Auftragsverarbeitungsvereinbarung (AVV)

Digital Storm GmbH, Sägestrasse 50, 5600 Lenzburg, Schweiz

1. Gegenstand und Geltungsbereich

1.1 Diese Auftragsverarbeitungsvereinbarung («AVV») regelt die Bearbeitung von Personendaten durch die Digital Storm GmbH («Digital Storm») im Zusammenhang mit der Nutzung der SaaS-Plattform HOMER durch den Kunden.

1.2 Dieser AVV ergänzt den zwischen Digital Storm und dem Kunden bestehenden Dienstleistungsvertrag einschliesslich der Allgemeinen Geschäftsbedingungen («AGB»). Er gilt ausschliesslich, soweit Digital Storm Personendaten im Auftrag des Kunden bearbeitet.

1.3 Soweit Digital Storm Personendaten für eigene Zwecke bearbeitet, insbesondere zur Vertragsadministration, Abrechnung, Sicherstellung, Missbrauchs- und Betrugsprävention, internen Unternehmensorganisation, Erfüllung eigener gesetzlicher Pflichten oder Wahrung eigener Rechtsansprüche, erfolgt diese Bearbeitung nicht im Auftrag des Kunden. Für solche Bearbeitungen handelt Digital Storm im Rahmen des anwendbaren Datenschutzrechts in eigener datenschutzrechtlicher Verantwortung.

1.4 Anonymisierte Daten, bei denen eine Identifizierung betroffener Personen nicht mehr möglich ist, gelten nicht als Personendaten im Sinne dieses AVV. Digital Storm darf solche anonymisierten oder aggregierten Daten insbesondere für statistische Zwecke, Analyse, Produktentwicklung und Verbesserung der Dienstleistungen verwenden.

1.5 Für Begriffe wie «Personendaten», «Verantwortlicher», «Auftragsbearbeiter», «Bearbeitung» und vergleichbare Begriffe gelten die Definitionen des jeweils anwendbaren Datenschutzrechts.

2. Rollen und Verantwortung der Parteien

2.1 Der Kunde handelt hinsichtlich der im Rahmen von HOMER bearbeiteten Personendaten entweder als Verantwortlicher oder als Auftragsbearbeiter eines Dritten. Digital Storm handelt entsprechend als Auftragsbearbeiter bzw. Unterauftragsbearbeiter.

2.2 Der Kunde trägt die Verantwortung für die Rechtmässigkeit der Bearbeitung der Kundendaten sowie für die Zulässigkeit der Beauftragung von Digital Storm.

Dies umfasst insbesondere die Verantwortung für:

a) die Festlegung der Zwecke und zulässigen Mittel der Bearbeitung;

b) das Vorliegen sämtlicher erforderlichen Rechtsgrundlagen, Einwilligungen, Bewilligungen und sonstigen Berechtigungen;

c) die Erfüllung sämtlicher Informations- und Transparenzpflichten gegenüber betroffenen Personen;

d) die Zulässigkeit der Erhebung, Eingabe, Übermittlung, Speicherung und sonstigen Bearbeitung der Kundendaten;

e) die Festlegung angemessener Aufbewahrungs- und Löschfristen;

f) die Rechtmässigkeit der an Digital Storm erteilten Weisungen;

g) die Beurteilung, ob besondere gesetzliche, regulatorische, berufliche oder vertragliche Geheimhaltungspflichten der Nutzung von HOMER entgegenstehen oder zusätzliche Massnahmen erfordern;

h) die Durchführung allfällig erforderlicher Datenschutz-Folgenabschätzungen; und

i) sämtliche gegenüber betroffenen Personen, Behörden oder sonstigen Dritten bestehende Pflichten, soweit diese nicht unmittelbar von Gesetzes wegen Digital Storm als Auftragsbearbeiter treffen.

2.3 Handelt der Kunde selbst als Auftragsbearbeiter eines Dritten, gewährleistet der Kunde zusätzlich, dass er vom jeweiligen Verantwortlichen wirksam ermächtigt wurde, Digital Storm und deren zulässige Sub-Auftragsbearbeiter einzusetzen und die für die Leistungserbringung erforderlichen Weisungen zu erteilen.

Der Kunde ist allein dafür verantwortlich, dass seine Verpflichtungen gegenüber dem jeweiligen Verantwortlichen mit diesem AVV und der Nutzung von HOMER vereinbar sind.

2.4 Digital Storm ist nicht verpflichtet, die Rechtmässigkeit der Geschäftstätigkeit, Bearbeitungszwecke, Kundendaten, Rechtsgrundlagen oder Weisungen des Kunden umfassend zu überprüfen.

3. Gegenstand, Art und Zweck der Bearbeitung

3.1 Gegenstand der Bearbeitung ist die Bereitstellung, Entwicklung, der Betrieb, die Wartung, Absicherung und Weiterentwicklung von HOMER sowie die Erbringung der damit verbundenen vertraglich vereinbarten SaaS-Dienstleistungen.

3.2 Die Bearbeitung kann insbesondere folgende Vorgänge umfassen:

Erheben und Entgegennehmen;
Erfassen;
Speichern;
Organisieren und Strukturieren;
Abfragen und Anzeigen;
Verändern und Aktualisieren;
Zusammenführen;
Berechnen und automatisiertes Verarbeiten;
Übermitteln an vom Kunden bestimmte Empfänger, Systeme oder Integrationen;
Zugänglichmachen gegenüber zugelassenen Sub-Auftragsbearbeitern;
Sichern;
Einschränken;
Löschen und Vernichten.

3.3 Zweck und Umfang der konkreten Bearbeitung ergeben sich aus der Nutzung von HOMER durch den Kunden, den vom Kunden eingesetzten Funktionen und Integrationen, dessen Einstellungen und Weisungen sowie dem Dienstleistungsvertrag.

3.4 Digital Storm bestimmt keine eigenständigen Zwecke für Kundendaten, die im Rahmen dieses AVV im Auftrag des Kunden bearbeitet werden.

