VylarisGroup – Stand: 20. Oktober 2026
Diese Vereinbarung zur Auftragsbearbeitung (nachfolgend «AVV») regelt die Bearbeitung von Personendaten durch die VylarisGroup im Auftrag ihrer Kunden. Sie gilt insbesondere für die Phishing-Simulation über GoPhish, VylarisOffers, VylarisChat, VylarisAdvertise, Frontdesk und das Support-Portal, soweit bei der Erbringung der jeweiligen Leistung Personendaten im Auftrag des Kunden bearbeitet werden.
Die Vereinbarung berücksichtigt das Schweizer Datenschutzgesetz (DSG) und, soweit anwendbar, die Datenschutz-Grundverordnung der Europäischen Union (DSGVO).
Parteien
Auftragsbearbeiterin
VylarisGroup Schweiz
Verein nach Schweizer Recht, nicht im Handelsregister eingetragen
Schützengasse 13, 9410 Heiden, Schweiz
vertreten durch Christopher Niedermann, Vize-Präsident
Datenschutzkontakt: support@vylaris.ch
Verantwortliche
Die jeweilige natürliche oder juristische Person, die mit der VylarisGroup einen Hauptvertrag abschliesst und über die Zwecke und Mittel der betreffenden Bearbeitung von Personendaten entscheidet.
Die Kontaktdaten der Verantwortlichen ergeben sich aus dem jeweiligen Hauptvertrag oder der Bestellung.
Diese Vereinbarung ist Bestandteil des jeweiligen Hauptvertrags. Der Hauptvertrag kommt insbesondere durch die Annahme einer Offerte, eine Bestellung oder eine anderweitige wirksame vertragliche Vereinbarung zustande. Bei Widersprüchen zwischen dieser Vereinbarung und anderen Vertragsbestandteilen gehen die Bestimmungen dieser Vereinbarung hinsichtlich der Bearbeitung von Personendaten vor, soweit keine zwingenden gesetzlichen Vorschriften entgegenstehen.
1. Gegenstand, Dauer und Rangfolge
1.1 Gegenstand
Die Auftragsbearbeiterin bearbeitet Personendaten im Auftrag der Verantwortlichen, soweit dies zur Erbringung der vereinbarten Leistungen erforderlich ist. Sie handelt dabei nach den dokumentierten Weisungen der Verantwortlichen und im Rahmen der anwendbaren Datenschutzgesetze.
1.2 Dauer
Diese Vereinbarung gilt für die Dauer des Hauptvertrags und darüber hinaus, solange die Auftragsbearbeiterin noch Personendaten der Verantwortlichen bearbeitet oder diese aufbewahrt. Sie endet hinsichtlich der betreffenden Daten erst, wenn diese zurückgegeben oder ordnungsgemäss gelöscht wurden, vorbehaltlich gesetzlicher Aufbewahrungspflichten und der Regelungen in Ziffer 11.
1.3 Rangfolge
Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag oder den Allgemeinen Geschäftsbedingungen gehen die Bestimmungen dieser Vereinbarung für die Auftragsbearbeitung vor. Zwingende gesetzliche Vorschriften bleiben vorbehalten.
2. Art, Zweck und Umfang der Bearbeitung
2.1 Leistungen und Datenkategorien
Die Art und der Umfang der Bearbeitung richten sich nach den tatsächlich gebuchten Leistungen. Die folgende Übersicht beschreibt die vorgesehenen Bearbeitungsvorgänge. Sie gilt jeweils nur, soweit die betreffende Leistung genutzt wird.
