Diese Vereinbarung zur Auftragsverarbeitung (“AVV”) ist Bestandteil der AGB (“Vertrag”) zwischen dem Anbieter und dem Kunden. Der Anbieter wird nachfolgend als “Auftragsverarbeiter” oder „Auftragnehmer“ und der Kunde als “Verantwortlicher” oder “Auftraggeber” bezeichnet. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Verantwortlichen im Sinne von Art. 4 Nr. DSGVO sowie Art. 5 lit. k DSG und Art. 28 DSGVO sowie Art.9 DSGVO.
Die Parteien wollen ihren wechselseitigen datenschutzrechtlichen Verpflichtungen nach Art.9 DSG und Art. 28 DSGVO im Rahmen ihres Vertragsverhältnisses Rechnung tragen und schliessen deswegen nachstehende Vereinbarung zur Auftragsverarbeitung:
Diese Vereinbarung zur Auftragsverarbeitung ergänzt und konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien aus dem Vertragsverhältnis, welches durch die Registrierung unter app.digiclose.ai zustande kommt.
Gegenstand des Vertragsverhältnisses ist die zur Zurverfügungstellung der Plattform “digiclose” als Software-as-a-Service (“SaaS”) für den Verantwortlichen und Übernahme der Tätigkeiten im Bereich Administration und Support der Plattform durch den Auftragsverarbeiter.
Diese Vereinbarung zur Auftragsverarbeitung gilt für sämtliche Tätigkeiten im Zusammenhang mit dem Vertragsverhältnis, bei denen Beschäftigte und/oder – soweit gemäss nachstehendem § 7 zulässig – Subunternehmer des Auftragnehmers personenbezogene Daten des Auftraggebers verarbeiten.
Nach dieser Vereinbarung zur Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer innerhalb der Schweiz, im Gebiet der Bundesrepublik Deutschland sowie der Europäischen Union und des Europäischen Wirtschaftsraumes zulässig.
Eine Verarbeitung ausserhalb der EU und des EWR darf nur erfolgen, wenn der Auftragsverarbeiter den Auftraggeber mit einer angemessenen Frist darüber informiert hat, der Auftraggeber dieser vorher zugestimmt hat und wenn die besonderen Voraussetzungen der Art. 16 DSG und Art. 44 ff. DSGVO durch eine der nachfolgend aufgeführten Massnahmen erfüllt sind. Das angemessene Schutzniveau
Diese Vereinbarung tritt mit Registrierung unter app.digiclose.ai in Kraft und endet mit der Beendigung des Vertragsverhältnisses.
Beide Parteien sind berechtigt, diese Vereinbarung jederzeit aus wichtigem Grund zu kündigen. Ein solcher wichtiger Grund liegt für den Auftraggeber insbesondere vor, wenn
Ein solcher wichtiger Grund liegt für den Auftragnehmer insbesondere vor, wenn
Beide Parteien verpflichten sich, die zur Anwendung kommenden Datenschutzgesetze (insbesondere die Bestimmungen der DSGVO und des DSG) einzuhalten. Die Parteien gehen davon aus, dass der Auftragnehmer als Auftragsverarbeiter im Sinne des Art. 9 DSG und Art. 28 DSGVO für den Auftraggeber tätig wird. Wenn und soweit der Auftragnehmer jetzt oder künftig Leistungen erbringen soll, die nicht nach dieser Vereinbarung privilegiert sind, werden die Parteien schriftlich ergänzende Bestimmungen zum Datenschutz treffen, insbesondere diese Vereinbarung ergänzen oder eine neue Vereinbarung zur Auftragsverarbeitung abschliessen.
Auf Anfrage der Aufsichtsbehörde arbeiten Auftraggeber und Auftragnehmer bei der Erfüllung ihrer Aufgaben zusammen (Art. 31 DSGVO).