4. Kategorien von Daten und betroffenen Personen

4.1 Je nach Nutzung von HOMER können insbesondere folgende Kategorien von Personendaten bearbeitet werden:

Stamm- und Kontaktdaten;
Unternehmens- und Geschäftskontaktdaten;
Benutzer- und Kontodaten;
Rollen und Berechtigungen;
Kommunikationsdaten;
Kunden- und Lieferantendaten;
Vertrags- und Angebotsdaten;
Rechnungs- und Abrechnungsdaten;
Lizenz- und Verbrauchsdaten;
Leistungs- und Zeiterfassungsdaten;
Ticket-, Support- und Servicedaten;
Dokumente und vom Kunden bereitgestellte Inhalte;
technische Daten;
Protokoll-, Zugriffs- und Nutzungsdaten;
sonstige Daten, welche der Kunde oder seine Benutzer in HOMER eingeben oder über angebundene Systeme an HOMER übermitteln.

4.2 Betroffene Personen können insbesondere sein:

Mitarbeitende und Benutzer des Kunden;
Kunden und Endkunden des Kunden;
Interessenten;
Lieferanten und deren Mitarbeitende;
Geschäftspartner;
Ansprechpartner und Kontaktpersonen;
sonstige Personen, deren Daten der Kunde in HOMER bearbeitet.

4.3 Art und Umfang der tatsächlich in HOMER bearbeiteten Daten werden wesentlich durch den Kunden bestimmt. Digital Storm ist nicht verpflichtet, sämtliche vom Kunden eingegebenen Daten vorgängig zu prüfen, zu klassifizieren oder auf ihre datenschutzrechtliche Zulässigkeit zu untersuchen.

5. Besonders schützenswerte Personendaten

5.1 HOMER ist grundsätzlich nicht dafür vorgesehen, ohne entsprechende Notwendigkeit oder ausdrückliche Vereinbarung besonders schützenswerte Personendaten, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, strafrechtliche Daten oder Daten zu bearbeiten, die besonderen gesetzlichen oder beruflichen Geheimhaltungspflichten unterliegen.

5.2 Bearbeitet der Kunde solche Daten in HOMER, trägt er die Verantwortung dafür, dass:

a) die Bearbeitung für die verwendete HOMER-Funktion erforderlich und zulässig ist;

b) sämtliche erforderlichen Rechtsgrundlagen, Einwilligungen und Bewilligungen bestehen;

c) alle zusätzlichen gesetzlichen oder regulatorischen Anforderungen eingehalten werden; und

d) die mit der Bearbeitung verbundenen Risiken angemessen beurteilt wurden.

5.3 Digital Storm ist nicht verpflichtet, vom Kunden eingegebene Daten auf besonders schützenswerte Inhalte zu untersuchen oder deren Bearbeitung gesondert zu überwachen.

5.4 Digital Storm kann die Bearbeitung bestimmter Datenkategorien untersagen, einschränken oder von zusätzlichen vertraglichen, organisatorischen oder technischen Voraussetzungen abhängig machen, sofern dies aus Sicherheits-, Compliance-, regulatorischen oder betrieblichen Gründen erforderlich erscheint.

6. Weisungen des Kunden

6.1 Digital Storm bearbeitet Kundendaten grundsätzlich nur im Rahmen des Dienstleistungsvertrages, dieses AVV, der vom Kunden vorgenommenen Konfigurationen und dokumentierten Weisungen des Kunden.

6.2 Die Nutzung und Konfiguration von HOMER sowie die Aktivierung von Funktionen, Integrationen und automatisierten Prozessen gelten als dokumentierte Weisungen des Kunden.

6.3 Weisungen müssen:

a) rechtmässig sein;

b) den vereinbarten Dienstleistungen entsprechen;

c) technisch umsetzbar sein; und

d) Digital Storm in Textform oder über die dafür vorgesehenen Produktfunktionen erteilt werden.

6.4 Individuelle Weisungen, die über die standardmässige Funktionalität oder den vereinbarten Leistungsumfang von HOMER hinausgehen, bedürfen der Zustimmung von Digital Storm.

Digital Storm ist berechtigt, den für Prüfung, Umsetzung, Dokumentation und Ausführung solcher Weisungen entstehenden Aufwand zu den jeweils geltenden Ansätzen in Rechnung zu stellen.

6.5 Ist Digital Storm der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, informiert Digital Storm den Kunden, soweit dies gesetzlich erforderlich ist.

Digital Storm ist berechtigt, die betreffende Weisung bis zur Klärung auszusetzen und die betroffene Bearbeitung oder Funktion vorübergehend zu sperren.

6.6 Digital Storm ist nicht verpflichtet, Weisungen auszuführen, die rechtswidrig, technisch unmöglich, unverhältnismässig, sicherheitsgefährdend oder nicht vom vereinbarten Leistungsumfang gedeckt sind.

7. Vertraulichkeit und berechtigte Personen

7.1 Digital Storm stellt sicher, dass Personen, die unter ihrer Verantwortung Zugang zu Kundendaten erhalten, diese nur im Rahmen ihrer Aufgaben und der zulässigen Bearbeitung bearbeiten.

7.2 Personen mit Zugang zu Kundendaten werden in angemessener Weise zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verschwiegenheitspflicht.

7.3 Digital Storm kann den Zugang zu Kundendaten auf diejenigen Personen beschränken, deren Zugriff für Betrieb, Entwicklung, Support, Sicherheit, Wartung, Fehlerbehebung oder sonstige vertragsgemässe Leistungen erforderlich ist.

7.4 Zu den berechtigten Personen können auch selbstständige externe Entwickler und technische Fachpersonen gehören, sofern diese vertraglich zu angemessenen Datenschutz-, Vertraulichkeits- und Sicherheitsverpflichtungen verpflichtet wurden und ihr Einsatz nach den Bestimmungen über Sub-Auftragsbearbeiter zulässig ist.

8. Technische und organisatorische Massnahmen

8.1 Digital Storm trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Bearbeitung angemessene technische und organisatorische Massnahmen zum Schutz der von ihr bearbeiteten Personendaten.

