Auftragsbearbeitungsvertrag (AVV)

1. Gegenstand, Rollen und Rangfolge

Dieser Auftragsbearbeitungsvertrag («AVV») regelt die Bearbeitung von Personendaten, die Schweizerform bei der Nutzung der Online-Formularlösung Schweizerform (der «Dienst») in Ihrem Auftrag vornimmt. Er kommt zustande zwischen Ihnen als Kundin oder Kunde (der «Verantwortliche») und Balathanusan Jeyarasan, Einzelunternehmen, handelnd unter der Bezeichnung «Schweizerform» (der «Auftragsbearbeiter»), dessen vollständige Angaben am Ende dieses Dokuments aufgeführt sind.

Über die Personendaten, die Sie über Ihre Formulare erheben, entscheiden Sie allein hinsichtlich Zweck und Mittel der Bearbeitung. Sie sind Verantwortlicher im Sinne von Art. 5 lit. j nDSG bzw. Art. 4 Ziff. 7 DSGVO. Schweizerform bearbeitet diese Daten ausschliesslich in Ihrem Auftrag, als Auftragsbearbeiter im Sinne von Art. 9 nDSG und, soweit anwendbar, Art. 28 DSGVO.

Dieser Vertrag ist integrierender Bestandteil der Nutzungsbedingungen und geht diesen vor, soweit er die Bearbeitung von Personendaten im Auftrag regelt. In allen übrigen Punkten – Leistungsumfang, Verfügbarkeit, Vergütung, Haftungsbegrenzung und Beendigung des Nutzungsverhältnisses – gelten die Nutzungsbedingungen.

Für Daten, die Schweizerform zur Begründung und Abwicklung des Vertragsverhältnisses mit Ihnen selbst bearbeitet (Ihre Kontakt-, Konto- und Abrechnungsdaten), ist Schweizerform eigener Verantwortlicher. Diese Bearbeitung richtet sich nach der Datenschutzerklärung und ist nicht Gegenstand dieses Vertrages.

2. Art, Umfang und Zweck der Bearbeitung

Schweizerform bearbeitet Personendaten ausschliesslich zur Erbringung des Dienstes: Erhebung der über Ihre Formulare eingereichten Antworten, deren verschlüsselte Speicherung sowie deren Bereitstellung zum Abruf und zur Entschlüsselung durch Sie.

Welche Kategorien von Personendaten und von betroffenen Personen erhoben werden, bestimmen Sie über die Formulare, die Sie erstellen. Schweizerform prüft den Inhalt Ihrer Formulare weder, noch ist Schweizerform dazu in der Lage (Ziffer 7). Soweit Sie besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c nDSG bzw. Daten besonderer Kategorien im Sinne von Art. 9 DSGVO erheben, gelten die Massnahmen dieses Vertrages auch für diese Daten.

Die Art der Bearbeitung umfasst das Erheben, Übermitteln, Speichern, Bereitstellen zum Abruf durch Sie sowie das Löschen. Sie dauert für die Laufzeit Ihres Abonnements.

Eine Bearbeitung zu eigenen Zwecken von Schweizerform ist ausgeschlossen. Insbesondere findet keine Bearbeitung zu Werbezwecken, keine Erstellung von Persönlichkeitsprofilen, keine Weitergabe an Dritte und kein Training von Systemen der künstlichen Intelligenz oder des maschinellen Lernens mit Ihren Daten statt.

Schweizerform darf aggregierte, vollständig anonymisierte Nutzungsstatistiken zum Betrieb, zur Kapazitätsplanung und zur Verbesserung des Dienstes auswerten, sofern daraus kein Rückschluss auf Sie, auf einzelne betroffene Personen oder auf Inhalte möglich ist.

3. Weisungen

Schweizerform bearbeitet die Personendaten nur im Rahmen dieses Vertrages und nach Ihren dokumentierten Weisungen. Dies gilt auch für eine allfällige Bekanntgabe von Daten ins Ausland.

Die Konfiguration des Dienstes über die Benutzeroberfläche gilt als Weisung im Sinne dieses Vertrages – namentlich das Erstellen, Veröffentlichen, Ändern, Schliessen und Löschen von Formularen und Einreichungen, die Verwaltung von Zugriffsberechtigungen sowie die Aktivierung optionaler Funktionen. Solche Weisungen bedürfen keiner gesonderten Form.

Weisungen ausserhalb der Benutzeroberfläche erfolgen in Textform an die am Ende dieses Dokuments genannte Kontaktadresse. Mündlich erteilte Weisungen bestätigen Sie unverzüglich in Textform.

