Auftragsbearbeitungsvereinbarung (AVV)

zwischen

imatics by Mario Carlotti, Inhaber Mario Carlotti
Wiesentalweg 4, CH-8542 Wiesendangen, Schweiz
UID / Handelsregister: CHE-216.851.542
E-Mail: [email protected]
nachfolgend «imatics» oder «Auftragsbearbeiter»

und

der bei Registrierung oder Bestellung bezeichneten Organisation
nachfolgend «Kunde» oder «Verantwortlicher»

gemeinsam die «Parteien».

1. Gegenstand, Geltung und Rang

1.1 Diese Auftragsbearbeitungsvereinbarung (nachfolgend «AVV») regelt die Bearbeitung von Personendaten durch imatics im Auftrag des Kunden bei der Bereitstellung und Nutzung von Security-Framework.

1.2 Der AVV ist integrierender Bestandteil der SaaS-AGB und wird bei Registrierung oder Bestellung elektronisch angenommen. Die protokollierte Zustimmung weist Dokumentversion, Zeitpunkt, Benutzer und Mandant aus.

1.3 Der Kunde ist Verantwortlicher. Handelt er selbst als Auftragsbearbeiter für einen Dritten, sichert er zu, zur Beauftragung von imatics und zur Erteilung der erforderlichen Weisungen berechtigt zu sein.

1.4 Bei datenschutzrechtlichen Widersprüchen geht dieser AVV den SaaS-AGB vor. Zwingendes Datenschutzrecht bleibt vorbehalten.

1.5 Bearbeitet imatics Konto-, Vertrags-, Rechnungs-, Sicherheits- oder eigene Nutzungsdaten für eigene Zwecke, handelt imatics als selbstständig Verantwortlicher; diese Bearbeitungen richten sich nach der App-Datenschutzerklärung.

2. Dauer, Art und Zweck der Bearbeitung

2.1 Dieser AVV gilt ab Annahme für die Dauer, in der imatics Auftragsdaten bearbeitet. Nach Vertragsende gilt er bis zur Rückgabe, Löschung oder endgültigen Anonymisierung der Auftragsdaten weiter.

2.2 imatics stellt eine mandantenfähige SaaS-Anwendung zur strukturierten Erfassung, Bearbeitung, Speicherung, Auswertung und Ausgabe von Sicherheitsmassnahmen bereit. Die Bearbeitung umfasst je nach Nutzung insbesondere:

• Erfassen, Ordnen, Speichern, Anzeigen und Aktualisieren von Register-, Risiko-, Vorfall-, Aufgaben- und Nachweisdaten;
• rollenbasierte Bereitstellung für autorisierte Benutzer;
• Erstellen von Scores, Benchmarks, HTML-, PDF- und ZIP-Berichten;
• Versand von Einladungen und Transaktionsmails;
• Support, Fehleranalyse, Sicherheitsprotokollierung und befristeten administrativen Zugriff;
• Sicherung, Wiederherstellung und Löschung im Rahmen der betriebenen Infrastruktur; sowie
• Abwicklung der vom Kunden aktivierten Authentisierungs- und Zahlungsfunktionen.

2.3 Zweck, Datenarten und betroffene Personen sind in Anhang 1 konkretisiert. Nicht umfasst ist die Speicherung der in den SaaS-AGB ausdrücklich ausgeschlossenen Geheimnisse oder besonders schützenswerten Daten.

3. Weisungen des Kunden

3.1 imatics bearbeitet Auftragsdaten nur gemäss diesem AVV, den SaaS-AGB, der dokumentierten Nutzung durch autorisierte Benutzer und weiteren dokumentierten Weisungen des Kunden, ausser anwendbares Recht verlangt eine andere Bearbeitung.

3.2 Die bestimmungsgemässe Nutzung der App, Konfigurationen durch autorisierte Administratoren und Supportanfragen gelten als dokumentierte Weisungen.

3.3 Zusätzliche Weisungen können durch berechtigte Administratoren in Textform an [email protected] oder über ein bezeichnetes Ticketsystem erteilt werden. imatics darf die Berechtigung prüfen.

