Auftragsverarbeitungsvertrag (AVV)

Parteien

In diesem Anhang wird die OWNBIT GmbH als „Agentur“ und ihr Vertragspartner als „Kunde“ bezeichnet. Die Agentur handelt im Rahmen dieses Anhangs als Auftragsbearbeiterin des Kunden, soweit sie Personendaten im Auftrag und nach Weisung des Kunden bearbeitet. Der Kunde ist hinsichtlich dieser Personendaten der Verantwortliche im Sinne des anwendbaren Datenschutzrechts.

Zweck und Geltungsbereich

Dieser Anhang regelt die Bearbeitung von Personendaten durch die Agentur im Auftrag des Kunden, soweit die Agentur im Rahmen der vereinbarten Leistungen als Auftragsbearbeiter im Sinne des Schweizer Datenschutzgesetzes (DSG) tätig wird.

Personendaten im Sinne dieses Anhangs sind sämtliche Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.

Dieser AVV regelt die Auftragsbearbeitung primär nach den Anforderungen des Schweizer Datenschutzgesetzes (DSG). Durch diesen AVV wird keine eigenständige vertragliche Verpflichtung der Agentur zur Einhaltung ausländischer Datenschutzgesetze, insbesondere der Datenschutz-Grundverordnung (DSGVO), begründet. Zwingende gesetzliche Verpflichtungen, die aufgrund der konkreten Datenbearbeitung auf die Agentur Anwendung finden, bleiben vorbehalten.

Dieser AVV bildet einen integrierenden Bestandteil der zwischen dem Kunden und der Agentur bestehenden Vereinbarungen, soweit die Agentur Personendaten im Auftrag des Kunden bearbeitet. Es gilt die zum Zeitpunkt des Vertragsabschlusses auf der Website veröffentlichte Fassung des AVV. Spätere Änderungen werden gemäss der in diesem AVV vorgesehenen Änderungsklausel wirksam.

Gegenstand und Umfang der Bearbeitung

Die Bearbeitung von Personendaten erfolgt ausschliesslich im Rahmen der zwischen den Parteien vereinbarten Leistungen und während der Dauer des jeweiligen Vertragsverhältnisses.

Die Bearbeitung kann insbesondere folgende Leistungen umfassen:

• Entwicklung von Softwareprodukten wie Websites, Anwendungen, Schnittstellen etc.
• Hosting von Websites, E-Mail sowie anderen Anwendungen
• Verwaltung von Domains
• Support, Wartung, Fehleranalysen, Fehlerbehebungen, Datenmigrationen, Serveradministration, Datenbankadministration, Fernzugriffe im Rahmen von Supportleistungen usw.
• Datensicherungen und Wiederherstellungen
• Systemüberwachung
• technische Administration

Die Agentur bearbeitet Personendaten ausschliesslich, soweit dies zur Erfüllung der vertraglich vereinbarten Leistungen erforderlich ist.

Der Kunde anerkennt, dass die Agentur im Rahmen der oben genannten Leistungen technisch bedingt Zugriff auf Personendaten erhalten kann. Solche Zugriffe erfolgen ausschliesslich, soweit sie zur Erbringung der vereinbarten Leistungen erforderlich sind.

Soweit dies für Entwicklung, Fehleranalyse oder Tests erforderlich ist, ist die Agentur berechtigt, Kopien von Datenbanken oder Anwendungen in geschützten Test- oder Entwicklungsumgebungen zu verwenden. Die Agentur trifft hierfür angemessene technische und organisatorische Massnahmen und verwendet diese Daten ausschliesslich zur Vertragserfüllung.

Weisungen des Kunden

Die Agentur bearbeitet Personendaten ausschliesslich aufgrund der vertraglichen Vereinbarungen oder dokumentierter Weisungen des Kunden.

Der Kunde bleibt Verantwortlicher für die bearbeiteten Personendaten.

Weisungen, welche über den vereinbarten Leistungsumfang hinausgehen, bedürfen der Textform (z.B. E-Mail).

Erachtet die Agentur eine Weisung als offensichtlich rechtswidrig oder datenschutzwidrig, informiert sie den Kunden entsprechend. Bis zur Klärung ist die Agentur berechtigt, die betreffende Weisung auszusetzen.

