Auftragsbearbeitungsvertrag (AVV) für now4it Consent

Parteien

Auftraggeber (Verantwortlicher): die Kundin oder der Kunde, die oder der ein Konto bei now4it Consent eröffnet und den Dienst auf einer oder mehreren Websites einsetzt.

Auftragsbearbeiter: Sinew GmbH, Leibernweg 14, 4468 Kienberg, Schweiz (UID CHE-293.157.044), handelnd unter der Marke now4it, E-Mail [email protected].

Der Vertrag kommt mit der Kontoeröffnung zustande (Annahme durch Klick bei der Anmeldung) und gilt für die Dauer des Nutzungsvertrags nach den AGB, Teil B. Er stützt sich auf Art. 9 des Schweizer Datenschutzgesetzes (DSG). Für Auftraggeber im Anwendungsbereich der DSGVO gilt zusätzlich der Zusatz in Ziffer 11.

1. Gegenstand

Der Auftragsbearbeiter bearbeitet im Auftrag des Auftraggebers Personendaten, die beim Einsatz des Consent-Banners auf den Websites des Auftraggebers anfallen: das Protokoll der Einwilligungen und Ablehnungen, die Zählung der Banner-Anzeigen (Impressionen) sowie die Auslieferung gehosteter Rechtstexte. Die Bearbeitung der Kontodaten des Auftraggebers selbst (E-Mail, Rechnung) erfolgt in eigener Verantwortung des Auftragsbearbeiters und ist in der Datenschutzerklärung beschrieben.

2. Art und Zweck der Bearbeitung, Datenarten, betroffene Personen

Zweck: Speicherung und Nachweis der Entscheidungen von Website-Besuchern über Cookies und ähnliche Technologien; Zählung der Banner-Anzeigen; Statistik in aggregierter Form ohne Personenbezug.

Datenarten:

• zufällige Besucher-Kennung, die im Browser der besuchenden Person gespeichert wird
• Entscheidung je Kategorie (Einwilligung, Ablehnung, Auswahl, Widerruf) und Zeitpunkt
• Banner-Version, Layout, Sprache und Herkunftsland (aus der Netzwerkverbindung abgeleitet)
• gekürzter Hash der IP-Adresse mit geheimem Zusatz; die IP-Adresse selbst wird nicht gespeichert
• gekürzte Browser-Kennung (User-Agent)

Betroffene Personen: Besucherinnen und Besucher der Websites des Auftraggebers.

Es werden keine Namen, keine Kontaktdaten und keine besonders schützenswerten Personendaten bearbeitet. Der Auftraggeber setzt den Dienst nicht ein, um solche Daten zu erfassen.

3. Weisungen

Der Auftragsbearbeiter bearbeitet die Daten nur nach Weisung des Auftraggebers. Als Weisung gilt die Konfiguration im Dashboard (Kategorien, Texte, Verhalten je Region, Aufbewahrung, Löschung von Websites oder des Kontos). Weitere Weisungen erteilt der Auftraggeber in Textform an [email protected]. Hält der Auftragsbearbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Auftraggeber und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragsbearbeiters

• Bearbeitung nur im Rahmen dieses Vertrags und der Weisungen; keine Nutzung für eigene Zwecke. Ausgenommen sind anonyme, aggregierte Betriebs- und Vergleichswerte ohne Personenbezug (zum Beispiel durchschnittliche Zustimmungsquoten).
• Vertraulichkeit: Zugang zu den Daten haben nur Personen, die der Vertraulichkeit verpflichtet sind und den Zugang für den Betrieb benötigen.
• Datensicherheit nach Anhang 1; die Massnahmen werden dem Stand der Technik angepasst, ohne das Schutzniveau zu senken.
• Unterstützung des Auftraggebers bei Anfragen betroffener Personen (Auskunft, Löschung): Suche nach der Besucher-Kennung, Export und Löschung einzelner Einträge innert zehn Arbeitstagen nach Anfrage.
• Meldung von Verletzungen der Datensicherheit, welche die Auftragsdaten betreffen, innert 48 Stunden nach Kenntnis an die Konto-E-Mail-Adresse, mit Art und Umfang der Verletzung, betroffenen Daten und getroffenen Massnahmen.
• Unterstützung bei einer Datenschutz-Folgenabschätzung des Auftraggebers, soweit sie den Dienst betrifft, durch Bereitstellung der nötigen Informationen.
• Führung eines Verzeichnisses der Bearbeitungstätigkeiten, soweit gesetzlich vorgeschrieben.

5. Subunternehmer

Der Auftraggeber genehmigt die in Anhang 2 aufgeführten Subunternehmer. Änderungen (Hinzufügen oder Ersetzen) kündigt der Auftragsbearbeiter mindestens 30 Tage vor dem Wechsel per E-Mail an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall kann jede Partei den Nutzungsvertrag auf den Zeitpunkt des Wechsels kündigen. Der Auftragsbearbeiter verpflichtet Subunternehmer vertraglich auf ein gleichwertiges Datenschutzniveau und bleibt für deren Leistung verantwortlich.

