Auftragsverarbeitungsvertrag

1. Gegenstand und Dauer des Vertrags

Dieser Auftragsverarbeitungsvertrag wird abgeschlossen zwischen der Organisation, die einen Arbeitsbereich auf The Training Platform erstellt (nachfolgend der Arbeitsbereich), unabhängig vom gewählten Plan, einschliesslich des Plans Free (nachfolgend der Kunde oder der Verantwortliche), und der Appogée Sàrl, einer Gesellschaft mit beschränkter Haftung nach schweizerischem Recht mit Sitz am Chemin de Paudex 5, 1132 Lully, Schweiz, eingetragen im Handelsregister unter der UID CHE-340.224.808, welche The Training Platform betreibt (nachfolgend der Auftragsbearbeiter).

Dieser Auftragsverarbeitungsvertrag legt die Bedingungen fest, unter denen der Auftragsbearbeiter Personendaten im Auftrag des Kunden im Rahmen des Dienstes The Training Platform bearbeitet, gemäss Artikel 9 des Bundesgesetzes über den Datenschutz (DSG) und, sofern die Bearbeitung Personen betrifft, die sich in der Europäischen Union oder im Europäischen Wirtschaftsraum befinden, gemäss Artikel 28 der Datenschutz-Grundverordnung (DSGVO).

Dieser Auftragsverarbeitungsvertrag ist integrierender Bestandteil der Allgemeinen Geschäftsbedingungen von The Training Platform. Er wird vom Kunden bei der Erstellung des Arbeitsbereichs zusammen mit diesen ohne weitere Formalitäten angenommen.

Dieser Auftragsverarbeitungsvertrag gilt ab der Erstellung des Arbeitsbereichs bis zu dessen Schliessung, die das Ende des Vertrags im Sinne der Allgemeinen Geschäftsbedingungen bedeutet, unabhängig vom Plan, einschliesslich des Plans Free und der Testphase. Seine Bestimmungen über die Herausgabe und Löschung der Daten, die Vertraulichkeit und die Haftung bleiben nach der Schliessung des Arbeitsbereichs anwendbar, solange der Auftragsbearbeiter Personendaten im Auftrag des Kunden aufbewahrt.

Dieser Auftragsverarbeitungsvertrag regelt nicht die Bearbeitungen, die der Auftragsbearbeiter für eigene Zwecke vornimmt, namentlich die Verwaltung der Vertragsbeziehung mit dem Kunden, die Rechnungsstellung für das Abonnement und den Betrieb der Website von The Training Platform. Diese Bearbeitungen, für die der Auftragsbearbeiter als Verantwortlicher handelt, sind in der Datenschutzerklärung beschrieben.

2. Art und Zweck der Bearbeitung

The Training Platform stellt dem Kunden ein Portal zur Verwaltung von Weiterbildungen zur Verfügung, das unter der eigenen Adresse seines Arbeitsbereichs erreichbar ist. Der Auftragsbearbeiter hostet und betreibt dieses Portal sowie die zugehörige Datenbank und die zugehörigen Dateien im Auftrag des Kunden.

Die vom Auftragsbearbeiter vorgenommenen Bearbeitungen dienen ausschliesslich dem Zweck, dem Kunden die Funktionen des Portals bereitzustellen: die Veröffentlichung seines Weiterbildungskatalogs, die Organisation der Sessions, die Verwaltung der Anmeldungen und Anwesenheiten, die Bereitstellung der Dokumente der Teilnehmenden, die Erstellung der Rechnungen und die Verfolgung der Zahlungen sowie den Versand der mit diesen Vorgängen verbundenen E-Mails.

Diese Bearbeitungen umfassen namentlich das Erheben, Erfassen, Ordnen, Aufbewahren, Abfragen, Ändern, Übermitteln, Sichern und Löschen der Daten, soweit dies für die Erbringung des Dienstes erforderlich ist.

Die E-Mails werden im Namen des Kunden versendet, gegebenenfalls über das E-Mail-Postfach, das der Kunde mit dem Portal verbunden hat. Online-Zahlungen werden von dem in der Liste der Unterauftragsbearbeiter aufgeführten Zahlungsdienstleister abgewickelt; The Training Platform speichert keine Zahlungskartendaten.

