Auftragsverarbeitungsvertrag (AVV)

(1) Der Auftragnehmer bearbeitet Personendaten ausschliesslich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Bearbeitung verpflichtet.

(2) Der Auftragnehmer bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemässer Datenbearbeitung.

(3) Der Auftragnehmer verpflichtet sich, bei der Bearbeitung die Vertraulichkeit streng zu wahren.

(4) Personen, die Kenntnis von den im Auftrag bearbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

(5) Der Auftragnehmer sichert zu, dass die bei ihm zur Bearbeitung eingesetzten Personen vor Beginn der Bearbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden.

(6) Im Zusammenhang mit der beauftragten Bearbeitung unterstützt der Auftragnehmer den Auftraggeber soweit erforderlich bei der Erfüllung seiner datenschutzrechtlichen Pflichten.

(7) Wird der Auftraggeber durch den EDÖB oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Auftragnehmer den Auftraggeber im erforderlichen Umfang zu unterstützen.

(8) Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen.

(9) Ort der Bearbeitung: Die primäre Speicherung der Daten erfolgt in der Schweiz (Serverstandort Zürich, AWS Region eu-central-2). Eine Übermittlung von Daten ins Ausland (z.B. USA für Push-Nachrichten oder Fehleranalyse) erfolgt nur an Anbieter, die ein angemessenes Datenschutzniveau gewährleisten oder durch das EU-U.S. / Swiss-U.S. Data Privacy Framework (DPF) bzw. Standardvertragsklauseln (SCC) abgesichert sind.

(1) Die in Anlage 1 beschriebenen Datensicherheitsmassnahmen werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum.

(2) Die Datensicherheitsmassnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird.

(3) Wesentliche Änderungen sind dem Auftraggeber unverzüglich mitzuteilen.

(4) Der Auftragnehmer sichert zu, dass die im Auftrag bearbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.

(5) Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige Backups.

(1) Im Rahmen des Auftrags bearbeitete Daten wird der Auftragnehmer nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren.

(2) Den entsprechenden Weisungen des Auftraggebers wird der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.

(1) Die Beauftragung von Subunternehmern ist nur mit Zustimmung des Auftraggebers zugelassen.

(2) Die Zustimmung ist nur möglich, wenn dem Subunternehmer vertraglich mindestens Datenschutzpflichten auferlegt wurden, die den in diesem Vertrag vereinbarten vergleichbar sind.

(3) Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, so haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

(4) Die in Anlage 2 mit Namen, Anschrift und Auftragsinhalt bezeichneten Subunternehmer sind durch den Auftraggeber genehmigt.

(1) Für die Beurteilung der Zulässigkeit der beauftragten Bearbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich.

(2) Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang zu kontrollieren.

(1) Der Auftraggeber behält sich hinsichtlich der Bearbeitung im Auftrag ein umfassendes Weisungsrecht vor.

(2) Weisungen können schriftlich an support@kidpilot.ch gerichtet werden.

(1) Nach Beendigung des Vertrags werden die Daten im Live-System sofort gesperrt.

(2) Die endgültige Löschung aus allen Backups erfolgt technisch bedingt spätestens nach 30 Tagen.

(3) Der Auftragnehmer hat den Nachweis der ordnungsgemässen Löschung auf Anfrage zu führen.

(1) Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenbearbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer als Gesamtschuldner.

(2) Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer oder die von ihm eingesetzten Subdienstleister im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen.

(1) Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmassnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln.

(2) Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

(3) Es gilt Schweizer Recht. Gerichtsstand ist Würenlos, Schweiz.