Beantwortung von Anfragen betroffener Personen zur Ausübung datenschutzrechtlicher Betroffenenrechte zu unterstützten.
3. Zudem verpflichtet sich die Anbieterin, die Kundin auf Anfrage bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen von Datenschutzaufsichtsbehörden zu unterstützen.
4. Die Anbieterin stellt der Kundin alle Informationen zur Verfügung, welche die Kundin vernünftigerweise für den Nachweis der Einhaltung ihrer Verpflichtungen aus dem anwendbaren Datenschutzrecht in Bezug auf die Auftragsbearbeitung benötigt.

9. Geheimhaltung

1. Die Anbieterin verpflichtet sich zur Geheimhaltung der vertragsgegenständlichen Personendaten und hat die mit der Auftragsbearbeitung betrauten Personen zur Wahrung der Vertraulichkeit zu verpflichten.
2. Diese Geheimhaltungsverpflichtungen gelten nach Beendigung dieser Vereinbarung für unbeschränkte Dauer weiter.

10. Unter-Auftragsbearbeiter

1. Unter-Auftragsbearbeiter sind natürliche oder juristische Personen, welche die Anbieterin für die Auftragsbearbeitung beizieht. Die Anbieterin ist berechtigt, Unter-Auftragsbearbeiter beizuziehen. Die Anbieterin ist in solchen Fällen verpflichtet, mit Unter-Auftragsbearbeitern im erforderlichen Umfang eine Vereinbarung über die (Unter-)Auftragsbearbeitung zu treffen, die der Anbieterin die Einhaltung der Bestimmungen der vorliegenden Vereinbarung zwischen der Anbieterin und der Kundin ermöglicht. Dies beinhaltet auch die Überbindung der Geheimhaltungspflichten der Anbieterin auf den Unter-Auftragsbearbeiter.
2. Die Anbieterin wird die Kundin sechzig (60) Tage vorab in geeigneter Weise schriftlich informieren, wenn die Anbieterin nach Inkrafttreten dieser Vereinbarung beabsichtigt, neue Unter-Auftragsbearbeiter beizuziehen oder bestehende auszutauschen. Wenn die Kundin dem Beizug bzw. Austausch des Unter-Auftragsbearbeiters nicht innerhalb von dreissig (30) Tagen nach dem Datum der Mitteilung schriftlich widerspricht, gilt der neue oder ausgetauschte Unter-Auftragsbearbeiter als genehmigt.

11. Rückgabe oder Löschung vertragsgegenständlicher Personendaten bei Vertragsbeendigung

Die Anbieterin wird die vertragsgegenständlichen Personendaten nach Beendigung des Vertrags nach Massgabe der diesbezüglichen Bestimmungen im Vertrag löschen oder, wenn diese dies wünscht, in einem geeigneten Format an die Kundin zurückgeben.

12. Audit

1. Die Kundin kann bei der Anbieterin einmal jährlich ein Audit zur Prüfung der Sicherheitsmassnahmen oder der sonstigen Einhaltung dieser Vereinbarung durchführen oder durchführen lassen. Die Kosten dafür trägt die Kundin. Die Anbieterin unterstützt die Audits im Rahmen eines verhältnismässigen Aufwands unentgeltlich.
2. Die Prüfungs- und Auditrechte gemäss dieser Vereinbarung gelten nur insoweit als der Vertrag der Kundin nicht anderweitig erlaubt, die Erfüllung dieser Vereinbarung durch die Anbieterin zu prüfen und zu auditieren.

Abschluss

Diese Vereinbarung ist Bestandteil der Allgemeinen Vertragsbedingungen von dp/Services (dp-services.ch/avb). Sie gilt mit deren Annahme bei der Registrierung oder Bestellung als abgeschlossen; einer Unterschrift bedarf es nicht. Die jeweils aktuelle Liste der Unter-Auftragsbearbeiter steht unter dp-services.ch/sub-prozessoren.