Auftragsbearbeitungsvereinbarung (AVV)

zwischen

imatics by Mario Carlotti, Inhaber Mario Carlotti
Wiesentalweg 4, CH-8542 Wiesendangen, Schweiz
UID / Handelsregister: CHE-216.851.542
E-Mail: security@imatics.ch
nachfolgend «imatics» oder «Auftragsbearbeiter»

und

der bei Registrierung oder Bestellung bezeichneten Organisation
nachfolgend «Kunde» oder «Verantwortlicher»

gemeinsam die «Parteien».

1. Gegenstand, Geltung und Rang

1.1 Diese Auftragsbearbeitungsvereinbarung (nachfolgend «AVV») regelt die Bearbeitung von Personendaten durch imatics im Auftrag des Kunden bei der Bereitstellung und Nutzung von Security-Framework.

1.2 Der AVV ist integrierender Bestandteil der SaaS-AGB und wird bei Registrierung oder Bestellung elektronisch angenommen. Die protokollierte Zustimmung weist Dokumentversion, Zeitpunkt, Benutzer und Mandant aus.

1.3 Der Kunde ist Verantwortlicher. Handelt er selbst als Auftragsbearbeiter für einen Dritten, sichert er zu, zur Beauftragung von imatics und zur Erteilung der erforderlichen Weisungen berechtigt zu sein.

1.4 Bei datenschutzrechtlichen Widersprüchen geht dieser AVV den SaaS-AGB vor. Zwingendes Datenschutzrecht bleibt vorbehalten.

1.5 Bearbeitet imatics Konto-, Vertrags-, Rechnungs-, Sicherheits- oder eigene Nutzungsdaten für eigene Zwecke, handelt imatics als selbstständig Verantwortlicher. Diese Bearbeitungen richten sich nach der App-Datenschutzerklärung.

2. Dauer, Art und Zweck der Bearbeitung

2.1 Dieser AVV gilt ab Annahme für die Dauer, in der imatics Auftragsdaten bearbeitet. Nach Vertragsende gilt er bis zur Rückgabe, Löschung oder endgültigen Anonymisierung der Auftragsdaten weiter.

2.2 imatics stellt eine mandantenfähige SaaS-Anwendung zur strukturierten Bearbeitung von Sicherheitsmassnahmen bereit. Die Bearbeitung umfasst je nach Nutzung insbesondere:

• Erfassen, Ordnen, Speichern, Anzeigen und Aktualisieren von Register-, Risiko-, Vorfall-, Aufgaben- und Nachweisdaten;
• Bereitstellen der Daten für berechtigte Benutzer;
• Erstellen von Auswertungen, Vergleichen, Berichten und Exporten;
• Versand von Einladungen und Transaktionsnachrichten;
• Support, Fehleranalyse, Sicherheitsprotokollierung und kontrollierten administrativen Zugriff;
• Sicherung, Wiederherstellung und Löschung; sowie
• Abwicklung der vom Kunden aktivierten Anmelde- und Zahlungsfunktionen.

2.3 Zweck, Datenarten und betroffene Personen sind in Anhang 1 konkretisiert. Nicht umfasst ist die Speicherung der in den SaaS-AGB ausdrücklich ausgeschlossenen Geheimnisse oder besonders schützenswerten Daten.

3. Weisungen des Kunden

3.1 imatics bearbeitet Auftragsdaten nur gemäss diesem AVV, den SaaS-AGB, der dokumentierten Nutzung durch berechtigte Benutzer und weiteren dokumentierten Weisungen des Kunden, ausser anwendbares Recht verlangt eine andere Bearbeitung.

3.2 Die bestimmungsgemässe Nutzung der App, Konfigurationen durch berechtigte Administratoren und Supportanfragen gelten als dokumentierte Weisungen.

3.3 Zusätzliche Weisungen können durch berechtigte Administratoren in Textform an security@imatics.ch oder über einen bezeichneten Supportkanal erteilt werden. imatics darf die Berechtigung prüfen.