Weisungen, welche über den vereinbarten Leistungsumfang hinausgehen oder einen zusätzlichen Aufwand verursachen, werden von der Agentur nur nach vorgängiger Abstimmung mit dem Kunden umgesetzt und können nach Aufwand gemäss den vereinbarten Ansätzen verrechnet werden.

Verantwortung des Kunden

Der Kunde ist als Verantwortlicher für die Rechtmässigkeit der von ihm veranlassten Datenbearbeitungen sowie für die von ihm bereitgestellten Inhalte und Personendaten verantwortlich. Dies umfasst insbesondere die Einhaltung der gesetzlichen Informations-, Auskunfts- und sonstigen Pflichten gegenüber den betroffenen Personen.

Die Agentur ist nicht verpflichtet, die datenschutzrechtliche Zulässigkeit der vom Kunden veranlassten Datenbearbeitungen zu prüfen oder die gesetzlichen Informations- und sonstigen Pflichten des Kunden gegenüber betroffenen Personen zu erfüllen. Eine entsprechende Prüfung, Beratung oder Unterstützung durch die Agentur erfolgt nur, soweit dies ausdrücklich vereinbart wurde oder sich eine entsprechende Pflicht aus diesem Vertrag oder dem anwendbaren Datenschutzrecht ergibt.

Der Kunde informiert die Agentur vor Beginn der Bearbeitung, wenn im Rahmen des Auftrags besonders schützenswerte Personendaten oder andere Personendaten bearbeitet werden sollen, deren Bearbeitung aufgrund ihrer Art, ihres Umfangs, ihres Zwecks oder besonderer Umstände mit einem erhöhten datenschutzrechtlichen Risiko verbunden ist.

Der Kunde stellt sicher, dass die der Agentur zur Bearbeitung übermittelten Personendaten rechtmässig erhoben wurden und dass die Agentur diese Personendaten im vereinbarten Umfang bearbeiten darf.

Vertraulichkeit

Die Agentur verpflichtet sich, sämtliche im Rahmen der Auftragsbearbeitung bekannt gewordenen Personendaten vertraulich zu behandeln und angemessen vor unbefugter Kenntnisnahme, Bearbeitung oder Weitergabe zu schützen.

Die Agentur stellt sicher, dass ihre Mitarbeitenden sowie von ihr eingesetzte Unterauftragsbearbeiter, die mit der Bearbeitung von Personendaten betraut sind, zur Vertraulichkeit verpflichtet sind. Personendaten dürfen nur gemäss den Weisungen des Verantwortlichen und nur insoweit bearbeitet werden, als dies zur Erfüllung der vertraglich vereinbarten Aufgaben erforderlich ist.

Eine Weitergabe von Personendaten an Dritte ist nur zulässig, soweit dies nach diesem Vertrag bzw. den Weisungen des Verantwortlichen gestattet ist oder eine gesetzliche Verpflichtung zur Offenlegung besteht. Soweit gesetzlich zulässig, informiert die Agentur den Verantwortlichen vor einer solchen Offenlegung.

Die Verpflichtungen zur Vertraulichkeit bestehen auch nach Beendigung des Vertragsverhältnisses fort.

Technische und organisatorische Massnahmen

Die Agentur trifft angemessene technische und organisatorische Massnahmen zum Schutz der bearbeiteten Personendaten. Dabei berücksichtigt sie insbesondere die Art und den Umfang der Bearbeitung, den Schutzbedarf und die damit verbundenen Risiken sowie den Stand der Technik. Dazu gehören insbesondere angemessene Massnahmen zur Zugriffskontrolle, Authentifizierung, Verschlüsselung, Systemsicherheit, Datensicherung, Protokollierung, Wiederherstellung und Behandlung von Sicherheitsvorfällen.

Die konkrete technische und organisatorische Umsetzung dieser Massnahmen wird in der TOM-Dokumentation der Agentur beschrieben. Diese Dokumentation ist nicht Bestandteil dieses AVV und kann aufgrund technischer oder organisatorischer Weiterentwicklungen angepasst werden, sofern das Schutzniveau insgesamt nicht wesentlich verringert wird.

