Auftragsverarbeitungsvertrag

Voxena GmbH

17. Oktober 2026

1 Zweck, Geltungsbereich und Beschreibung der Verarbeitung

Zweck dieses Auftragsverarbeitungsvertrags (der "AVV") ist die Gewährleistung der Einhaltung von Artikel 28 Abs. 3 und 4 der EU-Datenschutz-Grundverordnung ("DSGVO") und Artikel 9 des Schweizer Bundesgesetzes über den Datenschutz ("DSG"), wobei jedes Gesetz nur dann und insoweit gilt, als es auf die jeweilige Verarbeitungstätigkeit anwendbar ist.

Dieser AVV bildet einen Teil der Vereinbarung zwischen der Voxena GmbH, Picassoplatz 4, 4052 Basel, Schweiz (UID CHE-431.354.387) ("Auftragsverarbeiterin") und ihrer Kundin ("Verantwortliche"). Auftragsverarbeiterin und Verantwortliche, je eine "Partei", gemeinsam die "Parteien".

Dieser AVV gilt in Bezug auf die Verarbeitung der folgenden personenbezogenen Daten im Rahmen der separaten Vereinbarung über die von der Auftragsverarbeiterin gegenüber der Verantwortlichen erbrachten Dienstleistungen ("Dienstleistungen") (die "Grundvereinbarung"):

Kategorien betroffener Personen: Personen mit Bezug zur Verantwortlichen, über die der Auftragsverarbeiterin im Zusammenhang mit der Nutzung der Dienstleistungen der Auftragsverarbeiterin Daten bereitgestellt werden, was hauptsächlich Kunden und Mitarbeitende umfasst.

Kategorien personenbezogener Daten: Personenbezogene Daten einschliesslich, im Einzelfall, Geburtsdatum/Alter, Kontaktdaten (E-Mail, Telefon), Finanzdaten, Wohnadresse, IP-Adresse, Name, Nationalität, Gesprächsaufzeichnung und alle weiteren personenbezogenen Daten, die von der Verantwortlichen in welcher Form auch immer auf der Plattform der Auftragsverarbeiterin im Zusammenhang mit der Nutzung der Dienstleistungen hochgeladen werden.

Die personenbezogenen Daten umfassen keine besonderen Kategorien von Daten.

Dieser AVV wird mit Annahme der Nutzungsbedingungen der zugehörigen Grundvereinbarung durch die Parteien abgeschlossen.

2 Auslegung

Soweit dieser AVV die in der DSGVO oder dem DSG, je nach Anwendbarkeit, definierten Begriffe verwendet, haben diese Begriffe dieselbe Bedeutung wie in jenem Gesetz.

Dieser AVV ist im Lichte der Bestimmungen der DSGVO und des DSG, je nach Anwendbarkeit, zu lesen und auszulegen.

Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die im Widerspruch zu den in der DSGVO oder dem DSG, je nach Anwendbarkeit, vorgesehenen Rechten und Pflichten steht oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beeinträchtigt.

3 Rangfolge

Im Falle eines Widerspruchs zwischen diesem AVV und den Bestimmungen einer anderen zwischen den Parteien bestehenden Vereinbarung, die zum Zeitpunkt der Vereinbarung oder des Abschlusses dieses AVV besteht oder danach abgeschlossen wird, geht dieser AVV vor, ausser wenn in Textform ausdrücklich anders vereinbart.

4 Pflichten der Parteien

4.1 Allgemeines

Die Auftragsverarbeiterin verarbeitet personenbezogene Daten nur auf dokumentierte Weisung der Verantwortlichen, namentlich im Zusammenhang mit den Dienstleistungen, es sei denn, sie ist hierzu durch Unions-, mitgliedstaatliches oder Schweizer Recht verpflichtet, dem die Auftragsverarbeiterin unterliegt. In diesem Fall informiert die Auftragsverarbeiterin die Verantwortliche vor der Verarbeitung über diese rechtliche Verpflichtung, sofern das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Weitere Weisungen können von der Verantwortlichen während der gesamten Dauer der Verarbeitung personenbezogener Daten erteilt werden. Solche Weisungen sind stets zu dokumentieren.

Die Auftragsverarbeiterin informiert die Verantwortliche unverzüglich, wenn Weisungen der Verantwortlichen nach Auffassung der Auftragsverarbeiterin gegen anwendbare Unions-, mitgliedstaatliche oder Schweizer Datenschutzbestimmungen verstossen.