Ist Schweizerform der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, teilt Schweizerform dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

Ist Schweizerform gesetzlich zu einer weitergehenden Bearbeitung verpflichtet, informiert Schweizerform Sie vor der Bearbeitung, sofern das Gesetz dies nicht verbietet.

Weisungen, deren Umsetzung eine Änderung des Dienstes, zusätzliche technische Massnahmen oder einen über die vertraglich geschuldete Leistung hinausgehenden Aufwand erfordern, setzt Schweizerform nur nach gesonderter schriftlicher Vereinbarung und gegen Vergütung zu den jeweils geltenden Ansätzen um (Ziffer 10).

4. Vertraulichkeit

Schweizerform verpflichtet alle Personen, die Zugang zu den Personendaten erhalten können, schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Geheimhaltungspflicht unterliegen. Die Verpflichtung besteht über das Ende der jeweiligen Tätigkeit hinaus fort.

Schweizerform wird derzeit als Einzelunternehmen ohne Mitarbeitende geführt. Der Inhaber unterliegt der Vertraulichkeitspflicht persönlich und unmittelbar. Werden Mitarbeitende oder freie Mitarbeitende eingesetzt, verpflichtet Schweizerform diese vor Aufnahme der Tätigkeit schriftlich.

Der Zugang ist auf Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen (Grundsatz der geringsten Rechte).

5. Berufsgeheimnis (Art. 321 StGB)

Soweit Sie dem Berufsgeheimnis unterstehen – wie Arztpraxen, Anwaltskanzleien, Notariate und Beratungsstellen –, gilt Folgendes.

Die über den Dienst erhobenen Daten unterliegen dem Berufsgeheimnis nach Art. 321 des Schweizerischen Strafgesetzbuches. Schweizerform und alle für Schweizerform tätigen Personen werden insoweit als Hilfspersonen des Verantwortlichen im Sinne dieser Bestimmung tätig.

Schweizerform verpflichtet sich, das Berufsgeheimnis zu wahren, und verpflichtet alle Personen, die Zugang zu den Daten erhalten können, ausdrücklich und schriftlich hierauf. Die Verpflichtung gilt zeitlich unbegrenzt und über das Vertragsende hinaus.

Schweizerform gibt Daten nicht an Dritte bekannt, auch nicht auf behördliche Anordnung, ohne Sie zuvor zu informieren, damit Sie rechtliche Schritte prüfen können. Ist eine vorgängige Information gesetzlich untersagt, informiert Schweizerform, sobald dies zulässig ist. Schweizerform ist nicht verpflichtet, auf eigene Kosten Rechtsmittel gegen behördliche Anordnungen zu ergreifen.

Unterauftragsbearbeiter, die bestimmungsgemäss Zugang zu Daten erhalten können, welche dem Berufsgeheimnis unterliegen, setzt Schweizerform nur ein, wenn diese vertraglich oder gesetzlich einer Vertraulichkeitspflicht unterliegen, die dem Schutzzweck von Art. 321 StGB entspricht. Für Unterauftragsbearbeiter ohne solchen Zugang – die in Ziffer 11 bezeichnete Zahlungsabwicklung und der dort bezeichnete Versand von Transaktions-E-Mails durch den Anbieter EuSend – gilt die allgemeine Vertraulichkeitsverpflichtung nach Ziffer 4.

Aufgrund der Ende-zu-Ende-Verschlüsselung nach Ziffer 7 kann Schweizerform vom Inhalt der Einreichungen keine Kenntnis nehmen. Die Verpflichtung nach dieser Ziffer erstreckt sich daher in der Praxis auf Metadaten, Formularinhalte und alle sonstigen Informationen, die Schweizerform im Rahmen der Vertragserfüllung zugänglich werden.

6. Technische und organisatorische Massnahmen

Schweizerform trifft die technischen und organisatorischen Massnahmen nach Art. 8 nDSG in Verbindung mit der Datenschutzverordnung sowie, soweit anwendbar, Art. 32 DSGVO, um eine dem Risiko angemessene Sicherheit zu gewährleisten. Die getroffenen Massnahmen sind nachfolgend beschrieben; sie beschreiben den vereinbarten Sicherheitsstandard.