8.2 Die Massnahmen richten sich nach dem jeweiligen Risiko und können insbesondere Massnahmen in den Bereichen umfassen:

Zugriffskontrolle;
Berechtigungsmanagement;
Authentifizierung;
Vertraulichkeit;
Integrität;
Verfügbarkeit;
Wiederherstellbarkeit;
Protokollierung;
System- und Netzwerksicherheit;
Datensicherung;
Schwachstellen- und Patch-Management;
Incident Management;
organisatorische Sicherheitsvorgaben;
Kontrolle eingesetzter Dienstleister und Sub-Auftragsbearbeiter.

8.3 Digital Storm schuldet keine absolute Sicherheit und gewährleistet insbesondere nicht, dass Sicherheitsvorfälle, Cyberangriffe, Sicherheitslücken oder unbefugte Zugriffe vollständig ausgeschlossen werden können.

8.4 Digital Storm ist berechtigt, technische und organisatorische Massnahmen jederzeit anzupassen, zu ersetzen oder weiterzuentwickeln, sofern das Schutzniveau insgesamt unter Berücksichtigung des Risikos angemessen bleibt.

Ein Anspruch des Kunden auf bestimmte technische Lösungen, Hersteller, Technologien, Architekturen oder Sicherheitsverfahren besteht nur, wenn diese ausdrücklich schriftlich vereinbart wurden.

8.5 Sicherheitskonzepte, Architekturinformationen, Auditberichte, Penetrationstest-Ergebnisse und vergleichbare Informationen von Digital Storm sind vertraulich.

Digital Storm ist nicht verpflichtet, Quellcode, vollständige interne Sicherheitsdokumentationen, Informationen über andere Kunden oder Informationen offenzulegen, deren Offenlegung die Sicherheit der Systeme beeinträchtigen könnte.

9. Sub-Auftragsbearbeiter

9.1 Der Kunde erteilt Digital Storm eine allgemeine Genehmigung, Sub-Auftragsbearbeiter zur Erbringung, Entwicklung, Wartung, Absicherung und Unterstützung der HOMER-Dienstleistungen einzusetzen.

9.2 Zu den Sub-Auftragsbearbeitern können insbesondere gehören:

Cloud- und Hosting-Anbieter;
Datenbank- und Infrastruktur-Anbieter;
Kommunikations- und Messaging-Anbieter;
Monitoring-, Logging- und Sicherheitsdienste;
Entwicklungs-, Projektmanagement- und Dokumentationssysteme;
Software-, Schnittstellen- und Integrationsanbieter;
Anbieter von Funktionen künstlicher Intelligenz; sowie
selbstständige externe Softwareentwickler und technische Fachpersonen.

9.3 Digital Storm führt ein aktuelles vertrauliches Register der wesentlichen Sub-Auftragsbearbeiter («Subprozessor-Register»).

Dieses enthält im erforderlichen Umfang insbesondere die Identität bzw. den Anbieter, den Sitz oder Bearbeitungsort, den wesentlichen Zweck der Bearbeitung und gegebenenfalls die für internationale Datenbekanntgaben verwendeten Garantien.

9.4 Das vollständige Subprozessor-Register muss nicht öffentlich publiziert werden.

Digital Storm stellt bestehenden oder zukünftigen Kunden die datenschutzrechtlich erforderlichen Informationen vertraulich elektronisch zur Verfügung, insbesondere über einen nicht öffentlichen Kundenbereich, durch direkte elektronische Übermittlung oder auf begründete Anfrage.

Der Kunde verpflichtet sich, nicht öffentliche Informationen über natürliche Personen, Sicherheitsstrukturen und Sub-Auftragsbearbeiter vertraulich zu behandeln und ausschliesslich zur Beurteilung der datenschutzrechtlichen Auftragsbearbeitung zu verwenden.

9.5 Auf öffentlich zugänglichen Übersichten darf Digital Storm natürliche Personen oder Gruppen von natürlichen Personen aus Gründen des Persönlichkeitsschutzes und der Systemsicherheit in kategorisierter oder anonymisierter Form ausweisen, sofern die zur Wahrnehmung zwingender gesetzlicher Rechte erforderlichen weitergehenden Informationen vertraulich zur Verfügung gestellt werden.

9.6 Digital Storm informiert den Kunden über die beabsichtigte Hinzuziehung oder Ersetzung eines wesentlichen Sub-Auftragsbearbeiters, soweit eine solche Information nach dem anwendbaren Datenschutzrecht erforderlich ist.

Die Information kann insbesondere per E-Mail, Produktmitteilung, Kundenportal oder auf einem anderen geeigneten elektronischen Weg erfolgen.

9.7 Der Kunde kann innerhalb von zehn Kalendertagen nach einer solchen Information aus konkret begründeten datenschutzrechtlichen Gründen gegen einen neuen oder ersetzten Sub-Auftragsbearbeiter Einspruch erheben.

Erfolgt innerhalb dieser Frist kein Einspruch, gilt der Einsatz des betreffenden Sub-Auftragsbearbeiters als akzeptiert.

9.8 Ein Einspruch ist nur zulässig, wenn der Kunde konkret darlegt, weshalb der Einsatz des betreffenden Sub-Auftragsbearbeiters gegen auf die konkrete Bearbeitung anwendbares Datenschutzrecht verstossen würde.

Rein wirtschaftliche, geschäftliche oder allgemeine Präferenzen stellen keinen ausreichenden Einspruchsgrund dar.

9.9 Im Falle eines berechtigten Einspruchs kann Digital Storm nach eigenem Ermessen:

a) auf den betreffenden Sub-Auftragsbearbeiter verzichten;

b) einen anderen Sub-Auftragsbearbeiter einsetzen;

c) zusätzliche geeignete Schutzmassnahmen treffen;

d) die betroffene Funktion oder Dienstleistung einschränken oder einstellen; oder

e) den betroffenen Dienstleistungsvertrag oder Teile davon beenden.

Soweit gesetzlich zulässig, entstehen dem Kunden daraus keine Schadenersatz-, Rückerstattungs- oder sonstigen Ansprüche.

