Vereinbarung zur Auftragsbearbeitung

1. Parteien und Einbeziehung

Auftraggeber ist die im Elnio-Abonnement bezeichnete Kundenfirma. Auftragsbearbeiter ist Social-Web Agency, Inhaber Rafail Werdelis, Säntisstrasse 18b, 8716 Schmerikon, Schweiz, info@elnio.ch. Diese AVB wird zusammen mit dem Elnio-Vertrag vereinbart; sie erfasst die Bearbeitung von Personendaten der Kundenfirma und gilt bis zur ordnungsgemässen Rückgabe oder Löschung weiter.

2. Gegenstand und Datenkategorien

Der Auftrag umfasst die Bereitstellung der gebuchten Elnio-Funktionen, Speicherung, Anzeige, Berechnung, Export, Sicherung, Wiederherstellung und Löschung nach Weisung. Betroffen sind insbesondere Kontakt-, Firmen-, Rechnungs-, Zahlungs-, Buchungs-, Auftrags-, Zeit-, Freigabe- und Bilddaten von Kunden, Lieferanten, Mitarbeitenden und anderen Ansprechpartnern.

Die Nutzung für besonders schützenswerte Personendaten oder Daten unter besonderen Berufsgeheimnissen setzt eine vorgängige gesonderte Eignungsprüfung und Vereinbarung voraus. Die Kundenfirma ist für die Zulässigkeit ihrer Bearbeitung und erforderliche Informationen an betroffene Personen verantwortlich.

3. Weisungen

Elnio bearbeitet Auftragsdaten nur für die vereinbarten Zwecke und nach dokumentierten Weisungen. Die vertragsgemässe Bedienung der Anwendung ist eine solche Weisung. Zusätzliche Weisungen kann der berechtigte Firmeninhaber an info@elnio.ch richten; Identität und Berechtigung werden vor Ausführung geprüft.

Hält Elnio eine Weisung für rechtswidrig, informiert Elnio die Kundenfirma und setzt die betroffene Ausführung bis zur Klärung aus. Gesetzlich verpflichtende Bearbeitungen werden vorab mitgeteilt, soweit dies zulässig ist. Auftragsdaten werden nicht ohne gesonderte tragfähige Grundlage für eigene Werbung oder andere vertragsfremde Zwecke verwendet.

4. Vertraulichkeit und Sicherheit

Der Anbieter beschränkt Zugriffe auf berechtigte, zur Vertraulichkeit verpflichtete Personen, die sie für ihre Aufgaben benötigen. Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit. Berechtigungen werden bei Aufgabenwechsel oder Wegfall entzogen.

Anlage A legt die vereinbarten Sicherheitsmassnahmen fest. Sie werden risikogerecht gepflegt und überprüft. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Der Kunde erhält auf Anfrage geeignete Nachweise, ohne dadurch Zugang zu Geheimnissen oder Daten anderer Firmen zu erhalten.

5. Unterstützung und Sicherheitsvorfälle

Elnio unterstützt die Kundenfirma bei Betroffenenanfragen, Berichtigungen, Löschungen, erforderlichen Sicherheitsbeurteilungen und behördlichen Verfahren, soweit dies die Auftragsdaten betrifft. Anfragen werden nicht ohne Weisung inhaltlich für die Kundenfirma entschieden, sofern keine gesetzliche Pflicht besteht.

Bekannt gewordene Verletzungen der Sicherheit von Auftragsdaten meldet Elnio der Kundenfirma so rasch als möglich. Die Meldung enthält die verfügbaren Angaben zu Art, Umfang, betroffenen Daten, möglichen Folgen, getroffenen Massnahmen und Kontaktperson. Fehlende Angaben werden nachgereicht. Die Kundenfirma entscheidet über ihre eigenen gesetzlichen Meldungen; Elnio unterstützt sie dabei.

6. Unterauftragsbearbeiter

Der Kunde genehmigt die in der bei Vertragsschluss vollständigen Anlage B ausdrücklich als Unterauftragsbearbeiter bezeichneten Empfänger. Eine Genehmigung unbenannter Anbieter oder unbekannter Länder wird damit nicht erteilt. Elnio verpflichtet Unterauftragsbearbeiter zu den für ihre Aufgabe erforderlichen gleichwertigen Datenschutzpflichten und bleibt für die Erfüllung seiner eigenen Vertragspflichten verantwortlich.