3.4 Hält imatics eine Weisung für datenschutzwidrig, technisch unmöglich oder sicherheitsgefährdend, informiert imatics den Kunden und darf die Ausführung bis zur Klärung aussetzen.

3.5 Unterstützung ausserhalb der Standardfunktionen kann nach vorgängiger Information nach Aufwand verrechnet werden, sofern sie nicht durch eine Pflichtverletzung von imatics verursacht wurde.

4. Pflichten und Verantwortung des Kunden

4.1 Der Kunde ist verantwortlich für:

• Rechtmässigkeit, Zweck und Umfang der Auftragsdaten;
• Information der betroffenen Personen und Erfüllung ihrer Rechte;
• Richtigkeit, Aktualität und Datenminimierung;
• zulässige Benutzer, Rollen und Berechtigungen;
• Beachtung von Berufs-, Amts-, Geschäfts- und Fabrikationsgeheimnissen;
• Einhaltung der Ausschlüsse für Geheimnisse und besonders schützenswerte Daten; sowie
• fachliche Prüfung von Scores, Benchmarks, Berichten und Empfehlungen.

4.2 Der Kunde darf keine Passwörter, privaten Schlüssel, API-Schlüssel, Tokens, vollständigen HR- oder Gesundheitsdossiers oder andere nach den SaaS-AGB verbotene Inhalte einstellen.

4.3 Beabsichtigt der Kunde eine Bearbeitung mit hohem Risiko oder branchenspezifischen Geheimhaltungspflichten, klärt er vorab, ob Security-Framework hierfür geeignet ist. Ohne separate schriftliche Vereinbarung darf keine solche Bearbeitung erfolgen.

4.4 Der Kunde stellt sicher, dass Personen, deren Daten in Registern, Vorfällen oder Nachweisen erscheinen, angemessen informiert werden und dass nur erforderliche geschäftliche Angaben erfasst werden.

5. Pflichten von imatics

5.1 imatics bearbeitet Auftragsdaten zweckgebunden, verhältnismässig und vertraulich und setzt angemessene technische und organisatorische Massnahmen ein.

5.2 imatics stellt sicher, dass nur berechtigte Personen Zugriff auf Auftragsdaten erhalten. imatics beschäftigt zum Zeitpunkt dieses AVV keine Mitarbeitenden; Bearbeitungen erfolgen grundsätzlich durch Mario Carlotti. Später beigezogene Personen werden vor dem Zugriff instruiert und zur Vertraulichkeit verpflichtet.

5.3 imatics nutzt Auftragsdaten nicht für eigene Werbung, personenbezogene Profilbildung oder das Training generativer KI-Modelle.

5.4 imatics darf aggregierte und irreversibel anonymisierte Daten verwenden, sofern eine Identifikation des Kunden oder natürlicher Personen mit vernünftigerweise verfügbaren Mitteln ausgeschlossen ist.

5.5 imatics informiert den Kunden, wenn eine gesetzliche Pflicht zu einer von den Weisungen abweichenden Bearbeitung besteht, soweit dies rechtlich zulässig ist.

6. Vertraulichkeit

6.1 Alle Personen mit Zugriff auf Auftragsdaten werden zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.

6.2 Die Vertraulichkeitspflicht gilt über das Vertragsende hinaus, solange ein berechtigtes Geheimhaltungsinteresse besteht. Berufs-, Geschäfts- und Fabrikationsgeheimnisse werden zeitlich unbeschränkt vertraulich behandelt.

6.3 imatics legt Auftragsdaten nur offen, wenn der Kunde dies anweist oder eine zwingende gesetzliche oder behördliche Pflicht besteht. Soweit zulässig, wird der Kunde vorab informiert.

7. Technische und organisatorische Massnahmen

7.1 imatics trifft unter Berücksichtigung des Risikos, des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Bearbeitung angemessene technische und organisatorische Massnahmen.

7.2 Die bei Vertragsschluss bestehenden Massnahmen sind in Anhang 2 beschrieben. imatics darf sie technisch und organisatorisch weiterentwickeln, sofern das Gesamtschutzniveau nicht wesentlich herabgesetzt wird.

