Auftragsbearbeitungsvertrag (AVV)

1. Gegenstand, Rollen und Rangfolge

Dieser Auftragsbearbeitungsvertrag («AVV») regelt die Bearbeitung von Personendaten, die Schweizerform bei der Nutzung der Online-Formularlösung Schweizerform (der «Dienst») in Ihrem Auftrag vornimmt. Er kommt zustande zwischen Ihnen als Kundin oder Kunde (der «Verantwortliche») und Balathanusan Jeyarasan, Einzelunternehmen, handelnd unter der Bezeichnung «Schweizerform» (der «Auftragsbearbeiter»), dessen vollständige Angaben am Ende dieses Dokuments aufgeführt sind.

Über die Personendaten, die Sie über Ihre Formulare erheben, entscheiden Sie allein hinsichtlich Zweck und Mittel der Bearbeitung. Sie sind Verantwortlicher im Sinne von Art. 5 lit. j nDSG bzw. Art. 4 Ziff. 7 DSGVO. Schweizerform bearbeitet diese Daten ausschliesslich in Ihrem Auftrag, als Auftragsbearbeiter im Sinne von Art. 5 lit. k in Verbindung mit Art. 9 nDSG und, soweit anwendbar, Art. 28 DSGVO.

Dieser Vertrag ist integrierender Bestandteil der Nutzungsbedingungen und geht diesen vor, soweit er die Bearbeitung von Personendaten im Auftrag regelt. In allen übrigen Punkten – Leistungsumfang, Verfügbarkeit, Vergütung, Haftungsbegrenzung und Beendigung des Nutzungsverhältnisses – gelten die Nutzungsbedingungen.

Für Daten, die Schweizerform zur Begründung und Abwicklung des Vertragsverhältnisses mit Ihnen selbst bearbeitet (Ihre Kontakt-, Konto- und Abrechnungsdaten), ist Schweizerform eigener Verantwortlicher. Diese Bearbeitung richtet sich nach der Datenschutzerklärung und ist nicht Gegenstand dieses Vertrages.

2. Art, Umfang und Zweck der Bearbeitung

Schweizerform bearbeitet Personendaten ausschliesslich zur Erbringung des Dienstes: Erhebung der über Ihre Formulare eingereichten Antworten, deren verschlüsselte Speicherung sowie deren Bereitstellung zum Abruf und zur Entschlüsselung durch Sie.

Soweit Sie die entsprechenden optionalen Funktionen aktivieren (Ziffer 8), umfasst dieser Zweck zusätzlich: das Führen eines verschlüsselten Verzeichnisses der von Ihnen erfassten oder importierten Empfängerinnen und Empfänger; die Übermittlung der von Ihnen veranlassten Einladungen zu Ihren Formularen an die von Ihnen bezeichneten Empfängerinnen und Empfänger; sowie den Versand einer Eingangsbestätigung an eine Person, die eines Ihrer Formulare ausgefüllt hat, auf deren eigenes Ersuchen und an eine Adresse, die diese Person in diesem Zeitpunkt selbst angibt. Die hierfür geltenden Grenzen ergeben sich aus den Ziffern 5, 7, 11 und 12.

Welche Kategorien von Personendaten und von betroffenen Personen erhoben werden, bestimmen Sie über die Formulare, die Sie erstellen. Schweizerform prüft den Inhalt Ihrer Formulare weder, noch ist Schweizerform dazu in der Lage (Ziffer 7). Soweit Sie besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c nDSG bzw. Daten besonderer Kategorien im Sinne von Art. 9 DSGVO erheben, gelten die Massnahmen dieses Vertrages auch für diese Daten.

Betroffene Personen sind die Personen, die Ihre Formulare ausfüllen, und, soweit Sie das Kontaktverzeichnis nutzen, die Personen, die Sie darin erfassen. Die Datenkategorien sind diejenigen, deren Erhebung Sie wählen, einschliesslich – soweit Sie dies vorsehen – besonders schützenswerter Personendaten.

Die Art der Bearbeitung umfasst das Erheben, Übermitteln, Speichern, Bereitstellen zum Abruf durch Sie, den Versand der im zweiten Absatz beschriebenen Nachrichten sowie das Löschen. Sie dauert für die Laufzeit Ihres Abonnements.

Eine Bearbeitung zu eigenen Zwecken von Schweizerform ist ausgeschlossen. Insbesondere findet keine Bearbeitung zu Werbezwecken, keine Erstellung von Persönlichkeitsprofilen, keine Weitergabe an Dritte und kein Training von Systemen der künstlichen Intelligenz oder des maschinellen Lernens mit Ihren Daten statt.

Schweizerform darf aggregierte, vollständig anonymisierte Nutzungsstatistiken zum Betrieb, zur Kapazitätsplanung und zur Verbesserung des Dienstes auswerten, sofern daraus kein Rückschluss auf Sie, auf einzelne betroffene Personen oder auf Inhalte möglich ist.

3. Weisungen

Schweizerform bearbeitet die Personendaten nur im Rahmen dieses Vertrages und nach Ihren dokumentierten Weisungen. Dies gilt auch für eine allfällige Bekanntgabe von Daten ins Ausland.

Die Konfiguration des Dienstes über die Benutzeroberfläche gilt als Weisung im Sinne dieses Vertrages – namentlich das Erstellen, Veröffentlichen, Ändern, Schliessen und Löschen von Formularen und Einreichungen, die Verwaltung von Zugriffsberechtigungen, die Führung Ihres Kontaktverzeichnisses, der Versand von Einladungen sowie die Aktivierung optionaler Funktionen. Solche Weisungen bedürfen keiner gesonderten Form.

Weisungen ausserhalb der Benutzeroberfläche erfolgen in Textform an die am Ende dieses Dokuments genannte Kontaktadresse. Mündlich erteilte Weisungen bestätigen Sie unverzüglich in Textform.

Ist Schweizerform der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, teilt Schweizerform dies unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

Ist Schweizerform gesetzlich zu einer weitergehenden Bearbeitung verpflichtet, informiert Schweizerform Sie vor der Bearbeitung, sofern das Gesetz dies nicht verbietet.