4.2 Zweckbindung

Die Auftragsverarbeiterin verarbeitet die personenbezogenen Daten nur für den bzw. die spezifischen Zweck(e) der Verarbeitung, wie in diesem AVV festgelegt.

4.3 Löschung oder Rückgabe von Daten

Die Verarbeitung durch die Auftragsverarbeiterin erfolgt nur für die für den Zweck der Grundvereinbarung erforderliche Dauer.

Nach Beendigung der Erbringung der Datenverarbeitungsdienstleistungen oder bei Beendigung gemäss Klausel 7 gibt die Auftragsverarbeiterin alle personenbezogenen Daten an die Verantwortliche zurück und löscht bestehende Kopien, es sei denn, Unions-, mitgliedstaatliches oder Schweizer Recht verlangt die Speicherung der personenbezogenen Daten.

4.4 Sicherheit der Verarbeitung

Die Auftragsverarbeiterin setzt die in den TOM in Anhang I zu diesem AVV festgelegten technischen und organisatorischen Massnahmen um, um die Sicherheit der personenbezogenen Daten zu gewährleisten, einschliesslich des Schutzes vor versehentlicher oder unrechtmässiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu diesen Daten (Verletzung des Schutzes personenbezogener Daten), in Übereinstimmung mit Artikel 5, Artikel 28 Abs. 3 Bst. c und Artikel 32 DSGVO sowie Artikel 8 DSG. Bei der Beurteilung des angemessenen Sicherheitsniveaus tragen sie insbesondere den mit der Verarbeitung verbundenen Risiken, der Art der personenbezogenen Daten sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung gebührend Rechnung.

Die Auftragsverarbeiterin darf personenbezogene Daten am Geschäftssitz der Auftragsverarbeiterin und ihrer gemäss diesem AVV genehmigten Unterauftragsverarbeiter speichern.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die von der Auftragsverarbeiterin verarbeitete Daten betrifft, benachrichtigt sie die Verantwortliche unverzüglich und spätestens innerhalb von 24 Stunden, nachdem sie von der Verletzung Kenntnis erlangt hat. Eine solche Benachrichtigung enthält die Angaben zu einer Kontaktstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können, eine Beschreibung der Art der Verletzung (einschliesslich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze), ihrer wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Massnahmen zur Milderung ihrer möglichen nachteiligen Auswirkungen. Soweit und sobald es nicht möglich ist, alle Informationen gleichzeitig bereitzustellen, enthält die anfängliche Benachrichtigung die dann verfügbaren Informationen, und weitere Informationen werden bereitgestellt, sobald sie verfügbar werden, ohne unangemessene Verzögerung.

Die Auftragsverarbeiterin wirkt nach Treu und Glauben mit und unterstützt die Verantwortliche in jeder erforderlichen Weise, um die Verantwortliche in die Lage zu versetzen, gegebenenfalls die zuständige Datenschutzbehörde und die betroffenen Personen zu benachrichtigen, unter Berücksichtigung der Art der Verarbeitung und der der Auftragsverarbeiterin zur Verfügung stehenden Informationen.

Die Auftragsverarbeiterin gewährt Mitgliedern ihres Personals nur insoweit Zugang zu den Daten, als dies für die Durchführung, Verwaltung und Überwachung des Vertrages unbedingt erforderlich ist. Die Auftragsverarbeiterin stellt sicher, dass die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Umfasst die Verarbeitung personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, genetische oder biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder zur sexuellen Orientierung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten (besondere Kategorien von Daten), wendet die Auftragsverarbeiterin besondere Einschränkungen und/oder zusätzliche Schutzmassnahmen an, wie von der Verantwortlichen vernünftigerweise verlangt.

4.5 Dokumentation und Compliance

Die Parteien müssen in der Lage sein, die Einhaltung dieses AVV nachzuweisen.

Die Auftragsverarbeiterin bearbeitet alle angemessenen Anfragen der Verantwortlichen, die sich auf die Verarbeitung im Rahmen dieses AVV beziehen, umgehend und ordnungsgemäss.

Die Auftragsverarbeiterin stellt der Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in diesem AVV festgelegten Pflichten erforderlich sind und die sich unmittelbar aus der DSGVO oder dem DSG ergeben, und ermöglicht und unterstützt auf Verlangen der Verantwortlichen Überprüfungen von Datenbeständen und Dokumentation oder Audits der von diesen Klauseln erfassten Verarbeitungstätigkeiten, insbesondere wenn Anzeichen für eine Nichteinhaltung vorliegen.

