Auftragsdatenbearbeitungsvereinbarung (ADV)

Diese Vereinbarung gilt zwischen der IDS Business Live AG, Badenerstrasse 808, 8048 Zürich, Schweiz (nachfolgend "Auftragsbearbeiterin") und dem jeweiligen Vlera OS Kunden (nachfolgend "Verantwortlicher" bzw. "Kunde") und ergänzt die AGB (Ziffer 22) sowie die Datenschutzerklärung als integraler Bestandteil des Hauptvertrags.

Gegenstand ist die Bearbeitung von Personendaten, die der Kunde im Rahmen der Nutzung von Vlera OS bereitstellt oder die im Rahmen der Leistungserbringung für den Kunden anfallen (z. B. im Rahmen von Integrationen gemäss AGB Ziffer 17), soweit die Auftragsbearbeiterin diese Daten dabei im Auftrag und nach Weisung des Kunden bearbeitet.

Diese Vereinbarung gilt für die Dauer des Hauptvertrags (AGB) und endet automatisch mit dessen Beendigung, vorbehaltlich fortbestehender Pflichten gemäss Ziffer 14.

Die Datenbearbeitung erfolgt zum Zweck der Erbringung der Vlera OS Leistungen gemäss den AGB - insbesondere Speicherung, Organisation, Analyse und Verarbeitung von Unternehmens- und Kontaktdaten zur Vorbereitung und Ausführung von Marketingmassnahmen. Art und Umfang richten sich nach dem tatsächlich genutzten Funktionsumfang im Rahmen des vereinbarten Leistungsumfangs.

Je nach Nutzung können betroffen sein: Mitarbeitende des Kunden, Ansprechpersonen des Kunden, sowie - soweit der Kunde entsprechende Daten einbringt oder über eine Integration überträgt - Leads, Kundinnen und Kunden sowie Kontakte des Kunden.

Je nach Nutzung insbesondere: Namen, Kontaktdaten (E-Mail, Telefon), geschäftliche Rollen-/Funktionsangaben, sowie über Integrationen importierte Kontakt- oder Interaktionsdaten. Besondere Kategorien von Personendaten (z. B. Gesundheitsdaten) sind für die Nutzung von Vlera OS nicht vorgesehen; der Kunde bringt solche Daten nicht ein.

Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich im Rahmen dieser Vereinbarung, der AGB und der dort dokumentierten Funktionalität sowie nach den innerhalb der Plattform durch den Kunden konfigurierten Vorgaben (Leitplanken gemäss AGB Ziffer 6), die als dessen Weisung gelten. Weitergehende Weisungen sind in Textform an die Auftragsbearbeiterin zu richten.

Die Auftragsbearbeiterin stellt sicher, dass Personen, die zur Bearbeitung der Personendaten befugt sind, sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Die Auftragsbearbeiterin trifft angemessene technische und organisatorische Massnahmen, insbesondere eine mandantengetrennte Datenhaltung zwischen verschiedenen Organisationen, eine rollen- und berechtigungsbasierte Zugriffssteuerung sowie eine fortlaufende Protokollierung sicherheitsrelevanter Ereignisse (Audit-Log).

Der Zugriff auf Personendaten ist auf das für die jeweilige Funktion erforderliche Mass beschränkt (Need-to-know-Prinzip); die Authentifizierung erfolgt über individuelle Zugangsdaten mit kurzlebigen Zugriffstoken und serverseitig verwalteten, rotierenden Sitzungs-Token.

Die Auftragsbearbeiterin setzt angemessene Massnahmen zum Schutz der Personendaten gegen unbefugten Zugriff, Verlust oder Missbrauch ein, kann jedoch, wie jede Anbieterin, keine absolute Sicherheit der Datenübertragung und -verarbeitung garantieren.

Die Auftragsbearbeiterin informiert den Kunden ohne unangemessene Verzögerung, sobald ihr eine Verletzung der Datensicherheit bekannt wird, die Personendaten des Kunden betrifft, und unterstützt ihn im Rahmen des Zumutbaren bei allfälligen gesetzlichen Meldepflichten.

Soweit eine betroffene Person ihre Rechte (z. B. Auskunft, Berichtigung, Löschung) gegenüber dem Kunden geltend macht und die Auftragsbearbeiterin dabei mitwirken muss, unterstützt sie den Kunden im Rahmen des technisch Möglichen und Zumutbaren.

Nach Beendigung des Hauptvertrags löscht die Auftragsbearbeiterin die im Auftrag bearbeiteten Personendaten oder gibt sie zurück, soweit die Plattform eine entsprechende Exportfunktion bereitstellt und der Kunde diese innert der in AGB Ziffer 27 vorgesehenen angemessenen Frist nutzt - vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Die Auftragsbearbeiterin kann weitere Auftragsbearbeiter (Unterauftragsbearbeiter) einsetzen. Zum Zeitpunkt dieser Fassung ist als Unterauftragsbearbeiter für die Hosting-/Cloud-Infrastruktur Infomaniak im Einsatz (Schweiz, einschliesslich Infomaniak Swiss Backup, Schweiz, für Kopien der Sicherungen; Einzelheiten siehe Datenschutzerklärung). Ein Zahlungsdienstleister ist nicht im Einsatz. Weitere Anbieter, etwa für den E-Mail-Versand, KI-/Modell-Infrastruktur oder Such- und Marktdaten, werden erst eingesetzt, wenn die jeweilige Funktion der Plattform dem Kunden bereitgestellt wird; diese Vereinbarung wird davor ergänzt. Dienste, die der Kunde selbst verbindet (z. B. Google, Meta, LinkedIn, Mailchimp), sind keine Unterauftragsbearbeiter. Es werden hier bewusst keine nicht tatsächlich eingesetzten Anbieter als im Einsatz genannt.

Setzt die Auftragsbearbeiterin einen neuen Unterauftragsbearbeiter ein, informiert sie den Kunden hierüber mit angemessenem Vorlauf in Textform (z. B. per Aktualisierung der Datenschutzerklärung bzw. dieser Vereinbarung). Erhebt der Kunde innert angemessener Frist keinen Widerspruch, gilt der neue Unterauftragsbearbeiter als akzeptiert.

Das Hosting der eingesetzten Infrastruktur erfolgt in der Schweiz (Infomaniak, einschliesslich Infomaniak Swiss Backup; siehe Datenschutzerklärung). Soweit künftig ein Unterauftragsbearbeiter Daten ausserhalb der Schweiz bearbeitet, setzt die Auftragsbearbeiterin die hierfür gesetzlich erforderlichen Garantien ein; es wird an dieser Stelle keine pauschale Zusicherung gemacht, dass sämtliche Daten die Schweiz nicht verlassen.

Der Kunde kann von der Auftragsbearbeiterin im Rahmen des Zumutbaren Informationen zum Nachweis der Einhaltung dieser Vereinbarung verlangen. Eine Vor-Ort-Kontrolle erfolgt nach vorheriger Absprache und unter Wahrung der Betriebs- und Geschäftsgeheimnisse sowie der Sicherheit der Auftragsbearbeiterin und ihrer übrigen Kundinnen und Kunden.

Diese Vereinbarung endet mit Beendigung des Hauptvertrags gemäss AGB Ziffer 27, vorbehaltlich der in Ziffer 14 dieser Vereinbarung geregelten Löschungs-/Rückgabepflichten, die fortbestehen.

Diese Vereinbarung ergänzt die AGB und ist integraler Bestandteil des Hauptvertrags. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB hinsichtlich der Bearbeitung von Personendaten geht diese Vereinbarung vor; im Übrigen gelten die AGB.