• •Ende-zu-Ende-Verschlüsselung. Antworten und Dateianhänge werden im Browser der einreichenden Person mit AES-256-GCM verschlüsselt. Der Schlüssel der einzelnen Einreichung wird mit dem öffentlichen Schlüssel des Formulars (RSA-OAEP-2048) verpackt. Schweizerform speichert ausschliesslich Chiffrat und verpackte Schlüssel.
• •Schlüsselableitung bei Ihnen. Ihr Hauptschlüssel wird in Ihrem Browser aus Ihrem Tresorschlüssel mittels PBKDF2-HMAC-SHA256 mit 600 000 Iterationen und individuellem Salt abgeleitet. Der Tresorschlüssel wird zu keinem Zeitpunkt an die Systeme von Schweizerform übermittelt oder dort gespeichert; im Klartext besteht der Hauptschlüssel ausschliesslich im Arbeitsspeicher Ihres Browsers. Zusätzlich wird eine mit Ihrem Wiederherstellungscode verschlüsselte Kopie des Hauptschlüssels gespeichert, damit Sie mit dem Wiederherstellungscode wieder Zugang erhalten. Der Wiederherstellungscode selbst wird weder übermittelt noch gespeichert; diese Kopie ist für Schweizerform daher ohne Nutzen.
• •Dateianhänge. Objektnamen im Speicher sind zufällige UUID; der ursprüngliche Dateiname und der Dateityp liegen ausschliesslich innerhalb des verschlüsselten Datensatzes.
• •Zugangskontrolle. Zugang zum Konto über persönliche Zugangsdaten (E-Mail-Adresse und Passwort; Passwörter werden serverseitig ausschliesslich als Hash gespeichert). Für sicherheitsrelevante Vorgänge – Registrierung, Passwortänderung, Zurücksetzen von Passwort und Tresorschlüssel – ist zusätzlich ein per E-Mail zugestellter Einmalcode erforderlich.
• •Sperrmechanismen. Kontosperre nach wiederholten Fehlversuchen; Ratenbegrenzung; automatische Sperrung auffälliger IP-Adressen; Schutz gegen Cross-Site-Request-Forgery und Prüfung der Anfrageherkunft.
• •Sitzungen und automatische Sperre. Serverseitige Sitzungen mit begrenzter Gültigkeit; Übersicht und Widerruf aktiver Sitzungen; automatische Löschung des Hauptschlüssels aus dem Arbeitsspeicher nach konfigurierbarer Inaktivität (Standard 120 Minuten).
• •Rollenbasierte Berechtigungen. In Team-Arbeitsbereichen abgestufte Rollen (Inhaber, Administration, Mitglied, Lesezugriff). Der Arbeitsbereichsschlüssel wird kryptografisch an das persönliche Schlüsselpaar des jeweiligen Mitglieds gebunden.
• •Mandantentrennung. Logische Trennung über eigentümergebundene Speicherpfade, referenzielle Zuordnung jedes Datensatzes und durchgängige Berechtigungsprüfung bei jedem Zugriff. Zusätzlich besteht eine kryptografische Trennung: jedes Formular verfügt über ein eigenes Schlüsselpaar.
• •Integrität. Verschlüsselte Übertragung ausschliesslich über TLS. Kryptografische Bindung des Chiffrats der Antworten an Formular- und Einreichungskennung (Authenticated Encryption with Associated Data). Dateianhänge werden mit demselben Einreichungsschlüssel verschlüsselt.
• •Protokollierung. Protokollierung sicherheitsrelevanter Ereignisse mit Zeitstempel, handelnder Person, betroffenem Objekt und Ergebnis. IP-Adresse und User-Agent werden ausschliesslich bei Handlungen Ihrer angemeldeten Nutzenden mitgeführt – nie bei Einreichungen betroffener Personen.
• •Betrieb. Betrieb auf der verwalteten Infrastruktur eines schweizerischen Anbieters (Ziffer 11) in Rechenzentren in der Schweiz. Getrennte Umgebungen für Entwicklung und Produktion; Zugriff auf Produktivsysteme ausschliesslich durch den Inhaber; zeitnahe Einspielung von Sicherheitsaktualisierungen; zentrale Fehler- und Ereignisprotokollierung.
• •Sicherung der Datenbank. Tägliche automatische Sicherung durch den Infrastrukturanbieter innerhalb der Schweiz, mit rollender Aufbewahrung der letzten sieben Tagessicherungen, wiederherstellbar über die Verwaltungsoberfläche des Anbieters. Ein Datenverlust, der später als sieben Tage nach seinem Eintritt bemerkt wird, kann aus diesen Sicherungen nicht mehr behoben werden.
• •Objektspeicher. Der Objektspeicher mit den Chiffraten der Einreichungen und den Dateianhängen ist beim Anbieter redundant ausgelegt. Eine darüber hinausgehende, separate Sicherung des Objektspeichers durch Schweizerform besteht nicht. Redundanz ersetzt keine Sicherung: Werden Daten gelöscht oder gehen sie beim Anbieter verloren, ist eine Wiederherstellung durch Schweizerform nicht gewährleistet.
• •Eigenverantwortung für die Datensicherung. Sie können jederzeit vollständige Exporte Ihrer Daten in entschlüsselter Form erzeugen und sind gehalten, dies regelmässig zu tun (Ziffer 14).
• •Keine Auswertung durch Dritte. Auf den öffentlichen Formularseiten werden keine Analyse-Sitzung, kein Browser-Fingerabdruck und keine Länderauswertung erhoben; es sind keine Analyse-, Werbe- oder Tracking-Dienste Dritter eingebunden. Erhoben werden pro Formular und pro Tag aggregierte Zähler: Anzahl der Aufrufe, Anzahl der Einreichungen, Geräteklasse (Desktop, Mobilgerät, Tablet) und Zugangsweg (Link oder QR-Code); pro Frage aggregierte Zähler darüber, wie oft eine Frage angezeigt und wie oft sie beantwortet wurde; sowie je Einreichung die Bearbeitungsdauer, die Anzahl der Fragen, die Anzahl der beantworteten Fragen, die Gesamtgrösse der gespeicherten Einreichung (Chiffrat der Antworten und allfällige verschlüsselte Dateianhänge) und die verwendete Anzeigesprache. Die Geräteklasse wird beim Absenden serverseitig aus dem User-Agent abgeleitet; der User-Agent selbst wird nicht gespeichert. Die aggregierten Zähler werden weder untereinander noch mit Fragen oder mit einzelnen Einreichungen verknüpft und werden zusammen mit dem Formular gelöscht.

