Auftragsverarbeitungsvertrag

Dieser AVV gilt für Personendaten, die Zephior LLC auf dokumentierte Anweisung eines Kunden nach den Ziva Bedingungen, den Servicebedingungen, einem Auftragsformular oder einer Leistungsbeschreibung bearbeitet. Er gilt nicht für Daten, bei denen Zephior Zwecke und Mittel selbst bestimmt.

Gegenstand: Bereitstellung, Betrieb, Support und Schutz des vereinbarten Services.

Dauer: Laufzeit der Servicevereinbarung zuzüglich vereinbarter Export-, Backup- und Löschfristen.

Betroffene Personen: Personal, Interessenten, Käufer, Lieferanten, Partner oder andere Personen, deren Daten der Kunde übermittelt.

Daten: Kontokennungen, geschäftliche Kontaktdaten, Dokumente, Kommunikation, Projektdaten, Serviceeingaben und -ergebnisse sowie weitere im Auftragsformular beschriebene Daten.

Zephior bearbeitet Personendaten nur nach dokumentierter Kundenanweisung, einschliesslich Servicevereinbarung und Nutzung konfigurierter Produktfunktionen, sofern nicht anwendbares Recht etwas anderes verlangt. Erscheint eine Anweisung rechtswidrig, informiert Zephior den Kunden, soweit dies nicht untersagt ist.

Zur Bearbeitung autorisierte Personen unterliegen Vertraulichkeitspflichten und erhalten nur den für ihre Rolle erforderlichen Zugriff. Zephior unterhält dem Service angemessene Zugriffs- und Offboarding-Verfahren.

Zephior unterhält risikogerechte Massnahmen, darunter Verschlüsselung bei der Übertragung, geschützte Speicherung, Authentifizierung, rollenbasierter Zugriff, Mandanten- oder Projekttrennung soweit anwendbar, Protokollierung, Backup, Schwachstellenmanagement und Incident Response. Spezifische Massnahmen und Residenz-Zusagen können im Auftragsformular oder Sicherheitsanhang stehen.

Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz erforderlicher Unterauftragsbearbeiter. Zephior verpflichtet diese angemessen und bleibt im gesetzlich erforderlichen Umfang verantwortlich. Anbieterkategorien stehen in der Datenschutzerklärung. Aktuelle servicespezifische Informationen werden nach der anwendbaren Vereinbarung oder auf Anfrage bereitgestellt.

Zephior informiert mit angemessenem Vorlauf über einen wesentlichen neuen Unterauftragsbearbeiter. Der Kunde kann innerhalb der genannten Frist einen begründeten datenschutzrechtlichen Einwand erheben.

Bei einer Bekanntgabe in ein Land ohne anwendbaren Angemessenheitsbeschluss nutzt Zephior anerkannte Garantien wie Standardvertragsklauseln und, soweit nötig, ergänzende Massnahmen. Deploymentspezifische Standortzusagen bleiben massgebend.

Unter Berücksichtigung der Art der Bearbeitung unterstützt Zephior angemessen bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Behördenkonsultationen. Der Kunde kommuniziert mit betroffenen Personen und Behörden, sofern nichts anderes vereinbart ist.

Zephior informiert den Kunden unverzüglich nach Kenntnis einer Verletzung des Schutzes von Personendaten, die Kundendaten betrifft. Die Mitteilung enthält angemessen verfügbare Informationen, damit der Kunde seine Pflichten erfüllen kann. Weitere Angaben können im Verlauf der Untersuchung folgen.

Bei Vertragsende stellt Zephior Kundendaten während der vereinbarten Frist zum Export bereit und löscht oder anonymisiert sie danach, sofern keine gesetzliche Aufbewahrungspflicht besteht. Geschützte Backups können bis zum Ablauf des Backup-Zyklus bestehen bleiben.

Zephior stellt angemessen erforderliche Informationen zum Nachweis der Einhaltung bereit. Prüfungen benötigen angemessene Vorankündigung, müssen andere Kunden und vertrauliche Systeme schützen und sollen zuerst vorhandene Dokumentation oder unabhängige Nachweise nutzen. Vor-Ort-Prüfungen sind auf Fälle beschränkt, in denen diese Unterlagen nicht genügen oder das Gesetz sie verlangt.

Bei einem Konflikt über die Bearbeitung von Personendaten geht dieser AVV den Servicebedingungen vor. Ein unterzeichneter kundenspezifischer Datenschutzanhang geht diesem Standard-AVV im Umfang des Konflikts vor. Die Haftung richtet sich nach der Servicevereinbarung, soweit zwingendes Recht nichts anderes verlangt.