7.3 Die Massnahmen umfassen keine Garantie absoluter Sicherheit. Der Kunde bleibt für seine Endgeräte, E-Mail-Konten, Benutzerverwaltung, Berechtigungserteilung, Exporte und internen Kontrollen verantwortlich.

8. Unterauftragsbearbeiter

8.1 Der Kunde erteilt imatics eine allgemeine Genehmigung zum Einsatz der in Anhang 3 aufgeführten Unterauftragsbearbeiter.

8.2 imatics informiert den Kunden grundsätzlich mindestens 30 Tage vor dem geplanten Einsatz eines neuen Unterauftragsbearbeiters, der Auftragsdaten erhalten kann, per E-Mail oder innerhalb der Anwendung. Bei dringenden Sicherheits-, Verfügbarkeits- oder Rechtsgründen darf die Frist angemessen verkürzt werden.

8.3 Der Kunde kann innerhalb der angekündigten Frist aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien prüfen eine zumutbare Alternative. Ist keine Alternative verfügbar oder wirtschaftlich zumutbar, kann der Kunde den unmittelbar betroffenen Dienst bis zum Einsatz des neuen Unterauftragsbearbeiters kündigen.

8.4 imatics verpflichtet Unterauftragsbearbeiter vertraglich zu Datenschutzpflichten, die den für imatics geltenden Pflichten im Wesentlichen entsprechen.

8.5 Anbieter, die keine Auftragsdaten erhalten, gelten nicht als Unterauftragsbearbeiter dieses AVV. GitHub wird gegenwärtig nur für den Import eigener imatics-Framework-Inhalte verwendet; Kundendaten sind nicht Gegenstand dieses Datenflusses. Die selbst betriebene GlitchTip-Instanz ist Teil der eigenen Infrastruktur und kein externer Empfänger.

9. Datenbekanntgaben ins Ausland

9.1 imatics darf Auftragsdaten ausserhalb der Schweiz oder des Europäischen Wirtschaftsraums nur bearbeiten lassen, wenn die Anforderungen des anwendbaren Datenschutzrechts erfüllt sind.

9.2 Mögliche Grundlagen sind insbesondere ein anerkannter Angemessenheitsbeschluss, ein anerkanntes Datenschutzrahmenwerk, genehmigte Standarddatenschutzklauseln mit erforderlichen ergänzenden Massnahmen oder eine gesetzliche Ausnahme.

9.3 Soweit Standarddatenschutzklauseln erforderlich sind, ermächtigt der Kunde imatics, diese mit Unterauftragsbearbeitern im eigenen Namen und im Namen des Kunden abzuschliessen, soweit dies rechtlich zulässig ist.

9.4 Der Kunde nimmt zur Kenntnis, dass globale Netzwerk-, Zahlungs-, Identitäts- und E-Mail-Anbieter trotz einer bevorzugten Region Daten oder Metadaten in weiteren Staaten bearbeiten können.

10. Rechte betroffener Personen

10.1 Geht bei imatics ein Begehren einer betroffenen Person zu Auftragsdaten ein, leitet imatics es grundsätzlich unverzüglich an den Kunden weiter und beantwortet es nicht ohne Weisung, soweit keine gesetzliche Pflicht besteht.

10.2 imatics unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der verfügbaren Informationen angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe, Übertragung und Widerspruch.

10.3 Der Kunde bleibt für die fristgerechte und rechtmässige Beantwortung verantwortlich. Zusatzaufwand ausserhalb der Standardfunktionen kann nach Ziffer 3.5 verrechnet werden.

11. Unterstützung bei Compliance-Pflichten

11.1 imatics unterstützt den Kunden im Rahmen der verfügbaren Informationen angemessen bei:

• Beurteilung und Meldung von Verletzungen der Datensicherheit;
• Datenschutz-Folgenabschätzungen und vorgängigen Konsultationen;
• Nachweis angemessener technischer und organisatorischer Massnahmen;
• Prüfung von Aufbewahrungs- und Löschanforderungen; sowie
• Beantwortung begründeter Behördenanfragen.

11.2 Der Kunde informiert imatics rechtzeitig über besondere gesetzliche, behördliche oder branchenspezifische Anforderungen.

