Auftragsverarbeitungsvertrag (AVV)

zwischen

und

gemeinsam die «Parteien».

1. Präambel und Gegenstand

Der Verantwortliche nutzt die vom Auftragsbearbeiter betriebene SaaS-Plattform VersammlungsHub (versammlungshub.ch) zur Organisation und Verwaltung von Versammlungen, Protokollen, Abstimmungen, Aufgaben und Finanzdaten. Im Rahmen dieser Nutzung bearbeitet der Auftragsbearbeiter im Auftrag und nach Weisung des Verantwortlichen Personendaten von dessen Mitgliedern, Eigentümerinnen und Eigentümern bzw. Vereinsmitgliedern.

Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit dieser Auftragsbearbeitung gemäss Art. 9 des Schweizerischen Datenschutzgesetzes (nDSG) sowie, soweit anwendbar, Art. 28 der Datenschutz-Grundverordnung (DSGVO).

2. Gegenstand, Art und Zweck der Bearbeitung

2.1 Gegenstand. Der Auftragsbearbeiter bearbeitet Personendaten ausschliesslich zum Zweck des Betriebs der Plattform VersammlungsHub für den Verantwortlichen, insbesondere für folgende Funktionen:

• Verwaltung von Mitglieder- und Eigentümerlisten
• Organisation und Durchführung von Versammlungen (Einladungen, Traktanden)
• Erstellung und Genehmigung von Versammlungsprotokollen
• Durchführung von Abstimmungen und Zirkularbeschlüssen
• Aufgaben- und Task-Tracking aus Traktanden
• Erfassung und Verwaltung von Finanzdaten und Belegen der Organisation

2.2 Kategorien betroffener Personen. Mitglieder, Eigentümerinnen und Eigentümer, Vorstands- bzw. Verwaltungsmitglieder sowie weitere natürliche Personen, deren Daten im Rahmen der Versammlungsorganisation erfasst werden.

2.3 Kategorien von Personendaten. Namen, Kontaktdaten, Miteigentumsanteile bzw. Stimmrechte, Protokollinhalte, Abstimmungsverhalten, Finanzdaten (Beiträge, Buchungen, Belege) sowie technische Nutzungsdaten (Login-Zeitpunkte, IP-Adressen).

2.4 Dauer der Bearbeitung. Die Bearbeitung erfolgt für die Dauer der vertraglichen Nutzung der Plattform durch den Verantwortlichen (Laufzeit gemäss separatem Nutzungsvertrag/AGB) sowie für die Dauer allfälliger gesetzlicher Aufbewahrungspflichten. Es gelten zudem die produktseitig automatisierten Löschfristen gemäss Anhang 2.

3. Pflichten des Auftragsbearbeiters

Der Auftragsbearbeiter verpflichtet sich, Personendaten:

• ausschliesslich nach dokumentierter Weisung des Verantwortlichen zu bearbeiten, soweit nicht eine gesetzliche Pflicht zu einer abweichenden Bearbeitung besteht,
• nur für die in Ziffer 2 genannten Zwecke zu bearbeiten,
• vertraulich zu behandeln und nur Personen Zugriff zu gewähren, die dies zur Aufgabenerfüllung benötigen,
• durch angemessene technische und organisatorische Massnahmen (siehe Anhang 1) zu schützen,
• den Verantwortlichen unverzüglich zu informieren, falls eine Weisung nach seiner Auffassung gegen anwendbares Datenschutzrecht verstösst,
• dem Verantwortlichen angemessene Unterstützung bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung etc.) zu leisten, unter anderem mittels eines strukturierten Datenexports.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsbearbeiter die generelle Genehmigung, folgende Unterauftragsverarbeiter zur Erfüllung dieses Vertrages einzusetzen:

Der Auftragsbearbeiter informiert den Verantwortlichen über wesentliche Änderungen dieser Liste mit angemessenem Vorlauf. Der Verantwortliche kann bei berechtigten Einwänden innert 30 Tagen schriftlich widersprechen; die Parteien werden in diesem Fall eine einvernehmliche Lösung suchen. Der Auftragsbearbeiter stellt sicher, dass mit allen Unterauftragsverarbeitern datenschutzrechtliche Verpflichtungen vereinbart werden, die dem Schutzniveau dieses Vertrages entsprechen.

