Auftragsverarbeitungsvertrag (DPA)

1. Zweck und Rollen der Parteien

Dieser Vertrag (« DPA ») ist integraler Bestandteil des Vertrags zwischen der Kundin (« Verantwortliche ») und M-Heberge Avon (« Auftragsbearbeiterin ») für den Dienst Swiss Agent Network. Er gilt, wenn die Auftragsbearbeiterin Personendaten im Auftrag der Verantwortlichen bearbeitet, gemäss revDSG und gegebenenfalls Art. 28 DSGVO.

Die Verantwortliche bestimmt Zwecke und Mittel der Bearbeitung der Daten, die sie dem Agenten anvertraut. Die Auftragsbearbeiterin bearbeitet diese Daten ausschliesslich zur Erbringung des Dienstes und auf dokumentierte Weisung der Verantwortlichen (auch über die Einstellungen des Dienstes).

2. Art, Zweck und Dauer

• Art: Erheben, Speichern, Strukturieren, Einsehen, Verwenden durch den Agenten, Übermittlung an die in §7 genannten Unterauftragsbearbeiter.
• Zweck: Ausführung der von der Verantwortlichen gewünschten Funktionen des Dienstes.
• Dauer: die Vertragsdauer, vorbehaltlich §9.

3. Kategorien von Daten und betroffenen Personen

• Betroffene Personen: Kontakte, Kundschaft, Interessenten, Lieferanten und Korrespondenten der Verantwortlichen; Mitarbeitende der Verantwortlichen.
• Datenkategorien: Identifikations- und Kontaktdaten, Inhalt von Mitteilungen (E-Mails, Nachrichten), Geschäftsdaten (Angebote, Rechnungen) sowie alle Daten, die die Verantwortliche übermittelt. Die Verantwortliche verzichtet darauf, nicht erforderliche besonders schützenswerte Daten anzuvertrauen.

4. Pflichten der Auftragsbearbeiterin

• Daten nur auf Weisung der Verantwortlichen bearbeiten;
• die Vertraulichkeit der zur Bearbeitung befugten Personen sicherstellen;
• angemessene technische und organisatorische Massnahmen umsetzen (Verschlüsselung, Zugriffskontrolle, Mandantentrennung, Protokollierung);
• die Verantwortliche bei Anfragen betroffener Personen unterstützen;
• die Verantwortliche bei Sicherheit, Meldung von Verletzungen und Folgenabschätzungen unterstützen;
• die Verantwortliche informieren, wenn eine Weisung gegen anwendbares Recht zu verstossen scheint.

5. Datenschutzverletzung

Die Auftragsbearbeiterin benachrichtigt die Verantwortliche ohne ungerechtfertigte Verzögerung nach Kenntnisnahme über jede Verletzung des Schutzes von Personendaten, die die in ihrem Auftrag bearbeiteten Daten betrifft, und stellt die vernünftigerweise erforderlichen Informationen bereit.

6. Unterauftragsbearbeiter

Die Verantwortliche genehmigt den Beizug der in §7 aufgeführten Unterauftragsbearbeiter. Die Auftragsbearbeiterin verpflichtet diese zu gleichwertigen Schutzpflichten und bleibt für deren Erfüllung verantwortlich. Sie informiert die Verantwortliche über jede Hinzufügung oder Ersetzung und räumt ihr die Möglichkeit ein, aus berechtigtem Grund Widerspruch zu erheben.

7. Liste der Unterauftragsbearbeiter

8. Internationale Übermittlungen

Werden Daten ausserhalb der Schweiz oder der EU übermittelt (insbesondere an Anbieter in den USA), sorgt die Auftragsbearbeiterin für angemessene Garantien: das Data Privacy Framework Schweiz–USA / EU–USA, sofern der Anbieter zertifiziert ist, und/oder die vom EDÖB und der Europäischen Kommission anerkannten Standardvertragsklauseln, ergänzt durch zusätzliche Massnahmen.

9. Rückgabe und Löschung

Am Vertragsende löscht die Auftragsbearbeiterin die Personendaten oder gibt sie nach Wahl der Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Für die Löschung von Sicherungskopien gilt eine angemessene Frist.

10. Audit

Die Auftragsbearbeiterin stellt der Verantwortlichen die vernünftigerweise erforderlichen Informationen zum Nachweis der Einhaltung dieses DPA zur Verfügung und ermöglicht in angemessenem Rahmen und nach Vorankündigung verhältnismässige Audits.

11. Verschiedenes

Bei Widersprüchen zwischen diesem DPA und den Nutzungsbedingungen oder Verkaufsbedingungen zum Datenschutz geht dieses DPA vor. Dieses DPA untersteht Schweizer Recht; ausschliesslicher Gerichtsstand ist Genf.

Swiss Agent Network · Auftragsverarbeitungsvertrag · 11. August 2026