Die Massnahmen unterliegen dem technischen Fortschritt. Schweizerform darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt Schweizerform im Voraus in Textform mit.

Schweizerform führt ein Verzeichnis der Kategorien von Bearbeitungstätigkeiten, die im Auftrag des Verantwortlichen ausgeführt werden (Art. 12 nDSG).

7. Ende-zu-Ende-Verschlüsselung und deren Reichweite

Die Antworten der betroffenen Personen sowie die von ihnen hochgeladenen Dateien werden bereits im Browser der betroffenen Person verschlüsselt (AES-256-GCM) und ausschliesslich in verschlüsselter Form an die Systeme von Schweizerform übermittelt und dort gespeichert. Der Schlüssel der einzelnen Einreichung wird mit dem öffentlichen Schlüssel des Formulars (RSA-OAEP-2048) verpackt.

Der zur Entschlüsselung erforderliche Hauptschlüssel wird ausschliesslich in Ihrem Browser aus Ihrem Tresorschlüssel abgeleitet, mittels PBKDF2-HMAC-SHA256 mit 600 000 Iterationen und individuellem Salt. Der Tresorschlüssel wird zu keinem Zeitpunkt an die Systeme von Schweizerform übermittelt oder dort gespeichert; im Klartext besteht der Hauptschlüssel ausschliesslich im Arbeitsspeicher Ihres Browsers. Zusätzlich wird eine mit Ihrem Wiederherstellungscode verschlüsselte Kopie des Hauptschlüssels gespeichert, damit Sie mit dem Wiederherstellungscode wieder Zugang erhalten; der Wiederherstellungscode selbst wird weder übermittelt noch gespeichert, weshalb diese Kopie für Schweizerform ohne Nutzen ist. Schweizerform hat keinen Zugriff auf die Inhalte der Einreichungen im Klartext und wird keine Massnahmen ergreifen, um sich einen solchen Zugriff zu verschaffen.

Reichweite der Verschlüsselung. Die Verschlüsselung erfasst die Antworten und Dateianhänge der betroffenen Personen. Nicht erfasst und daher für Schweizerform im Klartext zugänglich sind insbesondere: Bezeichnung und Fragetexte der Formulare; Formulareinstellungen und Branding-Angaben; Konto- und Kontaktdaten Ihrer Nutzenden; Zeitstempel und technische Metadaten der Einreichungen; sowie die Sicherheitsprotokolle nach Ziffer 6. Sie tragen dafür Sorge, dass Sie in Fragetexte, Formularbezeichnungen und Einstellungen keine Personendaten betroffener Personen aufnehmen.

Folgen des Schlüsselverlusts. Sie sind für die sichere Aufbewahrung Ihres Tresorschlüssels und Ihres Wiederherstellungscodes allein verantwortlich. Gehen beide verloren, sind die verschlüsselten Daten aus technischen Gründen nicht mehr lesbar, solange keiner der beiden Codes wiedererlangt wird. Ein Zurücksetzen des Tresorschlüssels ohne Tresorschlüssel und ohne Wiederherstellungscode verschlüsselt bestehende Daten nicht neu, sondern verschiebt sämtliche bestehenden persönlichen Formulare und Einreichungen in einen gesperrten Bestand; dieser bleibt nur lesbar, wenn einer der alten Codes später wiedererlangt wird. Formulare in einem Team-Arbeitsbereich werden nicht verschoben; stattdessen wird Ihre Kopie des Arbeitsbereichsschlüssels ungültig und muss von einer anderen administrierenden Person dieses Arbeitsbereichs neu erteilt werden. Hält keine weitere administrierende Person den Schlüssel, können diese Inhalte des Arbeitsbereichs nicht mehr entschlüsselt werden; die Wiedererlangung eines alten Codes stellt sie nicht wieder her. Schweizerform kann sie nicht wiederherstellen; eine Haftung von Schweizerform für den hieraus entstehenden Verlust ist ausgeschlossen, soweit gesetzlich zulässig.