Weisungen, deren Umsetzung eine Änderung des Dienstes, zusätzliche technische Massnahmen oder einen über die vertraglich geschuldete Leistung hinausgehenden Aufwand erfordern, setzt Schweizerform nur nach gesonderter schriftlicher Vereinbarung und gegen Vergütung zu den jeweils geltenden Ansätzen um (Ziffer 10).

4. Vertraulichkeit

Schweizerform verpflichtet alle Personen, die Zugang zu den Personendaten erhalten können, schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Geheimhaltungspflicht unterliegen. Die Verpflichtung besteht über das Ende der jeweiligen Tätigkeit hinaus fort.

Der Inhaber unterliegt der Vertraulichkeitspflicht persönlich und unmittelbar. Werden Mitarbeitende oder freie Mitarbeitende eingesetzt, verpflichtet Schweizerform diese vor Aufnahme der Tätigkeit schriftlich.

Der Zugang ist auf Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen (Grundsatz der geringsten Rechte).

5. Berufsgeheimnis (Art. 321 StGB)

Soweit Sie dem Berufsgeheimnis unterstehen – wie Arztpraxen, Anwaltskanzleien, Notariate und Beratungsstellen –, gilt Folgendes.

Soweit die über den Dienst erhobenen Daten dem Berufsgeheimnis nach Art. 321 des Schweizerischen Strafgesetzbuches unterliegen, werden Schweizerform und alle für Schweizerform tätigen Personen insoweit als Hilfspersonen des Verantwortlichen im Sinne dieser Bestimmung tätig.

Schweizerform verpflichtet sich, das Berufsgeheimnis zu wahren, und verpflichtet alle Personen, die Zugang zu den Daten erhalten können, ausdrücklich und schriftlich hierauf. Die Verpflichtung gilt zeitlich unbegrenzt und über das Vertragsende hinaus.

Schweizerform gibt Daten nicht an Dritte bekannt, auch nicht auf behördliche Anordnung, ohne Sie zuvor zu informieren, damit Sie rechtliche Schritte prüfen können. Ist eine vorgängige Information gesetzlich untersagt, informiert Schweizerform, sobald dies zulässig ist. Schweizerform ist nicht verpflichtet, auf eigene Kosten Rechtsmittel gegen behördliche Anordnungen zu ergreifen.

Unterauftragsbearbeiter, die bestimmungsgemäss Zugang zu Daten erhalten können, welche dem Berufsgeheimnis unterliegen, setzt Schweizerform nur ein, wenn diese vertraglich oder gesetzlich einer Vertraulichkeitspflicht unterliegen, die dem Schutzzweck von Art. 321 StGB entspricht. Für Unterauftragsbearbeiter ohne solchen bestimmungsgemässen Zugang – der in Ziffer 11 aufgeführte Anbieter für die Zustellung von Transaktions-E-Mails – gilt die allgemeine Vertraulichkeitsverpflichtung nach Ziffer 4; der nachfolgende Absatz bleibt vorbehalten.

Einladungen und Eingangsbestätigungen (Ziffer 2) sind Funktionen, die ausschliesslich auf Ihre Weisung hin ausgeführt werden: Eine Einladung wird nur versandt, wenn Sie sie veranlassen, und Eingangsbestätigungen werden nur auf Formularen angeboten, für die Sie sie aktiviert haben. Nutzen Sie sie, werden die E-Mail-Adresse der empfangenden Person und der Name Ihrer Organisation dem in Ziffer 11 aufgeführten Anbieter für die Zustellung von E-Mails bekannt. Die Nachricht nennt Ihre Organisation; die Bezeichnung des Formulars nennt sie nur, wenn Sie deren Aufnahme gewählt haben. Sie enthält keine Einreichung, keine Antwort und keine Antwortinhalte. Vor der Nutzung dieser Funktionen prüfen Sie, ob diese Bekanntgabe für eine dem Berufsgeheimnis unterliegende Bearbeitung zulässig ist; es steht Ihnen frei, sie nicht zu nutzen – Eingangsbestätigungen sind standardmässig deaktiviert, und ohne Ihre Weisung wird keine Einladung versandt.

Aufgrund der Ende-zu-Ende-Verschlüsselung nach Ziffer 7 kann Schweizerform vom Inhalt der Einreichungen keine Kenntnis nehmen. Die Verpflichtung nach dieser Ziffer erstreckt sich daher in der Praxis auf Metadaten, Formularinhalte und alle sonstigen Informationen, die Schweizerform im Rahmen der Vertragserfüllung zugänglich werden.

6. Technische und organisatorische Massnahmen

Schweizerform trifft die technischen und organisatorischen Massnahmen nach Art. 8 nDSG in Verbindung mit der Datenschutzverordnung sowie, soweit anwendbar, Art. 32 DSGVO, um eine dem Risiko angemessene Sicherheit zu gewährleisten. Die getroffenen Massnahmen sind nachfolgend beschrieben; sie beschreiben den vereinbarten Sicherheitsstandard.