9.10 Digital Storm verpflichtet Sub-Auftragsbearbeiter im gesetzlich erforderlichen Umfang zu angemessenen Datenschutz-, Vertraulichkeits- und Sicherheitsverpflichtungen.

9.11 Soweit Digital Storm nach zwingendem Datenschutzrecht gegenüber dem Kunden für die Erfüllung von Pflichten eines Sub-Auftragsbearbeiters einzustehen hat, bleiben die Haftungsausschlüsse und Haftungsbeschränkungen gemäss Ziff. 15 dieses AVV sowie Ziff. 9 und 10 der AGB soweit gesetzlich zulässig anwendbar.

10. Hosting, Entwicklungsdienste und Bearbeitung im Ausland

10.1 Digital Storm bestimmt die für HOMER eingesetzte technische Infrastruktur und die hierfür eingesetzten Anbieter nach eigenem Ermessen unter Beachtung des anwendbaren Datenschutzrechts.

10.2 Die primären produktiven HOMER-Daten werden derzeit auf Cloud-Infrastruktur von Microsoft Azure in der Schweiz gespeichert.

Hieraus entsteht kein Anspruch des Kunden auf einen dauerhaft unveränderten Anbieter, eine bestimmte Cloud-Plattform, ein bestimmtes Rechenzentrum oder einen bestimmten Bearbeitungsstandort, sofern nicht ausdrücklich schriftlich etwas anderes vereinbart wurde.

Digital Storm ist insbesondere berechtigt, Microsoft Azure durch andere geeignete Anbieter wie beispielsweise Amazon Web Services, Google Cloud Platform oder andere vergleichbare Infrastruktur- und Cloud-Anbieter zu ergänzen oder zu ersetzen.

Soweit dadurch eine datenschutzrechtlich relevante Änderung eines Sub-Auftragsbearbeiters oder Bearbeitungsortes entsteht, gelten die Bestimmungen dieses AVV und des anwendbaren Datenschutzrechts.

10.3 Soweit Personendaten in einem Staat bearbeitet oder einer Person bzw. einem Empfänger in einem Staat zugänglich gemacht werden, für den kein gesetzlich anerkanntes angemessenes Datenschutzniveau besteht, trifft Digital Storm die für die von ihr veranlasste Bekanntgabe gesetzlich erforderlichen geeigneten Garantien.

Hierzu können insbesondere vom EDÖB anerkannte Standarddatenschutzklauseln sowie zusätzliche technische, organisatorische oder vertragliche Schutzmassnahmen eingesetzt werden.

10.4 Im Rahmen der Entwicklung, Wartung, Fehlerbehebung und technischen Unterstützung von HOMER setzt Digital Storm selbstständige externe Softwareentwickler mit Arbeits- und Bearbeitungsort Vietnam ein.

Die Namen dieser natürlichen Personen werden aus Gründen des Persönlichkeitsschutzes und der Sicherheit nicht öffentlich publiziert.

Ihre vollständigen Identifikations- und Vertragsinformationen werden von Digital Storm vertraulich dokumentiert und Kunden nur im datenschutzrechtlich erforderlichen Umfang vertraulich zugänglich gemacht.

10.5 Die externen Entwickler können, soweit dies für ihre Tätigkeit technisch erforderlich und von Digital Storm autorisiert ist, mittels kontrolliertem Remote-Zugriff aus Vietnam auf produktive HOMER-Systeme und darin enthaltene Kundendaten zugreifen.

Die produktiven HOMER-Daten werden dadurch nicht planmässig oder dauerhaft in Vietnam gespeichert.

Den externen Entwicklern ist insbesondere untersagt, Kundendaten ohne ausdrückliche Autorisierung von Digital Storm:

auf lokalen Geräten dauerhaft zu speichern;
auf private oder nicht genehmigte Cloud-Speicher zu kopieren;
zu synchronisieren;
auf externe Datenträger zu kopieren;
auszudrucken;
Dritten zugänglich zu machen;
eigenständige lokale Datenbestände oder Backups zu erstellen.

Technisch unvermeidbare temporäre Daten sind auf das erforderliche Minimum zu beschränken und zu löschen, sobald sie für die autorisierte Tätigkeit nicht mehr benötigt werden.

10.6 Die externen Entwickler sind vertraglich verpflichtet, Personendaten ausschliesslich nach Weisung von Digital Storm und nur im für ihre Tätigkeit erforderlichen Umfang zu bearbeiten.

Sie dürfen ohne vorgängige schriftliche Genehmigung von Digital Storm keine weiteren Personen oder Subunternehmer mit Zugriff auf Kundendaten beiziehen.

10.7 Digital Storm kann für Softwareentwicklung, Projektmanagement, Fehlerverfolgung, Tickets, Roadmaps, Dokumentation und vergleichbare Entwicklungsprozesse insbesondere Cloud-Dienste von Atlassian verwenden, beispielsweise Jira, Confluence oder damit verbundene Atlassian-Produkte.

Atlassian-Systeme sind nicht als primärer Speicherort für produktive HOMER-Kundendaten vorgesehen.

Soweit es für Entwicklung, Fehleranalyse oder Support erforderlich ist, können jedoch begrenzte technische Informationen, Ausschnitte, Referenzen, Kontaktdaten oder sonstige für die Bearbeitung eines konkreten Vorgangs erforderliche Informationen in solchen Systemen bearbeitet werden.

Digital Storm beschränkt solche Daten nach Möglichkeit auf das für den jeweiligen Vorgang erforderliche Minimum.

Bearbeitungsorte und internationale Übermittlungen solcher Anbieter richten sich nach der jeweils von Digital Storm verwendeten Produktkonfiguration sowie den anwendbaren Datenschutz- und Transferbedingungen des jeweiligen Anbieters.

Digital Storm ist berechtigt, Atlassian-Produkte durch andere vergleichbare Entwicklungs-, Ticketing-, Dokumentations- oder Projektmanagementsysteme zu ergänzen oder zu ersetzen.