Im Rahmen der Durchführung dieser Vereinbarung gelten nachfolgende Verantwortungsbereiche:
Diese Vereinbarung zur Auftragsverarbeitung gilt für sämtliche Tätigkeiten im Zusammenhang mit dem Vertragsverhältnis, bei denen Beschäftigte und/oder – soweit gemäss nachstehendem § 7 zulässig – Subunternehmer des Auftragnehmers personenbezogene Daten des Auftraggebers verarbeiten.
Art, Ziel und Zweck der Datenverarbeitung sind im Einzelnen in § 1 des Vertrags spezifiziert. Die Parteien sind sich einig, dass ausschliesslich der Auftraggeber die Zwecke und Ziele der Verarbeitung bestimmt. Dies geschieht durch den Vertrag und die nach Massgabe dieser Vereinbarung zur Auftragsverarbeitung durch den Auftraggeber dem Auftragnehmer zu erteilenden Weisungen nach § 7.
Gegenstand der Verarbeitung personenbezogener Daten unter dem Vertragsverhältnis und dieser Vereinbarung zur Auftragsverarbeitung sind folgende Verarbeitungsvorgänge:
Im Rahmen des Vertragsverhältnisses verarbeitet der Auftragnehmer folgende Arten von Daten:
Der Kreis der durch die Verarbeitung personenbezogener Daten im Rahmen dieser Vereinbarung betroffenen Personen umfasst:
Vor Abschluss dieser Vereinbarung zur Auftragsverarbeitung und vor Beginn der Verarbeitung personenbezogener Daten durch den Auftragnehmer hat dieser dem Auftraggeber die Umsetzung der erforderlichen technischen und organisatorischen Massnahmen, insbesondere hinsichtlich der konkreten Auftragsdurchführung nach Massgabe dieser Vereinbarung zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben. Bei Akzeptanz durch den Auftraggeber werden die so dokumentierten Massnahmen Grundlage dieses Auftrags. Soweit die Prüfung/ein Audit des Auftraggebers Anpassungsbedarf ergibt, ist dieser einvernehmlich umzusetzen und zu dokumentieren.
Der Auftragnehmer wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleisten. Dazu werden die Schutzziele von Art. 8 DSG und Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Massnahmen das Risiko auf Dauer eingedämmt wird. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.
Der Auftragnehmer wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleisten. Dazu werden die Schutzziele von Art. 8 DSG und Art. 32 Abs. 1 DSGVO, wie VeZur Gewährleistung einer dem Risiko der Datenverarbeitung nach dem Vertrag angemessenen Schutzniveau hat der Auftragnehmer die in seinem (Daten-)Sicherheitskonzept aufgeführten technischen und organisatorischen Massnahmen gem. Art. 8 DSG und Art. 24, 32 DSGVO getroffen. Das (Daten-)Sicherheitskonzept wird als verbindlich festgelegt und als Anlage zu dieser Vereinbarung zur Auftragsverarbeitung genommen. Die darin beschriebenen Massnahmen sind passend zum ermittelten Risiko der Verarbeitung unter Berücksichtigung der Schutzziele nach Stand der Technik und unter besonderer Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse spezifiziert.rtraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Massnahmen das Risiko auf Dauer eingedämmt wird. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DSGVO zu berücksichtigen.
Dieses beinhaltet im Wesentlichen folgende technische und organisatorische Massnahmen:
Die in dieser Vereinbarung zur Auftragsverarbeitung/der Anlage 1 zu dieser Vereinbarung zur Auftragsverarbeitung beschriebenen technischen und organisatorischen Massnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Dem Auftragnehmer ist es deshalb gestattet, alternative adäquate Massnahmen umzusetzen, wenn und soweit das Sicherheitsniveau der festgelegten Massnahmen nicht unterschritten wird. Der Auftragnehmer wird dem Auftraggeber die technischen und organisatorischen Massnahmen zur Verfügung stellen (siehe Anlage 1).
Bei Störungen oder Unregelmässigkeiten wird der Auftragnehmer den Auftraggeber unverzüglich unterrichten.