12. Verletzungen der Datensicherheit

12.1 imatics informiert den Kunden nach bestätigter Kenntnis einer Verletzung der Datensicherheit, die Auftragsdaten betrifft, unverzüglich und strebt eine erste Meldung innerhalb von 48 Stunden an.

12.2 Eine erste Meldung enthält die zu diesem Zeitpunkt verfügbaren Informationen, insbesondere:

• Art des Vorfalls;
• betroffene Systeme, Datenkategorien und Personengruppen;
• voraussichtliche Folgen;
• bereits getroffene oder geplante Eindämmungs- und Behebungsmassnahmen; sowie
• eine Kontaktmöglichkeit für Rückfragen.

12.3 Fehlende Informationen können gestaffelt nachgereicht werden. imatics dokumentiert den Vorfall und unterstützt die Ursachenanalyse im angemessenen Umfang.

12.4 Meldungen an betroffene Personen, den EDÖB oder andere Aufsichtsbehörden erfolgen grundsätzlich durch den Kunden, sofern imatics nicht selbst gesetzlich dazu verpflichtet ist.

13. Rückgabe, Export und Löschung

13.1 Während der Vertragsdauer kann der Kunde die bereitgestellten Exportfunktionen nutzen. Dazu können HTML- und PDF-Berichte sowie ein ZIP-Auditpaket mit strukturierten Daten und Nachweisdateien gehören.

13.2 Der Kunde ist dafür verantwortlich, vor Vertragsende die benötigten Exporte zu erstellen. imatics stellt nach Vertragsende keine individuelle Migration oder Datenkonvertierung bereit, sofern dies nicht separat vereinbart wird.

13.3 Nach Vertragsende löscht imatics produktive Auftragsdaten grundsätzlich spätestens innerhalb von 180 Tagen, sofern der Kunde nicht früher eine unwiderrufliche Löschung verlangt und keine gesetzliche Pflicht oder ein dokumentierter Rechtsgrund entgegensteht.

13.4 Auftragsdaten in Sicherungskopien werden im ordentlichen Überschreibzyklus grundsätzlich spätestens innerhalb weiterer 90 Tage gelöscht oder dauerhaft für produktive Bearbeitung gesperrt, soweit eine gezielte Löschung technisch nicht möglich ist.

13.5 Inaktive Free-Mandanten dürfen nach 360 Tagen ohne relevante Aktivität und nach vorgängiger Warnung gelöscht werden.

13.6 Audit- und Sicherheitsdaten können in verhältnismässigem Umfang die Mandantenlöschung überdauern, soweit sie für Missbrauchsabwehr, Nachweis, Rechtsdurchsetzung oder gesetzliche Pflichten erforderlich sind. Ein Vernichtungsnachweis darf mit minimalen, verschlüsselten Angaben langfristig aufbewahrt werden.

13.7 Nach Abschluss der Löschung besteht kein Anspruch auf Wiederherstellung.

14. Nachweise und Kontrollen

14.1 imatics stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, soweit dadurch keine Sicherheitsinteressen, Geheimhaltungspflichten oder Rechte anderer Kunden verletzt werden.

14.2 Der Kunde darf höchstens einmal jährlich sowie zusätzlich bei einem begründeten Verdacht auf eine erhebliche Verletzung dieses AVV eine angemessene Kontrolle durchführen oder durch eine unabhängige, fachkundige und zur Vertraulichkeit verpflichtete Stelle durchführen lassen.

14.3 Kontrollen sind mindestens 20 Arbeitstage vorher anzukündigen, während der regulären Supportzeiten durchzuführen und auf das erforderliche Mass zu beschränken. Vorrang haben Dokumentenprüfungen und Remote-Nachweise.

14.4 Der Kunde trägt die Kosten, sofern die Kontrolle keine wesentliche Pflichtverletzung von imatics aufzeigt. imatics darf nach Aufwand abrechnen, soweit die Kontrolle über die gesetzlichen Mindestpflichten hinausgeht.

15. Haftung

15.1 Die Haftung der Parteien richtet sich nach der Haftungsregelung der SaaS-AGB. Zwingende datenschutzrechtliche Ansprüche und Verantwortlichkeiten bleiben vorbehalten.