Die Verantwortliche kann das Audit selbst durchführen, auf eigene Kosten einen unabhängigen Prüfer beauftragen oder sich auf ein von der Auftragsverarbeiterin beauftragtes unabhängiges Audit stützen. Beauftragt die Auftragsverarbeiterin ein Audit, hat sie die Kosten des unabhängigen Prüfers zu tragen. Die Audit-, Zugangs- und Inspektionsrechte der Verantwortlichen nach dieser Klausel beschränken sich auf die Aufzeichnungen der Auftragsverarbeiterin (einschliesslich unter anderem der Verzeichnisse der Verarbeitungstätigkeiten personenbezogener Daten, der Verzeichnisse der Empfänger personenbezogener Daten) und gelten nicht für die physischen Räumlichkeiten der Auftragsverarbeiterin. Jedes Audit und jede Informationsanfrage beschränkt sich auf die für die Zwecke dieses AVV erforderlichen Informationen und trägt den Vertraulichkeitspflichten und dem berechtigten Interesse der Auftragsverarbeiterin am Schutz von Geschäftsgeheimnissen gebührend Rechnung.

Die Auftragsverarbeiterin und die Verantwortliche stellen die in dieser Klausel genannten Informationen, einschliesslich der Ergebnisse von Audits, der zuständigen Aufsichtsbehörde auf Verlangen zur Verfügung, sofern und soweit dies durch die DSGVO oder das DSG, je nach Anwendbarkeit, verlangt wird.

4.6 Einsatz von Unterauftragsverarbeitern

Die Auftragsverarbeiterin verfügt über die allgemeine Genehmigung der Verantwortlichen für den Beizug von Unterauftragsverarbeitern. Die Liste der Unterauftragsverarbeiter der Auftragsverarbeiterin findet sich in Anhang II zu diesem AVV. Die Verantwortliche akzeptiert hiermit die in Anhang II zu diesem AVV aufgeführten Unterauftragsverarbeiter. Die Auftragsverarbeiterin informiert die Verantwortliche in Textform über beabsichtigte Änderungen dieser Liste durch Hinzufügung oder Ersetzung von Unterauftragsverarbeitern mindestens 7 Tage im Voraus und gibt der Verantwortlichen damit die Möglichkeit, solchen Änderungen vor dem Beizug der betreffenden Unterauftragsverarbeiter zu widersprechen. Ein solcher Widerspruch darf nicht unbillig erhoben werden. Die Parteien halten die Liste aktuell.

Zieht die Auftragsverarbeiterin einen Unterauftragsverarbeiter zur Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag der Verantwortlichen) bei, so tut sie dies mittels eines Vertrages, der dem Unterauftragsverarbeiter dieselben Pflichten auferlegt wie die der Auftragsverarbeiterin nach diesem AVV. Die Auftragsverarbeiterin stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen die Auftragsverarbeiterin nach diesem AVV, Artikel 28 Abs. 2 bis 4 DSGVO und Artikel 9 Abs. 3 DSG unterliegt.

Die Auftragsverarbeiterin stellt der Verantwortlichen auf Verlangen eine Kopie eines solchen Unterauftragsverarbeiter-Vertrages und nachfolgender Änderungen zur Verfügung.

Die Auftragsverarbeiterin bleibt der Verantwortlichen gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters aus seinem Vertrag mit der Auftragsverarbeiterin vollständig verantwortlich. Die Auftragsverarbeiterin benachrichtigt die Verantwortliche über jedes Versäumnis des Unterauftragsverarbeiters, seine Pflichten aus jenem Vertrag zu erfüllen.

4.7 Internationale Übermittlungen

Jede Übermittlung von Daten in ein Land ausserhalb der EU/des EWR und der Schweiz (ein "Drittland") oder an eine internationale Organisation durch die Auftragsverarbeiterin erfolgt nur, wenn dies gemäss diesem AVV genehmigt ist, und in Übereinstimmung mit Kapitel V der DSGVO und den Artikeln 16 bis 18 des DSG, je nach Anwendbarkeit.

