Auftragsverarbeitungsvereinbarung (AVV)

1. Gegenstand und Dauer

Diese Vereinbarung regelt die Bearbeitung von Personendaten durch die Auftragsbearbeiterin im Auftrag des Verantwortlichen ausschliesslich zur Erbringung der im Hauptvertrag (AGB) vereinbarten Leistungen.

Sie gilt für die Dauer des Nutzungsverhältnisses und endet automatisch mit dessen Beendigung, soweit nicht einzelne Pflichten (z. B. Löschung, Vertraulichkeit) darüber hinaus fortbestehen.

2. Art und Zweck der Bearbeitung

Die Bearbeitung umfasst das Erheben, Speichern, Strukturieren, Analysieren (einschliesslich KI-gestützter Analyse und Generierung), Bereitstellen und Löschen von Ausschreibungs-, Firmen- und Angebotsdaten.

Zweck ist ausschliesslich die Erbringung der vertraglich vereinbarten Plattformleistungen. Eine Bearbeitung zu eigenen Zwecken der Auftragsbearbeiterin findet nicht statt.

3. Kategorien betroffener Personen und Daten

• Mitarbeitende und Nutzer des Verantwortlichen (Kontakt- und Kontodaten);
• in Referenzen, Lebensläufen und Angeboten enthaltene Personendaten Dritter;
• Nutzungs-, Protokoll- und technische Daten.
• Besondere Kategorien von Personendaten werden nicht gezielt bearbeitet; der Verantwortliche stellt sicher, keine solchen Daten ohne Rechtsgrundlage hochzuladen.

4. Weisungsrecht des Verantwortlichen

Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen, sofern sie nicht gesetzlich zu einer anderen Bearbeitung verpflichtet ist.

Die Konfiguration der Plattform durch den Verantwortlichen sowie diese Vereinbarung gelten als dokumentierte Weisung. Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, informiert sie den Verantwortlichen.

5. Pflichten der Auftragsbearbeiterin

• Bearbeitung nur auf dokumentierte Weisung des Verantwortlichen;
• Verpflichtung der zur Bearbeitung befugten Personen zur Vertraulichkeit;
• Umsetzung angemessener technischer und organisatorischer Massnahmen;
• Unterstützung des Verantwortlichen bei der Beantwortung von Betroffenenanfragen;
• Unterstützung bei der Einhaltung der Pflichten zur Datensicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzung;
• Löschung oder Rückgabe der Daten nach Beendigung;
• Bereitstellung der für den Nachweis der Einhaltung erforderlichen Informationen.

6. Meldung von Verletzungen des Datenschutzes

Die Auftragsbearbeiterin informiert den Verantwortlichen unverzüglich, nachdem ihr eine Verletzung der Sicherheit von Personendaten bekannt geworden ist, die voraussichtlich zu einem Risiko für die betroffenen Personen führt.

Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmassnahmen.

7. Unterauftragsbearbeiter (Subprozessoren)

Der Verantwortliche genehmigt allgemein den Einsatz der in der Datenschutzerklärung genannten Subprozessoren. Die Auftragsbearbeiterin informiert über beabsichtigte Änderungen (Hinzufügung oder Ersetzung) und räumt dem Verantwortlichen ein Widerspruchsrecht aus wichtigem Grund ein.

Die Auftragsbearbeiterin verpflichtet jeden Subprozessor auf gleichwertige Datenschutzpflichten. Enterprise-Kunden können mittels «Bring-Your-Own-Key» den KI-Subprozessor durch einen selbst bestimmten Anbieter ersetzen.

8. Technische und organisatorische Massnahmen

Die Auftragsbearbeiterin trifft insbesondere folgende Massnahmen:

• Verschlüsselung in Transit (TLS) und at-rest;
• strikte Mandantentrennung über Row Level Security (RLS);
• rollenbasierte Zugriffskontrolle, Zwei-Faktor-Authentifizierung und optionales SSO;
• Verschlüsselung sensibler Schlüssel mit AES-256;
• Audit-Protokollierung sicherheitsrelevanter Vorgänge;
• regelmässige Datensicherungen und Massnahmen zur Wiederherstellbarkeit;
• Verfahren zur regelmässigen Überprüfung und Verbesserung der Massnahmen.

9. Kontroll- und Auditrechte

Die Auftragsbearbeiterin stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.

Kontrollen erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismässige Störung des Betriebs; Nachweise können auch durch geeignete Zertifikate oder Prüfberichte erbracht werden.

10. Löschung und Rückgabe

Nach Beendigung des Vertrags löscht oder retourniert die Auftragsbearbeiterin die Personendaten nach Wahl des Verantwortlichen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Der Verantwortliche kann seine Daten jederzeit selbst über die Exportfunktion herunterladen und das Konto inklusive aller Daten über die Selbstbedienungsfunktion löschen.

11. Drittlandübermittlung

Übermittlungen von Personendaten in Länder ausserhalb der Schweiz und des EWR erfolgen nur, wenn ein angemessenes Schutzniveau gewährleistet ist — insbesondere auf Grundlage eines Angemessenheitsbeschlusses, von Standardvertragsklauseln (SCC) oder anerkannter Zertifizierungen, ergänzt durch technische Massnahmen wie Verschlüsselung.

12. Haftung und Schlussbestimmungen

Es gelten die Haftungsregelungen der AGB. In datenschutzrechtlichen Fragen geht diese Vereinbarung den AGB vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Es gilt schweizerisches Recht; Gerichtsstand ist Zug, Schweiz, soweit nicht zwingende gesetzliche Bestimmungen entgegenstehen.