10.8 Der Kunde weist Digital Storm darauf hin, wenn für seine Daten aufgrund gesetzlicher, regulatorischer, vertraglicher oder beruflicher Geheimhaltungspflichten besondere Anforderungen an Bearbeitungsorte oder Datenübermittlungen bestehen.

Ohne entsprechende ausdrückliche Vereinbarung schuldet Digital Storm keine Beschränkung auf einen bestimmten Anbieter, Staat, Rechenzentrumsstandort oder eine bestimmte technische Plattform, soweit das anwendbare Datenschutzrecht eingehalten wird.

10.9 Der Kunde ist selbst verantwortlich für die Beurteilung, ob seine Nutzung von HOMER einschliesslich der von ihm eingesetzten Integrationen und aktivierten Drittanbieter mit zusätzlichen gesetzlichen, regulatorischen, vertraglichen oder beruflichen Anforderungen vereinbar ist.

11. Rechte betroffener Personen

11.1 Der Kunde ist grundsätzlich für die Bearbeitung und Beantwortung von Begehren betroffener Personen verantwortlich.

11.2 Richtet eine betroffene Person ein Begehren unmittelbar an Digital Storm, das Kundendaten betrifft, ist Digital Storm berechtigt, dieses Begehren an den Kunden weiterzuleiten.

Digital Storm beantwortet ein solches Begehren grundsätzlich nicht selbst, sofern Digital Storm dazu nicht unmittelbar gesetzlich verpflichtet ist oder vom Kunden entsprechend beauftragt wurde.

11.3 Digital Storm unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der verfügbaren technischen Möglichkeiten im gesetzlich erforderlichen Umfang bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen.

11.4 Soweit die Unterstützung nicht bereits durch standardmässige Funktionen von HOMER erbracht wird, ist Digital Storm berechtigt, den hierfür entstehenden Aufwand zu den jeweils geltenden Ansätzen in Rechnung zu stellen, soweit zwingendes Recht keine unentgeltliche Leistung verlangt.

12. Verletzungen der Datensicherheit

12.1 Wird Digital Storm eine Verletzung der Datensicherheit bekannt, die Personendaten betrifft, welche Digital Storm im Auftrag des Kunden bearbeitet, informiert Digital Storm den Kunden nach Massgabe des anwendbaren Datenschutzrechts so rasch als möglich bzw., soweit die DSGVO anwendbar ist, ohne unangemessene Verzögerung.

12.2 Die erstmalige Mitteilung enthält diejenigen Informationen, die Digital Storm zu diesem Zeitpunkt vernünftigerweise zur Verfügung stehen.

Soweit nicht sämtliche Informationen gleichzeitig verfügbar sind, kann Digital Storm diese schrittweise nachreichen.

12.3 Soweit verfügbar und gesetzlich erforderlich, kann die Mitteilung insbesondere Angaben enthalten über:

Art der Verletzung;
betroffene Datenkategorien;
bekannte oder voraussichtliche Auswirkungen;
bereits ergriffene oder geplante Massnahmen; und
eine Kontaktstelle für weitere Informationen.

12.4 Eine Mitteilung durch Digital Storm stellt weder ein Anerkenntnis eines Mangels noch ein Schuldanerkenntnis oder Anerkenntnis einer Haftung dar.

12.5 Der Kunde ist verantwortlich für die Beurteilung, ob eine Meldung an Datenschutzbehörden, andere Behörden, betroffene Personen, eigene Kunden oder sonstige Dritte erforderlich ist, soweit das anwendbare Recht diese Pflicht nicht unmittelbar Digital Storm auferlegt.

12.6 Digital Storm unterstützt den Kunden bei solchen Pflichten im gesetzlich erforderlichen Umfang und unter Berücksichtigung der Digital Storm verfügbaren Informationen.

Zusätzliche Leistungen, Untersuchungen, Berichte, kundenspezifische Dokumentationen oder Unterstützungsleistungen können dem Kunden nach Aufwand verrechnet werden, soweit zwingendes Recht nichts anderes verlangt.

13. Weitere Unterstützung des Kunden

13.1 Digital Storm unterstützt den Kunden im gesetzlich erforderlichen Umfang und unter Berücksichtigung der Art der Bearbeitung sowie der Digital Storm verfügbaren Informationen insbesondere bei:

a) der Sicherheit der Bearbeitung;

b) der Behandlung von Verletzungen der Datensicherheit;

c) Datenschutz-Folgenabschätzungen;

d) Konsultationen von Datenschutzbehörden; und

e) der Erfüllung zwingender gesetzlicher Nachweis- und Informationspflichten.

13.2 Die Verantwortung für die Durchführung, Beurteilung und Dokumentation solcher Verfahren liegt beim Kunden, soweit diese Pflichten gesetzlich dem Verantwortlichen zugewiesen sind.

13.3 Digital Storm ist nicht verpflichtet, für den Kunden Rechtsberatung zu erbringen oder die datenschutzrechtliche Zulässigkeit dessen Geschäftsmodells, Bearbeitungszwecke oder Datenbearbeitungen zu beurteilen.

13.4 Sämtliche Unterstützungsleistungen, die über die standardmässig in HOMER enthaltenen Funktionen oder die eigenen zwingenden gesetzlichen Pflichten von Digital Storm hinausgehen, können von Digital Storm nach Aufwand zu den jeweils geltenden Ansätzen verrechnet werden.

14. Nachweise und Audits

14.1 Digital Storm stellt dem Kunden auf Anfrage diejenigen Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der für Digital Storm als Auftragsbearbeiter geltenden gesetzlichen Pflichten nachzuweisen.

14.2 Der Nachweis erfolgt vorrangig durch bereits verfügbare Unterlagen, insbesondere:

Beschreibungen technischer und organisatorischer Massnahmen;
Zertifikate;
Prüfberichte;
standardisierte Fragebögen;
Sicherheitsinformationen; oder
vergleichbare geeignete Nachweise.

14.3 Ein Audit oder eine Inspektion vor Ort ist nur zulässig, soweit:

a) das anwendbare Datenschutzrecht dies erfordert;

b) die erforderlichen Informationen nicht angemessen durch andere Nachweise erbracht werden können; und

c) das Audit verhältnismässig ist.

