Stand 07/2021
Hintergrund
Dieser Auftragsdatenverarbeitungsvertrag (ADV) wird in die Bestellung (Auftragsbestätigung) einbezogen und ist Teil eines schriftlichen (auch in elektronischer Form geschlossenen) Vertrags zwischen Glutz und dem Kunden. Dieser ADV gilt für personenbezogene Daten, die von Glutz und ihren Unterauftragsdatenverarbeitern im Zusammenhang mit eAccess Cloud verarbeitet werden.
Die Anhänge 1 und 2 sind Bestandteil dieses ADV. Sie legen den vereinbarten Gegenstand, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien der Betroffenen Personen und die anzuwendenden technischen und organisatorischen Massnahmen fest.
Glutz und der Auftraggeber sind sich darüber einig, dass es in der Verantwortung jeder Partei liegt, die Anforderungen zu überprüfen und zu übernehmen, die durch das Bundesgesetz über den Datenschutz (DSG) und/oder die Datenschutzgrundverordnung 2016/679 (DSGVO) an die Verantwortlichen und Auftragsverarbeiter gestellt werden, wenn und soweit sie auf die personenbezogenen Daten des Auftraggebers/der Verantwortlichen anwendbar sind, die im Rahmen der Leistungserbringung verarbeitet werden.
Glutz wird als Auftragsverarbeiter tätig und der Auftraggeber, und die Rechtspersonen, denen sie die Nutzung von eAccess Cloud gestattet, handeln als Verantwortliche im Rahmen des ADV. Der Auftraggeber ist einziger Kontaktpunkt und allein verantwortlich für die Einholung aller relevanten Genehmigungen, Zustimmungen und Einwilligungen für die Verarbeitung personenbezogener Daten gemäss diesem ADV, sowie, soweit erforderlich, der Zustimmung der Verantwortlichen zum Einsatz von eAccess Cloud als Auftragsverarbeiter. Soweit vom Auftraggeber Genehmigungen, Zustimmungen, Weisungen oder Einwilligungen erteilt werden, werden diese nicht nur im Namen des Auftraggebers, sondern auch im Namen anderer Verantwortlicher, die eAccess Cloud nutzen, erteilt. Wenn Glutz den Auftraggeber informiert oder ihm Meldungen übermittelt, gelten diese Informationen oder Meldungen als von denjenigen Verantwortlichen erhalten, denen der Auftraggeber die Nutzung von eAccess Cloud gestattet hat. Es liegt in der Verantwortung des Auftraggebers, diese Informationen und Meldungen an die entsprechenden Verantwortlichen weiterzuleiten.
1. Art und Zweck der Verarbeitung, Ort der Verarbeitung, Art der Auftragsdaten, Kategorien der Betroffenen
Art und Zweck der Verarbeitung der personenbezogenen Daten, Datenkategorien und Kategorien der betroffenen Personen sind in Anhang 1 zum ADV aufgeführt.
2. Räumlicher Anwendungsbereich
Die Datenverarbeitung findet ausschliesslich in der Schweiz, der Europäischen Union (EU) oder in einem anderen Vertragsstaat des Abkommens über den europäischen Wirtschaftsraum (EWR) statt.
Eine Verarbeitung in anderen Staaten ist nur mit vorheriger schriftlicher Zustimmung des Auftraggebers zulässig und nur soweit ein Angemessenheitsbeschluss der EU-Kommission vorliegt oder durch andere geeignete Garantien ein angemessenes Datenschutzniveau sichergestellt ist.
3. Datenverantwortung und Weisungen
Glutz verarbeitet personenbezogene Daten ausschliesslich im Rahmen der getroffenen Vereinbarungen und/oder unter Einhaltung der ggf. vom Auftraggeber erteilten ergänzenden Weisungen. Ausgenommen hiervon sind gesetzliche Regelungen, die Glutz ggf. zu einer anderweitigen Verarbeitung verpflichten. In einem solchen Fall teilt der Glutz dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Zweck, Art und Umfang der Datenverarbeitung richten sich ansonsten ausschliesslich nach diesem ADV und/oder den Weisungen des Auftraggebers.
Glutz informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen gesetzliche Regelungen verstösst. Glutz ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.