6. Bekanntgabe ins Ausland

Die Auftragsdaten werden auf Servern in Finnland und Deutschland gespeichert (Anhang 2). Beide Länder gehören zur EU und gewährleisten nach dem Anhang 1 der Datenschutzverordnung (DSV) einen angemessenen Datenschutz. Cloudflare liefert den Banner aus und schützt die Systeme vor Angriffen; die IP-Adresse der Besucher läuft dabei im Transit über Cloudflare, wird vom Auftragsbearbeiter aber nicht gespeichert. Für Cloudflare mit Hauptsitz in den USA gelten die EU-Standardvertragsklauseln und die Zertifizierung unter dem Data Privacy Framework. Stripe und Microsoft erhalten nur Kontodaten des Auftraggebers, keine Besucherdaten. Eine Bekanntgabe in weitere Länder findet nur mit Garantien nach Art. 16 und 17 DSG statt.

7. Rechte der betroffenen Personen

Anfragen betroffener Personen beantwortet der Auftraggeber. Gehen solche Anfragen beim Auftragsbearbeiter ein, leitet er sie ohne Verzug an den Auftraggeber weiter und unterstützt ihn gemäss Ziffer 4. Betroffene Personen können ihre Besucher-Kennung im Banner einsehen; der Auftraggeber findet damit die zugehörigen Einträge im Dashboard.

8. Nachweis und Kontrolle

Der Auftragsbearbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach, in der Regel einmal jährlich, durch schriftliche Auskunft und Dokumentation (Anhang 1, Protokoll des letzten Wiederherstellungstests, Beschreibung der Sicherungen). Prüfungen vor Ort oder durch beauftragte Dritte sind bei begründetem Verdacht auf eine Verletzung möglich, nach Ankündigung von mindestens 14 Tagen, zu den üblichen Geschäftszeiten und auf Kosten des Auftraggebers. Betriebsgeheimnisse und Daten anderer Kunden bleiben geschützt.

9. Haftung

Es gelten die Haftungsregeln der AGB (Ziffern 6 und B11). Jede Partei haftet für ihren Verantwortungsbereich: der Auftraggeber für die Rechtmässigkeit der Bearbeitung, die Konfiguration und die Inhalte seiner Website, der Auftragsbearbeiter für die weisungsgemässe und sichere Bearbeitung.

10. Dauer, Beendigung und Löschung

Dieser Vertrag gilt für die Dauer des Nutzungsvertrags. Nach dessen Ende werden die Auftragsdaten gemäss AGB Ziffer B12 gelöscht: Daten gelöschter Websites 30 Tage nach der Löschung, alle übrigen Auftragsdaten 90 Tage nach Vertragsende, nach einer abgelaufenen Testphase ohne Abo 180 Tage nach dem Testende. Der Auftraggeber exportiert benötigte Protokolle vorher selbst im Dashboard (CSV, PDF). Eine Rückgabe auf Datenträgern erfolgt nicht. Sicherungskopien werden im Rahmen des Sicherungszyklus (30 Tage) überschrieben.

11. Zusatz für Auftraggeber im Anwendungsbereich der DSGVO

Setzt der Auftraggeber den Dienst auf Websites ein, die sich an Personen in der EU oder im EWR richten, gilt dieser Vertrag zugleich als Vereinbarung nach Art. 28 Abs. 3 DSGVO. Dazu gilt ergänzend:

• Der Auftragsbearbeiter verarbeitet die Daten nur auf dokumentierte Weisung, auch in Bezug auf Übermittlungen in Drittländer, und informiert, wenn er eine Weisung für rechtswidrig hält.
• Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
• Es gelten die Massnahmen nach Art. 32 DSGVO gemäss Anhang 1.
• Für weitere Auftragsverarbeiter gelten Ziffer 5 und Anhang 2 (allgemeine Genehmigung mit Informations- und Widerspruchsrecht).
• Der Auftragsbearbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO und bei der Beantwortung von Anträgen betroffener Personen.
• Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsbearbeiter ohne unangemessene Verzögerung, spätestens innert 48 Stunden nach Kenntnis.
• Nach Abschluss der Leistung werden die Daten nach Ziffer 10 gelöscht; die Nachweispflichten nach Ziffer 8 entsprechen Art. 28 Abs. 3 lit. h DSGVO.
• Die Verarbeitung findet in der EU statt. Übermittlungen an Cloudflare (USA) stützen sich auf die EU-Standardvertragsklauseln und das Data Privacy Framework.
• Der Auftragsbearbeiter hat keinen Vertreter in der EU nach Art. 27 DSGVO benannt, da die Verarbeitung für ihn nur gelegentlich Personen in der EU betrifft und kein hohes Risiko birgt. Ändert sich das, informiert er die Auftraggeber.

12. Schlussbestimmungen

In Datenschutzfragen geht dieser Vertrag den AGB vor. Änderungen dieses Vertrags kündigt der Auftragsbearbeiter mindestens 30 Tage vor dem Inkrafttreten per E-Mail an; der Auftraggeber kann bis dahin auf diesen Zeitpunkt kündigen. Es gilt Schweizer Recht; Gerichtsstand ist der Sitz des Auftragsbearbeiters, sofern nicht zwingendes Recht anderes vorsieht. Die jeweils gültige Fassung mit Versionsnummer ist unter now4it.com/consent/avv.html abrufbar.