| Leistung | Zweck | Bearbeitete Personendaten | Betroffene Personen |
|---|---|---|---|
| Phishing-Simulation (GoPhish, phishing.vylaris.ch) | Versand von Testnachrichten, Auswertung von Reaktionen und Erstellung von Berichten | E-Mail-Adresse, Name, Abteilung, Reaktionsdaten wie Öffnen oder Anklicken, IP-Adresse und technische Browserinformationen, soweit erfasst | Mitarbeitende der Verantwortlichen |
| VylarisOffers (offers.vylaris.ch) | Erstellung und Verwaltung von Offerten und Aufträgen | Kontakt-, Vertrags- und Rechnungsdaten, soweit für die Leistung erforderlich | Kunden und Ansprechpersonen |
| VylarisChat (chat.vylaris.ch) | Bereitstellung interner Kommunikation | Konto- und Profildaten, Nachrichten, Dateien sowie technische Sitzungs- und Verbindungsdaten | Nutzerinnen und Nutzer des Dienstes |
| VylarisAdvertise (ads.vylaris.ch) | Bereitstellung einer Werbeplattform | Konto-, Kontakt- und Buchungsdaten sowie gegebenenfalls Abrechnungsinformationen | Werbekunden und deren Ansprechpersonen |
| Frontdesk (frontdesk.vylaris.ch) | Bereitstellung von Funktionen zur Vereinsverwaltung | Mitglieder-, Konto- und Kontaktdaten sowie weitere für die Verwaltungsfunktionen erforderliche Angaben | Vereinsmitglieder und berechtigte Nutzer |
| Support-Portal (support.vylaris.ch) | Bearbeitung von Anfragen und Support-Tickets | Name, E-Mail-Adresse, Anfrageinhalte, Anhänge und technische Protokolldaten | Kunden, Ansprechpersonen und Nutzer |
Die Angaben sind entsprechend den tatsächlich eingesetzten Funktionen und Datenflüssen zu konkretisieren. Zusätzliche Datenkategorien dürfen nur verarbeitet werden, soweit dies vom Hauptvertrag, den dokumentierten Weisungen und den anwendbaren Datenschutzgesetzen gedeckt ist.
2.2 Besondere Kategorien von Personendaten
Besonders schützenswerte Personendaten im Sinne des Schweizer DSG beziehungsweise besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO werden nicht gezielt erhoben, sofern dies nicht ausdrücklich vereinbart und rechtlich zulässig ist.
Sollten solche Daten unbeabsichtigt in Nachrichten, Freitexten oder Anhängen enthalten sein, werden sie nur verarbeitet, soweit dies für die konkrete Leistung erforderlich und rechtlich zulässig ist. Soweit möglich, werden sie von der weiteren Verarbeitung ausgeschlossen oder gelöscht. Der Zugriff ist auf die hierfür erforderlichen Personen zu beschränken.
2.3 Begrenzung der Bearbeitung
Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich für die vereinbarten Zwecke. Eine weitergehende Bearbeitung ist nur zulässig, soweit sie gesetzlich vorgeschrieben ist oder eine andere rechtmässige Grundlage besteht.
3. Weisungen der Verantwortlichen
3.1 Dokumentierte Weisungen
Die Auftragsbearbeiterin bearbeitet Personendaten nur nach dokumentierten Weisungen der Verantwortlichen. Weisungen können sich aus dem Hauptvertrag, dieser Vereinbarung, den vereinbarten Diensteinstellungen oder späteren Mitteilungen in Textform ergeben. E-Mail genügt, sofern die Weisung hinreichend eindeutig ist.
Die Weisungen umfassen insbesondere Gegenstand, Dauer, Art und Zweck der Bearbeitung, die betroffenen Personendaten und Personengruppen sowie die Rechte und Pflichten der Parteien.
3.2 Rechtswidrige Weisungen
Ist die Auftragsbearbeiterin der Auffassung, dass eine Weisung gegen anwendbare Datenschutzvorschriften verstösst, informiert sie die Verantwortliche unverzüglich. Soweit rechtlich zulässig und erforderlich, darf sie die betroffene Weisung bis zur Klärung aussetzen.
3.3 Keine eigenen Verarbeitungszwecke
Die Auftragsbearbeiterin verwendet die im Auftrag bearbeiteten Personendaten nicht für eigene Werbezwecke, eine eigene Profilbildung oder eine anderweitige eigenständige Nutzung. Eine Weitergabe erfolgt nur im Rahmen der vereinbarten Leistungen, nach zulässigen Weisungen, an genehmigte Unterauftragsbearbeiter oder aufgrund einer gesetzlichen Verpflichtung.
