Auftragsbearbeitungsvereinbarung (AVV)

1. Vertragsparteien

Diese Auftragsbearbeitungsvereinbarung wird geschlossen zwischen dem jeweiligen Geschäftskunden der Plattform DIVIQ („Verantwortlicher“ bzw. „Kunde“) und:

(„Auftragsbearbeiterin“).

Die AVV ergänzt den zwischen dem Kunden und der Enli GmbH bestehenden Vertrag über die Nutzung der Plattform DIVIQ. Sie gilt, soweit die Enli GmbH personenbezogene Daten im Auftrag des Kunden bearbeitet.

2. Elektronischer Vertragsabschluss

Die AVV kann elektronisch abgeschlossen werden. Mit der ausdrücklichen Zustimmung zur AVV im Rahmen der Registrierung, Bestellung oder Nutzung der Plattform erklärt der Kunde, diese Vereinbarung in der zum Zeitpunkt der Zustimmung bereitgestellten Fassung anzunehmen.

Die Enli GmbH kann den Nachweis der Zustimmung insbesondere durch Speicherung des Kunden- bzw. Benutzerkontos, des Zeitpunkts der Zustimmung und der akzeptierten Dokumentversion führen. Die zustimmende Person bestätigt, zur Annahme dieser Vereinbarung für den betreffenden Kunden berechtigt zu sein.

3. Gegenstand und Dauer

Gegenstand der Auftragsbearbeitung ist die technische Bereitstellung und der Betrieb der Plattform DIVIQ sowie der damit verbundenen Funktionen. Die Bearbeitung erfolgt grundsätzlich für die Dauer des Vertragsverhältnisses zwischen dem Kunden und der Enli GmbH und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten oder andere zulässige Gründe bestehen.

4. Art und Zweck der Bearbeitung

Die Enli GmbH kann im Auftrag des Kunden personenbezogene Daten insbesondere für folgende Zwecke bearbeiten:

• Erstellung und Verwaltung digitaler Mitarbeiter- und Unternehmensprofile
• Bereitstellung von QR-Codes und damit verknüpften Inhalten
• Speicherung und Darstellung von Profil- und Kontaktdaten
• Benutzer-, Rollen- und Zugriffsverwaltung
• Authentifizierung und technische Absicherung der Plattform
• Bereitstellung von Nutzungs- und QR-Scan-Statistiken
• Datensicherung, Fehleranalyse, Wartung und Support
• technische Bereitstellung und Weiterentwicklung der vereinbarten Funktionen

5. Kategorien personenbezogener Daten

Je nach Nutzung und Konfiguration der Plattform können insbesondere folgende Kategorien personenbezogener Daten bearbeitet werden:

• Vor- und Nachname
• geschäftliche und gegebenenfalls private Kontaktdaten
• E-Mail-Adresse und Telefonnummer
• Funktion, Position und Unternehmenszugehörigkeit
• Profilbilder und sonstige vom Kunden hochgeladene Inhalte
• Links und Social-Media-Angaben
• Benutzerkonto-, Rollen- und Berechtigungsdaten
• technische Zugriffs-, Protokoll- und Nutzungsdaten
• QR-Code- und Profilzuordnungen

6. Kategorien betroffener Personen

Betroffen sein können insbesondere Mitarbeitende, Organe, Beauftragte, Kunden, Geschäftspartner oder sonstige Personen, deren Daten der Kunde über die Plattform erfasst, verwaltet oder veröffentlicht.

7. Weisungen und Verantwortlichkeit des Kunden

Der Kunde bestimmt im Rahmen des Vertragsverhältnisses Zweck und Umfang der von ihm veranlassten Bearbeitung und ist für die Rechtmässigkeit der Erhebung, Übermittlung und Nutzung der Daten verantwortlich. Er stellt insbesondere sicher, dass er zur Erfassung, Bearbeitung und gegebenenfalls Veröffentlichung der betreffenden personenbezogenen Daten berechtigt ist.

Die Enli GmbH bearbeitet die ihr im Auftrag überlassenen personenbezogenen Daten grundsätzlich nur entsprechend dem Vertrag, dieser AVV und den dokumentierten Weisungen des Kunden, soweit keine gesetzliche Verpflichtung zu einer anderweitigen Bearbeitung besteht.

8. Vertraulichkeit

Die Enli GmbH stellt sicher, dass Personen, die im Rahmen ihrer Tätigkeit Zugang zu personenbezogenen Daten erhalten, zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

9. Technische und organisatorische Massnahmen

Die Enli GmbH trifft angemessene technische und organisatorische Massnahmen, die dem Risiko, dem Stand der Technik sowie Art und Umfang der Bearbeitung Rechnung tragen. Dazu gehören, soweit für die jeweilige Funktion einschlägig, insbesondere:

• Zugriffs- und Berechtigungskonzepte
• Authentifizierungs- und Kontoschutzmechanismen
• verschlüsselte Datenübertragung
• technische Protokollierung und Sicherheitsüberwachung
• Datensicherungs- und Wiederherstellungsverfahren
• Trennung von Benutzer- und Kundenzugriffen
• regelmässige Pflege und Aktualisierung der eingesetzten Systeme

10. Unterauftragsbearbeiter

Der Kunde erteilt der Enli GmbH die allgemeine Genehmigung, geeignete Unterauftragsbearbeiter einzusetzen, soweit dies für den Betrieb und die Bereitstellung der Plattform erforderlich ist.