3.4 Hält imatics eine Weisung für datenschutzwidrig, technisch unmöglich oder sicherheitsgefährdend, informiert imatics den Kunden und darf die Ausführung bis zur Klärung aussetzen.

3.5 Unterstützung ausserhalb der Standardfunktionen kann nach vorgängiger Information nach Aufwand verrechnet werden, sofern sie nicht durch eine Pflichtverletzung von imatics verursacht wurde.

4. Pflichten und Verantwortung des Kunden

4.1 Der Kunde ist verantwortlich für:

• Rechtmässigkeit, Zweck und Umfang der Auftragsdaten;
• Information der betroffenen Personen und Erfüllung ihrer Rechte;
• Richtigkeit, Aktualität und Datenminimierung;
• zulässige Benutzer, Rollen und Berechtigungen;
• Beachtung von Berufs-, Amts-, Geschäfts- und Fabrikationsgeheimnissen;
• Einhaltung der Ausschlüsse für Geheimnisse und besonders schützenswerte Daten; sowie
• fachliche Prüfung von Auswertungen, Vergleichen, Berichten und Empfehlungen.

4.2 Der Kunde darf keine Passwörter, privaten Schlüssel, API-Schlüssel, Tokens, vollständigen Personal- oder Gesundheitsdossiers oder andere nach den SaaS-AGB verbotene Inhalte einstellen.

4.3 Beabsichtigt der Kunde eine Bearbeitung mit hohem Risiko oder branchenspezifischen Geheimhaltungspflichten, klärt er vorab, ob Security-Framework hierfür geeignet ist. Ohne separate schriftliche Vereinbarung darf keine solche Bearbeitung erfolgen.

4.4 Der Kunde stellt sicher, dass Personen, deren Daten in Registern, Vorfällen oder Nachweisen erscheinen, angemessen informiert werden und dass nur erforderliche geschäftliche Angaben erfasst werden.

5. Pflichten von imatics

5.1 imatics bearbeitet Auftragsdaten zweckgebunden, verhältnismässig und vertraulich und setzt angemessene technische und organisatorische Massnahmen ein.

5.2 imatics stellt sicher, dass nur berechtigte und zur Vertraulichkeit verpflichtete Personen Zugriff auf Auftragsdaten erhalten. Solche Personen werden vor einem Zugriff angemessen instruiert.

5.3 imatics nutzt Auftragsdaten nicht für eigene Werbung, personenbezogene Profilbildung oder das Training generativer KI-Modelle.

5.4 imatics darf aggregierte und irreversibel anonymisierte Daten verwenden, sofern eine Identifikation des Kunden oder natürlicher Personen mit vernünftigerweise verfügbaren Mitteln ausgeschlossen ist.

5.5 imatics informiert den Kunden, wenn eine gesetzliche Pflicht zu einer von den Weisungen abweichenden Bearbeitung besteht, soweit dies rechtlich zulässig ist.

6. Vertraulichkeit

6.1 Alle Personen mit Zugriff auf Auftragsdaten werden zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.

6.2 Die Vertraulichkeitspflicht gilt über das Vertragsende hinaus, solange ein berechtigtes Geheimhaltungsinteresse besteht. Berufs-, Geschäfts- und Fabrikationsgeheimnisse werden zeitlich unbeschränkt vertraulich behandelt.

6.3 imatics legt Auftragsdaten nur offen, wenn der Kunde dies anweist oder eine zwingende gesetzliche oder behördliche Pflicht besteht. Soweit zulässig, wird der Kunde vorab informiert.

7. Technische und organisatorische Massnahmen

7.1 imatics trifft unter Berücksichtigung des Risikos, des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Bearbeitung angemessene technische und organisatorische Massnahmen.

7.2 Die bei Vertragsschluss bestehenden Massnahmen sind in Anhang 2 nach Schutzzielen beschrieben. imatics darf sie technisch und organisatorisch weiterentwickeln, sofern das Gesamtschutzniveau nicht wesentlich herabgesetzt wird.

7.3 imatics stellt dem Kunden auf begründete Anfrage weiterführende Informationen zu den Massnahmen zur Verfügung, soweit dadurch keine Sicherheitsinteressen, Geheimhaltungspflichten oder Rechte anderer Kunden beeinträchtigt werden.