• •Ende-zu-Ende-Verschlüsselung. Antworten und Dateianhänge werden im Browser der einreichenden Person verschlüsselt; Schweizerform speichert ausschliesslich Chiffrat und verpackte Schlüssel. Die Architektur und ihre Grenzen sind in Ziffer 7 beschrieben.
• •Schlüsselableitung bei Ihnen. Ihr Hauptschlüssel wird in Ihrem Browser aus Ihrem Tresorschlüssel abgeleitet und besteht im Klartext ausschliesslich dort; Tresorschlüssel und Wiederherstellungscode werden zu keinem Zeitpunkt an die Systeme von Schweizerform übermittelt oder dort gespeichert (Ziffer 7).
• •Dateianhänge. Objektnamen im Speicher sind zufällige UUID; der ursprüngliche Dateiname und der Dateityp liegen ausschliesslich innerhalb des verschlüsselten Datensatzes.
• •Zugangskontrolle. Zugang zum Konto über persönliche Zugangsdaten; Passwörter werden serverseitig ausschliesslich als Hash gespeichert. Für sicherheitsrelevante Vorgänge ist zusätzlich ein per E-Mail zugestellter Einmalcode erforderlich.
• •Sperrmechanismen. Kontosperre nach wiederholten Fehlversuchen; Ratenbegrenzung; automatische Sperrung auffälliger IP-Adressen; Schutz gegen Cross-Site-Request-Forgery und Prüfung der Anfrageherkunft. Zu diesen Zwecken bearbeitete IP-Adressen werden in kurzlebigen Einträgen oder auf einer Sperrliste geführt. Stellen Sie ein Formular so ein, dass es je Anschluss nur eine Einreichung annimmt, wird auf der betreffenden Einreichung ein geschlüsselter, aus der IP-Adresse der einreichenden Person abgeleiteter Wert gespeichert; die Adresse selbst wird nicht gespeichert, der Wert lässt sich nicht auf eine Adresse zurückführen, und er wird zusammen mit der Einreichung gelöscht.
• •Sitzungen und automatische Sperre. Serverseitige Sitzungen mit begrenzter Gültigkeit; Übersicht und Widerruf aktiver Sitzungen; automatische Abmeldung des Browsers und Löschung des Hauptschlüssels aus dessen Arbeitsspeicher nach konfigurierbarer Inaktivität.
• •Rollenbasierte Berechtigungen. In Team-Arbeitsbereichen abgestufte Rollen mit unterschiedlichem Zugriffsumfang. Der Arbeitsbereichsschlüssel wird kryptografisch an das persönliche Schlüsselpaar des jeweiligen Mitglieds gebunden.
• •Mandantentrennung. Logische Trennung über eigentümergebundene Speicherpfade und durchgängige Berechtigungsprüfung bei jedem Zugriff sowie kryptografische Trennung: jedes Formular verfügt über ein eigenes Schlüsselpaar und jedes Kontaktverzeichnis über einen eigenen Schlüssel.
• •Integrität. Verschlüsselte Übertragung ausschliesslich über TLS. Kryptografische Bindung des Chiffrats der Antworten an Formular- und Einreichungskennung (Authenticated Encryption with Associated Data). Dateianhänge werden mit demselben Einreichungsschlüssel verschlüsselt.
• •Protokollierung. Protokollierung sicherheitsrelevanter Ereignisse mit Zeitstempel, handelnder Person, betroffenem Objekt und Ergebnis. IP-Adresse und User-Agent werden im Sicherheitsprotokoll ausschliesslich bei Handlungen Ihrer angemeldeten Nutzenden mitgeführt – nie bei Einreichungen betroffener Personen.
• •Betrieb. Betrieb auf der verwalteten Infrastruktur eines schweizerischen Anbieters (Ziffer 11) in Rechenzentren in der Schweiz. Getrennte Umgebungen für Entwicklung und Produktion; zeitnahe Einspielung von Sicherheitsaktualisierungen; zentrale Fehler- und Ereignisprotokollierung.
• •Datensicherung. Die Datenbank wird vom Infrastrukturanbieter täglich innerhalb der Schweiz gesichert. Der Objektspeicher mit den Chiffraten der Einreichungen und den Dateianhängen ist beim Anbieter redundant ausgelegt, wird von Schweizerform aber nicht separat gesichert; Redundanz ersetzt keine Sicherung, und die Wiederherstellung von Daten, die beim Anbieter gelöscht werden oder verloren gehen, ist nicht gewährleistet. Sie können jederzeit vollständige Exporte Ihrer Daten in entschlüsselter Form erzeugen und sind gehalten, dies regelmässig zu tun (Ziffer 14).
• •Öffentliche Formularseiten und Nutzungszähler. Auf den öffentlichen Formularseiten werden keine Analyse-Sitzung, kein Browser-Fingerabdruck und keine Analyse-, Werbe- oder Tracking-Dienste Dritter eingebunden. Was Schweizerform über die Nutzung eines Formulars festhält, beschränkt sich auf aggregierte Zähler sowie grobe technische Metadaten je Einreichung. Erweiterte Zähler werden nur auf Formularen erhoben, für die Sie sie aktivieren; diese Einstellung ist standardmässig deaktiviert. Keiner dieser Werte enthält eine IP-Adresse, einen User-Agent, einen Eintrag je Besuch oder Antworten, und sämtliche dieser Werte werden zusammen mit dem Formular gelöscht.

Die Massnahmen unterliegen dem technischen Fortschritt. Schweizerform darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird; eine Änderung, die es unterschreitet, erfolgt nur im Verfahren nach Ziffer 17. Wesentliche Änderungen teilt Schweizerform im Voraus in Textform mit.

7. Ende-zu-Ende-Verschlüsselung und deren Reichweite

Die Antworten der betroffenen Personen sowie die von ihnen hochgeladenen Dateien werden im Browser der betroffenen Person verschlüsselt und ausschliesslich in verschlüsselter Form an die Systeme von Schweizerform übermittelt und dort gespeichert. Der Schlüssel der einzelnen Einreichung wird mit dem öffentlichen Schlüssel des Formulars verpackt.

Der zur Entschlüsselung erforderliche Hauptschlüssel wird ausschliesslich in Ihrem Browser aus Ihrem Tresorschlüssel mittels einer Schlüsselableitungsfunktion abgeleitet, die den aktuellen Empfehlungen folgt. Der Tresorschlüssel wird zu keinem Zeitpunkt an die Systeme von Schweizerform übermittelt oder dort gespeichert; im Klartext besteht der Hauptschlüssel ausschliesslich im Arbeitsspeicher Ihres Browsers. Zusätzlich wird eine mit Ihrem Wiederherstellungscode verschlüsselte Kopie des Hauptschlüssels gespeichert, damit Sie mit dem Wiederherstellungscode wieder Zugang erhalten; der Wiederherstellungscode selbst wird weder übermittelt noch gespeichert, weshalb diese Kopie für Schweizerform ohne Nutzen ist. Schweizerform hat keinen Zugriff auf die Inhalte der Einreichungen im Klartext und wird keine Massnahmen ergreifen, um sich einen solchen Zugriff zu verschaffen.