Support- und Fernzugriffe

Der Kunde erklärt sich damit einverstanden, dass Wartungs-, Support- und Fehlerbehebungsleistungen auch mittels Fernzugriff erbracht werden können.

Soweit dies zur Vertragserfüllung erforderlich ist, darf die Agentur auf Systeme und Personendaten des Kunden zugreifen.

Die Agentur ist berechtigt, technische Protokoll-, Betriebs- und Logdaten zu erheben und auszuwerten, soweit dies für den sicheren Betrieb, die Fehleranalyse, die Systemsicherheit oder die Vertragserfüllung erforderlich ist.

Unterauftragsbearbeiter (Subprozessoren)

Die Agentur ist berechtigt, zur Erfüllung ihrer vertraglichen Leistungen geeignete Unterauftragsbearbeiter einzusetzen. Hierzu können insbesondere Hosting- und Rechenzentrumsanbieter, Cloud- und E-Mail-Dienstleister sowie Anbieter von Monitoring-, Backup-, Sicherheits- und sonstigen Software- und IT-Dienstleistungen gehören.

Der Kunde erteilt der Agentur hiermit seine allgemeine Genehmigung zum Einsatz von Unterauftragsbearbeitern. Die Agentur stellt sicher, dass die von ihr eingesetzten Unterauftragsbearbeiter hinsichtlich der Bearbeitung personenbezogener Daten angemessenen datenschutzrechtlichen Verpflichtungen sowie geeigneten technischen und organisatorischen Sicherheitsanforderungen unterliegen. Dies kann insbesondere durch einen Auftragsbearbeitungsvertrag, Standardvertragsklauseln oder andere geeignete vertragliche Regelungen erfolgen.

Die Agentur führt eine aktuelle Übersicht der eingesetzten Unterauftragsbearbeiter und stellt diese dem Kunden in geeigneter Form zur Verfügung. Die Agentur informiert den Kunden rechtzeitig über die beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsbearbeiters. Redaktionelle Änderungen und Aktualisierungen der Angaben zu bereits genehmigten Unterauftragsbearbeitern gelten nicht als Änderung im Sinne dieser Bestimmung.

Der Kunde kann einer solchen Änderung innerhalb einer angemessenen Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Widerspruch ist gegenüber der Agentur zu begründen.

Sofern der Widerspruch berechtigt ist, werden sich die Parteien nach Treu und Glauben um eine zumutbare alternative Lösung bemühen. Kann keine zumutbare alternative Lösung gefunden werden und ist die Fortführung der betroffenen Leistung ohne den betreffenden Unterauftragsbearbeiter nicht möglich oder für die Agentur nicht zumutbar, können die Parteien die betroffene Leistung entsprechend anpassen oder beenden.

Die Beendigung einer betroffenen Leistung lässt die übrigen vertraglichen Leistungen und das Vertragsverhältnis im Übrigen unberührt, soweit deren Fortführung möglich und zumutbar ist.

Mit Abschluss dieses Vertrages gilt die Zustimmung des Kunden zum Einsatz der zu diesem Zeitpunkt eingesetzten Unterauftragsbearbeiter als erteilt.

Ort der Datenbearbeitung

Die Bearbeitung von Personendaten kann durch die Agentur selbst oder durch von ihr eingesetzte Unterauftragsbearbeiter in der Schweiz, im Europäischen Wirtschaftsraum (EWR) oder in anderen Staaten erfolgen.

Die jeweils eingesetzten Unterauftragsbearbeiter sowie die für die Bearbeitung relevanten Staaten und, soweit für die Beurteilung der Datenbekanntgabe relevant, die Standorte der Datenbearbeitung ergeben sich aus der jeweils aktuellen Liste der Unterauftragsbearbeiter.

Soweit Personendaten in einen Staat ausserhalb der Schweiz oder des EWR bekanntgegeben oder dort bearbeitet werden, stellt die Agentur sicher, dass die Voraussetzungen des anwendbaren Datenschutzrechts für eine solche Bekanntgabe erfüllt sind. Dies umfasst insbesondere die Prüfung eines angemessenen Datenschutzniveaus sowie, soweit erforderlich, die Anwendung geeigneter Garantien oder anderer gesetzlich vorgesehener Voraussetzungen.