Die Verantwortliche stimmt zu, dass, wenn die Auftragsverarbeiterin gemäss Klausel 4.6 einen Unterauftragsverarbeiter zur Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag der Verantwortlichen in einem Drittland beizieht und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne der DSGVO oder des DSG, je nach Anwendbarkeit, beinhalten, die Auftragsverarbeiterin und der Unterauftragsverarbeiter die von der Kommission auf der Grundlage von Artikel 46 Abs. 2 DSGVO erlassenen Standardvertragsklauseln verwenden dürfen, um die Anforderungen von Kapitel V der DSGVO zu erfüllen, sofern die Voraussetzungen für die Verwendung dieser Klauseln erfüllt sind und sofern eine interne Beurteilung ergeben hat, dass eine solche Übermittlung dem Datenschutzniveau der DSGVO und des DSG entspricht.

5 Rechte betroffener Personen

Die Auftragsverarbeiterin benachrichtigt die Verantwortliche umgehend über jede Anfrage, die sie direkt von der betroffenen Person erhält. Sie beantwortet eine solche Anfrage nicht selbst, es sei denn und solange sie dazu von der Verantwortlichen ermächtigt wurde.

Die Auftragsverarbeiterin unterstützt die Verantwortliche bei der Erfüllung ihrer Pflichten, auf Anfragen betroffener Personen zur Ausübung ihrer Rechte gemäss Kapitel III der DSGVO und Kapitel 4 des DSG zu reagieren, namentlich:

• das Recht auf Information bei Erhebung personenbezogener Daten bei der betroffenen Person;

• das Recht auf Information, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden;

• das Auskunftsrecht der betroffenen Person;

• das Recht auf Berichtigung;

• das Recht auf Löschung ("Recht auf Vergessenwerden");

• das Recht auf Einschränkung der Verarbeitung;

• die Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung;

• das Recht auf Datenübertragbarkeit;

• das Widerspruchsrecht;

• das Recht, nicht einer ausschliesslich auf einer automatisierten Verarbeitung beruhenden Entscheidung, einschliesslich Profiling, unterworfen zu werden; und

• das Recht auf Widerruf der Einwilligung.

Die Auftragsverarbeiterin unterstützt die Verantwortliche, falls eine betroffene Person bei der zuständigen Aufsichtsbehörde eine Beschwerde eingereicht hat, die auf der Grundlage dieses AVV verarbeitete Daten betrifft.

Zusätzlich zur Pflicht der Auftragsverarbeiterin zur Unterstützung der Verantwortlichen gemäss Klausel 5 unterstützt die Auftragsverarbeiterin die Verantwortliche ferner bei der Gewährleistung der Einhaltung der folgenden Pflichten, unter Berücksichtigung der Art der Verarbeitung und der der Auftragsverarbeiterin zur Verfügung stehenden Informationen:

• die Pflicht, eine Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde ohne unangemessene Verzögerung zu melden, nachdem sie davon Kenntnis erlangt hat (es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen), in Übereinstimmung mit Artikel 33 DSGVO und Artikel 24 Abs. 1 bis 3 DSG;

• die Pflicht, die Verletzung des Schutzes personenbezogener Daten der betroffenen Person ohne unangemessene Verzögerung mitzuteilen, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, in Übereinstimmung mit Artikel 34 DSGVO und Artikel 24 Abs. 4 DSG;

• die Pflicht, eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (eine "Datenschutz-Folgenabschätzung") durchzuführen, wenn eine Art der Verarbeitung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt, in Übereinstimmung mit Artikel 35 DSGVO und Artikel 22 DSG;

• die Pflicht, die zuständige Aufsichtsbehörde vor der Verarbeitung zu konsultieren, wenn eine Datenschutz-Folgenabschätzung ergibt, dass die Verarbeitung ohne von der Verantwortlichen zur Minderung des Risikos ergriffene Massnahmen ein hohes Risiko zur Folge hätte, in Übereinstimmung mit Artikel 36 DSGVO und Artikel 23 DSG.

Die Parteien legen in den TOM in Anhang I zu diesem AVV die angemessenen technischen und organisatorischen Massnahmen fest, mit denen die Auftragsverarbeiterin die Verantwortliche bei der Anwendung dieser Klausel zu unterstützen hat, sowie den Umfang und das Ausmass der erforderlichen Unterstützung.

6 Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten wirkt die Auftragsverarbeiterin nach Treu und Glauben mit und unterstützt die Verantwortliche in jeder erforderlichen Weise, damit die Verantwortliche ihre Pflichten aus den Artikeln 33 und 34 der DSGVO und Artikel 24 des DSG, je nach Anwendbarkeit, erfüllen kann, unter Berücksichtigung der Art der Verarbeitung und der der Auftragsverarbeiterin zur Verfügung stehenden Informationen.

