Auftragsbearbeitungsvertrag (AVV) gemäss Schweizer Datenschutzgesetz (DSG)

1. Parteien und Geltung

1. Dieser Vertrag wird geschlossen zwischen dem Kunden als Verantwortlichem im Sinne von Artikel 5 Buchstabe j DSG (nachfolgend «Auftraggeber») und der Galaxyweb AG, Sonnenburgweg 10, 8215 Hallau, als Auftragsbearbeiterin im Sinne von Artikel 5 Buchstabe k DSG (nachfolgend «Galaxyweb»).
2. Er gilt für alle Dienstleistungen, bei denen Galaxyweb im Auftrag des Auftraggebers Personendaten bearbeitet, namentlich Webhosting, Domainnamen, Nameserver, E-Mail-Services, Cloudspeicher und E-Mail-Archivierung.
3. Massgebend ist das Bundesgesetz über den Datenschutz vom 25. September 2020 (DSG, SR 235.1) und die Datenschutzverordnung vom 31. August 2022 (DSV, SR 235.11), je in der geltenden Fassung. Auf ausländisches Datenschutzrecht nimmt dieser Vertrag nicht Bezug.

2. Rangordnung

1. Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen und der Datenschutzerklärung der Galaxyweb AG in allen Fragen vor, welche die Bearbeitung von Personendaten im Auftrag des Auftraggebers betreffen. Die Allgemeinen Geschäftsbedingungen gelten ergänzend, soweit dieser Vertrag keine Regelung enthält.
2. Die Datenschutzerklärung der Galaxyweb AG beschreibt die Bearbeitung von Personendaten, für die Galaxyweb selbst Verantwortliche ist. Sie regelt die Bearbeitung im Auftrag des Auftraggebers nicht.
3. Änderungen dieses Vertrags bedürfen der Schriftform. Der Änderungsvorbehalt nach Ziffer 21 der Allgemeinen Geschäftsbedingungen gilt für diesen Vertrag nicht.

3. Gegenstand, Zweck und Dauer der Bearbeitung

1. Gegenstand, Art und Zweck der Bearbeitung, die Kategorien der bearbeiteten Personendaten und die Kategorien der betroffenen Personen ergeben sich aus dem zugrunde liegenden Hauptvertrag und aus Anhang A.
2. Galaxyweb bearbeitet die Personendaten ausschliesslich zur Erbringung der vereinbarten Dienstleistungen. Eine Bearbeitung zu eigenen Zwecken, insbesondere zur Auswertung, zur Profilbildung oder zum Training von Systemen, findet nicht statt.
3. Der Vertrag tritt mit dem Abschluss des Hauptvertrags in Kraft und gilt für dessen Dauer.

4. Weisungen

1. Galaxyweb bearbeitet die Personendaten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag, der Hauptvertrag und die vom Auftraggeber in den bereitgestellten Verwaltungsoberflächen vorgenommenen Einstellungen.
2. Hält Galaxyweb eine Weisung für rechtswidrig, so teilt sie dies dem Auftraggeber unverzüglich mit. Galaxyweb darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert. Weisungen ausserhalb des vereinbarten Leistungsumfangs sind kostenpflichtig, sofern nichts anderes vereinbart wird.

5. Pflichten des Auftraggebers

1. Der Auftraggeber bleibt Verantwortlicher. Er stellt sicher, dass die Bearbeitung rechtmässig erfolgt, dass die Grundsätze nach Artikel 6 DSG eingehalten sind und dass er seine Informationspflicht nach Artikel 19 DSG gegenüber den betroffenen Personen erfüllt.
2. Der Auftraggeber informiert Galaxyweb vor Bearbeitungsbeginn, wenn besonders schützenswerte Personendaten nach Artikel 5 Buchstabe c DSG bearbeitet werden oder wenn er einer gesetzlichen oder vertraglichen Geheimhaltungspflicht untersteht (siehe Ziffer 13).
3. Der Auftraggeber ist für die korrekte Konfiguration und die Aktualität der von ihm betriebenen Systeme verantwortlich, beispielsweise für Content-Management-Systeme und deren Erweiterungen. Kommt er Empfehlungen und Weisungen der Galaxyweb nicht nach, trägt er die Folgen daraus resultierender Störungen und Sicherheitsvorfälle.