5. Datentransfer ins Ausland

Soweit im Rahmen der Auftragsbearbeitung Personendaten in Länder ohne ein gemäss Schweizer bzw. EU-Recht anerkanntes angemessenes Datenschutzniveau übermittelt werden (insbesondere in die USA, z.B. an hCaptcha Inc.), stellt der Auftragsbearbeiter sicher, dass geeignete Garantien vorliegen, insbesondere Standardvertragsklauseln (SCC) der EU-Kommission bzw. eine gleichwertige Absicherung gemäss Art. 16 nDSG. Sentry wird ausschliesslich über EU-Server (Frankfurt) betrieben; hierfür findet kein Drittstaaten-Transfer statt.

6. Meldung von Datenschutzverletzungen

Der Auftragsbearbeiter meldet dem Verantwortlichen jede Verletzung der Datensicherheit betreffend die im Auftrag bearbeiteten Personendaten unverzüglich, spätestens jedoch innert 48 Stunden nach Kenntnisnahme. Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Datenkategorien und Personen, mögliche Folgen sowie ergriffene bzw. vorgeschlagene Massnahmen.

Der Verantwortliche ist dafür verantwortlich, allfällige eigene Meldepflichten gegenüber dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder betroffenen Personen zu erfüllen; der Auftragsbearbeiter unterstützt ihn dabei im zumutbaren Rahmen.

7. Kontrollrechte

Der Verantwortliche ist berechtigt, sich vor Beginn und während der Vertragsdauer in angemessenem Umfang von der Einhaltung der in diesem Vertrag festgelegten Massnahmen zu überzeugen, z.B. durch Einholung von Auskünften oder Nachweisen des Auftragsbearbeiters. Vor-Ort-Kontrollen erfolgen nach vorheriger Ankündigung mit angemessener Frist und unter Wahrung der Betriebsabläufe des Auftragsbearbeiters.

8. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Nutzungsvertrages löscht der Auftragsbearbeiter sämtliche im Auftrag bearbeiteten Personendaten oder gibt sie, nach Wahl des Verantwortlichen, in einem gängigen, maschinenlesbaren Format zurück, sofern nicht eine gesetzliche Pflicht zur weiteren Aufbewahrung besteht (z.B. Finanzdaten gemäss Art. 958f OR, 10 Jahre). Die Löschung bzw. Rückgabe erfolgt innert 30 Tagen nach Vertragsende, sofern nichts anderes vereinbart wird.

9. Haftung

Es gilt die gesetzliche Haftungsordnung. Jede Partei haftet für Schäden, die sie durch eigenes Verschulden verursacht. Eine Haftungsbeschränkung gemäss dem zwischen den Parteien bestehenden Nutzungsvertrag/AGB bleibt vorbehalten, soweit gesetzlich zulässig.

10. Vertraulichkeit

Der Auftragsbearbeiter stellt sicher, dass sämtliche Personen, die Zugriff auf die im Auftrag bearbeiteten Personendaten haben, zur Vertraulichkeit verpflichtet sind.

11. Schlussbestimmungen

Dieser Vertrag ergänzt den zwischen den Parteien bestehenden Nutzungsvertrag (AGB) für VersammlungsHub. Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Bestimmungen dieses AVV in Bezug auf die Datenbearbeitung vor.

Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform (E-Mail-Bestätigung genügt). Es gilt Schweizer Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsbearbeiters.

Unterschriften

Anhang 1: Technische und organisatorische Massnahmen (TOM) – Übersicht

• Verschlüsselte Datenübertragung mittels HTTPS/TLS
• Verschlüsselte bzw. gehashte Speicherung von Passwörtern
• Zugriffskontrolle nach Rollenmodell (Admin, Protokollführer, Mitglied)
• Regelmässige, verschlüsselte Backups an separatem Standort
• Audit-Log sicherheitsrelevanter Änderungen
• Getrennte Datenhaltung pro Organisation (Mandantentrennung)
• Server-Infrastruktur in der Schweiz bzw. Frankreich (OVH)
• Regelmässige Sicherheitsupdates und Patch-Management

[Diese TOM-Liste bitte im Detail ausbauen – sie wird üblicherweise ausführlicher verlangt und kann bei Bedarf separat dokumentiert werden.]

Anhang 2: Automatisierte Löschfristen

Dieser AVV ist eine Vorlage und ersetzt keine individuelle Rechtsberatung. Wir empfehlen, ihn vor dem produktiven Einsatz von einer Fachperson prüfen zu lassen.