Reichweite der Verschlüsselung. Die Verschlüsselung erfasst die Antworten und Dateianhänge der betroffenen Personen. Nicht erfasst und daher für Schweizerform im Klartext zugänglich sind insbesondere: Bezeichnung und Fragetexte der Formulare; Formulareinstellungen und Branding-Angaben; Konto- und Kontaktdaten Ihrer Nutzenden; Zeitstempel und technische Metadaten der Einreichungen; sowie die Sicherheitsprotokolle nach Ziffer 6. Sie tragen dafür Sorge, dass Sie in Fragetexte, Formularbezeichnungen und Einstellungen keine Personendaten betroffener Personen aufnehmen.

Das Kontaktverzeichnis. Die Angaben, die Sie zu einem Kontakt führen, werden in Ihrem Browser mit einem eigenen Schlüssel verschlüsselt, der seinerseits mit Ihrem Hauptschlüssel oder, bei einem Verzeichnis in einem Team-Arbeitsbereich, mit dem Schlüssel dieses Arbeitsbereichs verschlüsselt wird. Schweizerform speichert diese Daten ausschliesslich als Chiffrat und kann sie nicht lesen. Nicht von dieser Verschlüsselung erfasst sind die technischen Werte, die das Verzeichnis funktionsfähig machen – namentlich aus der E-Mail-Adresse abgeleitete Werte, die das Erkennen von Doppeleinträgen und Widersprüchen ermöglichen, die Zuordnung von Kontakten zu Gruppen sowie Zeitstempel. Keiner dieser Werte ist als Identität lesbar. Ein Teil davon bleibt nach der Löschung eines Kontakts erhalten, damit ein Widerspruch weiterhin beachtet wird (Ziffer 14).

Eingangsbestätigungen. Ersucht eine Person, die eines Ihrer Formulare ausgefüllt hat, um eine Eingangsbestätigung, wird die von ihr angegebene Adresse für den Versand dieser einen Nachricht verwendet und anschliessend verworfen. Sie wird weder bei der Einreichung gespeichert noch im Protokoll des E-Mail-Versands festgehalten. Ein daraus abgeleiteter, geschlüsselter Wert wird kurzzeitig vorgehalten, damit dieselbe Adresse über den Dienst nicht wiederholt angeschrieben werden kann; anderweitig wird er nicht gespeichert.

Folgen des Schlüsselverlusts. Sie sind für die sichere Aufbewahrung Ihres Tresorschlüssels und Ihres Wiederherstellungscodes allein verantwortlich. Gehen beide verloren, sind die verschlüsselten Daten aus technischen Gründen nicht mehr lesbar, solange keiner der beiden Codes wiedererlangt wird. Ein Zurücksetzen des Tresorschlüssels ohne Tresorschlüssel und ohne Wiederherstellungscode verschlüsselt bestehende Daten nicht neu, sondern verschiebt sämtliche bestehenden persönlichen Formulare, Einreichungen und Kontakte in einen gesperrten Bestand; dieser bleibt nur lesbar, wenn einer der alten Codes später wiedererlangt wird. Formulare und Kontaktverzeichnisse in einem Team-Arbeitsbereich werden nicht verschoben; stattdessen wird Ihre Kopie des Arbeitsbereichsschlüssels ungültig und muss von einer anderen administrierenden Person dieses Arbeitsbereichs neu erteilt werden. Hält keine weitere administrierende Person den Schlüssel, können diese Inhalte des Arbeitsbereichs nicht mehr entschlüsselt werden; die Wiedererlangung eines alten Codes stellt sie nicht wieder her. Schweizerform kann sie nicht wiederherstellen; eine Haftung von Schweizerform für den hieraus entstehenden Verlust ist ausgeschlossen, soweit gesetzlich zulässig.

Form der Herausgabe. Eine Herausgabe von Daten durch Schweizerform erfolgt in dem Format, in dem Schweizerform die Daten hält, mithin als Chiffrat nebst zugehörigen Metadaten. Eine Herausgabe im Klartext ist Schweizerform technisch nicht möglich. Sie nehmen zur Kenntnis, dass eine Herausgabe nach Vertragsende ohne Ihren Tresorschlüssel wertlos ist, und stellen sicher, dass Sie Ihren eigenen Export rechtzeitig vor Vertragsende vornehmen.

Schweizerform informiert Sie unverzüglich in Textform, wenn eine Änderung der Architektur dazu führen würde, dass die ersten beiden Absätze dieser Ziffer nicht mehr zutreffen. Sie können diesen Vertrag und die Nutzungsbedingungen in diesem Fall ausserordentlich auf den Zeitpunkt des Wirksamwerdens der Änderung kündigen.

8. Ihre Pflichten als Verantwortlicher

Sie sind allein dafür verantwortlich, dass die Erhebung, die Bearbeitung und die Nutzung der Daten sowie die Gestaltung und der Inhalt Ihrer Formulare rechtmässig sind, dass eine gültige Rechtsgrundlage besteht und dass die betroffenen Personen ordnungsgemäss informiert werden (Art. 19 ff. nDSG). Schweizerform prüft weder Inhalt noch Zulässigkeit Ihrer Formulare und ist hierzu weder verpflichtet noch – aufgrund der Verschlüsselung nach Ziffer 7 – in der Lage.

Sie erheben über den Dienst nur Personendaten, die für Ihren Zweck erforderlich sind.

Sie verwalten die Zugänge zu Ihrem Konto und – soweit genutzt – zu Team-Arbeitsbereichen eigenverantwortlich. Sie vergeben und entziehen Berechtigungen zeitnah, wählen sichere Passwörter und Tresorschlüssel und halten diese geheim. Handlungen, die über Ihre Zugänge erfolgen, gelten als von Ihnen veranlasst.

Sie informieren Schweizerform unverzüglich, wenn Sie Anhaltspunkte für eine Kompromittierung Ihrer Zugangsdaten oder für eine Verletzung der Datensicherheit in Ihrem Verantwortungsbereich haben.