Die Auftragsverarbeiterin unterstützt die Verantwortliche bei der Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde, soweit relevant. Die Auftragsverarbeiterin ist verpflichtet, insbesondere bei der Beschaffung der folgenden Informationen zu unterstützen, die gemäss Artikel 33 Abs. 3 DSGVO oder Artikel 24 Abs. 2 DSG, je nach Anwendbarkeit, in der Meldung der Verantwortlichen anzugeben sind:

• die Art der personenbezogenen Daten einschliesslich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen Datensätze;

• die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

• die von der Verantwortlichen ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschliesslich, soweit angebracht, Massnahmen zur Milderung ihrer möglichen nachteiligen Auswirkungen.

7 Beendigung

Unbeschadet jeglicher Bestimmungen der DSGVO oder des DSG, je nach Anwendbarkeit, kann die Verantwortliche im Falle, dass die Auftragsverarbeiterin gegen ihre Pflichten aus diesem AVV verstösst, die Auftragsverarbeiterin anweisen, die Verarbeitung personenbezogener Daten vorübergehend auszusetzen, bis Letztere diesen AVV einhält oder der Vertrag beendet wird. Die Auftragsverarbeiterin informiert die Verantwortliche umgehend, falls sie aus welchem Grund auch immer nicht in der Lage ist, diesen AVV einzuhalten.

Die Verantwortliche kann diesen AVV beenden, wenn:

• die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin von der Verantwortlichen gemäss Buchstabe (a) vorübergehend ausgesetzt wurde, der Verstoss der Auftragsverarbeiterin wesentlich ist und die Einhaltung dieses AVV nicht innerhalb einer angemessenen Frist und in jedem Fall innerhalb eines Monats wiederhergestellt wird;

• die Auftragsverarbeiterin in erheblichem oder anhaltendem Verstoss gegen diesen AVV oder ihre Pflichten aus der DSGVO oder dem DSG, je nach Anwendbarkeit, steht und ein solcher Verstoss vernünftigerweise nicht behoben werden kann;

• die Auftragsverarbeiterin einer verbindlichen Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde bezüglich ihrer Pflichten aus diesem AVV oder aus der DSGVO oder dem DSG, je nach Anwendbarkeit, nicht nachkommt.

Dieser AVV bleibt so lange in vollem Umfang in Kraft, wie die Grundvereinbarung in Kraft bleibt. Jede Bestimmung dieses AVV, die ausdrücklich oder sinngemäss zum Schutz personenbezogener Daten bei oder nach Beendigung der Grundvereinbarung in Kraft treten oder bleiben soll, bleibt in vollem Umfang in Kraft.

8 Haftung und Freistellung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den in der Grundvereinbarung festgelegten Haftungsbeschränkungen und -ausschlüssen.

9 Verschiedenes

Vertraulichkeit: Die Parteien vereinbaren, die Bedingungen und das Bestehen dieses AVV sowie alle im Rahmen dieses AVV ausgetauschten Informationen vertraulich zu behandeln, sofern zwischen den Parteien nicht anders vereinbart.

Gesamte Vereinbarung: Dieser AVV ist die gesamte Vereinbarung und ersetzt alle früheren Vereinbarungen zwischen den Parteien in Bezug auf den Gegenstand dieses AVV.

Änderungen: Alle Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform (inkl. nicht qualifizierter elektronischer Signaturlösungen).

Mitteilungen: Jede Mitteilung "in Schriftform" ist mit physischer Post zuzustellen; jede Mitteilung "in Textform" umfasst jede elektronische Nachricht, jeweils an die zuletzt mitgeteilte oder verfügbare Adresse. Ist die Form nicht angegeben, genügt die Textform.

Keine Abtretung: Keine Partei darf ihre Rechte, Pflichten oder Ansprüche aus diesem AVV abtreten, sofern nicht anders vereinbart.

Salvatorische Klausel: Sollte eine Bestimmung dieses AVV (ganz oder teilweise) als rechtswidrig, ungültig oder anderweitig nicht durchsetzbar gelten, bleiben die übrigen Bestimmungen mutatis mutandis in vollem Umfang in Kraft.

Anwendbares Recht & Gerichtsstand: Gemäss der Grundvereinbarung.

