Vereinbarung zur Auftragsbearbeitung (AVV)

1. Parteien und Rollen

Verantwortlicher im Sinne dieser AVV ist der jeweilige Firmenkunde, soweit er über Zweck und Mittel der Bearbeitung entscheidet. Auftragsbearbeiter ist Fabian Traub / CELVENO, Mühlenstrasse 40, 8200 Schaffhausen, Schweiz, soweit CELVENO Personendaten für den Firmenkunden im Rahmen der vereinbarten SaaS-Leistungen bearbeitet.

2. Gegenstand und Dauer

Gegenstand ist die technische Bearbeitung von Personendaten zur Bereitstellung von CELVENO, insbesondere Benutzerkonten, Rollen, Mandanten, Kunden, Ansprechpartner, Projekte, Offerten, Kataloge, Rechnungen, Dokumente, Bilder, Dateien, Revisionen, Support und – sofern freigeschaltet – AI-Funktionen. Die Bearbeitung dauert grundsätzlich für die Vertragsdauer zuzüglich erforderlicher Abwicklungs-, Sicherheits-, Backup- und gesetzlicher Aufbewahrungszeiträume.

3. Kategorien betroffener Personen und Personendaten

Betroffene Personen können insbesondere Mitarbeitende und Benutzer des Firmenkunden, dessen Kunden, Ansprechpartner, Lieferanten und sonstige Geschäftskontakte sein. Bearbeitet werden können insbesondere Identifikations- und Kontaktdaten, Firmenzugehörigkeit, Rollen und Berechtigungen, Projekt- und Kundendaten, Offerten- und Rechnungsinhalte, Preise, Katalogdaten, Dokumente, Bilder, Sprach-/Transkriptionsinhalte, Supportinformationen sowie technische Sicherheits-, Session- und Auditdaten.

4. Bearbeitung nach Weisung

CELVENO bearbeitet Auftragsdaten nur zur Erbringung der vereinbarten Leistungen, aufgrund dokumentierter Produktfunktionen und zulässiger Weisungen des Kunden, soweit keine gesetzliche Pflicht zu einer abweichenden Bearbeitung besteht. Hält CELVENO eine Weisung für rechtswidrig, kann die Ausführung bis zur Klärung ausgesetzt werden.

5. Vertraulichkeit und Zugriffsbegrenzung

Personen, die im Rahmen von Betrieb, Wartung, Support oder Sicherheit berechtigten Zugriff auf Auftragsdaten erhalten, werden auf Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Pflicht. Zugriffe werden nach dem Need-to-know-Prinzip auf das erforderliche Mass beschränkt.

6. Technische und organisatorische Massnahmen

CELVENO setzt risikoadäquate Massnahmen ein und entwickelt diese entsprechend Produktstand und Bedrohungslage weiter. Dazu gehören nach aktuellem Stand insbesondere serverseitige Mandantentrennung und Berechtigungsprüfung, Schutz von Zugangsdaten, keine Klartextspeicherung von Passwörtern, serverseitige Behandlung von geheimen API-Schlüsseln, Transportverschlüsselung durch die eingesetzten Plattformen, Logging/Audit-Funktionen, Backup- und Wiederherstellungsmechanismen sowie administrative Zugriffsbeschränkungen. Der konkrete Umfang kann nach Tarif und Funktion variieren.

7. Unterauftragsbearbeiter

Der Kunde erteilt CELVENO eine allgemeine Genehmigung, die für die Leistung erforderlichen Unterauftragsbearbeiter einzusetzen. Die aktuelle Liste ist unter Unterauftragsbearbeiter veröffentlicht. CELVENO stellt sicher, dass eingesetzte Unterauftragsbearbeiter vertraglich zu angemessenen Datenschutz- und Sicherheitsanforderungen verpflichtet sind.

Wesentliche Änderungen der veröffentlichten Liste werden dort aktualisiert. Soweit der individuelle Kundenvertrag zusätzliche Benachrichtigungs- oder Widerspruchsrechte vorsieht, gehen diese vor.

8. Internationale Datenübermittlungen

Soweit die Bearbeitung durch Dienstleister zu Bekanntgaben in Staaten ohne anerkannt angemessenes Datenschutzniveau führt, werden – soweit erforderlich – geeignete Garantien oder andere zulässige Transfermechanismen eingesetzt. Dazu können insbesondere anerkannte Standardvertragsklauseln mit schweizerischen Anpassungen gehören. Die technischen Dienstleister und bekannten Regionen sind in der Unterauftragsbearbeiter-Liste beschrieben.

9. Unterstützung bei Betroffenenrechten und Behördenanfragen

CELVENO unterstützt den Kunden im angemessenen und technisch möglichen Umfang bei Auskunft, Berichtigung, Löschung, Herausgabe/Übertragung und weiteren anwendbaren Betroffenenrechten, soweit die betreffenden Daten im Auftrag bearbeitet werden. Anfragen, die unmittelbar bei CELVENO eingehen und eindeutig Auftragsdaten betreffen, werden grundsätzlich an den zuständigen Firmenkunden weitergeleitet, soweit keine gesetzliche Verpflichtung zu einem anderen Vorgehen besteht.

10. Verletzungen der Datensicherheit

Erkennt CELVENO eine Verletzung der Datensicherheit, die Auftragsdaten des Kunden betrifft, informiert CELVENO den Kunden so rasch wie angemessen, damit dieser eigene Prüf-, Informations- und Meldepflichten erfüllen kann. Soweit verfügbar, enthält die Mitteilung Angaben zu Art des Vorfalls, betroffenen Daten/Kategorien, möglichen Folgen und ergriffenen bzw. geplanten Massnahmen.

11. Rückgabe, Export und Löschung

Der Kunde soll benötigte Daten vor Vertragsende exportieren. Auf Wunsch des Kunden bzw. für eine beabsichtigte spätere Wiederaufnahme des Abonnements können Auftragsdaten nach Vertragsende für maximal 12 Monate archiviert werden. Danach werden sie gelöscht oder anonymisiert, soweit keine gesetzlichen oder vertraglich zulässigen Aufbewahrungsgründe bestehen. Daten in technisch notwendigen Backups werden nach dem jeweiligen Backup-Lebenszyklus überschrieben oder gelöscht und währenddessen nicht für andere Zwecke reaktiviert.

12. Nachweise, Information und Kontrolle

CELVENO stellt dem Kunden auf angemessene Anfrage Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieser AVV zu beurteilen. Vor-Ort-Prüfungen sind nur erforderlich, soweit gesetzlich notwendig oder durch angemessene Dokumentation bzw. externe Nachweise nicht ausreichend möglich, und sind unter Wahrung von Sicherheit und Vertraulichkeit zu koordinieren.

13. Haftung, Rangfolge und anwendbares Recht

Für Haftung und Haftungsbeschränkungen gelten die Hauptvereinbarung und zwingendes Recht. Bei Widersprüchen zu Datenschutzpflichten geht diese AVV für die Auftragsbearbeitung vor. Im Übrigen gelten Schweizer Datenschutzrecht und das in der Hauptvereinbarung festgelegte Recht und der dort vereinbarte Gerichtsstand, soweit rechtlich zulässig.