14.4 Audits sind grundsätzlich mindestens 30 Kalendertage im Voraus schriftlich anzukündigen und während der üblichen Geschäftszeiten von Digital Storm durchzuführen.

Vorbehalten bleiben Fälle, in denen aufgrund zwingenden Rechts oder einer Anordnung einer zuständigen Behörde eine kürzere Frist erforderlich ist.

14.5 Ohne konkreten datenschutzrechtlichen Anlass ist höchstens ein Audit innerhalb von zwölf Monaten zulässig.

14.6 Ein vom Kunden eingesetzter externer Auditor muss:

a) unabhängig sein;

b) über angemessene fachliche Qualifikationen verfügen;

c) zur Vertraulichkeit verpflichtet sein; und

d) darf kein unmittelbarer Wettbewerber von Digital Storm sein.

14.7 Audits dürfen insbesondere nicht:

die Sicherheit oder den Betrieb von HOMER beeinträchtigen;
Zugang zu Daten anderer Kunden ermöglichen;
Quellcode offenlegen;
Geschäftsgeheimnisse oder sicherheitskritische interne Informationen unnötig offenlegen; oder
unverhältnismässige technische oder organisatorische Eingriffe erfordern.

14.8 Der Kunde trägt sämtliche eigenen Kosten sowie die Digital Storm durch Vorbereitung, Begleitung, Durchführung und Nachbearbeitung eines Audits entstehenden Aufwendungen.

Digital Storm kann diese Aufwendungen zu ihren jeweils geltenden Ansätzen verrechnen, soweit zwingendes Recht nichts anderes bestimmt.

14.9 Zwingende behördliche Prüf-, Auskunfts- und Kontrollrechte bleiben vorbehalten.

15. Haftung und Freistellung

15.1 Für sämtliche Ansprüche aus oder im Zusammenhang mit diesem AVV gelten die Gewährleistungs-, Haftungsausschluss- und Haftungsbeschränkungsbestimmungen gemäss Ziff. 9 und 10 der jeweils anwendbaren AGB von Digital Storm.

Dies gilt insbesondere auch für Ansprüche im Zusammenhang mit Datenschutz, Datensicherheit, Verletzungen der Vertraulichkeit, Sub-Auftragsbearbeitern, Auslandtransfers, Datenverlust, Datenoffenlegung und Sicherheitsvorfällen, soweit zwingendes Recht nichts anderes bestimmt.

15.2 Dieser AVV begründet keine weitergehende Haftung von Digital Storm als diejenige, die sich aus zwingendem Datenschutzrecht und den AGB ergibt.

Insbesondere stellt die Übernahme einer Verpflichtung in diesem AVV keine Garantie oder Zusicherung eines bestimmten Erfolgs dar, sofern dies nicht ausdrücklich als solche bezeichnet ist.

15.3 Zwingende gesetzliche Ansprüche betroffener Personen oder Befugnisse von Datenschutz- oder anderen Behörden werden durch diesen AVV nicht eingeschränkt.

Für das interne Verhältnis zwischen Digital Storm und dem Kunden gelten jedoch die vertraglichen Haftungs- und Regressregelungen soweit gesetzlich zulässig.

15.4 Der Kunde hält Digital Storm sowie deren Gesellschafter, Organe, Geschäftsführer, Mitarbeitende, Beauftragte und Hilfspersonen soweit gesetzlich zulässig von Ansprüchen Dritter sowie damit verbundenen angemessenen Kosten und Aufwendungen schadlos, soweit diese insbesondere beruhen auf:

a) einer rechtswidrigen Bearbeitung durch den Kunden;

b) fehlenden oder unzureichenden Rechtsgrundlagen, Einwilligungen oder Bewilligungen;

c) einer Verletzung von Informationspflichten durch den Kunden;

d) rechtswidrigen oder unzulässigen Weisungen des Kunden;

e) der unzulässigen Eingabe oder Bearbeitung besonders schützenswerter oder besonders regulierter Daten;

f) einer Verletzung gesetzlicher, regulatorischer, beruflicher oder vertraglicher Geheimhaltungspflichten des Kunden;

g) der fehlenden Berechtigung des Kunden, Digital Storm oder deren Sub-Auftragsbearbeiter einzusetzen;

h) Ansprüchen von Kunden, Endkunden, Mitarbeitenden oder sonstigen betroffenen Personen des Kunden, soweit deren Ursache im Verantwortungsbereich des Kunden liegt; oder

i) einer sonstigen Verletzung dieses AVV oder des anwendbaren Datenschutzrechts durch den Kunden.

15.5 Die Freistellung umfasst, soweit gesetzlich zulässig, auch angemessene Rechtsberatungs-, Verteidigungs-, Gerichts-, Untersuchungs- und sonstige Kosten sowie behördliche Gebühren und finanzielle Belastungen, soweit diese dem Verantwortungsbereich des Kunden zuzurechnen sind.

15.6 Die Freistellung gilt nicht, soweit der betreffende Anspruch nachweislich ausschliesslich durch ein Verhalten von Digital Storm verursacht wurde, für welches Digital Storm nach zwingendem Recht einzustehen hat.

15.7 Ausschliessliche Vertragspartnerin des Kunden im Rahmen dieses AVV ist Digital Storm. Gesellschafter, Geschäftsführer, Organe, Mitarbeitende, Beauftragte und Hilfspersonen von Digital Storm übernehmen gegenüber dem Kunden keine persönliche Garantie, Bürgschaft oder sonstige persönliche vertragliche Verpflichtung.

Zwingende gesetzliche Ansprüche gegen natürliche Personen bleiben vorbehalten.

16. Rückgabe und Löschung von Daten

16.1 Der Kunde ist dafür verantwortlich, die von ihm nach Vertragsende weiterhin benötigten Daten vor Beendigung des Dienstleistungsvertrages über die von HOMER bereitgestellten Export- oder Zugriffsmöglichkeiten zu sichern.