Hierzu können insbesondere Anbieter für Backend, Datenbank, Authentifizierung, Hosting, Infrastruktur, Kommunikation und vergleichbare technische Dienstleistungen gehören. Für die Plattform wird insbesondere Supabase eingesetzt; das Projekt wird in der Serverregion Zürich, Schweiz, betrieben.

Soweit ein Unterauftragsbearbeiter personenbezogene Daten im Auftrag bearbeitet, verpflichtet die Enli GmbH diesen im erforderlichen Umfang zu angemessenen Datenschutz- und Sicherheitsanforderungen.

11. Zahlungsdienstleister

Zahlungsdienstleister wie Stripe verarbeiten bestimmte Zahlungs- und Transaktionsdaten teilweise in eigener datenschutzrechtlicher Verantwortlichkeit. Soweit eine Verarbeitung im Auftrag der Enli GmbH erfolgt, gelten die entsprechenden vertraglichen Datenschutzregelungen des jeweiligen Dienstleisters.

12. Bearbeitung im Ausland

Soweit personenbezogene Daten durch eingesetzte Dienstleister oder deren Unterauftragnehmer ausserhalb der Schweiz bearbeitet werden, stellt die Enli GmbH sicher, dass die nach anwendbarem Datenschutzrecht erforderlichen Voraussetzungen für die Datenübermittlung eingehalten werden. Soweit erforderlich, werden geeignete Garantien wie anerkannte Standardvertragsklauseln eingesetzt.

13. Unterstützung des Kunden

Die Enli GmbH unterstützt den Kunden im angemessenen und technisch möglichen Umfang bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere bei Anfragen betroffener Personen sowie bei der Gewährleistung der Sicherheit der Bearbeitung. Ein unverhältnismässiger oder ausserhalb des vereinbarten Leistungsumfangs liegender Aufwand kann nach vorheriger Abstimmung separat verrechnet werden.

14. Datenschutzverletzungen

Werden der Enli GmbH Verletzungen der Datensicherheit bekannt, die personenbezogene Daten des Kunden betreffen und für den Kunden datenschutzrechtlich relevant sein können, informiert sie den Kunden ohne unangemessene Verzögerung und stellt ihm die ihr verfügbaren Informationen zur Verfügung, soweit dies zur Erfüllung seiner gesetzlichen Pflichten erforderlich ist.

15. Rückgabe und Löschung

Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten des Kunden nach Massgabe der vertraglichen Regelungen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten, Sicherungsanforderungen oder sonstigen zulässigen Gründe einer unmittelbaren Löschung entgegenstehen. Daten in Sicherungskopien können bis zum regulären Überschreiben bzw. Ablauf der jeweiligen Sicherungszyklen verbleiben und dürfen währenddessen grundsätzlich nicht zu anderen Zwecken bearbeitet werden.

16. Nachweise und Kontrollen

Die Enli GmbH stellt dem Kunden auf angemessene Anfrage die zur Beurteilung der Einhaltung dieser AVV erforderlichen Informationen zur Verfügung. Kontrollen oder Audits sind unter angemessener Vorankündigung und unter Wahrung der Sicherheit, Vertraulichkeit sowie der Interessen anderer Kunden durchzuführen. Soweit möglich, sind zunächst vorhandene Dokumentationen und Nachweise zu verwenden.

17. Rangfolge

Bei Widersprüchen zwischen dieser AVV und sonstigen vertraglichen Regelungen gehen hinsichtlich der Auftragsbearbeitung die Bestimmungen dieser AVV vor. Im Übrigen bleiben die bestehenden Vertragsbedingungen unberührt.

18. Änderungen

Die Enli GmbH kann diese AVV anpassen, wenn dies aufgrund rechtlicher, technischer oder organisatorischer Änderungen erforderlich ist. Wesentliche Änderungen werden den betroffenen Kunden in geeigneter Weise mitgeteilt. Für neue Vertragsabschlüsse gilt die jeweils zum Zeitpunkt der Zustimmung bereitgestellte Fassung.

19. Anwendbares Recht

Diese AVV untersteht schweizerischem Recht. Soweit zwingende datenschutzrechtliche Bestimmungen, insbesondere die DSGVO, im konkreten Fall zusätzlich anwendbar sind, bleiben diese vorbehalten.