Anonymisierte Betriebsstatistiken dürfen verwendet werden, sofern eine Identifizierung einzelner Personen mit vernünftigerweise verfügbaren Mitteln ausgeschlossen ist.
4. Pflichten der Verantwortlichen
4.1 Rechtmässigkeit
Die Verantwortliche ist für die Rechtmässigkeit der von ihr veranlassten Bearbeitung verantwortlich. Sie stellt insbesondere sicher, dass eine geeignete Rechtsgrundlage besteht, Informationspflichten gegenüber betroffenen Personen erfüllt werden und die übermittelten Daten rechtmässig erhoben wurden.
4.2 Phishing-Simulationen
Bei Phishing-Simulationen stellt die Verantwortliche sicher, dass:
a) die erforderlichen internen Freigaben vorliegen;
b) die Durchführung nach dem jeweils anwendbaren Datenschutz-, Arbeits- und Mitbestimmungsrecht zulässig ist;
c) erforderliche Informations- und Beteiligungspflichten gegenüber Mitarbeitenden und deren Vertretungsorganen erfüllt werden;
d) die verwendeten E-Mail-Adressen, Domains und sonstigen Ressourcen rechtmässig genutzt werden dürfen;
e) Umfang, Auswertung und Aufbewahrung der Kampagnendaten auf das erforderliche Mass beschränkt werden.
Für Schweizer Arbeitsverhältnisse berücksichtigt die Verantwortliche insbesondere Art. 328b OR sowie gegebenenfalls weitere anwendbare arbeitsrechtliche Bestimmungen. Bei Beschäftigten in anderen Ländern sind die dort geltenden Vorschriften zusätzlich zu beachten.
Die Verantwortliche bleibt dafür zuständig, die Zulässigkeit der konkreten Kampagne zu beurteilen. Die Auftragsbearbeiterin unterstützt sie im vereinbarten Umfang bei der technischen Umsetzung.
4.3 Datenqualität und Betroffenenrechte
Die Verantwortliche stellt sicher, dass die übermittelten Personendaten für die vorgesehenen Zwecke geeignet und, soweit erforderlich, richtig und aktuell sind.
Sie bearbeitet Anfragen betroffener Personen grundsätzlich selbst. Die Unterstützung durch die Auftragsbearbeiterin richtet sich nach Ziffer 5 und den anwendbaren gesetzlichen Vorschriften.
5. Pflichten der Auftragsbearbeiterin
5.1 Vertraulichkeit
Die Auftragsbearbeiterin stellt sicher, dass Personen, die mit der Bearbeitung von Personendaten betraut sind, zur Vertraulichkeit verpflichtet wurden oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.
Die Verpflichtung gilt über das Ende der jeweiligen Tätigkeit hinaus, soweit rechtlich zulässig.
5.2 Zugriffsberechtigungen
Zugriff auf Personendaten erhalten nur Personen, die diesen zur Erfüllung ihrer Aufgaben benötigen. Zugriffsrechte werden auf das erforderliche Mass beschränkt und bei Wegfall des Bedarfs angepasst oder entzogen.
Ergebnisse und personenbezogene Auswertungen aus Phishing-Simulationen werden ausschliesslich der Verantwortlichen beziehungsweise den von ihr autorisierten Personen zugänglich gemacht, soweit keine andere rechtmässige Weisung oder gesetzliche Verpflichtung besteht.
5.3 Datensicherheit
Die Auftragsbearbeiterin setzt geeignete technische und organisatorische Massnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die vorgesehenen Massnahmen sind in Anhang 1 beschrieben.
Die Massnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art und des Umfangs der Bearbeitung sowie der möglichen Risiken für betroffene Personen überprüft und bei Bedarf angepasst.