16.2 Soweit das anwendbare Datenschutzrecht dem Kunden ein Wahlrecht zwischen Rückgabe und Löschung einräumt, hat der Kunde dieses Wahlrecht spätestens bis zum Ende des Dienstleistungsvertrages auszuüben.

Äussert der Kunde keine Wahl, gilt die Löschung als gewählt.

16.3 Eine Rückgabe erfolgt grundsätzlich über die standardmässig von HOMER bereitgestellten Export- oder Zugriffsmöglichkeiten.

Digital Storm ist nicht verpflichtet, Daten in einem kundenspezifischen Format aufzubereiten, zu migrieren oder an ein Nachfolgesystem zu übertragen, sofern dies nicht separat vereinbart wird.

Solche zusätzlichen Leistungen können nach Aufwand verrechnet werden.

16.4 Nach Vertragsende ist Digital Storm berechtigt, Kundendaten aus den produktiven Systemen zu löschen.

16.5 Daten in Backups, Protokollen, Sicherungskopien oder technisch bedingten redundanten Kopien können bis zum Ablauf der jeweiligen regulären Backup-, Aufbewahrungs- und Löschzyklen fortbestehen.

Sie werden während dieser Zeit grundsätzlich nicht mehr für operative Zwecke verwendet und im Rahmen der regulären Prozesse gelöscht oder überschrieben, soweit keine gesetzliche Aufbewahrungspflicht besteht.

16.6 Aus dem Vorhandensein interner Sicherungskopien ergibt sich kein Anspruch des Kunden auf Wiederherstellung einzelner Daten.

16.7 Gesetzliche Aufbewahrungspflichten sowie das Recht von Digital Storm, Daten soweit erforderlich zur Wahrung oder Durchsetzung eigener Rechtsansprüche aufzubewahren, bleiben vorbehalten.

17. Kosten und zusätzliche Leistungen

17.1 Die im regulären Leistungsumfang von HOMER enthaltenen Datenschutzleistungen sind mit den vereinbarten Abonnementsgebühren abgegolten.

17.2 Digital Storm ist berechtigt, zusätzliche Aufwendungen nach Zeitaufwand zu den jeweils geltenden Ansätzen zu verrechnen, insbesondere für:

individuelle Weisungen;
kundenspezifische Auskünfte;
Unterstützung bei Betroffenenbegehren;
Datenexporte ausserhalb der Standardfunktionen;
Datenschutz-Folgenabschätzungen;
behördliche Anfragen;
Untersuchungen und Sonderberichte;
kundenspezifische Sicherheitsfragebögen;
Audits und Inspektionen;
Migrationen;
Sonderlöschungen;
Wiederherstellungsversuche; und
sonstige Leistungen ausserhalb des standardmässigen Leistungsumfangs.

17.3 Dies gilt auch dann, wenn die Mitwirkung von Digital Storm zur Erfüllung einer Pflicht des Kunden erforderlich ist, soweit zwingendes Recht nicht ausdrücklich eine unentgeltliche Leistung von Digital Storm verlangt.

18. Dauer und Beendigung

18.1 Dieser AVV tritt gleichzeitig mit dem Dienstleistungsvertrag in Kraft und gilt solange Digital Storm im Auftrag des Kunden Personendaten bearbeitet.

18.2 Mit Beendigung des Dienstleistungsvertrages endet grundsätzlich auch dieser AVV.

Bestimmungen, die ihrer Natur nach über das Vertragsende hinaus gelten sollen, insbesondere Vertraulichkeits-, Lösch-, Haftungs-, Freistellungs- und Nachweispflichten, bleiben im erforderlichen Umfang bestehen.

19. Änderungen

19.1 Digital Storm ist berechtigt, diesen AVV aufgrund rechtlicher, regulatorischer, sicherheitsbezogener, technischer, wirtschaftlicher oder betrieblicher Entwicklungen anzupassen.

19.2 Die jeweils aktuelle Fassung wird von Digital Storm elektronisch zur Verfügung gestellt. Eine individuelle Mitteilung an den Kunden ist nicht erforderlich, soweit das anwendbare Datenschutzrecht eine solche nicht ausdrücklich verlangt.

19.3 Änderungen gelten für neu abgeschlossene Verträge mit ihrer Veröffentlichung und für bestehende Vertragsverhältnisse spätestens ab Beginn der nächsten Vertragsperiode.

Änderungen, die zur Einhaltung zwingender gesetzlicher oder regulatorischer Anforderungen oder aus Sicherheitsgründen erforderlich sind, können soweit gesetzlich zulässig bereits ab dem von Digital Storm bestimmten Zeitpunkt gelten.

19.4 Gesetzliche Informations- und Einspruchsrechte im Zusammenhang mit Änderungen von Sub-Auftragsbearbeitern bleiben vorbehalten.

20. Verhältnis zu den AGB und Schlussbestimmungen

20.1 Im Falle eines Widerspruchs zwischen diesem AVV und den AGB geht dieser AVV ausschliesslich hinsichtlich spezifischer datenschutzrechtlicher Bearbeitungspflichten vor.

Die Bestimmungen über Gewährleistung und Haftung gemäss Ziff. 9 und 10 der AGB bleiben ausdrücklich vorbehalten.

20.2 Abweichende oder zusätzliche Verpflichtungen von Digital Storm bestehen nur, wenn Digital Storm diesen ausdrücklich schriftlich zugestimmt hat.

20.3 Sollten einzelne Bestimmungen dieses AVV unwirksam oder nicht durchsetzbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

20.4 Ausschliesslicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz von Digital Storm.

20.5 Dieser AVV unterliegt ausschliesslich schweizerischem materiellem Recht. Soweit die DSGVO unmittelbar auf eine konkrete Datenbearbeitung anwendbar ist, bleiben deren zwingende Bestimmungen vorbehalten.

Anhang 1 – Beschreibung der Auftragsbearbeitung

Gegenstand der Bearbeitung

Bereitstellung, Entwicklung, Betrieb, Wartung und Support der SaaS-Plattform HOMER sowie der vom Kunden aktivierten Funktionen, Integrationen und Dienstleistungen.