(1) Die im Auftrag des Auftraggebers verarbeiteten Daten darf der Auftragnehmer nur nach Weisung des Auftraggebers berichtigen, löschen, übertragen oder ihre Verarbeitung einschränken. Wenn sich eine betroffene Person zu diesem Zweck direkt an den Auftragnehmer wendet, hat dieser ein solches Ersuchen unverzüglich an den Auftraggeber weiterzuleiten. Ansprechpartner für solche Anfragen beim Auftraggeber ist: datenschutz@digiclose.ai
(2) Der Ansprechpartner des Auftraggebers wird das Ersuchen prüfen und dem Auftragnehmer schriftlich mitteilen, ob es berechtigt war oder nicht und den Auftragnehmer anweisen, die Berichtigung, Löschung, Übertragung oder Einschränkung der Verarbeitung vorzunehmen. Die Weisung ist von beiden Parteien zu dokumentieren.
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieser Vereinbarung zur Auftragsverarbeitung folgende gesetzliche Pflichten nach Art. 28–33 DSGVO:
Die Einschaltung von Subunternehmern ist grundsätzlich gestattet. Über die Hinzuziehung von weiteren Subunternehmern wird der Auftragnehmer den Auftraggeber mit einer angemessenen Frist informieren. In diesem Fall wird der Auftragnehmer mit dem Subunternehmer eine Vereinbarung nach Massgabe des Art. 28 Abs. 2–4 DSGVO abschliessen.
Schaltet der Auftragnehmer mit Zustimmung des Auftraggebers oder aufgrund der allgemeinen schriftlichen Genehmigung des Auftraggebers Subunternehmer ein, so wird der Auftragnehmer seine vertraglichen Vereinbarungen mit den Subunternehmern so gestalten und entsprechend dokumentieren, dass sie den Anforderungen zu Vertraulichkeit, Datenschutz und Datensicherheit wie sie im Verhältnis zwischen dem Auftragnehmer und dem Auftraggeber bestehen, entsprechen (Art. 28 Abs. 4 DSGVO). Zudem sind ihm die gleichen Pflichten aufzuerlegen, die dem Auftragnehmer nach den gesetzlichen Vorschriften und nach den Regelungen dieser Vereinbarung zur Auftragsverarbeitung treffen. Insbesondere hat er den Subunternehmer im Falle, dass dieser seinerseits ein weiteres Unterauftragsverhältnis eingeht, dazu zu verpflichten, seine Zustimmung und die Zustimmung des Verantwortlichen einzuholen.
Dem Auftraggeber sind Kontroll- und Überprüfungsrechte entsprechend dieser Vereinbarung zur Auftragsverarbeitung zur Feststellung, ob geeignete technische und organisatorische Massnahmen ergriffen wurden, die sicherstellen, dass die Datenverarbeitung den Anforderungen der DSGVO entspricht, einzuräumen. Der Auftragnehmer kann dem Auftraggeber die Umsetzung geeigneter technischer und organisatorischer Massnahmen zur Erfüllung der Anforderungen der DSGVO auch durch Einhaltung von genehmigten Verhaltensregeln im Sinne von Art. 40 DSGVO und/oder Zertifizierungen im Sinne von Art. 42 DSGVO nachweisen.
Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Subunternehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.
Erbringt der Subunternehmer die vereinbarte Leistung ausserhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Massnahmen sicher.
Im Hinblick auf die Nachweispflichten des Auftraggebers nach Art. 5 Abs. 2 DSGVO und dessen Überprüfungsrechte nach Art. 28 Abs. 3 Satz 2 lit. h DSGVO vor Beginn der Datenverarbeitung und während der Laufzeit dieser Vereinbarung zur Auftragsverarbeitung stellt der Auftragnehmer sicher, dass sich der Auftraggeber von der Einhaltung der getroffenen technischen und organisatorischen Massnahmen überzeugen kann.
Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Überprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die dem Auftragnehmer rechtzeitig anzukündigen sind, von der Einhaltung dieser Vereinbarung zur Auftragsverarbeitung durch den Auftragnehmer zu überzeugen.
Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DSGVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen.
Der Nachweis solcher Massnahmen, die nicht nur die konkrete Auftragsverarbeitung betreffen, kann zum Beispiel erfolgen durch
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 24 Abs. 3 DSG und Art. 33, 34 DSGVO genannten Pflichten zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und zur Benachrichtigung der betroffenen Personen (Art. 34 DSGVO).
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten durch ihn oder durch die bei ihm beschäftigten Personen unverzüglich, sobald ihm diese bekannt werden.
(2) Dem Auftragnehmer ist bekannt, dass nach Art. 24 DSG und Art. 33 Abs. 2 DSGVO Informationspflichten im Falle einer Verletzung personenbezogener Daten bestehen. Deshalb sind solche Vorfälle unverzüglich dem Auftraggeber mitzuteilen. Dies gilt auch bei Verdacht auf sonstige Verletzungen gegen Vorschriften zum Schutz personenbezogener Daten oder anderen Unregelmässigkeiten beim Umgang mit personenbezogenen Daten des Auftraggebers. Der Auftragnehmer hat im Benehmen mit dem Auftraggeber angemessene Massnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen. Insbesondere ist der Auftragnehmer verpflichtet, unverzüglich die Ursache für die Verletzung des Schutzes personenbezogener Daten zu beseitigen. Soweit den Auftraggeber Pflichten nach Art. 24 Abs. 1 DSG und Art. 33 Abs. 1 oder 34 Abs. 1 DSGVO treffen, wird der Auftragnehmer ihn hierbei vollumfänglich unterstützen, damit der Auftraggeber seinen gesetzlichen Melde- und Benachrichtigungspflichten nach Art. 24 DSG und Art. 33, 34 DSGVO gegenüber der Aufsichtsbehörde und den betroffenen Personen nachkommen kann.
Der Auftraggeber als Verantwortlicher bleibt gegenüber der Aufsichtsbehörde und den betroffenen Personen allein im Sinne der Art. 24 DSG und Art. 33, 34 DSGVO verantwortlich. Er entscheidet deswegen alleine, ob aufgrund der ihm vom Auftragnehmer über einen Vorfall zur Verfügung gestellten Informationen eine Benachrichtigung der Aufsichtsbehörde und ggf. der Betroffenen erfolgen muss oder im Ausnahmefall unterbleiben kann. Er ist allein für die Einhaltung der 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO verantwortlich. Der Auftraggeber haftet alleine und vollumfänglich, sollte er eine erforderliche Meldung im vorgenannten Sinne trotz unverzüglicher Information durch den Auftragnehmer unterlassen oder die 72-Stunden-Frist versäumt haben.
Der Auftragnehmer wird Weisungen des Auftraggebers, die sich auf die Beachtung der einschlägigen datenschutzrechtlichen Bestimmungen sowie Zweck und Ziel der Verarbeitung beziehen, beachten. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person wird die personenbezogenen Daten ausschliesslich nach den Weisungen des Auftraggebers, einschliesslich der in dieser Vereinbarung eingeräumten Befugnisse, verarbeiten und nutzen. Etwas anderes gilt nur dann, wenn der Auftragnehmer durch das Recht der Union oder des Mitgliedsstaates, in dem er seinen Sitz hat, hierzu verpflichtet ist (Art. 28 Abs. 3 Satz 2 lit. a, Art. 29 DSGVO). In diesem Fall wird der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mitteilen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet, Art. 28 Abs. 3 Satz 2 lit. a DSGVO.