15.2 Der Kunde stellt imatics von berechtigten Ansprüchen frei, soweit diese auf rechtswidrigen Auftragsdaten, unzulässigen Weisungen, fehlender Information betroffener Personen oder einer Verletzung der Pflichten des Kunden beruhen und imatics den Schaden nicht selbst schuldhaft verursacht hat.

16. Änderungen und Beendigung

16.1 imatics kann diesen AVV nach dem Änderungsverfahren der SaaS-AGB anpassen. Änderungen der Unterauftragsbearbeiter richten sich zusätzlich nach Ziffer 8.

16.2 Widerspricht der Kunde einer wesentlichen datenschutzrechtlichen Änderung aus sachlich begründeten Gründen und ist keine zumutbare Lösung möglich, kann er den unmittelbar betroffenen Dienst auf den Zeitpunkt des Inkrafttretens kündigen.

16.3 Der AVV endet nach endgültiger Löschung oder Anonymisierung aller Auftragsdaten, vorbehaltlich fortbestehender Vertraulichkeits-, Nachweis- und gesetzlicher Aufbewahrungspflichten.

17. Schlussbestimmungen

17.1 Es gilt materielles Schweizer Recht, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.

17.2 Ausschliesslicher Gerichtsstand ist Winterthur, Kanton Zürich. Zwingende gesetzliche Gerichtsstände und aufsichtsrechtliche Zuständigkeiten bleiben vorbehalten.

17.3 Bei Übersetzungen ist die deutsche Fassung massgebend.

Anhang 1 – Beschreibung der Auftragsbearbeitung

A. Betroffene Personen

• Benutzer, Administratoren und Organpersonen des Kunden;
• Mitarbeitende, Lernende und ehemalige Mitarbeitende, soweit geschäftliche Rollen oder Kontakte erforderlich sind;
• externe IT-Verantwortliche, Dienstleister, Lieferanten und deren Kontaktpersonen;
• meldende, betroffene oder zugewiesene Personen bei Sicherheitsvorfällen;
• Kunden, Partner oder andere Dritte, soweit der Kunde erforderliche Angaben in Vorfällen, Risiken oder Nachweisen erfasst; sowie
• Personen, deren Identifikatoren in Audit- und Sicherheitsprotokollen erscheinen.

B. Datenkategorien

• Namen, geschäftliche E-Mail-Adressen, Telefonnummern, Funktionen und Rollen;
• Mandantenzugehörigkeit, Berechtigungen und Einladungen;
• Organisations-, Asset-, Dienstleister-, Risiko-, Schwachstellen- und Vorfallsdaten;
• Massnahmen, Aufgaben, Fälligkeiten, Kommentare, Notizen und Verantwortlichkeiten;
• hochgeladene Dokumente, Bilder, Nachweise und Metadaten;
• Audit-, Nutzungs-, IP-, Geräte-, Browser- und Sicherheitsdaten;
• Score-, Reifegrad-, Benchmark- und Berichtsdaten; sowie
• Support- und Kommunikationsdaten.

C. Ausgeschlossene Daten

• Passwörter, API-Schlüssel, private Schlüssel, Tokens und andere Authentisierungsgeheimnisse;
• vollständige HR-, Gesundheits-, Patienten-, Sozialhilfe- oder Strafdossiers;
• genetische oder biometrische Identifikationsdaten;
• Daten über Religion, politische Ansichten, Gewerkschaften, Intimsphäre oder sexuelle Orientierung; sowie
• nicht erforderliche oder rechtswidrig erhobene Personendaten.

D. Bearbeitungsvorgänge

Erheben durch Kundeneingabe, Speichern, Ordnen, Anzeigen, Aktualisieren, Verknüpfen, Verschlüsseln ausgewählter Felder, Berechnen, Aggregieren, Exportieren, Übermitteln an genehmigte Unterauftragsbearbeiter, Protokollieren, Sichern, Wiederherstellen, Sperren und Löschen.