Die Agentur kann insbesondere auf anerkannte Standarddatenschutzklauseln, geeignete vertragliche Garantien oder andere nach dem anwendbaren Datenschutzrecht zulässige Instrumente zurückgreifen.

Die Agentur ist berechtigt, die Liste der Unterauftragsbearbeiter und die darin enthaltenen Angaben zu Ländern und Datenbearbeitungsorten im Rahmen der vorgesehenen Änderungs- und Informationsprozesse zu aktualisieren.

Die jeweils eingesetzten Unterauftragsbearbeiter sowie die für die Datenbearbeitung relevanten Länder ergeben sich aus der aktuellen Liste der Unterauftragsbearbeiter.

Unterstützung des Kunden

Die Agentur schuldet keine allgemeine rechtliche oder datenschutzrechtliche Beratung des Kunden. Die datenschutzrechtliche Verantwortung für die vom Kunden veranlassten Datenbearbeitungen verbleibt beim Kunden als Verantwortlichem.

Die Agentur unterstützt den Kunden im Rahmen der gesetzlichen Anforderungen und der vertraglich vereinbarten Leistungen bei der Erfüllung seiner datenschutzrechtlichen Pflichten, soweit diese die von der Agentur im Auftrag des Kunden bearbeiteten Personendaten betreffen und die erforderlichen Informationen oder Mitwirkungshandlungen bei der Agentur vorhanden sind.

Dies umfasst insbesondere, soweit für die jeweilige Bearbeitung erforderlich und zumutbar:

• die Bereitstellung von Informationen über die von der Agentur getroffenen technischen und organisatorischen Massnahmen
• die Unterstützung bei der Beurteilung und Bearbeitung von Verletzungen der Datensicherheit
• die Unterstützung bei Anfragen von Aufsichtsbehörden, soweit diese die von der Agentur erbrachten Leistungen betreffen
• die Unterstützung bei Anfragen betroffener Personen, soweit diese die von der Agentur bearbeiteten Personendaten oder erbrachten Leistungen betreffen

Anfragen betroffener Personen oder Aufsichtsbehörden beantwortet die Agentur grundsätzlich nicht selbst, sondern leitet diese an den Kunden weiter oder informiert den Kunden unverzüglich, soweit keine gesetzliche Verpflichtung zur direkten Beantwortung besteht.

Die Agentur stellt dem Kunden die bei ihr vorhandenen und für die jeweilige Anfrage erforderlichen Informationen zur Verfügung. Eine eigene rechtliche Beurteilung der Anfrage oder eine Prüfung der Rechtmässigkeit der vom Kunden veranlassten Datenbearbeitung schuldet die Agentur nicht.

Unterstützungsleistungen, die über die gewöhnliche Erfüllung der vertraglich vereinbarten Leistungen hinausgehen oder einen zusätzlichen administrativen, technischen oder personellen Aufwand verursachen, werden nach Aufwand gemäss den vereinbarten Stundenansätzen oder der jeweils gültigen Preisliste der Agentur vergütet, soweit keine zwingende gesetzliche oder ausdrücklich vertragliche Verpflichtung zur unentgeltlichen Erbringung besteht.

Datenschutzverletzungen

Die Agentur informiert den Kunden so rasch als möglich nach Bekanntwerden einer Verletzung der Datensicherheit, welche die im Auftrag bearbeiteten Personendaten betrifft oder betreffen kann.

Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, insbesondere Angaben zur Art der Verletzung, zu den betroffenen Daten und Personengruppen, zu möglichen Folgen sowie zu den bereits getroffenen oder vorgesehenen Massnahmen zur Behebung oder Begrenzung der Auswirkungen.

Die Agentur kann die Meldung zunächst in Form einer vorläufigen Meldung auf die zum jeweiligen Zeitpunkt verfügbaren Informationen beschränken und diese nach Vorliegen weiterer Erkenntnisse ergänzen.

