Auftragsbearbeitungsvertrag (ADV)

Dieser Auftragsbearbeitungsvertrag (nachfolgend «ADV») regelt die Bearbeitung von Personendaten durch Digital Airways GmbH (nachfolgend «Auftragsbearbeiter») im Auftrag des Kunden (nachfolgend «Verantwortlicher») im Rahmen der Bereitstellung und des Betriebs der Plattform «ISO 9001 Builder». Er gilt nach Art. 9 des revidierten Schweizer Datenschutzgesetzes (revDSG) sowie – soweit anwendbar – Art. 28 DSGVO. Der ADV ist Bestandteil der Vereinbarung zwischen dem Verantwortlichen und dem Auftragsbearbeiter und wird über die Allgemeinen Geschäftsbedingungen einbezogen.

1. Gegenstand, Art, Umfang und Zweck

Der Auftragsbearbeiter bearbeitet Personendaten ausschliesslich zur Erfüllung des zugrunde liegenden Vertrags (Bereitstellung und Betrieb der Plattform) und nicht zu eigenen Zwecken. Art, Umfang und Zweck der Bearbeitung, die Arten der Personendaten und die Kategorien betroffener Personen ergeben sich aus dem Vertrag und dieser Erklärung (siehe Anhang 1).

2. Dauer

Dieser ADV gilt für die Laufzeit des zugrunde liegenden Vertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus fortbestehen (insbesondere Vertraulichkeit sowie Löschung bzw. Rückgabe der Daten), gelten bis zu ihrer vollständigen Erfüllung fort.

3. Weisungsgebundenheit

Der Auftragsbearbeiter bearbeitet die Personendaten ausschliesslich im Rahmen der dokumentierten Weisungen des Verantwortlichen. Der Vertrag und dieser ADV gelten als Erstweisung. Ist der Auftragsbearbeiter der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstösst, informiert er den Verantwortlichen.

4. Vertraulichkeit

Der Auftragsbearbeiter verpflichtet die mit der Bearbeitung befassten Personen auf Vertraulichkeit und stellt sicher, dass sie die Personendaten nur weisungsgemäss bearbeiten.

5. Technische und organisatorische Massnahmen (TOM)

Der Auftragsbearbeiter trifft die erforderlichen technischen und organisatorischen Massnahmen zum Schutz der Personendaten und hält sie auf einem dem Risiko angemessenen Stand (siehe Anhang 2). Massnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsbearbeiter

Der Verantwortliche genehmigt den Beizug der in Anhang 3 aufgeführten Unterauftragsbearbeiter. Der Auftragsbearbeiter informiert vorgängig über beabsichtigte Änderungen (Hinzufügung oder Ersetzung); der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innert 30 Tagen widersprechen. Der Auftragsbearbeiter verpflichtet Unterauftragsbearbeiter auf gleichwertige Datenschutzpflichten und bleibt gegenüber dem Verantwortlichen verantwortlich.

7. Rechte betroffener Personen

Der Auftragsbearbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Massnahmen dabei, Gesuche betroffener Personen (insbesondere Auskunft, Berichtigung, Löschung, Datenherausgabe) zu beantworten. Richtet eine betroffene Person ein Gesuch direkt an den Auftragsbearbeiter, leitet er es unverzüglich an den Verantwortlichen weiter.

8. Meldung von Verletzungen der Datensicherheit

Der Auftragsbearbeiter meldet dem Verantwortlichen eine Verletzung der Datensicherheit, die zu einem hohen Risiko für die betroffenen Personen führt, unverzüglich nach Kenntnisnahme (in der Regel innert 48 Stunden) und unterstützt ihn bei der Erfüllung seiner Melde- und Informationspflichten (Art. 24 revDSG).

9. Bekanntgabe ins Ausland

Die Bearbeitung erfolgt grundsätzlich in der EU bzw. der Schweiz. Soweit genehmigte Unterauftragsbearbeiter Personendaten ins Ausland (insbesondere USA) bekanntgeben, stellt der Auftragsbearbeiter einen angemessenen Datenschutz sicher – durch Bekanntgabe in einen Staat mit angemessenem Schutz oder durch geeignete Garantien (z. B. Standardvertragsklauseln) gemäss Art. 16 f. revDSG.

10. Kontroll- und Nachweisrechte

Der Auftragsbearbeiter weist die Einhaltung der Pflichten aus diesem ADV auf Anfrage nach (z. B. durch Selbstauskunft, Nachweise oder Zertifikate der eingesetzten Rechenzentren). Weitergehende Kontrollen erfolgen mit angemessener Vorankündigung, während der Geschäftszeiten und ohne unverhältnismässige Betriebsstörung.

11. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Vertrags gibt der Auftragsbearbeiter die Personendaten nach Wahl des Verantwortlichen zurück (Export in gängigen Formaten wie Word, Excel, PDF) oder löscht sie und bestehende Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Verlangen bestätigt.

12. Schlussbestimmungen

Bei Widersprüchen geht dieser ADV in datenschutzrechtlichen Fragen dem übrigen Vertrag vor. Es gilt Schweizer Recht; Gerichtsstand ist Basel, soweit gesetzlich zulässig. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Massgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.

Anhang 1 – Details der Bearbeitung

• Gegenstand: Bereitstellung und Betrieb der Plattform «ISO 9001 Builder» zum Aufbau und Betrieb eines Managementsystems (ISO 9001 sowie – je nach Paket – ISO 14001/45001).
• Art der Bearbeitung: Erheben, Speichern, Aufbewahren, Anzeigen, Auswerten, Bekanntgeben an genehmigte Unterauftragsbearbeiter, Löschen.
• Zweck: Erfüllung des Vertrags (geführte Dokumentenerstellung, Dokumentenlenkung, Benutzer- und Aufgabenverwaltung, Benachrichtigungen).
• Arten von Personendaten: Stammdaten der Benutzer (Name, geschäftliche E-Mail, Rolle/Funktion), Anmelde- und Nutzungsdaten, in Dokumenten erfasste Angaben (z. B. Verantwortlichkeiten, Freigaben) sowie Support-Kommunikation.
• Kategorien betroffener Personen: Mitarbeitende und Beauftragte des Verantwortlichen (Benutzer der Plattform).
• Besondere Personendaten sind nicht vorgesehen; der Verantwortliche unterlässt deren Erfassung in Freitextfeldern.

Anhang 2 – Technische und organisatorische Massnahmen (TOM)

• Rollenbasierte Zugriffskontrolle (Administrator, Bearbeitende, Lesezugriff, Auditor) und strikte Trennung der Kundendaten auf Datenbankebene.
• Verschlüsselte Übertragung (TLS) und verschlüsselte Ablage der Daten.
• Versionierung und Änderungsnachverfolgung in der Dokumentenlenkung; Protokollierung sicherheitsrelevanter Ereignisse.
• Regelmässige Datensicherung mit Wiederherstellungsmöglichkeit.
• Betrieb auf Rechenzentren etablierter Anbieter mit anerkannten Sicherheitszertifizierungen (z. B. ISO 27001).
• Verpflichtung der Mitarbeitenden auf Vertraulichkeit; die eingesetzten KI-Anbieter nutzen die Inhalte nicht zum Training.

Anhang 3 – Unterauftragsbearbeiter

Die folgenden Unterauftragsbearbeiter sind genehmigt. Die Liste entspricht der Datenschutzerklärung und wird bei Änderungen aktualisiert.

• Supabase – Datenbank, Authentifizierung und Speicherung der Anwendungsdaten. Server-Standort EU. Der Umzug der Datenhaltung in Schweizer Rechenzentren (Microsoft Azure Switzerland) ist geplant; dieser ADV wird bei der Umstellung entsprechend aktualisiert.
• Anthropic (USA) – KI-gestützte Erstellung der Dokumente und Analyse hochgeladener Inhalte. Übermittlung in die USA auf Grundlage geeigneter Garantien.
• Stripe (Stripe Payments Europe; Übermittlung in die USA möglich) – Abo- und Zahlungsabwicklung.
• Brevo – Versand der Konto-/Authentifizierungs-E-Mails (Registrierungsbestätigung, Einladung, Passwort-Zurücksetzung). Server-Standort EU.
• Resend (Resend, Inc., USA) – Versand von Benachrichtigungs- und Willkommens-E-Mails (Aufgaben, Dokumentenlenkung, Erinnerungen). Übermittlung auf Grundlage geeigneter Garantien.
• Hostinger – Webhosting der Website. Server-Standort EU.
• Spracherkennung des Browsers (optional) – nur aktiv bei Nutzung der Diktierfunktion; je nach Browser Übermittlung des Audios an dessen Anbieter (z. B. Google bei Chrome, USA).

Fragen zum Datenschutz und zu diesem ADV richten Sie an support@digital-airways.ch. Ergänzend gelten die Datenschutzerklärung sowie die Allgemeinen Geschäftsbedingungen.