7.4 Die Massnahmen umfassen keine Garantie absoluter Sicherheit. Der Kunde bleibt für seine Endgeräte, E-Mail-Konten, Benutzerverwaltung, Berechtigungserteilung, Exporte und internen Kontrollen verantwortlich.

8. Unterauftragsbearbeiter

8.1 Der Kunde erteilt imatics eine allgemeine Genehmigung zum Einsatz der in Anhang 3 und der aktuellen Unterauftragsbearbeiterliste aufgeführten Unterauftragsbearbeiter.

8.2 imatics informiert den Kunden grundsätzlich mindestens 30 Tage vor dem geplanten Einsatz eines neuen Unterauftragsbearbeiters, der Auftragsdaten erhalten kann, per E-Mail oder innerhalb der Anwendung. Bei dringenden Sicherheits-, Verfügbarkeits- oder Rechtsgründen darf die Frist angemessen verkürzt werden.

8.3 Der Kunde kann innerhalb der angekündigten Frist aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien prüfen eine zumutbare Alternative. Ist keine Alternative verfügbar oder wirtschaftlich zumutbar, kann der Kunde den unmittelbar betroffenen Dienst bis zum Einsatz des neuen Unterauftragsbearbeiters kündigen.

8.4 imatics verpflichtet Unterauftragsbearbeiter vertraglich zu Datenschutzpflichten, die den für imatics geltenden Pflichten im Wesentlichen entsprechen.

8.5 Anbieter, die keine Auftragsdaten erhalten, gelten nicht als Unterauftragsbearbeiter dieses AVV und werden nicht in der Liste geführt.

9. Datenbekanntgaben ins Ausland

9.1 imatics darf Auftragsdaten ausserhalb der Schweiz oder des Europäischen Wirtschaftsraums nur bearbeiten lassen, wenn die Anforderungen des anwendbaren Datenschutzrechts erfüllt sind.

9.2 Die betroffenen Staaten und Regionen ergeben sich aus Anhang 3 und der aktuellen Unterauftragsbearbeiterliste.

9.3 Für Bekanntgaben in Staaten ohne anerkannt angemessenes Datenschutzniveau verwendet imatics, je nach Anbieter und Bearbeitung, anerkannte Datenschutzrahmen, anerkannte Standarddatenschutzklauseln mit erforderlichen Ergänzungsmassnahmen oder eine andere gesetzlich zulässige Grundlage.

9.4 Soweit Standarddatenschutzklauseln erforderlich sind, ermächtigt der Kunde imatics, diese mit Unterauftragsbearbeitern im eigenen Namen und im Namen des Kunden abzuschliessen, soweit dies rechtlich zulässig ist.

10. Rechte betroffener Personen

10.1 Geht bei imatics ein Begehren einer betroffenen Person zu Auftragsdaten ein, leitet imatics es grundsätzlich unverzüglich an den Kunden weiter und beantwortet es nicht ohne Weisung, soweit keine gesetzliche Pflicht besteht.

10.2 imatics unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der verfügbaren Informationen angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe, Übertragung und Widerspruch.

10.3 Der Kunde bleibt für die fristgerechte und rechtmässige Beantwortung verantwortlich. Zusatzaufwand ausserhalb der Standardfunktionen kann nach Ziffer 3.5 verrechnet werden.

11. Unterstützung bei Compliance-Pflichten

11.1 imatics unterstützt den Kunden im Rahmen der verfügbaren Informationen angemessen bei:

• Beurteilung und Meldung von Verletzungen der Datensicherheit;
• Datenschutz-Folgenabschätzungen und vorgängigen Konsultationen;
• Nachweis angemessener technischer und organisatorischer Massnahmen;
• Prüfung von Aufbewahrungs- und Löschanforderungen; sowie
• Beantwortung begründeter Behördenanfragen.

11.2 Der Kunde informiert imatics rechtzeitig über besondere gesetzliche, behördliche oder branchenspezifische Anforderungen.