Die Agentur trifft angemessene und im Rahmen ihrer vertraglichen Leistungen zumutbare Massnahmen zur Begrenzung möglicher Auswirkungen und unterstützt den Kunden im erforderlichen Umfang bei der Erfüllung seiner gesetzlichen Pflichten.

Die zur ordentlichen Behebung und Absicherung der von der Agentur betriebenen oder betreuten Systeme erforderlichen Massnahmen sind mit der vereinbarten Vergütung abgegolten, soweit sie zum vereinbarten Leistungsumfang gehören.

Weitergehende oder ausserordentliche Unterstützungsleistungen, insbesondere umfangreiche forensische Analysen, individuelle Berichte und Dokumentationen, zusätzliche Abklärungen, besondere Datenexporte oder -auswertungen, die Unterstützung bei der Kommunikation mit betroffenen Personen oder Behörden sowie die Beauftragung externer Spezialisten, gelten als zusätzliche Leistungen und werden nach Aufwand vergütet, soweit die Parteien nichts Abweichendes vereinbaren.

Dies gilt nicht, soweit die Agentur aufgrund zwingenden Rechts, aufgrund einer ausdrücklichen vertraglichen Verpflichtung oder aufgrund eines von ihr zu vertretenden Fehlverhaltens zur unentgeltlichen Erbringung der betreffenden Leistung verpflichtet ist.

Die Agentur schuldet die Umsetzung angemessener technischer und organisatorischer Massnahmen, nicht jedoch den vollständigen Ausschluss von Sicherheitsvorfällen, Cyberangriffen oder Datenschutzverletzungen.

Nachweis der Einhaltung

Die Agentur stellt dem Kunden auf Anfrage angemessene Informationen zur Verfügung, die geeignet sind, die Einhaltung der datenschutzrechtlichen Verpflichtungen der Agentur im Zusammenhang mit der Bearbeitung personenbezogener Daten nachzuweisen.

Die Bereitstellung bereits vorhandener und für mehrere Kunden einheitlich verwendeter Unterlagen, insbesondere der jeweils aktuellen Dokumentation der technischen und organisatorischen Massnahmen (TOM), Sicherheitskonzepte, Zertifizierungen, standardisierten Selbstauskünfte oder vergleichbarer Nachweise, erfolgt im Rahmen der vereinbarten Leistungen.

Individuelle Nachweise, Berichte, Fragebögen, Bestätigungen oder sonstige Dokumentationen sowie individuelle Prüfungen oder Abklärungen, die über die Bereitstellung bereits vorhandener Unterlagen hinausgehen, gelten als zusätzliche Leistungen und werden nach Aufwand gemäss den vereinbarten Stundenansätzen oder der jeweils gültigen Preisliste der Agentur vergütet. Dies gilt insbesondere für die Bearbeitung kundenspezifischer Audit- und Compliance-Fragebögen.

Ein Anspruch auf die Erstellung eines bestimmten Nachweisformats oder auf die Beantwortung kundenspezifischer Fragebögen besteht nur, soweit dies ausdrücklich vereinbart wurde oder gesetzlich zwingend erforderlich ist.

Der Nachweis erfolgt nach Wahl der Agentur insbesondere durch:

• Beschreibungen der technischen und organisatorischen Massnahmen
• Beschreibungen von Sicherheitskonzepten und -richtlinien
• Übersicht über eingesetzte Unterauftragsbearbeiter
• Bestätigungen von Unterauftragsbearbeitern
• Zertifizierungen oder vergleichbare externe Nachweise, soweit vorhanden
• Selbstauskünfte
• sowie vergleichbare geeignete Nachweise

Ein Anspruch auf Vor-Ort-Kontrollen, Einsicht in interne Systeme, Netzwerke, Server, Quellcode, Sicherheitskonfigurationen, Geschäftsunterlagen besteht nicht.

Die Agentur ist berechtigt, Auskünfte oder Unterlagen insoweit einzuschränken oder zu verweigern, als dadurch Geschäfts- oder Betriebsgeheimnisse, die Sicherheit der eigenen Infrastruktur, vertrauliche Informationen oder Rechte Dritter beeinträchtigt würden.