Form der Herausgabe. Eine Herausgabe von Daten durch Schweizerform erfolgt in dem Format, in dem Schweizerform die Daten hält, mithin als Chiffrat nebst zugehörigen Metadaten. Eine Herausgabe im Klartext ist Schweizerform technisch nicht möglich. Sie nehmen zur Kenntnis, dass eine Herausgabe nach Vertragsende ohne Ihren Tresorschlüssel wertlos ist, und stellen sicher, dass Sie Ihren eigenen Export rechtzeitig vor Vertragsende vornehmen.

Schweizerform informiert Sie unverzüglich in Textform, wenn eine Änderung der Architektur dazu führen würde, dass die ersten beiden Absätze dieser Ziffer nicht mehr zutreffen. Sie können diesen Vertrag und die Nutzungsbedingungen in diesem Fall ausserordentlich auf den Zeitpunkt des Wirksamwerdens der Änderung kündigen.

8. Ihre Pflichten als Verantwortlicher

Sie sind allein dafür verantwortlich, dass die Erhebung, die Bearbeitung und die Nutzung der Daten sowie die Gestaltung und der Inhalt Ihrer Formulare rechtmässig sind, dass eine gültige Rechtsgrundlage besteht und dass die betroffenen Personen ordnungsgemäss informiert werden (Art. 19 ff. nDSG). Schweizerform prüft weder Inhalt noch Zulässigkeit Ihrer Formulare und ist hierzu weder verpflichtet noch – aufgrund der Verschlüsselung nach Ziffer 7 – in der Lage.

Sie erheben über den Dienst nur Personendaten, die für Ihren Zweck erforderlich sind.

Sie verwalten die Zugänge zu Ihrem Konto und – soweit genutzt – zu Team-Arbeitsbereichen eigenverantwortlich. Sie vergeben und entziehen Berechtigungen zeitnah, wählen sichere Passwörter und Tresorschlüssel und halten diese geheim. Handlungen, die über Ihre Zugänge erfolgen, gelten als von Ihnen veranlasst.

Sie informieren Schweizerform unverzüglich, wenn Sie Anhaltspunkte für eine Kompromittierung Ihrer Zugangsdaten oder für eine Verletzung der Datensicherheit in Ihrem Verantwortungsbereich haben.

Vor der Aktivierung optionaler Funktionen mit Bearbeitung durch Dritte – der KI-gestützten Übersetzung und Formularerstellung nach Ziffer 11 – prüfen Sie, ob deren Einsatz für Ihre Bearbeitung zulässig ist. Diese Funktionen sind standardmässig deaktiviert und werden nur auf Ihre ausdrückliche Aktivierung genutzt; sie bearbeiten ausschliesslich von Ihnen selbst verfasste Formulartexte und zu keinem Zeitpunkt Einreichungen betroffener Personen.

9. Meldung von Verletzungen der Datensicherheit

Schweizerform meldet Ihnen jede Verletzung der Datensicherheit, die Ihre Daten betrifft, unverzüglich, spätestens jedoch innert 48 Stunden nach Kenntnisnahme, in Textform.

Die Meldung erfolgt an die für Ihr Konto hinterlegte E-Mail-Adresse. Sie halten diese Adresse aktuell.

Die Meldung enthält, soweit im Zeitpunkt der Meldung bekannt: die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen. Fehlende Angaben reicht Schweizerform nach, sobald sie vorliegen; eine unvollständige Erstmeldung gilt als fristwahrend.

Schweizerform unterstützt Sie bei Ihren Meldepflichten nach Art. 24 nDSG gegenüber dem EDÖB sowie, soweit anwendbar, nach Art. 33 und 34 DSGVO. Die Beurteilung der Meldepflicht und die Meldung selbst obliegen Ihnen.

Schweizerform dokumentiert Verletzungen der Datensicherheit einschliesslich der ergriffenen Abhilfemassnahmen.

Meldungen nach dieser Ziffer erfolgen zur Erfüllung gesetzlicher Pflichten und stellen kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

10. Rechte betroffener Personen und Unterstützung

Die Wahrung der Rechte betroffener Personen obliegt Ihnen. Der Dienst stellt Ihnen die hierfür erforderlichen Funktionen zur Verfügung, insbesondere Ansicht, Export und Löschung einzelner Einreichungen.