12. Verletzungen der Datensicherheit

12.1 imatics informiert den Kunden nach bestätigter Kenntnis einer Verletzung der Datensicherheit, die Auftragsdaten betrifft, unverzüglich und strebt eine erste Meldung innerhalb von 48 Stunden an.

12.2 Eine erste Meldung enthält die zu diesem Zeitpunkt verfügbaren Informationen, insbesondere:

• Art des Vorfalls;
• betroffene Systeme, Datenkategorien und Personengruppen;
• voraussichtliche Folgen;
• bereits getroffene oder geplante Eindämmungs- und Behebungsmassnahmen; sowie
• eine Kontaktmöglichkeit für Rückfragen.

12.3 Fehlende Informationen können gestaffelt nachgereicht werden. imatics dokumentiert den Vorfall und unterstützt die Ursachenanalyse im angemessenen Umfang.

12.4 Meldungen an betroffene Personen, den EDÖB oder andere Aufsichtsbehörden erfolgen grundsätzlich durch den Kunden, sofern imatics nicht selbst gesetzlich dazu verpflichtet ist.

13. Rückgabe, Export und Löschung

13.1 Während der Vertragsdauer kann der Kunde die bereitgestellten Standardfunktionen für Berichte und Exporte nutzen.

13.2 Der Kunde ist dafür verantwortlich, vor Vertragsende die benötigten Exporte zu erstellen. imatics stellt nach Vertragsende keine individuelle Migration oder Datenkonvertierung bereit, sofern dies nicht separat vereinbart wird.

13.3 Nach Vertragsende löscht oder anonymisiert imatics produktive Auftragsdaten grundsätzlich spätestens innerhalb von 180 Tagen, sofern der Kunde nicht früher eine unwiderrufliche Löschung verlangt und keine gesetzliche Pflicht oder ein dokumentierter Rechtsgrund entgegensteht.

13.4 Auftragsdaten in Sicherungskopien werden im ordentlichen Überschreibzyklus grundsätzlich spätestens innerhalb weiterer 90 Tage gelöscht oder dauerhaft für produktive Bearbeitung gesperrt, soweit eine gezielte Löschung nicht möglich ist.

13.5 Inaktive Free-Mandanten dürfen nach 180 Tagen ohne relevante Aktivität gelöscht werden. Bei einer Herabstufung aus einem kostenpflichtigen Plan beginnt diese Frist frühestens mit Wirksamwerden der Herabstufung. Eine Anmeldung oder andere relevante Aktivität setzt die Frist neu in Gang. imatics warnt die bekannten Administratoradressen jeweils 30 Tage, 7 Tage und 1 Tag vor der vorgesehenen Löschung.

13.6 Audit- und Sicherheitsdaten können in verhältnismässigem Umfang die Mandantenlöschung überdauern, soweit sie für Missbrauchsabwehr, Nachweis, Rechtsdurchsetzung oder gesetzliche Pflichten erforderlich sind. Ein Vernichtungsnachweis darf mit minimalen Angaben langfristig aufbewahrt werden.

13.7 Nach Abschluss der Löschung besteht kein Anspruch auf Wiederherstellung.

14. Nachweise und Kontrollen

14.1 imatics stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, soweit dadurch keine Sicherheitsinteressen, Geheimhaltungspflichten oder Rechte anderer Kunden verletzt werden.

14.2 Der Kunde darf höchstens einmal jährlich sowie zusätzlich bei einem begründeten Verdacht auf eine erhebliche Verletzung dieses AVV eine angemessene Kontrolle durchführen oder durch eine unabhängige, fachkundige und zur Vertraulichkeit verpflichtete Stelle durchführen lassen.

14.3 Kontrollen sind mindestens 20 Arbeitstage vorher anzukündigen, während der regulären Supportzeiten durchzuführen und auf das erforderliche Mass zu beschränken. Vorrang haben Dokumentenprüfungen und Remote-Nachweise.