Vergütung von Zusatzaufwand

Soweit die Agentur aufgrund dieses AVV oder aufgrund datenschutzrechtlicher Anforderungen Leistungen erbringt, die über die gewöhnliche Erfüllung der vereinbarten vertraglichen Leistungen hinausgehen oder einen zusätzlichen administrativen, technischen oder personellen Aufwand verursachen, werden diese Leistungen nach Aufwand gemäss den vereinbarten Stundenansätzen oder der jeweils gültigen Preisliste der Agentur vergütet.

Dies gilt insbesondere für:

• die Bearbeitung ausserordentlicher oder umfangreicher Weisungen des Kunden
• die Erstellung individueller Nachweise, Bestätigungen, Berichte oder Dokumentationen
• die Erstellung oder Ausstellung von Löschbestätigungen, soweit diese nicht bereits im Rahmen eines standardisierten und automatisierten Prozesses erfolgen
• die Unterstützung bei Anfragen betroffener Personen oder Aufsichtsbehörden, soweit diese über die gewöhnliche Weiterleitung oder Bereitstellung vorhandener Informationen hinausgeht
• die Durchführung individueller Prüfungen, Analysen oder Abklärungen
• die Unterstützung bei Datenschutz-Folgenabschätzungen, Risikoanalysen oder sonstigen datenschutzrechtlichen Abklärungen
• ausserordentliche Audits oder Kontrollen
• Datenexporte, Datenmigrationen oder besondere Löschvorgänge, soweit diese nicht Bestandteil der vereinbarten Leistungen sind
• sonstige Leistungen, die aufgrund besonderer Anforderungen des Kunden oder aufgrund einer Änderung der gesetzlichen oder regulatorischen Anforderungen zusätzlich erforderlich werden

Soweit eine Leistung sowohl Bestandteil der gesetzlichen oder vertraglichen Pflichten der Agentur als auch mit zusätzlichem Aufwand verbunden ist, ist die Agentur berechtigt, den hierfür tatsächlich anfallenden zusätzlichen Aufwand nach den vereinbarten Ansätzen zu verrechnen, soweit dieser nicht bereits durch die vereinbarte Vergütung abgegolten ist.

Die Agentur informiert den Kunden auf Anfrage über den voraussichtlichen Aufwand. Bei umfangreichen Leistungen kann die Agentur die vorgängige Freigabe eines Kostenvoranschlags verlangen.

Die vorstehenden Regelungen lassen gesetzlich zwingende oder ausdrücklich unentgeltlich geschuldete Leistungen unberührt.

Mit der vereinbarten Vergütung abgegolten sind ausschliesslich diejenigen Datenschutzleistungen, die zur ordentlichen Erbringung der vertraglich vereinbarten Leistungen erforderlich sind und innerhalb der üblichen betrieblichen Prozesse der Agentur erbracht werden können. Darüber hinausgehende individuelle, manuelle oder ausserordentliche Leistungen werden nach Aufwand vergütet, soweit nichts Abweichendes vereinbart wurde.

Vertragsende

Nach Beendigung des Vertrags löscht die Agentur die im Rahmen der Auftragsverarbeitung verarbeiteten Personendaten nach Weisung des Kunden oder gibt sie dem Kunden in einem gängigen und für die Agentur zumutbaren Datenformat heraus, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Die Herausgabe von Personendaten nach Vertragsende erfolgt in einem gängigen und für die Agentur zumutbaren Datenformat. Ein darüber hinausgehender Datenexport, insbesondere die Aufbereitung, Konvertierung, Strukturierung oder Migration von Daten in ein kundenspezifisches Format oder Zielsystem, gilt als zusätzliche Leistung und wird nach Aufwand vergütet.

Der Kunde hat seine Wahl zwischen Löschung und Herausgabe sowie allfällige hierfür erforderliche Weisungen spätestens innerhalb von 30 Tagen nach Beendigung des Vertrags mitzuteilen. Erfolgt innerhalb dieser Frist keine Weisung, ist die Agentur berechtigt, die Personendaten im Rahmen ihrer regulären Prozesse zu löschen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Von der Löschung ausgenommen sind Datensicherungen (Backups), soweit deren gesonderte Löschung nur mit unverhältnismässigem technischem oder wirtschaftlichem Aufwand möglich wäre. Solche Datensicherungen dienen ausschliesslich der Wiederherstellung im Notfall und werden nicht anderweitig verwendet. Sie werden im Rahmen der üblichen Backup-Rotation automatisch überschrieben oder gelöscht.