Für unmittelbar von Elnio selbst geplante neue Unterauftragsbearbeiter oder Ersetzungen informiert Elnio mindestens 30 Tage vor dem vorgesehenen Einsatz per E-Mail über Aufgabe, Datenumfang, Länder und Schutzgrundlage. Der Kunde kann innert 14 Tagen nach Zugang aus nachvollziehbaren Datenschutzgründen widersprechen.

Bei Änderungen in weiteren Unterauftragnehmerketten eines bereits eingesetzten Anbieters informiert Elnio nach Eingang der Anbieterinformation ohne unangemessene Verzögerung über die für Elnio relevanten Änderungen, den angekündigten Zeitpunkt sowie die verfügbare Widerspruchsmöglichkeit. Eine pauschale 30-tägige Vorabinformation wird für diese Anbieterketten nicht zugesagt. Berechtigte Einwände werden vor der betroffenen weiteren Verarbeitung geprüft; die nachfolgend beschriebenen Schutzmassnahmen und Beendigungsmöglichkeiten gelten auch für diese Änderungen.

Elnio prüft eine angemessene Alternative oder zusätzliche Schutzmassnahmen. Ist keine zumutbare Lösung möglich, kann jede Partei die betroffene Leistung vor dem Wechsel ohne zusätzliche Kündigungsgebühr beenden. Vorauszahlungen für danach nicht erbrachte Leistungen werden anteilig zurückerstattet. Rückgabe und Löschung erfolgen nach dieser AVB; bis zur Klärung werden die betroffenen Daten nicht an den beanstandeten neuen Empfänger übermittelt.

7. Bearbeitung im Ausland

Bearbeitungen und Zugriffe im Ausland erfolgen nur entsprechend der vollständigen Anlage B und unter Einhaltung des anwendbaren Datenschutzrechts. Bei fehlendem angemessenem Schutzniveau müssen geeignete Garantien und erforderliche zusätzliche Massnahmen vorliegen. Eine blosse öffentliche Anbietererklärung ersetzt die Prüfung des konkreten Einsatzes nicht.

8. Rückgabe und Löschung

Der Kunde kann seine Daten mit den vorgesehenen Exportfunktionen herausgeben lassen. Für einen bestätigten Schliessungsauftrag gelten die Fristen der AGB Ziffer 8. Die Löschbearbeitung wird dokumentiert und nach Abschluss bestätigt; Fehler oder offene Restbestände werden nicht als abgeschlossene Löschung ausgegeben.

Die Fristen weiterer Sicherungskopien und Dienstleisterdaten müssen in Anlage B bezeichnet sein. Bis zur endgültigen Löschung werden verbleibende Sicherungen vom gewöhnlichen Zugriff getrennt und nur zur notwendigen Wiederherstellung oder aufgrund zwingender Pflichten verwendet. Nach einer Wiederherstellung werden bereits geschuldete Löschungen anhand des aktuellen Löschregisters erneut umgesetzt.

Gesetzlich zwingend aufzubewahrende Daten bleiben für die jeweilige Pflicht gesperrt; Grund, Umfang und voraussichtliche Dauer werden mitgeteilt, soweit zulässig. Eine unbegrenzte Aufbewahrung aller Auftragsdaten allein zur Absicherung gegen mögliche künftige Ansprüche wird nicht vereinbart. Die AVB gilt für verbleibende Auftragsdaten fort.

9. Nachweise und Kontrollen

Elnio stellt die zur Prüfung der vereinbarten Datenschutzpflichten erforderlichen Informationen bereit. Zunächst werden geeignete Dokumente und Nachweise genutzt. Reichen diese bei konkretem Anlass nicht aus, werden weitergehende Kontrollen durch den Kunden oder einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer ermöglicht.

Kontrollen werden grundsätzlich mit angemessenem Vorlauf abgestimmt; bei dringenden Vorfällen darf der Vorlauf notwendige Abklärungen nicht verhindern. Daten anderer Kunden, Geheimnisse und der laufende Betrieb sind zu schützen. Gesetzliche Auskunfts-, Kontroll- und Behördenrechte bleiben unberührt. Optionale Zusatzleistungen werden nur nach vorgängiger Preisvereinbarung verrechnet; gesetzlich geschuldete Mitwirkung wird nicht von einer solchen Vereinbarung abhängig gemacht.