Glutz wird allein im Auftrag und im Interesse des Auftraggebers tätig. Der Auftraggeber bleibt der ausschliessliche Verantwortliche für die Auftraggeberdaten und garantiert, dass die Glutz zur Verfügung gestellten Daten auf rechtmässige Weise verarbeitet wurden (z.B. rechtmässige Erfassung, Einhaltung der Informationspflicht), die Betroffenenrechte gewahrt bleiben und die Auftraggeberdaten durch Glutz verarbeitet werden dürfen.
4. Technische und organisatorische Massnahmen
Glutz ergreift in seinem Verantwortungsbereich alle technischen und organisatorischen Massnahmen, welche für einen angemessenen Schutz der Auftraggeberdaten erforderlich sind, um die Daten vor unbeabsichtigter oder unrechtmässiger Zerstörung oder unbeabsichtigtem Verlust, Veränderung, unberechtigter Bekanntgabe oder Zugriff zu schützen, so dass ein in Anbetracht der Risiken der Datenbearbeitung und der Art der bearbeiteten Daten angemessenes Niveau der Datensicherheit gewährleistet wird (Einzelheiten sind dem Anhang 2 zu entnehmen und bilden integrierender Bestandteil dieses ADVs).
Glutz kann, die in Anhang 2 aufgeführten Massnahmen jederzeit ohne Vorankündigung ändern, solange sie ein vergleichbares oder besseres Sicherheitsniveau aufrechterhält. Einzelne Massnahmen können durch neue Massnahmen ersetzt werden, die dem gleichen Zweck dienen, ohne das Sicherheitslevel zum Schutz Personenbezogener Daten zu beeinträchtigen.
5. Zusammenarbeit
Die Parteien werden sich gegenseitig unverzüglich informieren, wenn ihnen Störungen bei der Auftragsverarbeitung und/oder Verstösse gegen Gesetzesvorschriften und/oder dieses ADVs bekannt werden.
Glutz wird nach den Weisungen des Auftraggebers angemessene Massnahmen ergreifen, um die unrechtmässige Kenntnisnahme durch Dritte auszuschliessen und/oder weitere Beeinträchtigungen von den Betroffenen abzuwenden. Bis zu etwaigen Weisungen des Auftraggebers wird Glutz alle zur Datensicherung und Schadensminimierung erforderlichen Massnahmen ergreifen.
Glutz wird den Auftraggeber unter Kostenfolge zu dessen Lasten zeitnah auf Anfrage Auskunft über die Auftragsverarbeitung erteilen. Die Parteien werden im Übrigen je ihre gesetzlichen Informationspflichten einhalten.
Glutz unterstützt nach Möglichkeit den Auftraggeber auf seine Kosten bei der Einhaltung seiner gesetzlichen Pflichten, insbesondere Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Informationspflichten gegenüber Betroffenen und Aufsichtsbehörden, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
6. Dokumentationen und Kontrollen
Glutz wird die Auftragsverarbeitung, insbesondere die vereinbarten technischen und organisatorischen Massnahmen samt deren zulässigen Änderungen, fachgerecht durchführen und regelmässig kontrollieren sowie hierüber auf Anfrage und unter Kostenfolge zu Lasten des Auftraggebers schriftliche Dokumentationen erstellen, in denen alle getroffenen Massnahmen zusammengefasst werden.
Glutz wird den Auftraggeber unverzüglich über Kontrollen und Massnahmen von Aufsichtsbehörden, die sich auf die Auftragsverarbeitung beziehen, einschliesslich der erteilten Auskünfte, schriftlich oder in einem dokumentierten elektronischen Format unterrichten.
Dem Auftraggeber wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten das Recht zur Einsichtnahme und Kontrolle der Datenverarbeitung eingeräumt. Der Auftraggeber hat eine Ankündigungsfrist von 10 Arbeitstagen einzuhalten. Glutz verpflichtet sich, dem Auftraggeber unter Kostenfolge jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind. Beauftragt der Auftraggeber einen Dritten mit der Durchführung der Kontrolle, hat der Auftraggeber den Dritten schriftlich auf Verschwiegenheit und Geheimhaltung zu verpflichten. Auf Verlangen von Glutz hat der Auftraggeber diesem die Vereinbarung mit dem Dritten vorzulegen. Der Auftraggeber darf keinen Wettbewerber von Glutz mit der Kontrolle beauftragen.
7. Unterauftragsdatenverhältnisse
Die folgenden Regelungen gelten sowohl für Unterauftragsdatenverhältnisse, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen oder bei denen ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann, z.B. im Rahmen von Wartung und Benutzerservice.