Der Auftragsbearbeiter verpflichtet sich, die Personendaten des Kunden nicht zu anderen Zwecken zu bearbeiten, namentlich nicht zu eigenen kommerziellen oder Werbezwecken, und sie weder zu verkaufen noch Dritten bekanntzugeben, ausser in den in diesem Auftragsverarbeitungsvertrag vorgesehenen Fällen.

3. Kategorien von Daten und betroffenen Personen

Von der Bearbeitung betroffen sind die Teilnehmenden an den Weiterbildungen des Kunden, die Trainer, die Unternehmensverantwortlichen, die Teilnehmende anmelden oder deren Weiterbildung verfolgen, sowie die Mitarbeitenden des Kunden, die das Portal verwalten.

Die bearbeiteten Daten umfassen die Identitäts- und Kontaktdaten dieser Personen, etwa Name, Vorname, E-Mail-Adresse, weitere erfasste Kontaktangaben und gegebenenfalls das zugehörige Unternehmen, sowie die Daten zu ihrer Rolle.

Sie umfassen ferner die Daten zu den Anmeldungen und zur Teilnahme an den Weiterbildungen, namentlich die besuchten Sessions und die Anwesenheiten, sowie die vom Kunden, von den Trainern oder von den Teilnehmenden in das Portal hochgeladenen Dokumente, etwa Bescheinigungen.

Sie umfassen schliesslich die Rechnungsdaten und den Zahlungsstatus, unter Ausschluss jeglicher Zahlungskartennummern. Nicht unter diesen Auftragsverarbeitungsvertrag fallen, da sie vom Auftragsbearbeiter als Verantwortlicher bearbeitet werden: die Konten der Nutzer des Portals, die Anmeldecodes, die Authentifizierungs- und Sicherheitsprotokolle und die Fehlerberichte, die in der Datenschutzerklärung beschrieben sind.

Der Kunde bestimmt allein, welche Daten er im Portal erfasst oder erfassen lässt. Er achtet darauf, dort keine besonders schützenswerten Personendaten im Sinne des DSG, etwa Gesundheitsdaten, zu erfassen, es sei denn, dies ist für seine Weiterbildungen erforderlich und er verfügt über eine Rechtsgrundlage dafür.

4. Dokumentierte Weisungen des Verantwortlichen

Der Auftragsbearbeiter bearbeitet die Personendaten ausschliesslich auf dokumentierte Weisung des Kunden. Die Nutzung des Portals durch den Kunden und durch die von ihm dazu ermächtigten Personen sowie die von ihm darin festgelegten Einstellungen stellen seine Weisungen dar. Dieser Auftragsverarbeitungsvertrag und die Allgemeinen Geschäftsbedingungen sind ebenfalls Teil davon.

Der Kunde kann schriftlich ergänzende Weisungen erteilen, soweit diese mit den Funktionen des Dienstes vereinbar sind. Eine Weisung, die eine besondere Entwicklung oder Leistung erfordert, kann Gegenstand einer separaten Vereinbarung sein.

Der Auftragsbearbeiter informiert den Kunden unverzüglich, wenn eine Weisung seiner Ansicht nach gegen das DSG, die DSGVO oder eine andere anwendbare Datenschutzbestimmung verstösst. Er kann die Ausführung dieser Weisung in diesem Fall aussetzen, bis der Kunde sie bestätigt oder ändert.

Ist der Auftragsbearbeiter nach anwendbarem Recht verpflichtet, Daten ohne Weisung des Kunden zu bearbeiten, teilt er dies dem Kunden vorgängig mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Kunde bleibt für die Rechtmässigkeit der von ihm angeordneten Bearbeitungen verantwortlich. Es obliegt ihm insbesondere, die betroffenen Personen in seinen eigenen rechtlichen Dokumenten über die mittels des Portals vorgenommenen Bearbeitungen zu informieren und für jede dieser Bearbeitungen über eine Rechtsgrundlage zu verfügen.

