Auftragsverarbeitungsvertrag (AVV)

Standardvertragsklauseln

Amtlicher Text nach EUR-Lex (CELEX 32021D0915), Anhang des Beschlusses. Gewählte Optionen sind mit [Wahl: …] markiert, nicht gewählte gestrichen; sonst ist der Text unverändert.

Abschnitt II: Pflichten der Parteien

Klausel 6: Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7: Pflichten der Parteien

7.1. Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstossen.

7.2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3. Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4. Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Massnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmässig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden «Verletzung des Schutzes personenbezogener Daten»). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5. Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden «sensible Daten»), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6. Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäss diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschliesslich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7. Einsatz von Unterauftragsverarbeitern

a) OPTION 2: ALLGEMEINE SCHRIFTLICHE GENEHMIGUNG: Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann. [Wahl: Option 2, Frist 30 Tage; vereinbarte Liste ist Anhang IV]

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäss diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäss der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschliesslich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäss dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche - im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist - das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8. Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschliesslich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäss Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäss Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8: Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäss den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäss Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

• 1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden «Datenschutz-Folgenabschätzung»), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;
• 2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Massnahmen zur Eindämmung des Risikos trifft;
• 3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;
• 4) Verpflichtungen gemäss Artikel 32 der Verordnung (EU) 2016/679. [Wahl: Option 1]

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Massnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9: Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäss den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäss Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen: [Wahl: Option 1]

• 1) die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
• 2) die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
• 3) die vom Verantwortlichen ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Massnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschliessend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäss Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. [Wahl: Option 1]

9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschliesslich Massnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschliessend ohne unangemessene Verzögerung bereitgestellt.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäss Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen. [Wahl: Option 1]

Anhang I: Liste der Parteien

Auftragsverarbeiter

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Schweiz, UID CHE-220.381.580, vertreten durch Günter Reichelt, Verwaltungsratspräsident. Kontakt: privacy@mail.transpareo.com.

Datenschutzbeauftragter und Vertreter in der EU nach Art. 27 DSGVO: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 München, Deutschland, info@mail.dg-datenschutz.de.

Transpareo hat ihren Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der Kommission besteht (2000/518/EG). Die Daten liegen in Deutschland.

Verantwortliche

Transpareo schliesst diese Klauseln mit jedem Verantwortlichen einzeln ab. Verantwortlicher ist entweder:

1. ein Kunde, der die Transpareo-Plattform nach den Allgemeinen Geschäftsbedingungen (AGB) nutzt. Name, Anschrift und Kontaktperson sind die Angaben, die er beim Abschluss des Vertrags über die Plattform macht und in seinem Konto pflegt; Kontaktperson ist der Kontoinhaber. Die Klauseln gelten mit dem Abschluss dieses Vertrags als vereinbart (Ziffer 14 der AGB).
2. ein Lieferant, der über die Lieferantenseite eine Anfrage an eigene Lieferanten weitergibt. Verantwortlicher ist das Unternehmen, an das der Link gerichtet ist, über den weitergegeben wird, so wie die Anfrage es bezeichnet. Kontaktperson ist, wer weitergibt, mit dem Namen und der E-Mail-Adresse, die er dabei angibt. Der Lieferant schliesst die Klauseln ab, indem er sie beim Weitergeben für sein Unternehmen annimmt; Transpareo speichert die angenommene Fassung und den Zeitpunkt mit dem weitergegebenen Link. Für ihn gelten daneben die Nutzungsbedingungen für Lieferanten.

Den Datenschutzbeauftragten eines Verantwortlichen führt Transpareo, sobald er ihn nennt.

Die AGB oder die Nutzungsbedingungen für Lieferanten sind jeweils der Hauptvertrag. Die Klauseln werden elektronisch geschlossen (Art. 28 Abs. 9 DSGVO); Beitrittsdatum ist der Zeitpunkt des Abschlusses.

Anhang III: Technische und organisatorische Massnahmen

Verschlüsselung und Pseudonymisierung

• Alle Verbindungen sind mit TLS verschlüsselt.
• Zugangsdaten und andere Geheimnisse (PIN, Schlüssel für Einmalcodes, SMTP-Zugänge, API-Schlüssel) sind in der Datenbank mit AES-256-GCM verschlüsselt gespeichert, mit einem eigenen Schlüssel je Arbeitsbereich.
• Sicherungen sind verschlüsselt.
• Die Besucherstatistik speichert IP-Adressen nur als Hashwert mit geheimem Schlüssel. Aufrufe der Lieferantenseite gehen nicht in sie ein.

Trennung

• Jeder Kunde hat eine eigene Datenbank.

Physische Sicherheit

• Server und Objektspeicher stehen in Rechenzentren der Hetzner Online GmbH in Falkenstein, Deutschland, die nach ISO 27001 zertifiziert sind.