Schweizerform unterstützt Sie mit angemessenen Massnahmen, soweit Sie Begehren nicht selbst über die Funktionen des Dienstes erfüllen können. Da Schweizerform die Inhalte nicht entschlüsseln kann, beschränkt sich diese Unterstützung notwendigerweise auf verschlüsselte Daten und Metadaten.

Richtet eine betroffene Person ein Begehren unmittelbar an Schweizerform, leitet Schweizerform es unverzüglich an Sie weiter und beantwortet es nicht selbst.

Schweizerform unterstützt Sie bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde, soweit die erforderlichen Informationen dem Verantwortungsbereich von Schweizerform entstammen.

Unterstützungsleistungen nach den Ziffern 9 und 10 erbringt Schweizerform im üblichen Umfang unentgeltlich. Übersteigt der Aufwand das übliche Mass – namentlich bei wiederholten oder umfangreichen Begehren, individuellen Nachweisen, Fragebogen, Vor-Ort-Kontrollen oder gesonderten Auswertungen –, informiert Schweizerform Sie vorgängig und beginnt mit der Ausführung erst nach Ihrer Zustimmung in Textform, gegen Vergütung zu den jeweils geltenden Ansätzen. Dies gilt nicht, soweit der Aufwand auf eine von Schweizerform zu vertretende Pflichtverletzung zurückgeht.

11. Unterauftragsbearbeitung

Sie erteilen Schweizerform die allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern nach Massgabe dieser Ziffer (Art. 9 Abs. 3 nDSG). Die im Zeitpunkt der Veröffentlichung dieser Fassung eingesetzten Unterauftragsbearbeiter sind nachfolgend aufgeführt. Diese Liste ist die massgebliche; die Nutzungsbedingungen verweisen darauf.

Weitere Unterauftragsbearbeiter werden derzeit nicht eingesetzt.

Beabsichtigt Schweizerform, einen weiteren Unterauftragsbearbeiter beizuziehen oder einen bestehenden zu ersetzen, teilt Schweizerform dies mindestens 30 Tage im Voraus in Textform mit.

Sie können der Änderung innert 30 Tagen seit Zugang der Mitteilung aus wichtigem, datenschutzrechtlich begründetem Anlass in Textform widersprechen. Erfolgt kein Widerspruch innert dieser Frist, gilt die Änderung als genehmigt.

Widersprechen Sie und finden die Parteien innert 30 Tagen keine einvernehmliche Lösung, kann jede Partei diesen Vertrag und die Nutzungsbedingungen auf den geplanten Zeitpunkt der Änderung ordentlich kündigen. Weitergehende Ansprüche aus dem Widerspruch bestehen nicht.

Schweizerform darf ohne vorgängige Mitteilung einen Unterauftragsbearbeiter ersetzen, wenn dies zur Abwehr einer unmittelbaren Gefahr für die Sicherheit oder Verfügbarkeit des Dienstes erforderlich ist. Schweizerform informiert Sie in diesem Fall unverzüglich nachträglich.

Schweizerform verpflichtet Unterauftragsbearbeiter vertraglich auf Pflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen, einschliesslich der Vertraulichkeit nach Ziffer 4 und, soweit anwendbar, Ziffer 5.

Schweizerform haftet für die Einhaltung der datenschutzrechtlichen Pflichten durch seine Unterauftragsbearbeiter wie für eigenes Verhalten, im Rahmen der Haftungsregelung nach Ziffer 15.

Nicht als Unterauftragsbearbeitung gelten Nebenleistungen ohne bestimmungsgemässen Zugang zu Ihren Personendaten, namentlich Telekommunikationsleistungen sowie Wartung durch Dritte ohne Datenzugriff.

12. Ort der Bearbeitung und Bekanntgabe ins Ausland

Einreichungen. Sämtliche Einreichungen betroffener Personen – Antworten und Dateianhänge – werden ausschliesslich in der Schweiz bearbeitet und gespeichert (Anwendungsserver, Datenbank, Objektspeicher). Eine Bearbeitung dieser Daten ausserhalb der Schweiz findet nicht statt.

Nebenleistungen ausserhalb der Schweiz. Ausserhalb der Schweiz erfolgen ausschliesslich die in Ziffer 11 bezeichnete Zahlungsabwicklung (Irland) sowie der dort bezeichnete Versand von Transaktions-E-Mails über den Anbieter EuSend (Norwegen; Bearbeitung in Deutschland und Finnland). Beide Leistungen finden vollständig im Europäischen Wirtschaftsraum statt und umfassen keine Einreichungen und keine Personendaten der Personen, die Ihre Formulare ausfüllen. Eine weitergehende Bearbeitung ausserhalb der Schweiz erfolgt nur nach vorgängiger Mitteilung gemäss Ziffer 11.

