Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“ bzw. englisch „DPA“) regelt die Bearbeitung von Personendaten durch die AIO Services GmbH (nachfolgend „Auftragsbearbeiter“) im Auftrag des Kunden (nachfolgend „Verantwortlicher“) gemäss Art. 9 des revidierten Schweizer Datenschutzgesetzes (nDSG) sowie — soweit anwendbar — Art. 28 DSGVO. Der AVV ist Bestandteil des Servicevertrags und gilt ab Aktivierung des ersten kostenpflichtigen Dienstes.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung von Personendaten, die der Verantwortliche im Rahmen der Nutzung der Swiss-Max-Cloud-Dienste einbringt oder die bei der Erbringung der Dienste entstehen. Die Dauer entspricht der Laufzeit des Servicevertrags.
2. Art und Zweck der Bearbeitung
Der Auftragsbearbeiter erbringt Cloud-Dienste (IaaS, PaaS, SaaS) und verarbeitet Personendaten ausschliesslich nach Weisung des Verantwortlichen. Die Bearbeitung umfasst: Speicherung, Übermittlung, Abruf, Strukturierung und Löschung im Rahmen der beauftragten Dienste.
3. Kategorien betroffener Personen
- Mitarbeiterinnen und Mitarbeiter des Verantwortlichen.
- Kunden und Kontakte des Verantwortlichen (bei SaaS-Diensten).
- Sonstige natürliche Personen, deren Daten der Verantwortliche in den Diensten verarbeitet.
4. Datenkategorien
- Identifikations- und Kontaktdaten (Name, E-Mail, Telefon, Adresse).
- Zugangsdaten (Benutzernamen, verschlüsselte Passwörter, Tokens).
- Nutzungs- und Protokolldaten (Log-Einträge, Aktivitäten, Zeitstempel).
- Vom Verantwortlichen in den Diensten abgelegte Geschäftsdaten.
- Abrechnungsrelevante Daten (Verbrauchsmetriken).
Besonders schützenswerte Personendaten (Art. 5 lit. c nDSG / Art. 9 DSGVO) dürfen ohne schriftliche Vereinbarung nicht in den Diensten abgelegt werden, sofern der Dienst nicht ausdrücklich dafür ausgelegt ist.
5. Weisungsrecht
Der Auftragsbearbeiter verarbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Ist der Auftragsbearbeiter der Auffassung, eine Weisung verstosse gegen geltendes Recht, teilt er dies dem Verantwortlichen unverzüglich mit.
6. Pflichten des Auftragsbearbeiters
Der Auftragsbearbeiter verpflichtet sich:
- Personendaten nur nach Weisung zu bearbeiten.
- Vertraulichkeitsverpflichtung aller eingesetzten Personen sicherzustellen.
- Angemessene TOM gemäss Ziffer 8 zu implementieren und aufrechtzuerhalten.
- Unter-Auftragsbearbeiter nur gemäss Ziffer 7 einzusetzen.
- Den Verantwortlichen bei Betroffenenanfragen zu unterstützen (Ziffer 9).
- Datenpannen zu melden (Ziffer 10).
- Nach Vertragsende alle Daten zu löschen oder zurückzugeben (Ziffer 11).
- Nachweise über die Einhaltung dieses AVV zu erbringen (Ziffer 12).
7. Unter-Auftragsbearbeiter
Der Auftragsbearbeiter informiert über geplante Änderungen des Unter-Auftragsbearbeiter-Verzeichnisses mindestens 30 Tage im Voraus. Gegenwärtig eingesetzte Unter-Auftragsbearbeiter:
- Rechenzentrums-Betreiber — Hosting (Schweiz)
- Stripe Inc. — Zahlungsabwicklung (Schweiz / EU / USA, SCCs)
- Keycloak (self-hosted) — IAM (Schweiz)
- SMTP-Dienst — Transaktionsmails (Schweiz / EU)
Alle Unter-Auftragsbearbeiter werden zu gleichwertigen Datenschutz- verpflichtungen verpflichtet. Bei Weitergabe ausserhalb CH/EWR werden EU-Standardvertragsklauseln (SCCs) oder gleichwertige Garantien (Art. 16 Abs. 2 nDSG) eingesetzt.
8. Technische und organisatorische Massnahmen (TOM)
- Zutrittskontrolle: Physische Zutrittskontrolle durch zertifizierte RZ-Betreiber.
- Zugangskontrolle: MFA, RBAC, automatische Sitzungs-Timeouts.
- Zugriffskontrolle: Least-Privilege-Prinzip, Audit-Logging aller privilegierten Zugriffe.
- Weitergabekontrolle: TLS 1.2+ für Übertragung, AES-256 im Ruhezustand.
- Eingabekontrolle: Lückenloser Audit-Log über alle datenverändernden Operationen.
- Verfügbarkeitskontrolle: Regelmässige Backups, Redundanz, Incident-Response-Prozess.
- Trennungskontrolle: Schema-Isolation je Mandant auf Datenbankebene.
Der aktuelle TOM-Katalog kann auf Anfrage unter privacy@swissmax.cloud bezogen werden.
9. Anfragen betroffener Personen
Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) werden unverzüglich an den Verantwortlichen weitergeleitet. Der Auftragsbearbeiter unterstützt den Verantwortlichen bei der Beantwortung durch geeignete technische Massnahmen.
10. Datenpannen
Datenpannen werden dem Verantwortlichen unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme gemeldet (Art. 24 nDSG). Die Meldung enthält alle Informationen für die kundenseitige Meldepflicht gegenüber dem EDÖB.
11. Löschung und Rückgabe
Nach Vertragsende werden alle Personendaten des Verantwortlichen innerhalb von 30 Tagen gelöscht, sofern nicht vorher ein Datenexport beantragt wurde (Portal → „Datenschutz / Datenexport“ oder Support-Ticket). Nach Ablauf der Löschfrist ist keine Wiederherstellung mehr möglich.
12. Nachweise und Audits
Der Auftragsbearbeiter stellt alle erforderlichen Informationen zur Nachweisführung zur Verfügung. Audits durch den Verantwortlichen oder Dritte sind nach mindestens 14 Tagen Ankündigung in zumutbarer Weise möglich. Angemessene Kosten trägt der Verantwortliche.
13. Anwendbares Recht
Dieser AVV untersteht ausschliesslich Schweizer Recht (nDSG, OR). Massgebender Gerichtsstand ist der eingetragene Sitz des Auftragsbearbeiters gemäss aktuellem Handelsregistereintrag.
Kontakt: privacy@swissmax.cloud