Auftragsverarbeitungsvertrag (AVV)
1. Parteien und Rollen
Verantwortliche: die im Vertragsformular angegebene Organisation (nachfolgend «Kundin»).
Auftragsbearbeiterin: Kuraroots, Inhaber Claudio Cariello, Werdstrasse 17, 8405 Winterthur, hello@kuraroots.ch (nachfolgend «Kuraroots»).
Dieser AVV ist Bestandteil des Nutzungsvertrags Mitposten und gilt für alle Personendaten, die Kuraroots bei der Erbringung der Leistungen im Auftrag der Kundin bearbeitet.
2. Gegenstand, Zweck und Dauer
Kuraroots betreibt für die Kundin die Anwendung Mitposten. Zweck der Bearbeitung ist die Vorbereitung, Prüfung und Freigabe von Beiträgen für die Kanäle der Kundin sowie die Einholung und Aufbewahrung von Einverständniserklärungen. Die Bearbeitung dauert so lange wie der Nutzungsvertrag.
3. Art der Daten und betroffene Personen
| Betroffene Personen | Daten |
|---|---|
| Einreichende und Administratorinnen/Administratoren der Kundin | Name, Rolle, PIN (nur verschlüsselt gespeichert), Zeitpunkte von Einreichungen und Freigaben |
| Abgebildete Personen | Fotos und Videos, Name, digitale Unterschrift und Datum der Einverständniserklärung, ggf. Name und Unterschrift der gesetzlichen Vertretung |
| Weitere Personen | Personendaten, die in Beitragstexten erwähnt werden |
Aus dem Zusammenhang mit der Kundin (z. B. einer Institution für Menschen mit Beeinträchtigung) können sich Rückschlüsse auf die Gesundheit ergeben. Solche Daten gelten als besonders schützenswert. Die Parteien behandeln sämtliche Daten in Mitposten deshalb mit entsprechender Sorgfalt.
4. Weisungen
Kuraroots bearbeitet die Daten nur so, wie es die Kundin selbst tun dürfte, und nur nach den Weisungen der Kundin. Die Weisungen ergeben sich aus dem Nutzungsvertrag, diesem AVV und den Einstellungen in Mitposten. Weitere Weisungen erteilt die Kundin per E-Mail. Hält Kuraroots eine Weisung für rechtswidrig, informiert sie die Kundin umgehend.
5. Pflichten von Kuraroots
- Kuraroots verwendet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, ausser an die in Ziffer 7 genannten Unterauftragsbearbeiter.
- Kuraroots greift nur auf die Daten zu, soweit dies für Betrieb, Wartung oder Support nötig ist.
- Alle Personen, die bei Kuraroots Zugriff haben, sind zur Verschwiegenheit verpflichtet.
- Kuraroots unterstützt die Kundin bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) und bei Datenschutz-Folgenabschätzungen, soweit dies zumutbar ist.
6. Datensicherheit
Kuraroots trifft angemessene technische und organisatorische Massnahmen, insbesondere:
- Speicherung aller Daten ausschliesslich auf Servern in der Schweiz;
- verschlüsselte Übertragung (HTTPS/TLS);
- Zugang nur mit persönlichem Namen und PIN; getrennte Rechte für Einreichende und Administration;
- signierte, zeitlich begrenzte Sitzungen;
- keine Speicherung von Fotos, Videos oder Entwürfen auf den Endgeräten der Nutzenden;
- automatische Löschung von Fotos und Videos nach der Veröffentlichung, gemäss Einstellung der Kundin;
- keine Werbe- oder Analyse-Tracker und keine Weitergabe an externe Dienste;
- tägliche Datensicherung mit einer Aufbewahrung von 7 Tagen;
- regelmässige Sicherheitsupdates von Anwendung und Laufzeitumgebung.
Kuraroots darf die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht sinkt.
7. Unterauftragsbearbeiter
Die Kundin genehmigt den folgenden Unterauftragsbearbeiter:
| Unternehmen | Leistung | Standort der Daten |
|---|---|---|
| Infomaniak Network AG, Genf | Hosting, Datensicherung | Schweiz |
Kuraroots informiert die Kundin mindestens 30 Tage im Voraus über geplante Änderungen. Die Kundin kann aus wichtigem Grund widersprechen und, falls keine Einigung zustande kommt, den Vertrag auf den Zeitpunkt der Änderung kündigen. Eine Bekanntgabe von Daten ins Ausland findet nicht statt.
8. Verletzungen der Datensicherheit
Kuraroots meldet der Kundin eine Verletzung der Datensicherheit so rasch als möglich, in der Regel innert 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Daten und die getroffenen Massnahmen. Die allfällige Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die Information betroffener Personen obliegen der Kundin; Kuraroots unterstützt sie dabei.
9. Aufbewahrung und Löschung
- Fotos und Videos werden nach der Veröffentlichung gelöscht, spätestens jedoch nach der von der Kundin festgelegten Frist.
- Einverständniserklärungen werden so lange aufbewahrt, wie die Kundin festlegt. Ohne Festlegung gilt: Aufbewahrung, solange der betreffende Beitrag veröffentlicht ist, längstens bis Vertragsende.
- Nach Vertragsende gilt Ziffer 8 des Nutzungsvertrags: Export auf Wunsch innert 30 Tagen, anschliessend Löschung aller Daten. Datensicherungen werden spätestens nach 7 Tagen überschrieben.
10. Kontrollrechte
Die Kundin kann sich über die Einhaltung dieses AVV informieren. Kuraroots beantwortet entsprechende Fragen schriftlich und stellt die nötigen Informationen zur Verfügung. Überprüfungen vor Ort sind nach vorgängiger Absprache und auf Kosten der Kundin möglich.
11. Haftung und Schlussbestimmungen
Für die Haftung gilt der Nutzungsvertrag. Bei Widersprüchen zwischen Nutzungsvertrag und AVV geht in Fragen des Datenschutzes dieser AVV vor. Es gilt Schweizer Recht; Gerichtsstand ist Winterthur.