5.4 Unterstützung bei Betroffenenrechten
Wenden sich betroffene Personen unmittelbar an die Auftragsbearbeiterin, verweist diese sie grundsätzlich an die Verantwortliche, soweit keine gesetzliche Pflicht zu einer eigenen Antwort besteht.
Die Auftragsbearbeiterin unterstützt die Verantwortliche im angemessenen Umfang bei der Erfüllung von Anfragen zu Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung und Datenübertragbarkeit, soweit diese Rechte nach dem anwendbaren Recht bestehen.
5.5 Weitere Unterstützungspflichten
Die Auftragsbearbeiterin unterstützt die Verantwortliche im angemessenen und gesetzlich erforderlichen Umfang bei:
a) der Gewährleistung der Datensicherheit;
b) der Bearbeitung von Datenschutzverletzungen;
c) erforderlichen Datenschutz-Folgenabschätzungen;
d) gegebenenfalls erforderlichen vorherigen Konsultationen der zuständigen Aufsichtsbehörde;
e) Anfragen und Untersuchungen zuständiger Behörden, soweit diese die Auftragsbearbeitung betreffen.
5.6 Verzeichnis der Bearbeitungstätigkeiten
Die Auftragsbearbeiterin führt ein Verzeichnis ihrer Bearbeitungstätigkeiten, soweit sie hierzu nach dem anwendbaren Datenschutzrecht verpflichtet ist.
5.7 Nachweispflichten
Die Auftragsbearbeiterin stellt der Verantwortlichen die angemessenen Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieser Vereinbarung und der anwendbaren Datenschutzvorschriften nachzuweisen.
6. Meldung von Datenschutzverletzungen
6.1 Meldepflicht
Die Auftragsbearbeiterin informiert die Verantwortliche über eine ihr bekannt gewordene Verletzung der Datensicherheit, die Personendaten der Verantwortlichen betrifft, unverzüglich und möglichst innerhalb von 48 Stunden nach Kenntnisnahme.
Diese Frist ist eine vertragliche Höchstfrist für die Erstmeldung. Sie verlängert keine gesetzlichen Meldefristen und schliesst eine frühere Meldung nicht aus.
6.2 Inhalt der Meldung
Die Meldung enthält, soweit zum jeweiligen Zeitpunkt bekannt:
a) eine Beschreibung der Art der Verletzung;
b) die betroffenen Datenkategorien und, soweit abschätzbar, die betroffenen Personen;
c) die wahrscheinlichen Folgen;
d) die bereits ergriffenen oder geplanten Massnahmen zur Eindämmung und Behebung;
e) eine Kontaktstelle für Rückfragen.
Noch fehlende Informationen werden nach Möglichkeit unverzüglich nachgereicht.
6.3 Gesetzliche Meldungen
Die Verantwortliche beurteilt und entscheidet über gesetzlich erforderliche Meldungen an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), andere zuständige Aufsichtsbehörden und betroffene Personen.
Für die Schweiz ist insbesondere Art. 24 DSG massgebend. Soweit die DSGVO anwendbar ist, sind insbesondere Art. 33 und 34 DSGVO zu beachten. Die Auftragsbearbeiterin unterstützt die Verantwortliche bei der Erfüllung ihrer gesetzlichen Pflichten.
6.4 Kontaktstelle für Vorfälle
Kontaktstelle für Datenschutz- und Sicherheitsvorfälle:
VylarisGroup Schweiz
Ansprechperson: Christopher Niedermann, Vize-Präsident
E-Mail: support@vylaris.ch
Telefon: +41 78 322 21 39
7. Unterauftragsbearbeiter
7.1 Genehmigung
Die Auftragsbearbeiterin darf Unterauftragsbearbeiter nur im Rahmen dieser Vereinbarung und nach vorheriger Genehmigung durch die Verantwortliche einsetzen.
Die Verantwortliche erteilt eine allgemeine Genehmigung für die in Anhang 2 aufgeführten Unterauftragsbearbeiter, soweit diese für die dort beschriebenen Leistungen tatsächlich eingesetzt werden und die Angaben zu Aufgaben, Datenzugriff und Verarbeitungsorten zutreffen.