Der Auftraggeber behält sich im Rahmen der im Vertragswerk getroffenen Auftragsbeschreibung ein umfassendes Weisungsrecht über Art, Umfang, Ziele und Zweck der Datenverarbeitung vor. Dieses kann der Auftraggeber durch Einzelweisungen konkretisieren. Weisungen, Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und schriftlich oder in einem elektronischen Format zu dokumentieren (Art. 28 Abs. 3 Satz 2 lit. a, Art. 29 DSGVO). Auskünfte an Dritte oder betroffene Personen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung oder elektronischer Zustimmung des Auftraggebers erteilen. Die Zustimmung ist zu dokumentieren.
Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder in einem dokumentierten elektronischen Format bestätigen. Im Übrigen erteilt der Auftraggeber alle Aufträge, Teilaufträge und Weisungen grundsätzlich schriftlich oder in einem dokumentierten elektronischen Format. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemässen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Dem Auftragnehmer ist bekannt, dass er selbst als Verantwortlicher gilt, wenn er von der vertraglichen Vereinbarung oder den Weisungen des Verantwortlichen abweicht. Sollte er der Meinung sein, dass Weisungen des Auftraggebers rechtswidrig sind, gilt § 10 (3) unten.
Weisungsberechtigte seitens des Auftraggebers ist:
Nutzer gemäss Vertrag
Weisungsempfänger seitens Auftragnehmer ist:
datenschutz@digiclose.ai
Sofern der Auftragnehmer der Auffassung ist, dass die Ausführung von Weisungen des Auftraggebers, auch von solchen, in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, zu einer Verletzung von Datenschutzbestimmungen führen könnte oder rechtswidrig ist, ist er verpflichtet, den Auftraggeber hierauf unverzüglich, vor der Verarbeitung bzw. Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation hinzuweisen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen des Auftraggebers bestätigt oder geändert wird. Wenn und soweit die Aussetzung zu Unrecht erfolgte, behält sich der Auftraggeber vor, etwaigen ihm hieraus resultierenden Schaden geltend zu machen. Die Weisung des Auftraggebers und die Ablehnung des Auftragnehmers sind zu dokumentieren.
Mit Beendigung des Auftrags oder vorher auf Verlangen des Auftraggebers ist der Auftragnehmer verpflichtet, dem Auftraggeber sämtliche in seinen Besitz gelangte Unterlagen, sowie die in Zusammenhang mit dem Vertragsverhältnis und dieser Vereinbarung zur Auftragsverarbeitung stehenden Datenbestände auszuhändigen oder nach vorheriger Zustimmung des Auftraggebers datenschutzgerecht zu löschen oder zu vernichten (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Für Test- und Ausschussmaterial gilt dies nur dann, wenn der Auftraggeber dies ausdrücklich verlangt. Nach Beendigung des Auftragsverhältnisses dürfen keinerlei personenbezogene Daten bei dem Auftragnehmer verbleiben. Die Verpflichtung gilt nicht, sofern der Auftragnehmer nach dem Unionsrecht oder dem Recht des Mitgliedstaates, in dem er seinen Sitz hat, zur Aufbewahrung personenbezogener Daten verpflichtet ist. Das Protokoll der Löschung bzw. Vernichtung ist dem Auftraggeber vorzulegen. Entsprechendes gilt für die Versicherung der vollständigen Aushändigung sämtlicher in Zusammenhang mit dem Vertragsverhältnis und dieser Vereinbarung zur Auftragsverarbeitung stehenden Unterlagen sowie Verarbeitungs- und Nutzungsergebnisse.
Der Auftragnehmer ist berechtigt, Dokumentationen, die er benötigt, um die Auftrags- und ordnungsgemässe Datenverarbeitung nachweisen zu können, gemäss den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie dem Auftraggeber zu seiner Entlastung bei Vertragsende übergeben.
Im Verhältnis zu den betroffenen Personen haften der Auftraggeber und der Auftragnehmer für Schäden, die aus einer schuldhaften Verletzung von Datenschutzbestimmungen im Rahmen der Durchführung des Vertragsverhältnisses oder dieser Vereinbarung zur Auftragsverarbeitung durch den Auftragnehmer, die bei ihm beschäftigten Personen oder durch von ihm nach Massgabe von § 7 eingeschalteten Subunternehmer entstehen.