14.4 Der Kunde trägt die Kosten, sofern die Kontrolle keine wesentliche Pflichtverletzung von imatics aufzeigt. imatics darf nach Aufwand abrechnen, soweit die Kontrolle über die gesetzlichen Mindestpflichten hinausgeht.

15. Haftung

15.1 Die Haftung der Parteien richtet sich nach der Haftungsregelung der SaaS-AGB. Zwingende datenschutzrechtliche Ansprüche und Verantwortlichkeiten bleiben vorbehalten.

15.2 Der Kunde stellt imatics von berechtigten Ansprüchen frei, soweit diese auf rechtswidrigen Auftragsdaten, unzulässigen Weisungen, fehlender Information betroffener Personen oder einer Verletzung der Pflichten des Kunden beruhen und imatics den Schaden nicht selbst schuldhaft verursacht hat.

16. Änderungen und Beendigung

16.1 imatics kann diesen AVV nach dem Änderungsverfahren der SaaS-AGB anpassen. Änderungen der Unterauftragsbearbeiter richten sich zusätzlich nach Ziffer 8.

16.2 Widerspricht der Kunde einer wesentlichen datenschutzrechtlichen Änderung aus sachlich begründeten Gründen und ist keine zumutbare Lösung möglich, kann er den unmittelbar betroffenen Dienst auf den Zeitpunkt des Inkrafttretens kündigen.

16.3 Der AVV endet nach endgültiger Löschung oder Anonymisierung aller Auftragsdaten, vorbehaltlich fortbestehender Vertraulichkeits-, Nachweis- und gesetzlicher Aufbewahrungspflichten.

17. Schlussbestimmungen

17.1 Es gilt materielles Schweizer Recht, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.

17.2 Ausschliesslicher Gerichtsstand ist Winterthur, Kanton Zürich. Zwingende gesetzliche Gerichtsstände und aufsichtsrechtliche Zuständigkeiten bleiben vorbehalten.

17.3 Bei Übersetzungen ist die deutsche Fassung massgebend.

Anhang 1 – Beschreibung der Auftragsbearbeitung

A. Betroffene Personen

• Benutzer, Administratoren und Organpersonen des Kunden;
• Mitarbeitende, Lernende und ehemalige Mitarbeitende, soweit geschäftliche Rollen oder Kontakte erforderlich sind;
• externe IT-Verantwortliche, Dienstleister, Lieferanten und deren Kontaktpersonen;
• meldende, betroffene oder zugewiesene Personen bei Sicherheitsvorfällen;
• Kunden, Partner oder andere Dritte, soweit der Kunde erforderliche Angaben in Vorfällen, Risiken oder Nachweisen erfasst; sowie
• Personen, deren Identifikatoren in Audit- und Sicherheitsprotokollen erscheinen.

B. Datenkategorien

• Namen, geschäftliche E-Mail-Adressen, Telefonnummern, Funktionen und Rollen;
• Mandantenzugehörigkeit, Berechtigungen und Einladungen;
• Organisations-, Asset-, Dienstleister-, Risiko-, Schwachstellen- und Vorfallsdaten;
• Massnahmen, Aufgaben, Fälligkeiten, Kommentare, Notizen und Verantwortlichkeiten;
• hochgeladene Dokumente, Bilder, Nachweise und Metadaten;
• Audit-, Nutzungs-, IP-, Geräte-, Browser- und Sicherheitsdaten;
• Score-, Reifegrad-, Benchmark- und Berichtsdaten; sowie
• Support- und Kommunikationsdaten.

C. Ausgeschlossene Daten

• Passwörter, API-Schlüssel, private Schlüssel, Tokens und andere Authentisierungsgeheimnisse;
• vollständige Personal-, Gesundheits-, Patienten-, Sozialhilfe- oder Strafdossiers;
• genetische oder biometrische Identifikationsdaten;
• Daten über Religion, politische Ansichten, Gewerkschaften, Intimsphäre oder sexuelle Orientierung; sowie
• nicht erforderliche oder rechtswidrig erhobene Personendaten.