Für neue oder ersetzende Unterauftragsbearbeiter ist das Verfahren nach Ziffer 7.2 einzuhalten.
7.2 Änderungen
Die Auftragsbearbeiterin informiert die Verantwortliche mindestens 30 Tage vor einer beabsichtigten Änderung in Bezug auf die Hinzuziehung oder Ersetzung eines Unterauftragsbearbeiters in Textform.
Die Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigen datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich in diesem Fall um eine angemessene Lösung.
Kommt keine Lösung zustande, kann jede Partei den von der Änderung betroffenen Teil des Hauptvertrags ausserordentlich kündigen, soweit die Fortsetzung ohne die betreffende Änderung nicht zumutbar ist.
7.3 Vertragliche Verpflichtungen
Die Auftragsbearbeiterin verpflichtet ihre Unterauftragsbearbeiter durch geeignete Vereinbarungen zu Datenschutzpflichten, die mindestens den für sie geltenden Anforderungen dieser Vereinbarung entsprechen.
Sie bleibt gegenüber der Verantwortlichen für die Erfüllung der vereinbarten Pflichten durch ihre Unterauftragsbearbeiter verantwortlich, soweit dies gesetzlich vorgesehen ist.
7.4 Transparenz
Die Auftragsbearbeiterin hält die Liste der eingesetzten Unterauftragsbearbeiter aktuell. Änderungen der in Anhang 2 aufgeführten Angaben werden nach dem Verfahren in Ziffer 7.2 mitgeteilt.
8. Bekanntgabe von Personendaten ins Ausland
8.1 Grundsatz
Personendaten dürfen nur in Staaten bekanntgegeben werden, in denen die gesetzlichen Voraussetzungen für eine solche Bekanntgabe erfüllt sind.
Für die Schweiz sind insbesondere Art. 16 und 17 DSG sowie die einschlägigen Bestimmungen der Datenschutzverordnung massgebend. Soweit die DSGVO anwendbar ist, gelten zusätzlich die Anforderungen der Art. 44 ff. DSGVO.
Vor einer Bekanntgabe sind insbesondere das Empfängerland, der Empfänger, der Zweck, die betroffenen Daten und die erforderlichen Garantien zu prüfen.
8.2 Datenübermittlungen in Drittstaaten
Bietet das Empfängerland kein angemessenes Datenschutzniveau, darf eine Bekanntgabe nur erfolgen, wenn eine gesetzlich anerkannte Grundlage oder geeignete Garantien vorliegen und die gegebenenfalls erforderlichen zusätzlichen Massnahmen getroffen wurden.
Die Zustimmung der Verantwortlichen allein ersetzt diese gesetzlichen Voraussetzungen nicht.
8.3 Einsatz von Clerk, Inc.
Clerk, Inc. kann zur Anmeldung und Kontoverwaltung eingesetzt werden, soweit die Verantwortliche entsprechende Dienste nutzt.
Vor der Übermittlung von Personendaten sind die konkrete juristische Person, die tatsächlich eingesetzten Funktionen, die betroffenen Datenkategorien, die Verarbeitungsorte und die jeweils erforderlichen Übermittlungsmechanismen zu prüfen.
Angaben zu Zertifizierungen nach dem EU-U.S. Data Privacy Framework oder dem Swiss-U.S. Data Privacy Framework dürfen nur insoweit als Grundlage herangezogen werden, als die aktuelle Zertifizierung den betreffenden Empfänger und die konkrete Datenübermittlung tatsächlich abdeckt.
Die Auftragsbearbeiterin dokumentiert die jeweils erforderliche Transfergrundlage und stellt sie der Verantwortlichen auf Anfrage zur Verfügung.
9. Kontroll- und Prüfungsrechte
9.1 Nachweise
Die Auftragsbearbeiterin stellt der Verantwortlichen die zur Überprüfung der Einhaltung dieser Vereinbarung erforderlichen und angemessen verfügbaren Informationen zur Verfügung.