5. Vertraulichkeit

Der Auftragsbearbeiter gewährleistet, dass die zur Bearbeitung der Personendaten des Kunden befugten Personen einer vertraglichen oder gesetzlichen Vertraulichkeitspflicht unterliegen.

Der Zugriff auf diese Daten ist den Personen vorbehalten, die ihn für den Betrieb, die Wartung oder den Support des Dienstes benötigen, und auf das für die Erfüllung ihrer Aufgaben Erforderliche beschränkt.

Der Auftragsbearbeiter stellt sicher, dass diese Personen über die Pflichten aus diesem Auftragsverarbeitungsvertrag und aus der Datenschutzgesetzgebung informiert sind.

Die Vertraulichkeitspflicht besteht nach der Schliessung des Arbeitsbereichs des Kunden und nach Beendigung des Arbeits- oder Auftragsverhältnisses der betreffenden Personen fort.

6. Technische und organisatorische Sicherheitsmassnahmen

Der Auftragsbearbeiter trifft angemessene technische und organisatorische Massnahmen, um eine dem Risiko angemessene Datensicherheit zu gewährleisten, gemäss Artikel 8 DSG und gegebenenfalls Artikel 32 DSGVO. Dieser Abschnitt beschreibt die wichtigsten dieser Massnahmen und ersetzt einen gesonderten Anhang zur Datensicherheit.

Das Portal und seine Datenbank werden in der Schweiz bei Infomaniak gehostet. Die hochgeladenen Dateien und die Datensicherungen werden Unterauftragsbearbeitern anvertraut, deren Standort in der Datenschutzerklärung angegeben ist. Die Kommunikation zwischen den Nutzern und dem Portal wird bei der Übertragung mittels des TLS-Protokolls verschlüsselt.

Die Daten jedes Arbeitsbereichs sind von denjenigen der anderen Organisationen isoliert: Jede Anfrage wird dem betreffenden Arbeitsbereich zugeordnet und entsprechend gefiltert. Der Zugriff auf die Funktionen hängt von der jedem Nutzer zugewiesenen Rolle ab, sei es Administrator, Trainer, Unternehmensverantwortliche oder Lernende. Die Anmeldung beim Portal erfolgt mittels eines per E-Mail zugesandten Einmalcodes.

Die technischen Zugriffe zwischen den Komponenten des Dienstes beruhen auf API-Token, die auf die erforderlichen Vorgänge beschränkt sind. Die Vorgänge und Fehler werden protokolliert, und die Fehler werden laufend überwacht, damit Vorfälle rasch erkannt und behoben werden können.

Die Datenbank wird täglich gesichert, und die Sicherungen werden bei einem Speicherdienstleister aufbewahrt, damit die Daten bei einem Vorfall wiederhergestellt werden können.

Bei einem Sicherheitsvorfall analysiert der Auftragsbearbeiter den Vorfall, begrenzt dessen Auswirkungen, dokumentiert die getroffenen Massnahmen und informiert den Kunden gemäss Artikel 9. Er überprüft diese Massnahmen regelmässig und kann sie an die technische Entwicklung anpassen, sofern das Gesamtschutzniveau dadurch nicht gesenkt wird.

7. Unterauftragsbearbeiter

Der Kunde ermächtigt den Auftragsbearbeiter allgemein, für die Erbringung des Dienstes Unterauftragsbearbeiter beizuziehen. Die Liste der Unterauftragsbearbeiter mit ihrer Funktion und ihrem Standort ist in der Datenschutzerklärung von The Training Platform aufgeführt, auf die dieser Auftragsverarbeitungsvertrag verweist.

Der Auftragsbearbeiter erlegt jedem Unterauftragsbearbeiter vertraglich Datenschutzpflichten auf, die ein Schutzniveau bieten, das mindestens jenem dieses Auftragsverarbeitungsvertrags gleichwertig ist, insbesondere in Bezug auf Sicherheit und Vertraulichkeit. Er bleibt gegenüber dem Kunden für die Erfüllung dieser Pflichten verantwortlich.