Glutz darf Unterauftragsdatenverarbeiter beauftragen. Er teilt dies dem Auftraggeber vorgängig schriftlich (E-Mail ist genügend) mit. Erhebt der Auftraggeber innerhalb einer Frist von 14 Tagen keinen Einspruch, gilt die Zustimmung als erteilt. Erhebt der Auftraggeber Einspruch und ist eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich, wird dem Auftraggeber ein ausserordentliches Kündigungsrecht in Bezug auf die hiervon betroffene Leistung eingeräumt. Eine Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragsdatenverarbeiter sowie dessen erstmaliges und fortgesetztes Tätigwerden ist nur gestattet, wenn die folgenden Voraussetzungen kumulativ erfüllt sind:
- Kein Einspruch des Auftraggebers gegen Unterauftragsdatenverarbeiter
- Glutz hat die Regelungen dieses ADV dem Unterauftragsdatenverarbeiter vor der Weiterleitung der Auftraggeberdaten schriftlich aufzuerlegen.
- Glutz hat die Einhaltung der Vertragspflichten durch den Unterauftragsdatenverarbeiter regelmässig zu überprüfen.
- Erbringt der Unterauftragsdatenverarbeiter die vereinbarte Leistung ausserhalb der EU/des EWR, stellt Glutz die datenschutzrechtliche Zulässigkeit durch entsprechende Massnahmen sicher.
8. Beauftragung
Der Auftraggeber stimmt der Beauftragung der in Anhang 3 aufgeführten Unterauftragsdatenverarbeiter zu Beginn des Auftragsverhältnisses zu.
Glutz hat vertraglich sichergestellt, dass die hier vereinbarten Regelungen zwischen dem Auftraggeber und Glutz auch gegenüber den in Anhang 3 aufgeführten Unterauftragsdatenverarbeiter gelten.
9. Geheimhaltung
Glutz setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Glutz und die Beschäftigten dürfen die Auftraggeberdaten ausschliesslich nach Massgabe dieses Vertrages und den Weisungen des Verantwortlichen verarbeiten, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
Glutz wird die im Rahmen der Auftragsverarbeitung empfangenen Informationen und Unterlagen, insbesondere die Auftraggeberdaten streng geheim halten. Die Geheimhaltungs-/Verschwiegenheitspflichten gelten auch nach Beendigung dieses ADVs unbefristet fort.
Die Geheimhaltungspflicht gilt nicht oder entfällt, wenn die Informationen und Unterlagen bereits bei Abschluss dieses ADVs der Öffentlichkeit oder Glutz bekannt waren oder nach Abschluss dieses ADVs der Öffentlichkeit bekannt werden, ohne dass Glutz hieran ein Verschulden trifft oder Glutz durch einen Dritten bekannt werden, vorausgesetzt der Dritte verletzt bei Übergabe der Informationen keine eigene Geheimhaltungsverpflichtung.
10. Beendigung
Nach Abschluss der Erbringung der Verarbeitungsleistungen sind alle personenbezogenen Daten nach Wahl des Auftraggebers entweder zu löschen oder zurückzugeben und die vorhandenen Kopien zu löschen, sofern nicht eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
Anhang 1: Gegenstand des Auftrags
Datenexporteur
Der Datenexporteur ist der Auftraggeber, der eAccess Cloud nutzt, mit dem autorisierten Nutzer personenbezogene Daten erfassen, ändern, nutzen, löschen oder anderweitig verarbeiten können. Wenn der Auftraggeber anderen Verantwortlichen erlaubt, eAccess Cloud ebenfalls zu nutzen, sind diese anderen Verantwortlichen ebenfalls Datenexporteure.
Datenimporteur
Glutz und ihre Unterauftragsdatenverarbeiter erbringen den eAccess Cloud Service, der folgenden Support umfasst:
- Überwachung eAccess Cloud
- Sicherung und Wiederherstellung von in der eAccess Cloud gespeicherten Auftraggeberdaten
- Release und Entwicklung von Korrekturen oder Upgrades von eAccess Cloud
- Überwachung, Fehlerbehebung und Verwaltung der der eAccess Cloud Service zugrunde liegenden Infrastruktur und Datenbank
- Sicherheitsüberwachung
Die Daten befinden sich auf dem Server von Glutz in der Schweiz und / oder bei einem Unterauftragsdatenverarbeiter in der Schweiz.