Dauer der Bearbeitung

Für die Dauer des Dienstleistungsvertrages sowie anschliessend für technisch und rechtlich erforderliche Aufbewahrungs-, Sicherungs- und Löschfristen.

Art der Bearbeitung

Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Abfragen, Anzeigen, Verändern, Verknüpfen, Berechnen, automatisiertes Verarbeiten, Übermitteln, Sichern, Einschränken, Löschen und Vernichten.

Zweck der Bearbeitung

Erbringung der vom Kunden bezogenen HOMER-Dienstleistungen und der vom Kunden aktivierten Funktionen und Integrationen.

Kategorien von Personendaten

Insbesondere Stamm-, Kontakt-, Unternehmens-, Benutzer-, Kommunikations-, Kunden-, Lieferanten-, Vertrags-, Angebots-, Rechnungs-, Abrechnungs-, Lizenz-, Verbrauchs-, Leistungs-, Zeit-, Ticket-, Support-, Dokument-, Inhalts-, Protokoll-, Zugriffs- und Nutzungsdaten sowie sonstige vom Kunden bereitgestellte Daten.

Kategorien betroffener Personen

Insbesondere Benutzer und Mitarbeitende des Kunden, Kunden und Endkunden, Interessenten, Lieferanten, Geschäftspartner, Kontaktpersonen und sonstige Personen, deren Daten vom Kunden über HOMER bearbeitet werden.

Besonders schützenswerte Daten

Nicht allgemein als notwendiger Bestandteil der HOMER-Dienstleistungen vorgesehen. Soweit der Kunde solche Daten bearbeitet, gelten insbesondere Ziff. 5 dieses AVV.

Weisungen

Der Dienstleistungsvertrag, die Nutzung und Konfiguration von HOMER, vom Kunden aktivierte Funktionen und Integrationen sowie zusätzliche rechtmässige dokumentierte Weisungen gemäss Ziff. 6.

Anhang 2 – Übersicht wesentlicher eingesetzter Dienste und Sub-Auftragsbearbeiter

Cloud-Infrastruktur / produktives Hosting

Aktueller primärer Anbieter: Microsoft Azure
Aktueller primärer Bearbeitungsort: Schweiz
Zweck: Hosting, Datenbanken, Rechenleistung, Speicherung, Netzwerk- und technische Infrastruktur für HOMER
Hinweis: Digital Storm kann den Anbieter oder Bearbeitungsort gemäss Ziff. 9 und 10 dieses AVV ändern oder ergänzen.

Entwicklungs- und Projektmanagementsysteme

Anbieter: Atlassian Cloud bzw. die jeweils zuständige Atlassian-Gesellschaft
Produkte: insbesondere Jira, Confluence und damit verbundene Entwicklungs-, Ticketing-, Roadmap- und Dokumentationsdienste
Zweck: Softwareentwicklung, Projektmanagement, Tickets, Fehleranalyse, Roadmaps und technische Dokumentation
Datenumfang: grundsätzlich keine primäre Speicherung produktiver HOMER-Kundendaten; soweit für Entwicklung oder Support erforderlich können begrenzte technische oder kundenbezogene Informationen bearbeitet werden
Bearbeitungsort: nach jeweils eingesetzter Atlassian-Konfiguration, Produkt und anwendbaren Anbieterbedingungen

Externe Softwareentwicklung und technische Unterstützung

Bearbeitungsort: Vietnam
Leistung: Softwareentwicklung, Wartung, Fehlerbehebung und technische Unterstützung von HOMER
Datenzugriff: kontrollierter Remote-Zugriff auf produktive HOMER-Systeme, soweit technisch erforderlich
Lokale Speicherung: grundsätzlich untersagt
Zweck: Entwicklung, Betrieb, Wartung, Fehleranalyse und technische Unterstützung von HOMER
Schutz: vertragliche Datenschutz-, Vertraulichkeits-, Sicherheits- und Drittlandtransferverpflichtungen

Die persönlichen Identitäten der externen Entwickler werden nicht öffentlich publiziert.

Digital Storm dokumentiert deren vollständige Identifikations- und Vertragsinformationen vertraulich und stellt diese Kunden nur im datenschutzrechtlich erforderlichen Umfang vertraulich zur Verfügung.

Weitere wesentliche Anbieter und Sub-Auftragsbearbeiter können von Digital Storm eingesetzt werden. Änderungen richten sich nach Ziff. 9 dieses AVV.

Anhang 3 – Technische und organisatorische Massnahmen

Digital Storm trifft angemessene und risikobasierte technische und organisatorische Massnahmen gemäss Ziff. 8 dieses AVV.

Hierzu gehören je nach System und Risiko insbesondere:

individuelle Benutzerkonten;
rollenbasierte Berechtigungen;
Mehrfaktor-Authentifizierung, soweit technisch verfügbar und angemessen;
Beschränkung von Produktionszugriffen auf erforderliche Personen;
kontrollierte Remote-Zugriffe für externe Entwickler;
Verbot nicht autorisierter lokaler Speicherung von Kundendaten;
Protokollierung sicherheitsrelevanter Zugriffe und Ereignisse;
verschlüsselte Übertragung von Daten;
angemessene Absicherung von Endgeräten;
Sicherheitsupdates und Patch-Management;
Backup- und Wiederherstellungsverfahren;
Incident-Management;
Verpflichtung berechtigter Personen auf Vertraulichkeit;
regelmässige Überprüfung von Berechtigungen;
angemessene organisatorische Vorgaben für externe Entwickler und sonstige Sub-Auftragsbearbeiter.

Die konkrete Ausgestaltung der Massnahmen kann aufgrund technischer, organisatorischer, regulatorischer und sicherheitsbezogener Entwicklungen laufend angepasst werden.

Digital Storm kann dem Kunden auf begründete Anfrage eine aktuelle Beschreibung der wesentlichen technischen und organisatorischen Massnahmen zur Verfügung stellen.

Solche Informationen sind vertraulich und dürfen ausschliesslich zur Beurteilung der datenschutzrechtlichen Auftragsbearbeitung verwendet werden.

V 2.4 (26. August 2026)

AVV