Identifizierung und Berechtigung

• Passwörter werden nur als bcrypt-Hash gespeichert.
• Eine Zwei-Faktor-Anmeldung mit Einmalcode oder Sicherheitsschlüssel steht allen Benutzern zur Verfügung; der Kunde kann sie für seinen Arbeitsbereich verlangen.
• Eine Sitzung endet nach einer Zeit ohne Aktivität, die der Kunde einstellt (Voreinstellung acht Stunden).
• Im Arbeitsbereich gelten Rollen und Berechtigungen, die der Kunde vergibt.
• Mitarbeitende von Transpareo öffnen einen Arbeitsbereich nur über eine Anmeldung im Namen des Kunden, die im Protokoll der Plattform und im Sicherheitsprotokoll des Arbeitsbereichs festgehalten wird.
• Lieferantenseite: Der Link enthält einen zufälligen Schlüssel aus 16 Zeichen (80 Bit); ohne PIN zeigt die Seite nichts vom Datensatz. Nach fünf falschen PINs ist der Link 15 Minuten gesperrt. Je IP-Adresse nimmt die Seite höchstens 120 Aufrufe pro Minute an. Beim Entsperren erhält die Sitzung eine neue Kennung. Die Seite ist für Suchmaschinen gesperrt und gibt ihre Adresse nicht an fremde Seiten weiter.

Protokollierung

• Änderungen an Datensätzen und die Vorgänge der Lieferantenseite werden mit Zeitpunkt, Handelndem und IP-Adresse protokolliert und fünf Jahre aufbewahrt, Anmeldungen und andere Sicherheitsereignisse ein Jahr.
• Server-Protokolle werden nach 14 Tagen gelöscht.

Integrität

• Bilder von Lieferanten werden ohne Metadaten in einem geschützten Bereich ausserhalb des öffentlichen Speichers gehalten, bis eine Prüfung sie übernimmt. Eine Antwort ändert den Datensatz erst nach der Prüfung.
• Veröffentlichte Passversionen sind kryptografisch signiert.

Verfügbarkeit und Wiederherstellung

• Alle vier Stunden werden Datenbank und Dateien jedes aktiven Arbeitsbereichs gesichert, verschlüsselt und getrennt von den Servern im Objektspeicher in Deutschland abgelegt. Lokale Kopien werden nach vier Tagen gelöscht. Die Sicherungen im Objektspeicher werden 90 Tage aufbewahrt und innerhalb von 30 weiteren Tagen endgültig gelöscht.
• Dienste und Server werden laufend überwacht; Sicherheitsupdates werden regelmässig eingespielt.
• Transpareo überprüft diese Massnahmen regelmässig und passt sie dem Stand der Technik an.

Unterstützung des Verantwortlichen (Klauseln 8 und 9)

• Ein Kunde kann die Daten seines Arbeitsbereichs in der Plattform einsehen, berichtigen und löschen. Ein Lieferant sieht die Antworten auf seine Weitergaben auf der Lieferantenseite und kann jeden weitergegebenen Link widerrufen.
• Anträge betroffener Personen, die bei Transpareo eingehen, leitet Transpareo unverzüglich an den Verantwortlichen weiter.
• Mitteilungen nach den Klauseln 7.7 und 9.2 gehen per E-Mail an den Kontoinhaber eines Kunden und an die E-Mail-Adresse, die ein Lieferant beim Weitergeben angibt. Anlaufstelle nach Klausel 9.2 Buchstabe b ist privacy@mail.transpareo.com.
• Eine Meldung nach Klausel 9.2 nennt zusätzlich den Zeitpunkt der Verletzung und ihrer Entdeckung sowie die betroffenen Arbeitsbereiche oder Links.

Schweizer Ergänzung

Diese Ergänzung ist eine weitere Klausel nach Klausel 2 Buchstabe b. Soweit die Verarbeitung dem schweizerischen Bundesgesetz über den Datenschutz (DSG) unterliegt:

1. gelten Verweise auf die Verordnung (EU) 2016/679 zugleich als Verweise auf die entsprechenden Bestimmungen des DSG, namentlich Art. 28 DSGVO auf Art. 9 DSG, Art. 32 auf Art. 8, Art. 33 und 34 auf Art. 24, Art. 35 und 36 auf Art. 22 und 23, Kapitel V auf Art. 16 bis 18, die Rechte betroffener Personen auf Art. 25 bis 32 DSG und sensible Daten nach Klausel 7.5 auf besonders schützenswerte Personendaten nach Art. 5 Bst. c DSG;
2. ist zuständige Aufsichtsbehörde der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB); die Zuständigkeit der Aufsichtsbehörden nach der DSGVO bleibt unberührt;
3. gilt als Recht eines Mitgliedstaats auch das schweizerische Recht.

Stand: 8. Oktober 2026