Vor der Aktivierung optionaler Funktionen mit Bearbeitung durch Dritte – der KI-gestützten Übersetzung und Formularerstellung nach Ziffer 11 – prüfen Sie, ob deren Einsatz für Ihre Bearbeitung zulässig ist. Diese Funktionen sind standardmässig deaktiviert und werden nur auf Ihre ausdrückliche Aktivierung genutzt; sie bearbeiten ausschliesslich von Ihnen selbst verfasste Formulartexte und zu keinem Zeitpunkt Einreichungen betroffener Personen.

Dasselbe gilt für das Kontaktverzeichnis, für Einladungen, für Eingangsbestätigungen, für die Kopie für die einreichende Person und für die erweiterten Zähler nach Ziffer 6. Keine dieser Funktionen wird ohne Ihre Weisung ausgeführt (Ziffer 3): das Kontaktverzeichnis und Einladungen nur, wenn Sie sie nutzen; Eingangsbestätigungen, die Kopie für die einreichende Person und die erweiterten Zähler nur, nachdem Sie sie für das betreffende Formular aktiviert haben – diese sind standardmässig deaktiviert. Vor der Nutzung oder Aktivierung prüfen Sie, ob deren Einsatz für Ihre Bearbeitung zulässig ist – namentlich, soweit Sie dem Berufsgeheimnis unterstehen, ob die in Ziffer 5 beschriebene Bekanntgabe für Sie zulässig ist. Sie bestimmen, welche Empfängerinnen und Empfänger angeschrieben werden, und sichern zu, dass Sie über eine gültige Rechtsgrundlage für die Kontaktaufnahme mit den in Ihrem Kontaktverzeichnis erfassten Personen und für die von Ihnen veranlassten Nachrichten verfügen.

9. Meldung von Verletzungen der Datensicherheit

Schweizerform meldet Ihnen jede Verletzung der Datensicherheit, die Ihre Daten betrifft, unverzüglich, spätestens jedoch innert 48 Stunden nach Kenntnisnahme, in Textform.

Die Meldung erfolgt an die für Ihr Konto hinterlegte E-Mail-Adresse. Sie halten diese Adresse aktuell.

Die Meldung enthält, soweit im Zeitpunkt der Meldung bekannt: die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen. Fehlende Angaben reicht Schweizerform nach, sobald sie vorliegen; eine unvollständige Erstmeldung gilt als fristwahrend.

Schweizerform unterstützt Sie bei Ihren Meldepflichten nach Art. 24 nDSG gegenüber dem EDÖB sowie, soweit anwendbar, nach Art. 33 und 34 DSGVO. Die Beurteilung der Meldepflicht und die Meldung selbst obliegen Ihnen.

Schweizerform dokumentiert Verletzungen der Datensicherheit einschliesslich der ergriffenen Abhilfemassnahmen.

Meldungen nach dieser Ziffer erfolgen zur Erfüllung gesetzlicher Pflichten und stellen kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

10. Rechte betroffener Personen und Unterstützung

Die Wahrung der Rechte betroffener Personen obliegt Ihnen. Der Dienst stellt Ihnen die hierfür erforderlichen Funktionen zur Verfügung, insbesondere Ansicht, Export und Löschung einzelner Einreichungen sowie Ansicht, Export und Löschung der Einträge Ihres Kontaktverzeichnisses.

Schweizerform unterstützt Sie mit angemessenen Massnahmen, soweit Sie Begehren nicht selbst über die Funktionen des Dienstes erfüllen können. Da Schweizerform die Inhalte nicht entschlüsseln kann, beschränkt sich diese Unterstützung notwendigerweise auf verschlüsselte Daten und Metadaten.

Richtet eine betroffene Person ein Begehren unmittelbar an Schweizerform, leitet Schweizerform es unverzüglich an Sie weiter und beantwortet es nicht selbst. Widerspricht eine empfangende Person einer Einladung dem Erhalt weiterer Nachrichten, hält Schweizerform diesen Widerspruch fest und setzt ihn für künftige Versände durch; dies erfolgt in Erfüllung eigener Pflichten von Schweizerform als versendende Stelle und stellt keine Beantwortung weitergehender Begehren an Ihrer Stelle dar.

Schweizerform unterstützt Sie bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde, soweit die erforderlichen Informationen dem Verantwortungsbereich von Schweizerform entstammen.

Unterstützungsleistungen nach den Ziffern 9 und 10 erbringt Schweizerform im üblichen Umfang unentgeltlich. Übersteigt der Aufwand das übliche Mass – namentlich bei wiederholten oder umfangreichen Begehren, individuellen Nachweisen, Fragebogen, Vor-Ort-Kontrollen oder gesonderten Auswertungen –, informiert Schweizerform Sie vorgängig und beginnt mit der Ausführung erst nach Ihrer Zustimmung in Textform, gegen Vergütung zu den jeweils geltenden Ansätzen. Dies gilt nicht, soweit der Aufwand auf eine von Schweizerform zu vertretende Pflichtverletzung zurückgeht.

11. Unterauftragsbearbeitung

Sie erteilen Schweizerform die allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern nach Massgabe dieser Ziffer (Art. 9 Abs. 3 nDSG). Die im Zeitpunkt der Veröffentlichung dieser Fassung eingesetzten Unterauftragsbearbeiter sind nachfolgend aufgeführt. Diese Liste ist die massgebliche; die Nutzungsbedingungen verweisen darauf.

Die Zahlungsabwicklung (Stripe Payments Europe, Ltd., Irland) betrifft ausschliesslich Ihre eigenen Kontakt-, Konto- und Abrechnungsdaten, die Schweizerform als Verantwortlicher bearbeitet (Ziffer 1); sie ist in der Datenschutzerklärung beschrieben und ist keine Unterauftragsbearbeitung im Sinne dieses Vertrages.

Beabsichtigt Schweizerform, einen weiteren Unterauftragsbearbeiter beizuziehen oder einen bestehenden zu ersetzen, teilt Schweizerform dies mindestens 30 Tage im Voraus in Textform mit.