9.2 Prüfungen
Die Verantwortliche darf nach vorheriger Ankündigung von grundsätzlich 14 Tagen selbst oder durch eine zur Vertraulichkeit verpflichtete, fachlich geeignete Prüfstelle überprüfen, ob die Auftragsbearbeiterin die vertraglichen Datenschutzpflichten erfüllt.
Prüfungen erfolgen grundsätzlich höchstens einmal jährlich, ausser bei konkreten Anhaltspunkten für einen Datenschutzverstoss, einer erheblichen Datenschutzverletzung oder einer entsprechenden behördlichen Anordnung.
Die Prüfung ist so durchzuführen, dass der Betrieb der Auftragsbearbeiterin möglichst wenig beeinträchtigt wird und keine unbefugte Offenlegung von Daten anderer Kunden oder sicherheitskritischen Informationen erfolgt.
9.3 Kosten
Die Parteien tragen ihre eigenen internen Aufwendungen für die Prüfung. Externe Prüfkosten werden von der Verantwortlichen getragen, sofern die Parteien nichts anderes vereinbaren oder zwingendes Recht eine andere Kostenverteilung verlangt.
10. Haftung
Die Haftung der Parteien richtet sich nach dem Hauptvertrag und den wirksam einbezogenen Allgemeinen Geschäftsbedingungen, soweit diese mit dieser Vereinbarung und den zwingenden gesetzlichen Vorschriften vereinbar sind.
Die gesetzlichen Rechte betroffener Personen und zwingende gesetzliche Haftungsbestimmungen bleiben unberührt.
Die Haftungsregelungen des Hauptvertrags dürfen nicht so ausgelegt werden, dass zwingende Datenschutzpflichten einer Partei aufgehoben werden.
11. Rückgabe und Löschung
11.1 Rückgabe nach Vertragsende
Nach Beendigung der vereinbarten Leistung gibt die Auftragsbearbeiterin die Personendaten nach Wahl der Verantwortlichen zurück oder löscht sie, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Die Verantwortliche teilt ihre Wahl innerhalb von 30 Tagen nach Ende der Leistung mit. Erfolgt keine Mitteilung, darf die Auftragsbearbeiterin die betreffenden Daten löschen, sofern keine gesetzlichen oder vertraglichen Gründe für eine weitere Aufbewahrung bestehen.
11.2 Kampagnendaten der Phishing-Simulation
Personenbezogene Kampagnendaten der Phishing-Simulation werden grundsätzlich 90 Tage nach Versand des Abschlussberichts gelöscht oder anonymisiert, sofern keine abweichende dokumentierte Weisung oder rechtmässige Aufbewahrungspflicht besteht.
Soweit entsprechende Daten in Backups enthalten sind, werden diese im Rahmen der dokumentierten Backup-Rotation gelöscht. Die endgültige Löschung aus Backups erfolgt nach der festgelegten Aufbewahrungsfrist von grundsätzlich 24 Monaten, sofern diese Frist technisch tatsächlich umgesetzt ist und rechtlich gerechtfertigt werden kann.
Die Auftragsbearbeiterin trifft angemessene Massnahmen, um sicherzustellen, dass gelöschte Daten bei einer Wiederherstellung nicht unkontrolliert erneut in den produktiven Betrieb übernommen werden.
11.3 Gesetzliche Aufbewahrungspflichten
Personendaten dürfen über die vorgenannten Fristen hinaus nur aufbewahrt werden, soweit dies gesetzlich erforderlich oder anderweitig rechtmässig ist. Die weitere Bearbeitung ist auf den gesetzlich erforderlichen Zweck zu beschränken.
11.4 Löschbestätigung
Die Auftragsbearbeiterin bestätigt der Verantwortlichen die erfolgte Rückgabe oder Löschung auf Anfrage in Textform, soweit dies mit verhältnismässigem Aufwand möglich ist.
12. Schlussbestimmungen
12.1 Änderungen
Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. E-Mail genügt, sofern die Änderung eindeutig dokumentiert ist und keine zwingenden gesetzlichen Formvorschriften entgegenstehen.