Die Staaten, in denen die Bearbeitung nach dem vorstehenden Absatz erfolgt – Irland, Norwegen, Deutschland und Finnland –, verfügen nach Anhang 1 der Datenschutzverordnung über einen angemessenen Datenschutz. Die Bekanntgabe ist damit nach Art. 16 Abs. 1 nDSG ohne zusätzliche Garantien zulässig.

Für allfällige Weitergaben durch diese Unterauftragsbearbeiter an Empfänger ausserhalb des Europäischen Wirtschaftsraums setzt Schweizerform nur Unterauftragsbearbeiter ein, deren eigene Vertragsbedingungen hierfür eine Grundlage vorsehen, die Art. 16 und 17 nDSG sowie, soweit anwendbar, Kapitel V DSGVO entspricht, namentlich einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission. Schweizerform leitet die entsprechenden Nachweise der Unterauftragsbearbeiter auf Verlangen weiter.

13. Nachweise und Kontrollen

Schweizerform weist die Einhaltung der Pflichten aus diesem Vertrag auf Verlangen nach, in erster Linie durch eine aktuelle Beschreibung der getroffenen Massnahmen, durch Selbstauskunft sowie durch Zertifikate oder Prüfberichte seiner Unterauftragsbearbeiter.

Genügen diese Nachweise im begründeten Einzelfall nicht, können Sie höchstens einmal pro Kalenderjahr eine Überprüfung vornehmen oder durch eine unabhängige, zur Verschwiegenheit verpflichtete und nicht mit Schweizerform im Wettbewerb stehende Drittperson vornehmen lassen. Die Überprüfung erfolgt nach Vorankündigung von mindestens 30 Tagen, während der ordentlichen Geschäftszeiten und unter möglichst geringer Beeinträchtigung des Betriebs.

Bei begründetem Verdacht auf eine erhebliche Verletzung der Datensicherheit entfallen die Beschränkungen des vorstehenden Absatzes hinsichtlich Häufigkeit und Ankündigungsfrist.

Die Kosten einer Überprüfung tragen Sie; den Aufwand von Schweizerform vergüten Sie zu den jeweils geltenden Ansätzen. Werden dabei wesentliche Pflichtverletzungen von Schweizerform festgestellt, trägt Schweizerform diese Kosten.

Der Zugang zu Systemen, Räumlichkeiten und Daten Dritter sowie zu Betriebs- und Geschäftsgeheimnissen von Schweizerform bleibt vorbehalten. Ein direkter Zugriff auf Produktivsysteme wird nicht gewährt.

14. Aufbewahrung, Löschung und Rückgabe

Sie können Ihre Daten während der Vertragsdauer jederzeit selbst über die Exportfunktionen des Dienstes beziehen. Diese Selbstbedienung gilt als Herausgabe im Sinne von Art. 9 nDSG.

Sie können während der Vertragsdauer jederzeit die Löschung einzelner Einreichungen verlangen; die entsprechende Funktion steht Ihnen im Dienst unmittelbar zur Verfügung. Erfolgt das Begehren ausnahmsweise über Schweizerform, führt Schweizerform die Löschung innert 30 Tagen aus.

• •Sicherheitsprotokoll. IP-Adresse und User-Agent werden nach 90 Tagen automatisch aus den Protokolleinträgen entfernt; der Ereigniseintrag selbst (Zeitpunkt, Handlung, Objekt, Ergebnis) bleibt als Nachweis erhalten.
• •Protokoll des E-Mail-Versands. Einträge einschliesslich der gerenderten Nachrichteninhalte werden nach 90 Tagen automatisch gelöscht.
• •Durchsetzung. Beide Fristen werden durch einen wiederkehrenden, automatischen Prozess durchgesetzt und nicht manuell ausgelöst.
• •Sicherungskopien. Eine Löschung erfasst die Produktivsysteme unmittelbar. Daten in Sicherungskopien werden nach Massgabe des ordentlichen Sicherungszyklus überschrieben, längstens innert 30 Tagen (der Sicherungszyklus der Datenbank beträgt derzeit sieben Tage). Bis dahin bleiben sie ausschliesslich zum Zweck der Wiederherstellung gesperrt und werden nicht anderweitig bearbeitet.