Anhang I – TOM

Beschreibung der von der/den Auftragsverarbeiterin(nen) umgesetzten technischen und organisatorischen Sicherheitsmassnahmen:

1 Organisatorische Sicherheitsmassnahmen

1.1 Sicherheitsmanagement

Sicherheitsrichtlinie und -verfahren: Die Auftragsverarbeiterin verfügt über eine dokumentierte Sicherheitsrichtlinie in Bezug auf die Verarbeitung personenbezogener Daten.

Rollen und Verantwortlichkeiten:

• Rollen und Verantwortlichkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten sind klar definiert und gemäss der Sicherheitsrichtlinie zugewiesen.

• Bei internen Reorganisationen oder Kündigungen und Änderungen des Anstellungsverhältnisses ist der Entzug von Rechten und Verantwortlichkeiten mit den jeweiligen Übergabeverfahren klar definiert.

Zugangskontrollrichtlinie: Spezifische Zugangskontrollrechte werden jeder an der Verarbeitung personenbezogener Daten beteiligten Rolle nach dem Need-to-know-Prinzip zugewiesen.

Ressourcen-/Asset-Management: Die Auftragsverarbeiterin führt ein Register der für die Verarbeitung personenbezogener Daten verwendeten IT-Ressourcen (Hardware, Software und Netzwerk). Eine bestimmte Person ist mit der Pflege und Aktualisierung des Registers betraut (z. B. IT-Verantwortliche).

Änderungsmanagement: Die Auftragsverarbeiterin stellt sicher, dass alle Änderungen am IT-System von einer bestimmten Person (z. B. IT- oder Sicherheitsverantwortliche) registriert und überwacht werden. Eine regelmässige Überwachung dieses Prozesses findet statt.

1.2 Reaktion auf Vorfälle und Geschäftskontinuität

Behandlung von Vorfällen / Verletzungen des Schutzes personenbezogener Daten:

• Ein Incident-Response-Plan mit detaillierten Verfahren ist definiert, um eine wirksame und geordnete Reaktion auf Vorfälle im Zusammenhang mit personenbezogenen Daten zu gewährleisten.

• Die Auftragsverarbeiterin meldet der Verantwortlichen ohne unangemessene Verzögerung jeden Sicherheitsvorfall, der zu einem Verlust, Missbrauch oder unbefugten Erwerb personenbezogener Daten geführt hat.

Geschäftskontinuität: Die Auftragsverarbeiterin hat die wesentlichen Verfahren und Kontrollen festgelegt, die zu befolgen sind, um das erforderliche Mass an Kontinuität und Verfügbarkeit des IT-Systems zur Verarbeitung personenbezogener Daten zu gewährleisten (im Falle eines Vorfalls/einer Verletzung des Schutzes personenbezogener Daten).

1.3 Personal

Vertraulichkeit des Personals: Die Auftragsverarbeiterin stellt sicher, dass alle Mitarbeitenden ihre Verantwortlichkeiten und Pflichten im Zusammenhang mit der Verarbeitung personenbezogener Daten verstehen. Rollen und Verantwortlichkeiten werden während des Vorbeschäftigungs- und/oder Einführungsprozesses klar kommuniziert.

Schulung: Die Auftragsverarbeiterin stellt sicher, dass alle Mitarbeitenden angemessen über die Sicherheitskontrollen des IT-Systems informiert sind, die ihre tägliche Arbeit betreffen. An der Verarbeitung personenbezogener Daten beteiligte Mitarbeitende werden zudem durch regelmässige Sensibilisierungskampagnen ordnungsgemäss über relevante Datenschutzanforderungen und gesetzliche Pflichten informiert.

2 Technische Sicherheitsmassnahmen

2.1 Zugangskontrolle und Authentifizierung

Ein Zugangskontrollsystem für alle auf das IT-System zugreifenden Nutzer ist implementiert. Das System ermöglicht das Erstellen, Genehmigen, Überprüfen und Löschen von Benutzerkonten.

Die Nutzung gemeinsamer Benutzerkonten wird vermieden. In Fällen, in denen dies erforderlich ist, wird sichergestellt, dass alle Nutzer des gemeinsamen Kontos dieselben Rollen und Verantwortlichkeiten haben.