6. Pflichten der Galaxyweb

1. Galaxyweb bearbeitet die Daten so, wie der Auftraggeber es selbst tun dürfte (Artikel 9 Absatz 1 Buchstabe a DSG).
2. Galaxyweb verpflichtet alle Personen, die Zugang zu den Personendaten haben, schriftlich zur Vertraulichkeit. Die Verpflichtung gilt über das Ende des Arbeits- oder Auftragsverhältnisses hinaus.
3. Galaxyweb führt ein Verzeichnis ihrer Bearbeitungstätigkeiten nach Artikel 12 Absatz 3 DSG und stellt dem Auftraggeber die ihn betreffenden Angaben auf Anfrage zur Verfügung.
4. Galaxyweb hat einen Datenschutzberater nach Artikel 10 DSG ernannt. Die Kontaktdaten sind in der Datenschutzerklärung veröffentlicht.
5. Besteht eine rechtliche Verpflichtung zur Herausgabe von Personendaten, namentlich aufgrund einer Anordnung einer Schweizer Behörde, informiert Galaxyweb den Auftraggeber darüber, soweit dies rechtlich zulässig ist.

7. Eigenbetrieb der Infrastruktur

1. Galaxyweb erbringt ihre Leistungen als Full-Service-Provider und betreibt die dafür nötige Infrastruktur, soweit technisch möglich, selbst. Dazu gehören:
   • eigene Server- und Speicherhardware, betrieben in Rechenzentren in der Schweiz;
   • ein eigenes Netzwerk mit eigenem autonomem System und eigenen IP-Adressbereichen;
   • eigene mehrschichtige Backuplösung sowie Notfallmechanismen;
   • eigenes BGP-Routing über eigene Router und Transit- und Peering-Partner;
   • eigene Namensserver und eigene E-Mail-Infrastruktur;
   • eigene Schutz-, Filter- und Abwehrsysteme;
   • eigene Überwachung und eigene zentrale Auswertung sicherheitsrelevanter Ereignisse.
2. Die Zahl der Unterauftragsbearbeiter ist deshalb gering. Wo Galaxyweb eine Leistung nicht selbst erbringt, ist der Unterauftragsbearbeiter in Anhang C namentlich aufgeführt.
3. Galaxyweb setzt für die Auslieferung ihrer Dienste keine fremden Content-Delivery- oder Reverse-Proxy-Netze ein. Der Datenverkehr der Kunden wird nicht über Dritte geleitet und nicht bei Dritten entschlüsselt.

8. Datensicherheit

1. Galaxyweb gewährleistet nach Artikel 8 DSG und den Artikeln 1 bis 3 DSV eine dem Risiko angemessene Datensicherheit. Die Massnahmen zielen darauf, dass die Daten nur Berechtigten zugänglich sind, verfügbar sind, wenn sie benötigt werden, nicht unberechtigt verändert werden und nachvollziehbar bearbeitet werden (Artikel 2 DSV).
2. Die getroffenen technischen und organisatorischen Massnahmen sind in Anhang B beschrieben. Galaxyweb überprüft sie über die gesamte Bearbeitungsdauer und passt sie bei Bedarf an (Artikel 1 Absatz 5 DSV). Massnahmen dürfen ersetzt werden, wenn das Schutzniveau gleichwertig bleibt.
3. Werden besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet, protokolliert Galaxyweb das Speichern, Verändern, Bekanntgeben, Löschen und Vernichten sowie den Zugriff auf die Daten nach Artikel 4 DSV. Die Protokolle werden getrennt vom bearbeitenden System aufbewahrt und sind nur den Personen zugänglich, denen die Überprüfung der Datenschutzvorschriften oder die Wahrung der Datensicherheit obliegt.
4. Galaxyweb führt ein Bearbeitungsreglement nach Artikel 5 DSV und stellt es dem Auftraggeber auf begründete Anfrage in dem Umfang zur Verfügung, in dem dadurch die Sicherheit anderer Kunden nicht beeinträchtigt wird.