Sie können der Änderung innert 30 Tagen seit Zugang der Mitteilung aus wichtigem, datenschutzrechtlich begründetem Anlass in Textform widersprechen. Erfolgt kein Widerspruch innert dieser Frist, gilt die Änderung als genehmigt.

Widersprechen Sie und finden die Parteien innert 30 Tagen keine einvernehmliche Lösung, kann jede Partei diesen Vertrag und die Nutzungsbedingungen auf den geplanten Zeitpunkt der Änderung ordentlich kündigen. Weitergehende Ansprüche aus dem Widerspruch bestehen nicht.

Der ersatzlose Wegfall eines Unterauftragsbearbeiters bedarf weder einer vorgängigen Mitteilung noch eines Widerspruchsverfahrens; er wird mit der Veröffentlichung der neuen Fassung dieses Vertrages wirksam (Ziffer 17).

Schweizerform darf ohne vorgängige Mitteilung einen Unterauftragsbearbeiter ersetzen, wenn dies zur Abwehr einer unmittelbaren Gefahr für die Sicherheit oder Verfügbarkeit des Dienstes erforderlich ist. Schweizerform informiert Sie in diesem Fall unverzüglich nachträglich.

Schweizerform verpflichtet Unterauftragsbearbeiter vertraglich auf Pflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen, einschliesslich der Vertraulichkeit nach Ziffer 4 und, soweit anwendbar, Ziffer 5.

Schweizerform haftet für die Einhaltung der datenschutzrechtlichen Pflichten durch seine Unterauftragsbearbeiter wie für eigenes Verhalten, im Rahmen der Haftungsregelung nach Ziffer 15.

Nicht als Unterauftragsbearbeitung gelten Nebenleistungen ohne bestimmungsgemässen Zugang zu Ihren Personendaten, namentlich Telekommunikationsleistungen sowie Wartung durch Dritte ohne Datenzugriff.

12. Ort der Bearbeitung und Bekanntgabe ins Ausland

Einreichungen. Sämtliche Einreichungen betroffener Personen – Antworten und Dateianhänge – werden ausschliesslich in der Schweiz bearbeitet und gespeichert (Anwendungsserver, Datenbank, Objektspeicher). Eine Bearbeitung dieser Daten ausserhalb der Schweiz findet nicht statt. Auch das Kontaktverzeichnis wird ausschliesslich in der Schweiz und in verschlüsselter Form gespeichert (Ziffer 7).

Nebenleistungen ausserhalb der Schweiz. Ausserhalb der Schweiz erfolgt ausschliesslich die Zustellung von Transaktions-E-Mails durch den in Ziffer 11 aufgeführten Anbieter (Norwegen; Bearbeitung und Zustellung in Deutschland und Finnland). Die E-Mail-Zustellung umfasst keine Einreichungen, keine Antworten und keine Antwortinhalte. Personendaten einer betroffenen Person umfasst sie nur in zwei Fällen – wenn Sie eine Einladung an eine von Ihnen bezeichnete empfangende Person veranlassen und wenn eine Person, die eines Ihrer Formulare ausgefüllt hat, um eine Eingangsbestätigung ersucht – und in beiden Fällen ausschliesslich die E-Mail-Adresse der empfangenden Person und die in Ziffer 11 beschriebene Nachricht. Ihre eigenen Abrechnungsdaten bearbeitet der in der Datenschutzerklärung genannte Zahlungsanbieter (Ziffer 1); das ist keine Bearbeitung in Ihrem Auftrag. Eine weitergehende Bearbeitung ausserhalb der Schweiz erfolgt nur nach vorgängiger Mitteilung gemäss Ziffer 11.

Die Zustellung von E-Mails durch den in Ziffer 11 aufgeführten Anbieter findet vollständig im Europäischen Wirtschaftsraum statt. Die betroffenen Staaten – Norwegen, Deutschland und Finnland – verfügen nach Anhang 1 der Datenschutzverordnung über einen angemessenen Datenschutz. Diese Bekanntgabe ist damit nach Art. 16 Abs. 1 nDSG ohne zusätzliche Garantien zulässig.

Für allfällige Weitergaben durch diese Unterauftragsbearbeiter an Empfänger ausserhalb des Europäischen Wirtschaftsraums setzt Schweizerform nur Unterauftragsbearbeiter ein, deren eigene Vertragsbedingungen hierfür eine Grundlage vorsehen, die Art. 16 und 17 nDSG sowie, soweit anwendbar, Kapitel V DSGVO entspricht, namentlich einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission. Schweizerform leitet die entsprechenden Nachweise der Unterauftragsbearbeiter auf Verlangen weiter.

13. Nachweise und Kontrollen

Schweizerform weist die Einhaltung der Pflichten aus diesem Vertrag auf Verlangen nach, in erster Linie durch eine aktuelle Beschreibung der getroffenen Massnahmen, durch Selbstauskunft sowie durch Zertifikate oder Prüfberichte seiner Unterauftragsbearbeiter.

Genügen diese Nachweise im begründeten Einzelfall nicht, können Sie höchstens einmal pro Kalenderjahr eine Überprüfung vornehmen oder durch eine unabhängige, zur Verschwiegenheit verpflichtete und nicht mit Schweizerform im Wettbewerb stehende Drittperson vornehmen lassen. Die Überprüfung erfolgt aus der Ferne, anhand von Unterlagen und schriftlichen Auskünften, nach Vorankündigung von mindestens 30 Tagen und unter möglichst geringer Beeinträchtigung des Betriebs; sie beansprucht höchstens zwei Arbeitstage Aufwand von Schweizerform.

Eine Überprüfung vor Ort bei Schweizerform findet nur bei begründetem Verdacht auf eine erhebliche Verletzung der Datensicherheit statt; in diesem Fall entfallen die Beschränkungen des vorstehenden Absatzes hinsichtlich Häufigkeit, Ankündigungsfrist, Form und Dauer.

Die Kosten einer Überprüfung tragen Sie; den Aufwand von Schweizerform vergüten Sie zu den jeweils geltenden Ansätzen. Werden dabei wesentliche Pflichtverletzungen von Schweizerform festgestellt, trägt Schweizerform diese Kosten.