Bei der Gewährung von Zugang oder der Zuweisung von Benutzerrollen ist das Need-to-know-Prinzip zu beachten, um die Zahl der Nutzer mit Zugang zu personenbezogenen Daten auf diejenigen zu beschränken, die ihn zur Erreichung der Verarbeitungszwecke der Auftragsverarbeiterin benötigen.

Beruhen die Authentifizierungsmechanismen auf Passwörtern, verlangt die Auftragsverarbeiterin, dass das Passwort mindestens acht Zeichen lang ist und sehr starken Passwortkontrollparametern entspricht, einschliesslich Länge, Zeichenkomplexität und Nicht-Wiederholbarkeit.

Die Authentifizierungsdaten (wie Benutzer-ID und Passwort) werden niemals ungeschützt über das Netzwerk übertragen.

2.2 Protokollierung und Überwachung

Für jedes zur Verarbeitung personenbezogener Daten verwendete System/jede Anwendung sind Protokolldateien aktiviert. Sie umfassen alle Arten des Zugriffs auf Daten (Ansicht, Änderung, Löschung).

2.3 Sicherheit ruhender Daten

Server-/Datenbanksicherheit:

• Datenbank- und Anwendungsserver sind so konfiguriert, dass sie unter einem separaten Konto mit minimalen Betriebssystemberechtigungen laufen, die zum korrekten Funktionieren erforderlich sind.

• Datenbank- und Anwendungsserver verarbeiten nur die personenbezogenen Daten, die zur Erreichung der Verarbeitungszwecke tatsächlich verarbeitet werden müssen.

Workstation-Sicherheit:

• Nutzer können Sicherheitseinstellungen nicht deaktivieren oder umgehen.

• Antivirus-Anwendungen und Erkennungssignaturen werden regelmässig konfiguriert.

• Nutzer haben keine Berechtigungen, nicht autorisierte Softwareanwendungen zu installieren oder zu deaktivieren.

• Das System verfügt über Sitzungs-Timeouts, wenn der Nutzer für einen bestimmten Zeitraum inaktiv war.

• Vom Betriebssystementwickler veröffentlichte kritische Sicherheitsupdates werden regelmässig installiert.

2.4 Netzwerk-/Kommunikationssicherheit

Wann immer der Zugriff über das Internet erfolgt, wird die Kommunikation durch kryptografische Protokolle verschlüsselt.

Der Datenverkehr zum und vom IT-System wird durch Firewalls und Intrusion-Detection-Systeme überwacht und kontrolliert.

2.5 Backups

Backup- und Datenwiederherstellungsverfahren sind definiert, dokumentiert und klar mit Rollen und Verantwortlichkeiten verknüpft.

Backups erhalten ein angemessenes Mass an physischem und umgebungsbezogenem Schutz, der den auf die Ursprungsdaten angewandten Standards entspricht.

Die Durchführung von Backups wird überwacht, um die Vollständigkeit sicherzustellen.

2.6 Mobile/tragbare Geräte

Verfahren zur Verwaltung mobiler und tragbarer Geräte sind definiert und dokumentiert und legen klare Regeln für deren ordnungsgemässe Nutzung fest.

Mobile Geräte, die auf das Informationssystem zugreifen dürfen, sind vorregistriert und vorautorisiert.

2.7 Sicherheit im Anwendungslebenszyklus

Während des Entwicklungslebenszyklus werden bewährte Praktiken, der Stand der Technik und anerkannte sichere Entwicklungspraktiken oder -standards befolgt.

2.8 Datenlöschung/-entsorgung

Vor der Entsorgung von Datenträgern wird ein softwarebasiertes Überschreiben durchgeführt. In Fällen, in denen dies nicht möglich ist (CDs, DVDs usw.), wird eine physische Zerstörung durchgeführt.

Das Schreddern von Papier und tragbaren Datenträgern, die zur Speicherung personenbezogener Daten verwendet werden, wird durchgeführt.

2.9 Physische Sicherheit

Der physische Perimeter der IT-Systeminfrastruktur ist für nicht autorisiertes Personal nicht zugänglich. Angemessene technische Massnahmen (z. B. Intrusion-Detection-System, chipkartenbetriebenes Drehkreuz, Einzelpersonen-Sicherheitszugangssystem, Schliesssystem) oder organisatorische Massnahmen (z. B. Sicherheitspersonal) sind vorzusehen, um Sicherheitsbereiche und ihre Zugangspunkte gegen das Eindringen unbefugter Personen zu schützen.

Anhang II – Liste der Unterauftragsverarbeiter