Die Löschung im Rahmen der regulären technischen und betrieblichen Prozesse erfolgt ohne gesonderte Vergütung. Verlangt der Kunde darüber hinaus eine individuelle Löschprüfung, einen besonderen Löschvorgang, eine manuelle Prüfung von Systemen oder Datenbeständen oder eine individuelle Löschbestätigung, wird der hierfür anfallende Aufwand nach den vereinbarten Stundenansätzen oder der jeweils gültigen Preisliste der Agentur vergütet.

Eine standardisierte Bestätigung über die Durchführung der regulären Löschung kann die Agentur auf Verlangen des Kunden zur Verfügung stellen. Die standardisierte Bestätigung beschränkt sich auf die Bestätigung der Durchführung der Löschung im Rahmen der regulären Prozesse der Agentur. Individuelle oder über die standardisierte Bestätigung hinausgehende Nachweise werden nach Aufwand vergütet.

Ein Anspruch auf eine systembezogene Einzelprüfung, die Auflistung einzelner Datensätze oder Löschvorgänge, technische Detailnachweise oder eine bestimmte Form der Löschbestätigung besteht nur, soweit dies ausdrücklich vereinbart oder gesetzlich zwingend vorgeschrieben ist.

Änderungen des Auftragsbearbeitungsvertrags

Die Agentur kann diesen AVV bei Bedarf anpassen. Redaktionelle Änderungen sowie Änderungen, die keine wesentlichen Auswirkungen auf die Rechte und Pflichten der Parteien oder die Bearbeitung von Personendaten haben, können jederzeit vorgenommen werden.

Materielle Änderungen werden dem Kunden mit angemessener Vorankündigung mitgeteilt und mit einer neuen Versionsnummer sowie einem Datum versehen. Der Kunde kann einer solchen Änderung innerhalb von 30 Tagen nach Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen.

Erfolgt kein berechtigter Widerspruch innerhalb dieser Frist, wird die neue Fassung zum angekündigten Zeitpunkt für das bestehende Vertragsverhältnis wirksam. Im Falle eines berechtigten Widerspruchs bemühen sich die Parteien nach Treu und Glauben um eine zumutbare Lösung. Kann keine solche Lösung gefunden werden, kann die von der Änderung betroffene Vertragsleistung auf den Zeitpunkt des Inkrafttretens der Änderung beendet werden.

Eine erneute Unterzeichnung des AVV ist bei Änderungen nicht erforderlich, sofern die geänderte Fassung nach dem vorstehenden Änderungsverfahren wirksam geworden ist.

Schlussbestimmungen

Soweit dieser AVV keine abweichenden Bestimmungen enthält, gelten ergänzend die zwischen den Parteien abgeschlossenen Verträge sowie die Allgemeinen Geschäftsbedingungen der Agentur.

Bei Widersprüchen zwischen diesem AVV und anderen vertraglichen Bestimmungen gehen die Bestimmungen dieses AVV vor, soweit der Widerspruch die Bearbeitung von Personendaten betrifft. Im Übrigen gelten die Bestimmungen des Hauptvertrags und der Allgemeinen Geschäftsbedingungen der Agentur.

Änderungen und Ergänzungen dieses AVV richten sich nach der in diesem AVV vorgesehenen Änderungsklausel. Individuelle Vereinbarungen zwischen den Parteien gehen diesem AVV vor, soweit sie ausdrücklich auf die betreffende Regelung dieses AVV Bezug nehmen und mit dem anwendbaren Datenschutzrecht vereinbar sind.

Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame oder undurchführbare Bestimmung durch eine wirksame Bestimmung ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der ursprünglichen Bestimmung möglichst nahekommt.

Es gilt Schweizer Recht, soweit im Hauptvertrag nichts Abweichendes vereinbart ist. Zwingende Bestimmungen des anwendbaren Datenschutzrechts bleiben vorbehalten.