Der Zugang zu Systemen, Räumlichkeiten und Daten Dritter sowie zu Betriebs- und Geschäftsgeheimnissen von Schweizerform bleibt vorbehalten. Ein direkter Zugriff auf Produktivsysteme wird nicht gewährt.

14. Aufbewahrung, Löschung und Rückgabe

Sie können Ihre Daten während der Vertragsdauer jederzeit selbst über die Exportfunktionen des Dienstes beziehen. Diese Selbstbedienung gilt als Herausgabe im Sinne von Art. 9 nDSG.

Sie können während der Vertragsdauer jederzeit die Löschung einzelner Einreichungen verlangen; die entsprechende Funktion steht Ihnen im Dienst unmittelbar zur Verfügung. Erfolgt das Begehren ausnahmsweise über Schweizerform, führt Schweizerform die Löschung innert 30 Tagen aus.

• •Sicherheitsprotokoll. IP-Adresse und User-Agent werden nach 90 Tagen automatisch aus den Protokolleinträgen entfernt; der Ereigniseintrag selbst (Zeitpunkt, Handlung, Objekt, Ergebnis) bleibt als Nachweis erhalten.
• •Protokoll des E-Mail-Versands. Einträge einschliesslich der gerenderten Nachrichteninhalte werden nach 90 Tagen automatisch gelöscht. Einladungen zu Ihren Formularen und auf Ersuchen versandte Eingangsbestätigungen werden in diesem Protokoll überhaupt nicht erfasst – weder die Empfängeradresse noch der Nachrichteninhalt (siehe den Eintrag «Einladungsdatensätze»).
• •Kontaktverzeichnis. Einträge Ihres Kontaktverzeichnisses bleiben so lange bestehen, wie Sie sie führen, und werden mit Ihrer Löschung gelöscht, spätestens mit der Löschung Ihres Kontos oder des betreffenden Arbeitsbereichs. Löschen Sie einen Kontakt, dessen empfangende Person dem Erhalt weiterer Nachrichten widersprochen hat, bleiben aus deren E-Mail-Adresse abgeleitete Werte erhalten, damit der Widerspruch auch dann beachtet wird, wenn dieselbe Adresse erneut importiert wird. Dieser Rest enthält keine lesbare Adresse, wird zu keinem anderen Zweck verwendet und wird zusammen mit Ihrem Konto oder dem betreffenden Arbeitsbereich gelöscht.
• •Einladungsdatensätze. Zu jeder versandten Einladung wird ein Datensatz über den Zustellstatus geführt; er besteht, solange das Formular besteht, und wird zusammen mit diesem gelöscht. Er enthält keine Empfängeradresse, keinen Namen und keinen Nachrichteninhalt. Zu einer Eingangsbestätigung sowie zu der Kopie, welche die einreichende Person auf der Bestätigungsseite für sich selbst erstellt, wird jeweils ausschliesslich der Zeitpunkt bei der betreffenden Einreichung festgehalten.
• •Zwischengespeicherte Formulare. Aktivieren Sie für ein Formular das Speichern und spätere Fortsetzen, werden die von einer einreichenden Person zwischengespeicherten Teilantworten wie Einreichungen verschlüsselt gespeichert und 30 Tage nach der letzten Speicherung automatisch gelöscht, spätestens zusammen mit dem Formular.
• •Sicherungskopien. Eine Löschung erfasst die Produktivsysteme unmittelbar. Daten in Sicherungskopien werden nach Massgabe des ordentlichen Sicherungszyklus überschrieben, längstens innert 30 Tagen (der Sicherungszyklus der Datenbank beträgt derzeit sieben Tage). Bis dahin bleiben sie ausschliesslich zum Zweck der Wiederherstellung gesperrt und werden nicht anderweitig bearbeitet.

Nach Beendigung des Vertrages gibt Schweizerform die Personendaten nach Ihrer Wahl heraus oder löscht sie, einschliesslich bestehender Kopien. Sie teilen Ihre Wahl innert 30 Tagen nach Vertragsende in Textform mit. Unterbleibt die Mitteilung, löscht Schweizerform die Daten nach Ablauf dieser Frist. Für die Form der Herausgabe gilt Ziffer 7. Löschen Sie Ihr Konto selbst über die Funktion des Dienstes, gilt dies als Wahl der Löschung; die Löschung erfolgt in diesem Fall sofort und unwiderruflich, und die Frist nach diesem Absatz entfällt. Sie nehmen Ihre Exporte vorgängig vor.

Schweizerform bestätigt die Löschung auf Verlangen in Textform. Eine Aufbewahrung über das Vertragsende hinaus ist zulässig, soweit gesetzliche Aufbewahrungspflichten bestehen; Schweizerform beschränkt die Bearbeitung in diesem Fall auf den Zweck der Aufbewahrung.

15. Haftung

Die Parteien haften nach den gesetzlichen Bestimmungen.

Die in den Nutzungsbedingungen vereinbarte Haftungsbegrenzung – insbesondere die Beschränkung der Gesamthaftung auf die in den zwölf Monaten vor dem Schadensereignis an Schweizerform bezahlten Entgelte sowie der Ausschluss indirekter Schäden und Folgeschäden – gilt auch für Ansprüche aus diesem Vertrag.

Diese Haftungsbegrenzung gilt nicht für Schäden aus grober Fahrlässigkeit oder Vorsatz (Art. 100 Abs. 1 OR) sowie nicht bei Verletzung von Leben, Körper oder Gesundheit.

Eine Haftung von Schweizerform ist ausgeschlossen für Schäden, die zurückgehen auf: den Verlust des Tresorschlüssels oder des Wiederherstellungscodes (Ziffer 7); die Gestaltung, den Inhalt oder die Rechtmässigkeit Ihrer Formulare; die Rechtmässigkeit der von Ihnen veranlassten Nachrichten und der von Ihnen bezeichneten Empfängerinnen und Empfänger; Ihre Verwaltung von Zugängen und Berechtigungen; oder Ihre Weisungen, auf deren Bedenklichkeit Schweizerform nach Ziffer 3 hingewiesen hat.

