Anhang 1 der AGB: Auftragsbearbeitungsvertrag

1. Gegenstand und Dauer

Die LEVITATE AG bearbeitet Personendaten im Auftrag des Kunden zu den Zwecken nach Ziffer 2. Der Kunde ist Verantwortlicher, die LEVITATE AG ist Auftragsbearbeiterin. Soweit die Verordnung (EU) 2016/679 anwendbar ist, gilt dieser Vertrag als Vertrag nach deren Artikel 28. Er gilt für die Dauer des Hauptvertrags.

2. Art, Umfang und Zweck

Die LEVITATE AG bearbeitet die Daten, um vorstandly bereitzustellen, zu betreiben, abzusichern und weiterzuentwickeln, einschliesslich Support sowie Fehler- und Nutzungsanalyse. Eine Bearbeitung zu anderen Zwecken findet nicht statt, soweit dieser Vertrag sie nicht vorsieht.

3. Kategorien von Personendaten und betroffene Personen

Bearbeitet werden Namen und E-Mail-Adressen der Personen, die der Kunde zur Nutzung berechtigt, die Inhalte, die der Kunde in der Anwendung erfasst oder hochlädt, sowie die Nutzungs- und Gerätedaten, die bei der Verwendung der Anwendung anfallen. Welche Daten er erfasst oder hochlädt, bestimmt der Kunde. Betroffen sind die vom Kunden berechtigten Personen und die Personen, zu denen der Kunde Angaben erfasst.

4. Weisungen

Die LEVITATE AG bearbeitet die Daten ausschliesslich nach den Weisungen des Kunden. Diese Bedingungen und dieser Anhang sind die Weisungen des Kunden; weitere Weisungen erteilt er schriftlich. Der Kunde weist die LEVITATE AG an, die Daten zu den Zwecken nach Ziffer 2 zu bearbeiten und aus ihnen anonymisierte, aggregierte Auswertungen zu erstellen, die keinen Rückschluss auf eine bestimmte Person zulassen.

Ist die LEVITATE AG der Auffassung, eine Weisung verstosse gegen Datenschutzrecht, teilt sie dies dem Kunden mit und kann die Ausführung bis zur Klärung aussetzen.

5. Vertraulichkeit

Die LEVITATE AG behandelt die Daten vertraulich und verpflichtet Personen, die sie in ihrem Auftrag bearbeiten, zur Vertraulichkeit. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

6. Technische und organisatorische Massnahmen

Die LEVITATE AG trifft angemessene technische und organisatorische Massnahmen zum Schutz der Daten. Sie beschreibt die getroffenen Massnahmen dem Kunden auf schriftliche Anfrage.

7. Unterauftragsbearbeiter und Bekanntgabe ins Ausland

Der Kunde erteilt die allgemeine vorgängige Genehmigung, Unterauftragsbearbeiter beizuziehen. Die beigezogenen Unterauftragsbearbeiter und der jeweilige Zweck sind unter vorstandly.ch/subprozessoren in der dort bezeichneten Fassung aufgeführt. Die LEVITATE AG verpflichtet jeden Unterauftragsbearbeiter, soweit er Daten im Auftrag des Kunden bearbeitet, auf Pflichten, die denen dieses Vertrags entsprechen, und bleibt dem Kunden gegenüber insoweit verantwortlich. Soweit Daten ins Ausland bekanntgegeben werden, erfolgt dies nur, wenn ein angemessener Schutz gewährleistet ist.

Ein neuer oder ersetzter Unterauftragsbearbeiter wird auf der Liste mit dem Datum seines Inkrafttretens aufgeführt, mindestens 30 Tage im Voraus; die LEVITATE AG teilt die Änderung innert derselben Frist per E-Mail an die Adresse mit, mit der sich die Kontoinhaberin anmeldet. Der Kunde kann aus sachlichen Gründen widersprechen. Der Widerspruch gibt ihm das Recht, den Vertrag auf das Ende des laufenden Vertragsjahres zu kündigen; im Übrigen bleibt der Vertrag bis zu diesem Zeitpunkt in Kraft, und ein Anspruch auf Entschädigung besteht nicht.

8. Unterstützung bei Rechten betroffener Personen

Wendet sich eine betroffene Person an die LEVITATE AG, leitet diese das Begehren an den Kunden weiter und beantwortet es nicht selbst. Sie unterstützt den Kunden auf schriftliche Anfrage im Rahmen des Zumutbaren und gegen Ersatz des Aufwands dabei, ein Begehren zu beantworten, soweit der Kunde es mit den Mitteln der Anwendung nicht selbst erfüllen kann.

9. Meldung von Verletzungen der Datensicherheit

Die LEVITATE AG meldet eine Verletzung der Datensicherheit, welche die Daten des Kunden betrifft, ohne unangemessene Verzögerung per E-Mail an die Adresse, mit der sich die Kontoinhaberin anmeldet, und nennt dabei, was ihr zu diesem Zeitpunkt bekannt ist.

10. Information und Überprüfung

Die LEVITATE AG erteilt dem Kunden auf schriftliche Anfrage einmal je Vertragsjahr innert angemessener Frist Auskunft über die Einhaltung dieses Vertrags; vorhandene Nachweise und Beschreibungen können an die Stelle einer gesonderten Auskunft treten. Im Rahmen des Zumutbaren unterstützt sie den Kunden bei einer Datenschutz-Folgenabschätzung. Eine Überprüfung vor Ort setzt einen begründeten Verdacht voraus und erfolgt nach Vereinbarung innert angemessener Frist, höchstens einmal je Vertragsjahr, auf Kosten des Kunden, unter Vertraulichkeit und nicht durch eine Person, die mit der LEVITATE AG im Wettbewerb steht.

11. Rückgabe und Löschung

Die LEVITATE AG gibt die Daten des Kunden auf schriftliche Anfrage vor dem Ende des Vertrags in einem gängigen Format heraus. Nach dem Ende des Vertrags richtet sich die Löschung nach Ziffer 10 der AGB; eine Aufbewahrung darüber hinaus erfolgt nur, soweit das Recht sie verlangt.

12. Haftung

Für die Haftung gilt Ziffer 9 der AGB.

13. Schlussbestimmungen

Dieser Anhang ergänzt die AGB; in Fragen der Bearbeitung von Personendaten geht er ihnen vor. Es gilt schweizerisches Recht. Ausschliesslicher Gerichtsstand ist Zürich.