12.2 Anwendbares Recht und Gerichtsstand
Diese Vereinbarung untersteht Schweizer Recht, soweit keine zwingenden gesetzlichen Vorschriften entgegenstehen.
Gerichtsstand ist, soweit rechtlich zulässig, Heiden AR, Schweiz. Zwingende Zuständigkeitsvorschriften sowie gegebenenfalls anwendbare Bestimmungen der DSGVO bleiben vorbehalten.
12.3 Teilunwirksamkeit
Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchsetzbar sein, bleiben die übrigen Bestimmungen unberührt. Die Parteien werden die betreffende Bestimmung durch eine rechtlich zulässige Regelung ersetzen, die dem wirtschaftlichen und rechtlichen Zweck möglichst nahekommt.
12.4 Inkrafttreten
Diese Vereinbarung tritt mit ihrer wirksamen Einbeziehung in den jeweiligen Hauptvertrag in Kraft.
Anhang 1: Technische und organisatorische Massnahmen
Die nachfolgenden Massnahmen beschreiben die vorgesehenen Sicherheitsbereiche. Die konkreten technischen Umsetzungen sind vor Veröffentlichung und vor der Nutzung durch Kunden zu überprüfen und gegebenenfalls zu ergänzen.
| Bereich | Massnahmen und Anforderungen |
|---|---|
| Zutrittskontrolle | Schutz der Räumlichkeiten und Systeme gegen unbefugten physischen Zugriff durch die jeweiligen Hosting-Anbieter; tatsächliche Massnahmen und Zuständigkeiten dokumentieren |
| Zugangskontrolle | Personalisierte Konten, angemessene Authentisierung, rollenbasierte Rechte und unverzüglicher Entzug nicht mehr benötigter Berechtigungen |
| Administratorzugriff | Zwei-Faktor-Authentisierung für administrative Zugänge, soweit technisch verfügbar und umgesetzt; privilegierte Zugriffe auf notwendige Personen beschränken |
| Passwortschutz | Passwörter dürfen nicht im Klartext gespeichert werden. Geeignete Passwort-Hashing-Verfahren sind einzusetzen, soweit die Anwendung selbst Passwörter verwaltet |
| Übertragung | TLS/HTTPS für öffentlich erreichbare Dienste und andere geeignete verschlüsselte Übertragungswege, soweit technisch anwendbar |
| Speicherung | Schutz gespeicherter Personendaten durch geeignete Zugriffsbeschränkungen; Verschlüsselung ruhender Daten entsprechend dem Risiko und den technischen Möglichkeiten prüfen und dokumentieren |
| Protokollierung | Protokollierung sicherheitsrelevanter Ereignisse und administrativer Eingriffe, soweit erforderlich; Zugriffe auf Protokolle beschränken |
| Protokollaufbewahrung | Aufbewahrungsfristen je Dienst festlegen und regelmässig überprüfen; nicht erforderliche Protokolle löschen |
| Verfügbarkeit | Geeignete Backups, Wiederherstellungsverfahren und Überwachung der Verfügbarkeit; Backup-Frequenz, Speicherorte und Aufbewahrungsfristen dokumentieren |
| Datenwiederherstellung | Wiederherstellungsverfahren regelmässig überprüfen und sicherstellen, dass gelöschte Daten nicht unkontrolliert erneut produktiv werden |
| Datenminimierung | Nur die für den jeweiligen Dienst erforderlichen Personendaten verarbeiten; nicht erforderliche Erfassungsfunktionen deaktivieren |
| Phishing-Simulation | Keine Erfassung von Passwörtern oder Eingabeinhalten, sofern dies in der tatsächlichen GoPhish-Konfiguration entsprechend deaktiviert und überprüft ist |
| Trennung | Logische Trennung von Kundendaten und Zugriffsrechten entsprechend der eingesetzten Architektur; tatsächliche Umsetzung überprüfen |
| Wartung | Sicherheitsupdates und Fehlerbehebungen nach einem risikobasierten Verfahren durchführen |
| Organisation | Vertraulichkeitsverpflichtungen, Zuständigkeiten für Datenschutzvorfälle und Verfahren für Berechtigungsvergabe festlegen |
| Dienstespezifische Risiken | Sicherheitsrelevante Eigenschaften der einzelnen Dienste dokumentieren, insbesondere Verschlüsselung, administrative Zugriffsmöglichkeiten und Datenexporte |
Die Auftragsbearbeiterin überprüft diese Massnahmen regelmässig und passt sie bei wesentlichen technischen oder organisatorischen Änderungen an.