9. Meldung von Verletzungen der Datensicherheit

1. Als Verletzung der Datensicherheit gilt jede Verletzung der Sicherheit, die dazu führt, dass Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden (Artikel 5 Buchstabe h DSG).
2. Galaxyweb meldet dem Auftraggeber jede Verletzung der Datensicherheit, die dessen Daten betrifft, so rasch als möglich, spätestens jedoch 48 Stunden nach Kenntnisnahme (Artikel 24 Absatz 3 DSG). Die Meldung erfolgt an die vom Auftraggeber bezeichnete Kontaktadresse.
3. Die Meldung enthält, soweit im Meldezeitpunkt bekannt, die Angaben nach Artikel 15 Absatz 1 DSV:
   • die Art der Verletzung;
   • Zeitpunkt und Dauer;
   • die Kategorien und die ungefähre Anzahl der betroffenen Personendaten;
   • die Kategorien und die ungefähre Anzahl der betroffenen Personen;
   • die Folgen, einschliesslich der Risiken, für die betroffenen Personen;
   • die getroffenen oder vorgesehenen Massnahmen zur Behebung des Mangels und zur Minderung der Folgen;
   • Namen und Kontaktdaten einer Ansprechperson bei Galaxyweb.
4. Sind nicht alle Angaben gleichzeitig verfügbar, liefert Galaxyweb die fehlenden so rasch als möglich nach (Artikel 15 Absatz 2 DSV).
5. Galaxyweb unterstützt den Auftraggeber bei dessen Meldung an den EDÖB nach Artikel 24 Absatz 1 und 2 DSG und bei der Information der betroffenen Personen nach Artikel 24 Absatz 4 DSG und Artikel 15 Absatz 3 DSV. Die Beurteilung, ob eine Meldung an den EDÖB zu erstatten ist, obliegt dem Auftraggeber.
6. Galaxyweb dokumentiert Verletzungen der Datensicherheit mit den Tatsachen des Vorfalls, dessen Auswirkungen und den ergriffenen Massnahmen und bewahrt die Dokumentation mindestens zwei Jahre auf (Artikel 15 Absatz 4 DSV). Der Auftraggeber kann Einsicht in die ihn betreffenden Einträge verlangen.
7. Galaxyweb meldet einen Vorfall, der Daten des Auftraggebers betrifft, ohne dessen Einverständnis keiner betroffenen Person und keinem Dritten, es sei denn, eine gesetzliche Pflicht verlangt dies.

10. Unterauftragsbearbeitung

1. Der Auftraggeber erteilt Galaxyweb die generelle Genehmigung nach Artikel 9 Absatz 3 DSG und Artikel 7 Absatz 1 DSV, weitere Auftragsbearbeiter beizuziehen. Die im Zeitpunkt des Vertragsabschlusses beigezogenen Unterauftragsbearbeiter sind in Anhang C aufgeführt.
2. Galaxyweb informiert den Auftraggeber vor jeder beabsichtigten Änderung in Bezug auf den Beizug oder die Ersetzung von Unterauftragsbearbeitern (Artikel 7 Absatz 2 DSV). Der Auftraggeber kann der Änderung innert 30 Tagen seit der Mitteilung aus datenschutzrechtlichen Gründen widersprechen. Findet sich keine Lösung, kann jede Partei den betroffenen Dienst auf den Zeitpunkt des geplanten Wechsels kündigen.
3. Galaxyweb verpflichtet jeden Unterauftragsbearbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen, und bleibt dem Auftraggeber gegenüber für dessen Leistung verantwortlich.

11. Bearbeitung in der Schweiz und Bekanntgabe ins Ausland

1. Galaxyweb bearbeitet und speichert die Daten des Auftraggebers in der Schweiz. Die Bekanntgabe ins Ausland erfolgt nur, soweit sie in Anhang C ausgewiesen oder mit dem Auftraggeber vereinbart ist oder eine gesetzliche Pflicht sie verlangt.
2. Erfolgt eine Bekanntgabe ins Ausland, so stützt sie sich auf Artikel 16 Absatz 1 DSG in Verbindung mit Anhang 1 DSV, wenn der Bundesrat für den betreffenden Staat einen angemessenen Datenschutz festgestellt hat. Andernfalls stellt Galaxyweb den Schutz durch eine Garantie nach Artikel 16 Absatz 2 DSG sicher, namentlich durch Standarddatenschutzklauseln nach Artikel 16 Absatz 2 Buchstabe d DSG.