Betroffene Personen
Sofern nicht anderweitig durch den Datenexporteur angegeben, lassen sich die übermittelten personenbezogenen Daten in der Regel einer der folgenden Kategorien von betroffenen Personen zuordnen:
- Bewohner
- Mieter
- Hotelgäste
- Mitarbeiter
- Subunternehmer
- Geschäftspartner
- Sonstige Personen, deren personenbezogene Daten in der eAccess Cloud gespeichert werden
Datenkategorien
Die übermittelten personenbezogenen Daten betreffen die folgenden Datenkategorien: Der Auftraggeber bestimmt die Kategorien von Daten in der eAccess Cloud. Der Auftraggeber kann die Datenfelder während der Implementierung von eAccess Cloud oder wie anderweitig in der eAccess Cloud zulässig konfigurieren. Die übermittelten personenbezogenen Daten lassen sich in der Regel einer der folgenden Datenkategorien zuordnen:
- Kontaktdaten (insb. Name, Vorname, Anschrift, Telefonnummer, E-Mail-Adresse)
- Mobilitätsdaten (Aufzeichnung Zutritte/Zutrittsversuche)
- Systemzugriff/-nutzung/-Berechtigungsdaten
- Anwendungsspezifische Daten, die von autorisierten Nutzern des Auftraggebers in der eAccess Cloud erfasst werden
- Identifikation Smartphone, Pin-Code
Besondere Datenkategorien (falls zutreffend)
Es werden keine besonderen Datenkategorien erfasst.
Zwecke der Datenübermittlung und Verarbeitung
Art und Zweck der Übermittlung der personenbezogenen Daten sind folgende:
- Verwendung von personenbezogenen Daten, um eAccess Cloud einzurichten, zu betreiben, zu überwachen und bereitzustellen (einschliesslich operativen und technischen Supports)
- Kommunikation mit autorisierten Nutzern
- Upload von Korrekturen oder Upgrades
- Erstellen von Sicherungskopien
- Rechnergestützte Verarbeitung von personenbezogenen Daten, einschliesslich Datenübertragung, Abruf von Daten, Zugang zu Daten
- Netzwerkzugang, um die Übertragung von personenbezogenen Daten zu ermöglichen
- Ausführung von Anweisungen des Auftraggebers gemäss der Vereinbarung
Empfänger
Die übermittelten personenbezogenen Daten dürfen nur gegenüber folgenden Empfängern oder Kategorien von Empfängern offengelegt werden:
- Vertragsparteien
- Externe Dienstleister
Anhang 2: Technische und organisatorische Massnahmen
Im Folgenden werden die aktuellen technischen und organisatorischen Massnahmen der Glutz definiert. Glutz kann diese Massnahmen jederzeit unangekündigt ändern, solange eine vergleichbare oder höhere Sicherheitsstufe aufrechterhalten wird. Einzelne Massnahmen können durch neue Massnahmen, die denselben Zweck erfüllen, ersetzt werden, ohne dass die Sicherheitsstufe beim Schutz personenbezogener Daten verringert wird.
Zutrittskontrolle
Unbefugten wird der physische Zugang zu Einrichtungen, Gebäuden und Räumlichkeiten verwehrt, in denen sich Datenverarbeitungssysteme befinden, die personenbezogene Daten verarbeiten oder nutzen.
Technische Massnahmen:
- Türsicherung mit Sicherheitsschlössern und/oder Badge System
- Logging der Zutritte
Organisatorische Massnahmen:
- Policies und Richtlinien – Zutritt nur für Berechtigte
- Zonenkonzept mit unterschiedlichen Sicherheitsstufen und Zutrittsberechtigungen
Zugangskontrolle
Unbefugte werden an der Benutzung der Datenverarbeitungssysteme gehindert.
Technische Massnahmen:
- Zugang nur mit User-Account und Password und ev. zweitem Faktor
- Logging aller Zugänge
Organisatorische Massnahmen:
- Policies und Richtlinien – Zugang nur für Berechtigte, minimale Administratoren
- Personalisierte User-Accounts
Zugriffskontrolle
Personen, die zur Nutzung von Datenverarbeitungssystemen berechtigt sind, erhalten nur Zugriff auf die personenbezogenen Daten, für die sie Zugriffsrechte besitzen, und personen-bezogene Daten dürfen bei der Verarbeitung, Nutzung oder Speicherung nicht unbefugte-lesen, kopiert, verändert oder entfernt werden. Datenverarbeitungssysteme sind vor einer nicht autorisierten Nutzung zu schützen.