Die Tabelle stellt keine unabhängige Zertifizierung und keinen Nachweis dar, dass sämtliche Massnahmen bereits implementiert sind. Massgeblich ist die tatsächlich umgesetzte und dokumentierte Sicherheitsarchitektur.
Anhang 2: Unterauftragsbearbeiter
Die folgende Liste beruht auf den für diese Vertragsfassung angegebenen Partnern. Sie ist vor der Veröffentlichung daraufhin zu überprüfen, welche Partner tatsächlich Personendaten im Auftrag der VylarisGroup bearbeiten.
| Unterauftragsbearbeiter | Vorgesehene Aufgabe | Angegebene Länder bzw. Standorte |
|---|---|---|
| Skrime (Einzelunternehmen Tom Gewiese) | Betrieb bestimmter Server | Deutschland, Niederlande |
| TheRedStonee (Ohev Tamerin) | Betrieb der Statusseite | Deutschland, Niederlande |
| CircleUpWilms (Einzelunternehmen Lucas Wilms) | Webhosting; rechtliche Beratung gesondert hinsichtlich der tatsächlichen Datenzugriffe prüfen | Deutschland, Niederlande, Österreich |
| Clerk, Inc. | Anmeldung und Kontoverwaltung | USA; konkrete Transfergrundlage prüfen |
| Mollie B.V. | Zahlungsabwicklung; hinsichtlich der jeweiligen Vorgänge als eigenständig Verantwortliche oder Auftragsbearbeiterin zu prüfen | Niederlande |
Für jeden tatsächlich eingesetzten Unterauftragsbearbeiter sind vor der Nutzung mindestens folgende Angaben intern zu dokumentieren:
- die betroffenen Dienste und konkreten Aufgaben;
- die Datenkategorien, auf die Zugriff besteht;
- die tatsächlichen Speicher- und Verarbeitungsorte;
- mögliche Fernzugriffe aus weiteren Ländern;
- die vertraglichen Datenschutzpflichten;
- die gegebenenfalls erforderlichen Garantien für internationale Datenübermittlungen.
Die Einordnung von Mollie B.V. als eigenständig Verantwortliche gilt nur für diejenigen Verarbeitungsvorgänge, bei denen Mollie die Zwecke und Mittel tatsächlich selbst bestimmt. Die konkrete Rolle ist anhand der einschlägigen Vertragsunterlagen und Verarbeitungsvorgänge zu beurteilen.
Die Verantwortliche kann die aktuelle Liste der genehmigten Unterauftragsbearbeiter nach Massgabe von Ziffer 7 einsehen.
Anhang 3: Besondere dienstbezogene Angaben
Die folgenden Angaben werden für die jeweilige Leistung im Hauptvertrag, in der Bestellung oder in einer ergänzenden Leistungsbeschreibung konkretisiert:
- Beginn und Dauer der Bearbeitung;
- Gegenstand und Zweck der Bearbeitung;
- Kategorien betroffener Personen;
- Arten der bearbeiteten Personendaten;
- besondere Weisungen zur Datenverwendung;
- vereinbarte Löschfristen und Aufbewahrungspflichten;
- gegebenenfalls dienstspezifische Sicherheitsmassnahmen.
Nicht genutzte Leistungen begründen keine Verpflichtung, die dazugehörigen Personendaten zu bearbeiten.
Ende der Vereinbarung zur Auftragsbearbeitung