Wird eine Partei wegen einer Pflichtverletzung der anderen Partei von betroffenen Personen oder Behörden in Anspruch genommen, stellt die pflichtverletzende Partei die andere im Umfang ihres Verantwortungsanteils frei. Der zweite und der dritte Absatz dieser Ziffer bleiben vorbehalten.

16. Dauer, Beendigung und Einstellung des Dienstes

Dieser Vertrag tritt mit der Erstellung Ihres Kontos in Kraft und gilt für die Dauer der Nutzungsbedingungen. Er endet automatisch mit deren Beendigung; einer gesonderten Kündigung bedarf es nicht. Für Konten, die im Zeitpunkt des Inkrafttretens dieser Fassung bereits bestanden, tritt dieser Vertrag mit diesem Inkrafttreten in Kraft, und die weitere Nutzung des Dienstes danach gilt als Annahme nach den Nutzungsbedingungen. Wird eine neue Fassung veröffentlicht, ohne dass es nach Ziffer 17 einer Mitteilung bedarf, gilt die weitere Nutzung des Dienstes nach dem Zeitpunkt des Inkrafttretens dieser Fassung als Annahme.

Die Beendigung der Nutzungsbedingungen richtet sich nach den Nutzungsbedingungen. Schweizerform ist berechtigt, den Dienst nach Massgabe der Nutzungsbedingungen einzustellen; Schweizerform informiert Sie in diesem Fall mindestens 90 Tage im Voraus in Textform und ermöglicht Ihnen während dieser Frist den Export Ihrer Daten.

Das Recht zur ausserordentlichen Kündigung aus wichtigem Grund bleibt beiden Parteien vorbehalten.

Die Pflichten zur Vertraulichkeit (Ziffer 4) und zur Wahrung des Berufsgeheimnisses (Ziffer 5) gelten über das Vertragsende hinaus fort.

17. Änderungen dieses Vertrages

Schweizerform kann diesen Vertrag anpassen, soweit dies zur Anpassung an geänderte Rechtslage, Rechtsprechung, behördliche Praxis oder an eine Weiterentwicklung des Dienstes erforderlich ist.

Jede Änderung wird als neue Fassung dieses Dokuments veröffentlicht, mit eigenem Datum des Inkrafttretens und einem Eintrag im Änderungsverzeichnis. Veröffentlichte Fassungen werden nie nachträglich bearbeitet und bleiben abrufbar; in der bestehenden Fassung zulässig sind allein Korrekturen, die den Sinn einer Bestimmung nicht verändern.

Eine Änderung ist wesentlich, wenn sie die für Sie vorgenommene Bearbeitung erweitert oder eine Schutzmassnahme oder ein Recht aus diesem Vertrag abschwächt – namentlich: eine neue Kategorie von Personendaten oder von betroffenen Personen oder ein neuer Zweck (Ziffer 2); ein neuer Unterauftragsbearbeiter oder der Ersatz eines bestehenden (Ziffer 11); ein neuer Bearbeitungsstaat (Ziffer 12); eine längere Aufbewahrungsfrist (Ziffer 14); die Abschwächung einer Massnahme nach Ziffer 6 oder einer Zusicherung nach Ziffer 7; sowie eine Änderung der Ziffern 5, 9, 13 oder 15 oder dieser Ziffer 17, die Ihre Rechte einschränkt. Nicht wesentlich sind namentlich eine Änderung, welche die Bearbeitung ausschliesslich einschränkt – etwa der ersatzlose Wegfall eines Unterauftragsbearbeiters, der Wegfall eines Bearbeitungsstandorts, die Verkürzung einer Aufbewahrungsfrist oder die Verstärkung einer Schutzmassnahme –, eine genauere Beschreibung einer bereits stattfindenden Bearbeitung sowie ein zusätzlicher nach Ziffer 6 erhobener Wert, der keine Person identifiziert und entweder ein aggregierter Zähler je Formular oder je Frage ist oder nur auf Ihre Weisung oder aufgrund einer von Ihnen aktivierten Einstellung erhoben wird. Ist zweifelhaft, ob eine Änderung wesentlich ist, gilt sie als wesentlich.

Wesentliche Änderungen teilt Schweizerform mindestens 30 Tage vor deren Wirksamwerden in Textform an die für Ihr Konto hinterlegte E-Mail-Adresse mit. Textform im Sinne dieses Vertrags schliesst E-Mail ein.

Nicht wesentliche Änderungen werden mit der Veröffentlichung der neuen Fassung wirksam. Damit entfällt allein die vorgängige Mitteilung; die neue Fassung, deren Datum des Inkrafttretens und der Eintrag im Änderungsverzeichnis entfallen nicht.

Betrifft die Mitteilung den Beizug eines neuen oder den Ersatz eines bestehenden Unterauftragsbearbeiters (Ziffer 11), können Sie innert 30 Tagen seit Zugang aus wichtigem, datenschutzrechtlich begründetem Anlass in Textform widersprechen; Verfahren und Folgen richten sich nach Ziffer 11. Für andere Änderungen besteht kein Widerspruchsrecht; der nachfolgende Absatz bleibt vorbehalten.

Schwächt eine Änderung eine Massnahme nach Ziffer 6 oder eine Zusicherung nach Ziffer 7 ab, können Sie diesen Vertrag und die Nutzungsbedingungen in Textform vor dem Wirksamwerden der Änderung auf deren Wirksamwerden hin kündigen; bis dahin gilt für Sie die bisherige Fassung weiter. Eine Änderung, die den Mindestinhalt entfernen oder einschränken würde, den Art. 9 nDSG und Art. 28 Abs. 3 DSGVO für diesen Vertrag verlangen, wird nie durch Stillschweigen wirksam und bedarf in jedem Fall Ihrer ausdrücklichen Zustimmung.

Das Datum des Inkrafttretens der geltenden Fassung ist am Ende dieser Seite angegeben.

18. Anwendbares Recht und Gerichtsstand

Es gilt schweizerisches Recht unter Ausschluss der Kollisionsnormen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf.

Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Pfäffikon SZ, Schweiz.