Technische Massnahmen:
- Protokollierung von Login- Zugriffen auf die Applikation und Protokollierung
Organisatorische Massnahmen:
- Berechtigungskontrolle
- Minimale Anzahl an Administratoren
- Verwaltung Benutzerrechte durch Administratoren
Datenübertragungskontrolle
Die Datenübertragungskontrolle gewährleistet, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.
Technische Massnahmen:
- Verschlüsselte Verbindung (https)
- Zugriff auf Server via VPN
Organisatorische Massnahmen:
- Zugriffe sind jederzeit nur auf die berechtigen Stellen möglich (Facility Management)
Eingabekontrolle
Es wird die Möglichkeit geschaffen, im Nachhinein zu untersuchen und festzustellen, ob und von wem und wann personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt wurden.
Technische Massnahmen:
- Zugriffe auf die Firewall und in der Applikation werden in Log-Dateien aufgezeichnet
Organisatorische Massnahmen:
- Vergabe von Rollen und Rechten auf Basis eines Berechtigungskonzepts
- Eingabe von Daten (z.b. Kommentaren) nachvollziehbar durch individuelle, persönliche Benutzernamen (nicht Benutzergruppen)
- Klare Zuständigkeiten für Rollenverwaltung (Anlegen und Löschen der Benutzer)
- Die Berechtigung für den Zugriff auf Personendaten ist einstellbar. Nur zugewiesene Personen ist der Zugriff und die Änderung von Personendaten möglich. Verfügbarkeit und Belastbarkeit
Auftragskontrolle
Personenbezogene Daten, die im Auftrag verarbeitet werden, werden ausschliesslich in Übereinstimmung mit diesem Vertrag und den diesbezüglichen Weisungen des Datenexporteurs verarbeitet.
Massnahmen:
- Unmissverständlich formulierte Verträge
- Übertragung der eigenen Anforderungen an den Datenschutz und die Datensicherheit an den Auftragsverarbeiter
- Formelle Beauftragung
- Kriterien zur Auswahl des Auftragsverarbeiters (insbesondere Kriterien im Zusammenhang mit Datenschutz)
- Ggf. Abschluss der EU-Standardvertragsklauseln
- Sicherstellen, dass der Auftragsverarbeiter einen Datenschutzbeauftragten ernannt hat (sofern Bestellpflicht)
- Vereinbarung wirksamer Kontrollrechte
- Verpflichtung der Mitarbeitenden zur Vertraulichkeit und Wahrung des Datengeheimnisses
- Kontinuierliche Überwachung, ob der Vertrag gemäss Anweisungen erfüllt wurde (Job Control)
- Sicherstellen, dass nach Auflösung des Vertragsverhältnisses sämtliche Daten seitens Auftragsverarbeiter endgültig gelöscht werden
- Regelung zum Einsatz weiterer Subunternehmer
Verfügbarkeitskontrolle
Personenbezogene Daten werden vor versehentlicher oder nicht autorisierter Vernichtung oder Verlust geschützt.
Technische Massnahmen:
- Branddetektions- und Schutzsysteme
- Klimaanlage
- USV
- RAID Speichersysteme
- Backups
Organisatorische Massnahmen:
- Regelmässige Wartung der Infrastrukturen und Systeme
- Periodische Kontrollen
Trennungskontrolle
Personenbezogene Daten, die für unterschiedliche Zwecke erfasst werden, können getrennt verarbeitet werden.
Technische Massnahmen:
- Physikalische Trennung (Systeme/ Datenbanken/ Datenträger)
- Mandantenfähigkeit relevanter Anwendungen durch objektorientierte Datenbank
- Verwendung von objektorientierter Datenbank mit Separation der Kunden durch Hierarchie. Die Hierarchie ist direkt mit dem Traversieren in der URL verknüpft.
- Dokumente werden pro Kunde in einer eigenen Orderstruktur abgelegt.
Organisatorische Massnahmen:
- Steuerung über Berechtigungskonzept
- Festlegung von Datenbankrechten
Pseudonymisierung
Technische Massnahmen:
- Anonymisierung der Daten und anonyme Verwendung für statistische Zwecke
Anhang 3: Genehmigte Unterauftragsdatenverarbeiter
Name: Xelon AG
Adresse: Poststrasse 15, 6300 Zug
Auftragsinhalt: Server-Hosting