Macht eine betroffene Person gegenüber dem Auftraggeber Schadensersatzansprüche wegen der Verletzung von Datenschutzbestimmungen, insbesondere der DSGVO oder des DSG, oder wegen einer ansonsten unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Vertragsverhältnisses der Parteien oder dieser Vereinbarung zur Auftragsverarbeitung geltend, stellt der Auftragnehmer den Auftraggeber bei einer schuldhaften Pflichtverletzung frei. Ist der Auftraggeber zum Schadensersatz verpflichtet, kann er bei dem Auftragnehmer Rückgriff nehmen. Der Auftragnehmer ist jedoch in einem solchen Fall zu dem Nachweis berechtigt, dass der den betroffenen Personen entstandene Schaden nicht durch eine Pflichtverletzung des Auftragnehmers, der bei ihm beschäftigten Personen oder von ihm nach Massgabe von § 7 eingeschaltete Subunternehmer schuldhaft verursacht wurde.
Im Verhältnis zu den betroffenen Personen haftet der Auftragnehmer nur für Schäden, die diesen aus einer schuldhaften Verletzung einer ihm speziell nach den Regelungen der DSGVO oder des DSG oder dieser Vereinbarung zur Auftragsverarbeitung auferlegten Pflicht, entstehen. Dies gilt weiter bei der Nichtbeachtung einer rechtmässig erteilten Weisung des Auftraggebers oder wenn der Auftragnehmer entgegen einer Weisung des Auftraggebers gehandelt hat.
Der Auftragnehmer haftet auch gegenüber den betroffenen Personen, wenn einer der bei ihm beschäftigten Personen oder ein durch ihn beauftragter Subunternehmer schuldhaft eine auferlegte Pflicht verletzt und hierdurch ein Schaden für die betroffenen Personen entstanden ist.
Dem Auftraggeber gegenüber haftet er, wenn er selbst oder die nach § 7 eingeschalteten Subunternehmer die ihnen obliegenden Pflichten nicht einhalten. Er stellt den Auftraggeber insoweit bei einer schuldhaften Pflichtverletzung von sämtlichen Schadensersatzansprüchen frei, die die betroffenen Personen gegenüber dem Auftraggeber wegen der Verletzung einer solchen Pflicht geltend machen. § 12 (1)(b) gilt entsprechend. Der Auftragnehmer ist jedoch berechtigt, nachzuweisen, dass der der betroffenen Person entstandene Schaden nicht durch eine Pflichtverletzung einer der bei ihm beschäftigten Personen oder eines von ihm nach Massgabe des § 7 eingeschalteten Subunternehmers schuldhaft verursacht wurde.
Werden sowohl der Auftraggeber als auch der Auftragnehmer von einer betroffenen Person auf Schadensersatz wegen der Verletzung von Pflichten nach der DSGVO oder dem DSG in Anspruch genommen, bestimmt sich die Haftung der Parteien im Innenverhältnis danach, inwieweit die eine und/oder die andere Partei den Schaden verursacht hat. Sie kann gegen die jeweils andere Partei in Höhe des von dieser verursachten Schadens Rückgriff nehmen, wenn und soweit sie den vollen Schadensersatz an die betroffene Person geleistet hat.
Anlagen:
Anlage 1 - Technisch-organisatorische Massnahmen
Zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus für personenbezogene Daten wurden die nachfolgenden technischen und organisatorischen Massnahmen (TOM) umgesetzt. Diese Aufstellung ist nicht abschliessend; die Massnahmen werden regelmässig überprüft und bei Bedarf angepasst, um den gesetzlichen Anforderungen und dem Stand der Technik weiterhin zu entsprechen.
Anlage 2 - Genehmigte Subunternehmer
©2025 Digiclose AG, alle Rechte vorbehalten