Anhang 2 – Technische und organisatorische Massnahmen

A. Vertraulichkeit und Zugang

• selbst betriebene Authentisierung mit E-Mail-Einmalcodes, Passkeys, TOTP-MFA und optional Microsoft OIDC;
• MFA-Pflicht in der Produktionsumgebung;
• datenbankbasierte Sitzungen mit einer Gültigkeit von grundsätzlich sieben Tagen;
• rollenbasierte Berechtigungen für tenant_owner, admin, it_responsible, task_contributor und viewer;
• zentrale Mandanten- und Berechtigungsprüfung vor Datenzugriffen;
• befristeter imatics-Supportzugriff nur für aktive imatics-Berechtigte und mit Audit-Protokollierung;
• Vertraulichkeitsverpflichtung für beigezogene Personen; sowie
• getrennte öffentliche Kunden- und interne Administrationszugänge.

B. Übertragung und Speicherung

• TLS, HSTS und Sicherheitsheader am HTTPS-Edge;
• AES-256-GCM-Feldverschlüsselung ausgewählter Personendaten;
• HMAC-basierte Suchwerte für E-Mail-Adressen;
• nicht öffentliche, mandantenspezifische Dateiablage mit opaken Dateinamen;
• authentisierte Dateiabrufe ohne öffentliche Download-URLs;
• Cache-Control: private, no-store und X-Content-Type-Options: nosniff für Dateiabrufe; sowie
• Geheimnisse über Umgebungsvariablen ausserhalb des Quellcodes.

C. Integrität und Anwendungssicherheit

• parametrisierter Datenbankzugriff über Prisma;
• Eingabevalidierung und HTML-Sanitizing für Rich-Text-Inhalte;
• Schutzheader gegen Framing und unerwünschte Inhaltsausführung;
• CSRF-Schutz über Authentisierungsmechanismen, Trusted Origins und restriktive Form-Action;
• datenbankbasiertes Rate Limiting, IP-Autoblock und Cloudflare Turnstile;
• signaturgeprüfte Stripe-Webhooks;
• Uploadbegrenzung auf definierte Endungen und maximal 10 MB; und
• gegenwärtig kein automatisierter Malware- oder Virenscan.

D. Nachvollziehbarkeit

• Audit-Log für Authentisierung, Rollen, Aufgaben, Nachweise, Register, Abrechnung, Supportzugriff und Löschungen;
• Protokollierung von Akteur, Zeitpunkt, IP-Adresse, User-Agent und verschlüsselten Detaildaten;
• kundenseitige Einsicht und Export mandantenbezogener Audit-Daten;
• selbst betriebenes Fehlermonitoring über GlitchTip mit grundsätzlich 90 Tagen Aufbewahrung; sowie
• Vernichtungsnachweise für endgültige Mandantenlöschungen.

E. Verfügbarkeit und Wiederherstellung

• zwei App-Replikas hinter Loadbalancing;
• Health-Checks und Container-Restart-Richtlinien;
• PostgreSQL und Dateiablage auf persistierenden Volumes;
• tägliche technische Scheduler-Aufgaben für definierte App-Funktionen; sowie
• Backup-Frequenz, Aufbewahrung, Verschlüsselung, Restore-Tests, RPO und RTO werden in einem separaten Betriebsnachweis dokumentiert und müssen vor Produktivsetzung der vertraglichen Löschfristen verifiziert sein.

F. Überprüfung und Verbesserung

• Fehlerüberwachung und sicherheitsbezogene Alarmierung;
• regelmässige Überprüfung von Abhängigkeiten, Konfigurationen und Berechtigungen im Rahmen des Betriebsprozesses;
• Weiterentwicklung der Sicherheitsmassnahmen ohne wesentliche Verringerung des Gesamtschutzniveaus; sowie
• dokumentierte Behandlung bestätigter Sicherheitsvorfälle.

Anhang 3 – Genehmigte Unterauftragsbearbeiter

Die aktuelle Liste kann in der Anwendung oder unter einer von imatics bezeichneten URL veröffentlicht werden. Soweit ein Anbieter für bestimmte Bearbeitungen selbstständig Verantwortlicher ist, richtet sich diese Bearbeitung nach seiner Datenschutzerklärung und der App-Datenschutzerklärung von imatics.

Anhang 4 – Lösch- und Rückgabekonzept