Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer

1.1VNC verarbeitet die in den Kundendaten enthaltenen Personendaten im Auftrag des Kunden zum Zweck der Erbringung von VNClagoon SaaS gemäss Leistungsbeschreibung. Die Einzelheiten der Verarbeitung ergeben sich aus Anhang 1.

1.2Dieser AVV gilt ausschliesslich für VNClagoon SaaS. Installationen auf Grundlage eines Master Services Agreement unterliegen dem Auftragsverarbeitungsvertrag unter vnclagoon.com/data-processing.

1.3Der AVV gilt für die Dauer des Vertrags und darüber hinaus, bis sämtliche Kundendaten nach Massgabe der Kündigungs- und Datenexportrichtlinie gelöscht oder zurückgegeben wurden.

2. Weisungen

2.1VNC verarbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Kunden. Als dokumentierte Weisungen gelten der Vertrag, die Konfiguration des Mandanten durch den Kunden sowie die Nutzung der Funktionen des Dienstes. Weitergehende Weisungen sind schriftlich an info@vnc.biz zu richten.

2.2Ist VNC der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, informiert sie den Kunden unverzüglich.

2.3Ist VNC nach dem Recht der Union, eines Mitgliedstaats oder der Schweiz verpflichtet, Personendaten über die Weisungen hinaus zu verarbeiten, teilt sie dem Kunden diese rechtliche Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht untersagt.

3. Vertraulichkeit und Personal

3.1VNC stellt sicher, dass die zur Verarbeitung von Personendaten befugten Personen zur Vertraulichkeit verpflichtet sind und angemessen geschult wurden. Der Zugriff wird nach dem Grundsatz der Erforderlichkeit gewährt und protokolliert.

4. Sicherheit der Verarbeitung

4.1VNC trifft die in Anhang 3 beschriebenen technischen und organisatorischen Massnahmen und überprüft sie regelmässig. VNC ist berechtigt, die Massnahmen weiterzuentwickeln, sofern das Schutzniveau dadurch nicht unterschritten wird.

4.2Die genutzten Rechenzentren sind nach ISO 27001 und BSI C5 Typ 2 zertifiziert. Zusammenfassungen der Zertifikate und Prüfberichte stellt VNC auf Anfrage und unter Wahrung der Vertraulichkeit zur Verfügung.

5. Unterauftragsverarbeiter

5.1Der Kunde erteilt die allgemeine Genehmigung zum Beizug der in Anhang 2 aufgeführten Unterauftragsverarbeiter. VNC erlegt den Unterauftragsverarbeitern Datenschutzpflichten auf, die den Pflichten aus diesem AVV gleichwertig sind, und bleibt für deren Erfüllung verantwortlich.

5.2Über beabsichtigte Ergänzungen oder Ersetzungen informiert VNC den Kunden mindestens 30 Tage im Voraus per E-Mail an die Administration und in der Administrationskonsole. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Kommt keine Einigung zustande, kann der Kunde den Vertrag auf den Zeitpunkt der Änderung kündigen; im Voraus bezahlte Entgelte werden anteilig zurückerstattet.

6. Ort der Verarbeitung und Datenübermittlungen

6.1Personendaten werden in Rechenzentren in der Europäischen Union oder in der Schweiz gespeichert und verarbeitet. Für den Betrieb des Dienstes übermittelt VNC keine Kundendaten in Staaten ausserhalb der EU, des EWR oder der Schweiz.

6.2Ist ein in Anhang 2 aufgeführter Unterauftragsverarbeiter ausserhalb dieser Gebiete niedergelassen oder dem Recht eines Drittstaats unterworfen, gilt die in Anhang 2 genannte Übermittlungsgarantie, insbesondere die EU-Standardvertragsklauseln mit dem Zusatz für die Schweiz, zusammen mit den dort beschriebenen ergänzenden Massnahmen.

7. Unterstützung des Kunden

7.1VNC unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei der Beantwortung von Anfragen betroffener Personen durch die Funktionen des Dienstes und, soweit diese nicht ausreichen, durch angemessene weitere Unterstützung.

7.2VNC unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, bei der Sicherheit der Verarbeitung sowie bei der Meldung von Verletzungen des Datenschutzes, soweit die erforderlichen Informationen dem Kunden nicht selbst zur Verfügung stehen. Unterstützungsleistungen, die über einen angemessenen Aufwand hinausgehen, kann VNC zu ihren üblichen Sätzen in Rechnung stellen.