Nach Beendigung des Vertrages gibt Schweizerform die Personendaten nach Ihrer Wahl heraus oder löscht sie, einschliesslich bestehender Kopien. Sie teilen Ihre Wahl innert 30 Tagen nach Vertragsende in Textform mit. Unterbleibt die Mitteilung, löscht Schweizerform die Daten nach Ablauf dieser Frist. Für die Form der Herausgabe gilt Ziffer 7. Löscht der Verantwortliche sein Konto selbst über die Funktion des Dienstes, gilt dies als Wahl der Löschung; die Löschung erfolgt in diesem Fall sofort und unwiderruflich, und die Frist nach diesem Absatz entfällt. Der Verantwortliche nimmt seine Exporte vorgängig vor.

Schweizerform bestätigt die Löschung auf Verlangen in Textform. Eine Aufbewahrung über das Vertragsende hinaus ist zulässig, soweit gesetzliche Aufbewahrungspflichten bestehen; Schweizerform beschränkt die Bearbeitung in diesem Fall auf den Zweck der Aufbewahrung.

15. Haftung

Die Parteien haften nach den gesetzlichen Bestimmungen.

Die in den Nutzungsbedingungen vereinbarte Haftungsbegrenzung – insbesondere die Beschränkung der Gesamthaftung auf die in den zwölf Monaten vor dem Schadensereignis an Schweizerform bezahlten Entgelte sowie der Ausschluss indirekter Schäden und Folgeschäden – gilt auch für Ansprüche aus diesem Vertrag.

Diese Haftungsbegrenzung gilt nicht für Schäden aus grober Fahrlässigkeit oder Vorsatz (Art. 100 Abs. 1 OR) sowie nicht bei Verletzung von Leben, Körper oder Gesundheit.

Eine Haftung von Schweizerform ist ausgeschlossen für Schäden, die zurückgehen auf: den Verlust des Tresorschlüssels oder des Wiederherstellungscodes (Ziffer 7); die Gestaltung, den Inhalt oder die Rechtmässigkeit Ihrer Formulare; Ihre Verwaltung von Zugängen und Berechtigungen; oder Ihre Weisungen, auf deren Bedenklichkeit Schweizerform nach Ziffer 3 hingewiesen hat.

Wird eine Partei wegen einer Pflichtverletzung der anderen Partei von betroffenen Personen oder Behörden in Anspruch genommen, stellt die pflichtverletzende Partei die andere im Umfang ihres Verantwortungsanteils frei. Der zweite und der dritte Absatz dieser Ziffer bleiben vorbehalten.

16. Dauer, Beendigung und Einstellung des Dienstes

Dieser Vertrag tritt mit der Erstellung Ihres Kontos in Kraft und gilt für die Dauer der Nutzungsbedingungen. Er endet automatisch mit deren Beendigung; einer gesonderten Kündigung bedarf es nicht. Für Konten, die im Zeitpunkt des Inkrafttretens dieser Fassung bereits bestanden, tritt dieser Vertrag mit dem Inkrafttreten in Kraft; die weitere Nutzung des Dienstes nach entsprechender Mitteilung gilt als Annahme nach den Nutzungsbedingungen.

Die Beendigung der Nutzungsbedingungen richtet sich nach den Nutzungsbedingungen. Schweizerform ist berechtigt, den Dienst nach Massgabe der Nutzungsbedingungen einzustellen; Schweizerform informiert Sie in diesem Fall mindestens 90 Tage im Voraus in Textform und ermöglicht Ihnen während dieser Frist den Export Ihrer Daten.

Das Recht zur ausserordentlichen Kündigung aus wichtigem Grund bleibt beiden Parteien vorbehalten.

Die Pflichten zur Vertraulichkeit (Ziffer 4) und zur Wahrung des Berufsgeheimnisses (Ziffer 5) gelten über das Vertragsende hinaus fort.

17. Änderungen dieses Vertrages

Schweizerform kann diesen Vertrag anpassen, soweit dies zur Anpassung an geänderte Rechtslage, Rechtsprechung, behördliche Praxis oder an eine Weiterentwicklung des Dienstes erforderlich ist.

Änderungen werden als neue Version dieses Dokuments veröffentlicht. Schweizerform teilt die Änderung mindestens 30 Tage vor deren Wirksamwerden in Textform mit. Sie können innert 30 Tagen in Textform widersprechen; in diesem Fall gilt Ziffer 11 sinngemäss.

Änderungen, die das Schutzniveau für betroffene Personen senken, bedürfen stets Ihrer ausdrücklichen Zustimmung.

Veröffentlichte Versionen werden nicht nachträglich bearbeitet. Version und Datum des Inkrafttretens der geltenden Fassung sind am Ende dieser Seite angegeben.

18. Anwendbares Recht und Gerichtsstand

Es gilt schweizerisches Recht unter Ausschluss der Kollisionsnormen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf.

Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Pfäffikon SZ, Schweiz.