D. Bearbeitungsvorgänge

Erheben durch Kundeneingabe, Speichern, Ordnen, Anzeigen, Aktualisieren, Verknüpfen, Berechnen, Aggregieren, Exportieren, Übermitteln an genehmigte Unterauftragsbearbeiter, Protokollieren, Sichern, Wiederherstellen, Sperren, Anonymisieren und Löschen.

Anhang 2 – Technische und organisatorische Massnahmen

Die folgenden Massnahmen beschreiben die Schutzziele und Kontrollbereiche. Konkrete technische Umsetzungen können sich ändern, sofern das Gesamtschutzniveau nicht wesentlich herabgesetzt wird.

A. Organisation, Vertraulichkeit und Zugang

• dokumentierte Identitäts-, Berechtigungs- und Zugriffsverwaltung;
• rollen- und aufgabenbezogene Vergabe von Zugriffsrechten nach dem Erforderlichkeitsprinzip;
• Trennung der Kundendaten und Prüfung der Berechtigung vor Zugriffen;
• zusätzliche Schutz- und Kontrollmassnahmen für privilegierte Zugriffe;
• kontrollierter, zeitlich begrenzter und nachvollziehbarer Supportzugriff; sowie
• Instruktion und Vertraulichkeitsverpflichtung für berechtigte Personen.

B. Schutz bei Übertragung und Speicherung

• Schutz der Datenübertragung nach anerkannten aktuellen Standards;
• zugriffsgeschützte Speicherung und Bereitstellung von Kundeninhalten und Dateien;
• Massnahmen gegen unbefugte mandantenübergreifende Zugriffe und unbeabsichtigte Offenlegung;
• kontrollierte Verwaltung von Zugangsdaten und technischen Geheimnissen; sowie
• Datenminimierung bei Protokollierung und Diagnose.

C. Integrität und sicherer Betrieb

• serverseitige Berechtigungsprüfung und Validierung sicherheitsrelevanter Eingaben;
• Schutz gegen missbräuchliche, automatisierte oder unberechtigte Zugriffe;
• risikobezogene Beschränkung und Prüfung hochgeladener Dateien;
• kontrollierte Änderungen, Abhängigkeiten und produktive Konfigurationen; sowie
• dokumentierte Behandlung bestätigter Sicherheitsvorfälle und Schwachstellen.

D. Nachvollziehbarkeit und Überwachung

• Protokollierung sicherheits-, administrativ- und nachweisrelevanter Aktionen;
• Beschränkung des Zugriffs auf Protokoll- und Diagnosedaten;
• angemessene Aufbewahrungs- und Schutzmassnahmen für Protokolle;
• kundenseitige Einsicht oder Export, soweit für die Nutzung vorgesehen; sowie
• Überwachung betrieblicher und sicherheitsrelevanter Ereignisse.

E. Verfügbarkeit, Sicherung und Wiederherstellung

• betriebliche Massnahmen zur Überwachung und Wiederherstellung der Verfügbarkeit;
• risikobezogene Sicherungs- und Wiederherstellungsverfahren;
• Trennung von produktiver Nutzung und aufbewahrten Sicherungskopien;
• dokumentierte Aufbewahrungs- und Löschzyklen; sowie
• regelmässige Überprüfung und Weiterentwicklung der Wiederherstellungsfähigkeit.

F. Überprüfung und Verbesserung

• regelmässige Überprüfung von Berechtigungen, Konfigurationen und Schutzmassnahmen;
• risikobezogene Bewertung technischer und organisatorischer Änderungen;
• Behandlung erkannter Abweichungen und Sicherheitsvorfälle; sowie
• Weiterentwicklung der Massnahmen ohne wesentliche Verringerung des Gesamtschutzniveaus.

Anhang 3 – Genehmigte Unterauftragsbearbeiter

Die aktuelle Liste kann in der Anwendung oder unter einer von imatics bezeichneten URL veröffentlicht werden. Soweit ein Anbieter für bestimmte Bearbeitungen selbstständig Verantwortlicher ist, richtet sich diese Bearbeitung nach seiner Datenschutzerklärung und der App-Datenschutzerklärung von imatics.

Anhang 4 – Lösch- und Rückgabekonzept