12. Rechte der betroffenen Personen

1. Ansprechpartner für betroffene Personen ist der Auftraggeber. Er bleibt auch dann auskunftspflichtig, wenn er die Daten von Galaxyweb bearbeiten lässt (Artikel 25 Absatz 4 DSG).
2. Wendet sich eine betroffene Person direkt an Galaxyweb, leitet Galaxyweb das Begehren unverzüglich an den Auftraggeber weiter und erteilt selbst keine Auskunft.
3. Galaxyweb unterstützt den Auftraggeber mit angemessenen technischen und organisatorischen Mitteln bei der Beantwortung von Begehren um Auskunft (Artikel 25 bis 27 DSG, Artikel 17 Absatz 2 DSV), um Herausgabe oder Übertragung von Daten (Artikel 28 DSG) sowie bei Begehren um Berichtigung, Löschung oder Vernichtung (Artikel 32 DSG). Aufwand, der über die in den Verwaltungsoberflächen verfügbaren Funktionen hinausgeht, wird nach Aufwand verrechnet.

13. Geheimhaltungspflichten

1. Untersteht der Auftraggeber einem Berufsgeheimnis nach Artikel 321 StGB oder einer anderen gesetzlichen oder vertraglichen Geheimhaltungspflicht, so setzt die Übertragung der Bearbeitung voraus, dass diese Pflicht die Übertragung nicht verbietet (Artikel 9 Absatz 1 Buchstabe b DSG). Der Auftraggeber klärt dies vor Bearbeitungsbeginn ab und teilt Galaxyweb das Ergebnis mit.
2. Galaxyweb und die von ihr eingesetzten Personen handeln in diesem Fall als Hilfspersonen des Auftraggebers und sind im gleichen Umfang zur Geheimhaltung verpflichtet wie dieser.

14. Nachweis und Überprüfung

1. Galaxyweb weist die Einhaltung dieses Vertrags auf Anfrage nach, in erster Linie durch Dokumentation der getroffenen Massnahmen, durch Auszüge aus dem Bearbeitungsverzeichnis und durch vorhandene Prüfberichte oder Zertifikate.
2. Reicht dies nicht aus, kann der Auftraggeber die Einhaltung einmal pro Kalenderjahr vor Ort überprüfen oder durch eine zur Verschwiegenheit verpflichtete und nicht zu Galaxyweb in Wettbewerb stehende Drittperson überprüfen lassen. Die Überprüfung ist mindestens 30 Tage im Voraus anzukündigen, hat während der ordentlichen Geschäftszeiten stattzufinden und darf den Betrieb nicht beeinträchtigen. Der Aufwand der Galaxyweb wird nach Aufwand verrechnet. Bei einer Verletzung der Datensicherheit, die Daten des Auftraggebers betrifft, entfällt die jährliche Beschränkung.

15. Beendigung, Rückgabe und Löschung

1. Nach Beendigung des Hauptvertrags gibt Galaxyweb die Personendaten nach Wahl des Auftraggebers zurück oder löscht sie. Der Auftraggeber teilt seine Wahl bis zum Vertragsende mit; unterbleibt die Mitteilung, werden die Daten gelöscht.
2. Die Daten werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind (Artikel 6 Absatz 4 DSG). Vorbehalten bleiben gesetzliche Aufbewahrungspflichten, namentlich nach Artikel 958f OR.
3. Daten in Sicherungskopien werden nicht einzeln gelöscht, sondern entfallen mit dem Ablauf der ordentlichen Backup-Rotation. Die Aufbewahrungsdauer der Sicherungskopien richtet sich je Produkt nach dem Vertrag und der Produktbeschreibung. Bis zu ihrem Ablauf bleiben die Daten durch die Massnahmen nach Ziffer 8 geschützt und werden nicht bearbeitet.
4. Die Wiederherstellung von Daten nach Vertragsende wird nach Aufwand verrechnet.

16. Haftung

1. Die Haftung richtet sich nach Ziffer 14 der Allgemeinen Geschäftsbedingungen, soweit dieser Vertrag nichts anderes bestimmt. Die Haftung für Verletzungen der Persönlichkeit nach den Artikeln 30 ff. DSG bleibt vorbehalten.

17. Schlussbestimmungen

1. Dieser Vertrag untersteht Schweizer Recht. Ausschliesslicher Gerichtsstand ist Schaffhausen.
2. Ist eine Bestimmung dieses Vertrags unwirksam oder undurchführbar, bleiben die übrigen Bestimmungen wirksam. Die unwirksame Bestimmung ist durch eine Regelung zu ersetzen, die dem verfolgten Zweck am nächsten kommt.