Dieser Vertrag (AVV, englisch Data Processing Agreement) regelt die Bearbeitung von Personendaten durch die CSP AG, Teufener Strasse 5, 9000 St. Gallen (Auftragsverarbeiterin, CSP) im Auftrag der Organisation, die Oppm abonniert (Verantwortliche, Kundin). Er gilt als Auftragsbearbeitung nach Art. 9 nDSG und, soweit die DSGVO anwendbar ist, als Vertrag nach Art. 28 DSGVO. Er ergänzt den Hauptvertrag (Offerte und AGB).
1. Gegenstand und Dauer
CSP stellt der Kundin Oppm als Software as a Service bereit und bearbeitet dabei Personendaten im Auftrag. Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange CSP Personendaten der Kundin bearbeitet.
2. Art, Zweck und Umfang der Bearbeitung
Die Bearbeitung umfasst Speichern, Anzeigen, Auswerten, Übermitteln an die Benutzerinnen und Benutzer der Kundin, Sichern und Löschen, soweit es für den Betrieb von Oppm nötig ist. Einzelheiten stehen in Anhang 1.
3. Weisungen
CSP bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung der Kundin. Als Weisung gelten der Hauptvertrag, dieser AVV und die Einstellungen, welche die Administration der Kundin in Oppm vornimmt (zum Beispiel Rollen, Rechte, KI ein oder aus). Hält CSP eine Weisung für rechtswidrig, informiert sie die Kundin unverzüglich. Eine Bearbeitung für eigene Zwecke, insbesondere für Werbung oder zum Training von KI-Modellen, findet nicht statt.
4. Pflichten von CSP
- Vertraulichkeit: Personen, die Daten der Kundin bearbeiten können, sind zur Vertraulichkeit verpflichtet.
- Datensicherheit: CSP trifft die technischen und organisatorischen Massnahmen nach Anhang 2 (TOM) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
- Zugriff durch CSP: Mitarbeitende von CSP sehen Daten der Kundin nur über einen Support-Zugang, den die Administration der Kundin freigibt; befristet, widerrufbar und protokolliert.
- Unterstützung: CSP unterstützt die Kundin bei Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe), bei Datenschutz-Folgenabschätzungen und bei Anfragen von Behörden, soweit es die Bearbeitung betrifft.
- Verletzung der Datensicherheit: CSP meldet der Kundin eine Verletzung der Datensicherheit unverzüglich nach Kenntnis, Zielwert innert 24 Stunden, mit den verfügbaren Angaben zu Art, Umfang, Folgen und Massnahmen (Art. 24 nDSG, Art. 33 DSGVO).
- Nachweis: CSP stellt der Kundin die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.
5. Pflichten der Kundin
Die Kundin ist für die Rechtmässigkeit der Bearbeitung verantwortlich, insbesondere für die Information der betroffenen Personen, die Wahl der eingesetzten Funktionen (zum Beispiel Sitzungsmitschnitt) und die Pflege von Benutzern, Rollen und Rechten.
6. Unterauftragsverarbeiter
Die Kundin genehmigt den Beizug der in Anhang 3 aufgeführten Kategorien von Unterauftragsverarbeitern; die Namen sind dem unterzeichneten Vertrag beigelegt. CSP verpflichtet jeden Unterauftragsverarbeiter vertraglich auf mindestens gleichwertige Pflichten. Über einen geplanten Wechsel oder Neuzugang informiert CSP die Kundin mindestens 30 Tage im Voraus. Die Kundin kann aus wichtigem datenschutzrechtlichem Grund widersprechen; finden die Parteien keine Lösung, kann sie den betroffenen Teil des Vertrags auf den Zeitpunkt des Wechsels kündigen.
7. Ort der Bearbeitung
Personendaten werden in der Schweiz gespeichert, gesichert und bearbeitet, einschliesslich der KI-Funktionen und der Spracherkennung. Eine Bekanntgabe ins Ausland erfolgt nur auf ausdrückliche Weisung der Kundin und unter den Voraussetzungen von Art. 16 und 17 nDSG sowie Kapitel V DSGVO.
8. Kontrollrechte
Die Kundin kann die Einhaltung dieses Vertrags mit angemessener Vorankündigung von [z. B. 30 Tagen] selbst oder durch eine zur Verschwiegenheit verpflichtete Prüferin kontrollieren, in der Regel durch Einsicht in Unterlagen und Nachweise. Prüfungen vor Ort sind auf begründete Fälle beschränkt; die Kosten trägt die Kundin, sofern die Prüfung keinen wesentlichen Verstoss zeigt.
9. Rückgabe und Löschung
Nach Vertragsende stellt CSP der Kundin ihre Daten in einem gängigen Format bereit und löscht sie danach innert [z. B. 30 Tagen] auf den produktiven Systemen; in den Datensicherungen erfolgt die Löschung mit deren Ablauf. Vorbehalten bleiben gesetzliche Aufbewahrungspflichten. Das Änderungsprotokoll wird mit den übrigen Daten gelöscht, sofern die Kundin nichts anderes anweist.
10. Haftung und Schlussbestimmungen
Für die Haftung gilt der Hauptvertrag, soweit nicht zwingendes Recht etwas anderes vorschreibt. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor. Es gilt Schweizer Recht; Gerichtsstand ist St. Gallen.
Anhang 1: Beschreibung der Bearbeitung
| Thema | Inhalt |
|---|---|
| Betroffene Personen | Mitarbeitende und Beauftragte der Kundin, Mitglieder von Gremien, Sponsoren, Stakeholder, eingeladene externe Personen |
| Kontodaten | Name, E-Mail-Adresse, Funktion, Rollen, Organisationseinheit, Anmeldezeitpunkte, Avatar (freiwillig) |
| Planungsdaten | Pensum, Rollen in Projekten, geplante und geleistete Personentage, Abwesenheiten mit Art (z. B. Ferien, Weiterbildung, Krankheit; keine Diagnosen), Stellvertretungen |
| Arbeitsinhalte | Projekte, Berichte, Risiken, Stakeholder, Aufgaben, Unterschriften, Traktanden, Beschlüsse, Protokolle und Einladungen, soweit sie Personen nennen |
| Protokolldaten | Änderungsprotokoll mit Person, Zeit, Datensatz und Aktion; technische Fehlerprotokolle mit Anfrage-ID |
| KI und Sprache | Inhalte, die eine Person an eine KI-Funktion übergibt; Audio für Diktat und Mitschnitt, nicht gespeichert |
| Besonders schützenswerte Daten | Nicht vorgesehen. Die Kundin stellt sicher, dass in Freitexten keine solchen Daten erfasst werden, oder vereinbart zusätzliche Massnahmen. |
| Ort | Schweiz |
Anhang 2: Technische und organisatorische Massnahmen
Siehe Technische und organisatorische Massnahmen in der jeweils gültigen Fassung.
Anhang 3: Unterauftragsverarbeiter
Siehe Unterauftragsverarbeiter; die Namen und Adressen werden dem unterzeichneten Vertrag beigelegt.