8. Verletzung des Schutzes von Personendaten

8.1VNC meldet dem Kunden eine Verletzung des Schutzes von Personendaten, die Kundendaten betrifft, unverzüglich und in jedem Fall innerhalb von 36 Stunden nach Kenntnisnahme. Die Meldung enthält die nach Artikel 33 Absatz 3 DSGVO erforderlichen Angaben, soweit verfügbar, und wird ergänzt, sobald weitere Informationen vorliegen.

8.2Die Meldung erfolgt an die Administration sowie an den in der Administrationskonsole hinterlegten Datenschutzkontakt.

9. Löschung und Rückgabe

9.1Nach Beendigung des Vertrags löscht VNC die Personendaten oder gibt sie zurück, wie in der Kündigungs- und Datenexportrichtlinie beschrieben, sofern nicht das Recht der Union, eines Mitgliedstaats oder der Schweiz eine Aufbewahrung verlangt. Die Exportfunktionen ermöglichen dem Kunden jederzeit den Abruf sämtlicher Kundendaten in gängigen Formaten.

10. Nachweise und Prüfungen

10.1VNC stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, einschliesslich Zertifikaten, Prüfberichten und Zusammenfassungen von Audits der Rechenzentren.

10.2Der Kunde kann einmal jährlich sowie nach einer Verletzung des Schutzes von Personendaten selbst oder durch eine unabhängige, zur Vertraulichkeit verpflichtete Prüfstelle eine Prüfung durchführen, unter Einhaltung einer Frist von mindestens 30 Tagen, während der Geschäftszeiten und ohne Störung des Betriebs. Prüfungen gemeinsam genutzter Infrastruktur gelten durch die verfügbaren Berichte Dritter als erfüllt. Die Kosten von Prüfungen, die über die Einsichtnahme in Unterlagen hinausgehen, trägt der Kunde.

11. Haftung und Vorrang

11.1Die Haftung aus diesem AVV richtet sich nach den Haftungsbestimmungen der Abonnementbedingungen, soweit Artikel 82 DSGVO und zwingendes Recht dies zulassen.

11.2Bei Widersprüchen zwischen diesem AVV und anderen Bestandteilen des Vertrags geht dieser AVV für die Verarbeitung von Personendaten vor.

12. Anhang 1 · Einzelheiten der Verarbeitung

13. Anhang 2 · Unterauftragsverarbeiter

13.1Änderungen werden nach Massgabe von Ziffer 5 mitgeteilt.

14. Anhang 3 · Technische und organisatorische Massnahmen

14.1Vertraulichkeit: physische Zutrittskontrolle in zertifizierten Rechenzentren; logische Zugriffskontrolle mit rollenbasierten Berechtigungen, Single Sign-on und zwingender Zwei-Faktor-Authentifizierung für Administratorinnen und Administratoren; Mandantentrennung auf Anwendungs- und Datenebene; Verschlüsselung der Daten bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand.

14.2Integrität: Änderungsmanagement mit Überprüfung und gestufter Auslieferung; Protokollierung administrativer Handlungen; Integritätsprüfungen der Datensicherungen.

14.3Verfügbarkeit: redundante Infrastruktur innerhalb des Standorts; tägliche Datensicherungen mit einer Aufbewahrungsdauer von 30 Tagen; geprüfte Wiederherstellungsverfahren; Überwachung und Bereitschaftsdienst; Kapazitätsmanagement.

14.4Belastbarkeit und Wiederherstellung: dokumentierte Pläne für die Reaktion auf Sicherheitsvorfälle und für die Geschäftskontinuität; Wiederherstellungsziele gemäss Service Level Agreement.

14.5Verfahren zur regelmässigen Überprüfung: Schwachstellenmanagement, periodische Penetrationstests, Überprüfung der Massnahmen mindestens jährlich.

14.6Datenminimierung und Löschung: Löschroutinen gemäss Kündigungs- und Datenexportrichtlinie; pseudonymisierte Protokolldaten; keine Nutzung von Kundendaten für Produktanalysen über aggregierte Betriebskennzahlen hinaus.

14.7Organisation: Richtlinie zur Informationssicherheit, Vertraulichkeitspflichten und Schulung des Personals, Steuerung der Unterauftragsverarbeiter.