Werden Daten einem Unterauftragsbearbeiter mit Sitz ausserhalb der Schweiz bekanntgegeben, erfolgt diese Bekanntgabe gemäss Artikel 16 ff. DSG. Die anwendbaren Garantien sind im Abschnitt der Datenschutzerklärung über Übermittlungen ausserhalb der Schweiz angegeben.

Der Auftragsbearbeiter informiert den Kunden mindestens dreissig (30) Tage vor der Hinzunahme oder dem Ersatz eines Unterauftragsbearbeiters schriftlich. Während dieser Frist kann der Kunde der Änderung aus sachlich begründeten, datenschutzbezogenen Gründen widersprechen.

Im Fall eines Widerspruchs suchen die Parteien nach Treu und Glauben eine Lösung. Kommt keine Einigung zustande, kann der Kunde den Vertrag im Sinne der Allgemeinen Geschäftsbedingungen und damit diesen Auftragsverarbeitungsvertrag auf den Zeitpunkt beenden, zu dem die Änderung wirksam wird, ohne Kündigungskosten.

8. Unterstützung des Verantwortlichen

Es obliegt in erster Linie dem Kunden, mittels der Funktionen des Portals die Begehren betroffener Personen zu beantworten, die ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit ausüben.

Reichen diese Funktionen nicht aus, unterstützt der Auftragsbearbeiter den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Massnahmen, damit dieser solche Begehren innert der gesetzlichen Fristen beantworten kann.

Richtet eine betroffene Person ein Begehren betreffend die im Auftrag des Kunden bearbeiteten Daten direkt an den Auftragsbearbeiter, leitet dieser es unverzüglich an den Kunden weiter und beantwortet es nicht selbst, sofern der Kunde keine anderslautende Weisung erteilt.

Der Auftragsbearbeiter leistet dem Kunden zudem unter Berücksichtigung der Art der Bearbeitung und der ihm zur Verfügung stehenden Informationen die vernünftigerweise erforderliche Unterstützung bei der Durchführung von Datenschutz-Folgenabschätzungen und gegebenenfalls bei der vorgängigen Konsultation der zuständigen Aufsichtsbehörde.

Unterstützung, die über das hinausgeht, was der Dienst standardmässig bietet, kann dem Kunden zu angemessenen, vorgängig mitgeteilten Kosten in Rechnung gestellt werden.

9. Meldung von Verletzungen der Datensicherheit

Der Auftragsbearbeiter meldet dem Kunden jede Verletzung der Datensicherheit, welche die in dessen Auftrag bearbeiteten Personendaten betrifft, so rasch wie möglich, nachdem er davon Kenntnis erlangt hat, mit dem Ziel einer Meldung innert zweiundsiebzig (72) Stunden.

Die Meldung enthält, soweit diese Informationen verfügbar sind, die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen der Verletzung sowie die ergriffenen oder geplanten Massnahmen, um sie zu beheben und ihre Auswirkungen zu begrenzen.

Können nicht alle diese Informationen gleichzeitig bereitgestellt werden, übermittelt der Auftragsbearbeiter sie schrittweise ohne weitere unangemessene Verzögerung.

Diese Informationen sollen es dem Kunden ermöglichen, seine eigenen Meldepflichten zu erfüllen, namentlich gegenüber dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten und gegebenenfalls gegenüber einer europäischen Aufsichtsbehörde, sowie die betroffenen Personen zu informieren, wenn dies erforderlich ist. Es obliegt dem Kunden, diese Meldungen vorzunehmen.

Der Auftragsbearbeiter ergreift unverzüglich angemessene Massnahmen, um die Verletzung einzudämmen und ihre Folgen zu begrenzen, und arbeitet mit dem Kunden bei der Analyse des Vorfalls zusammen.

10. Information und Audit

Der Auftragsbearbeiter stellt dem Kunden auf schriftliche Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus diesem Auftragsverarbeitungsvertrag nachzuweisen, namentlich eine aktuelle Beschreibung der in Artikel 6 beschriebenen Sicherheitsmassnahmen.

Reichen diese Informationen nicht aus, kann der Kunde ein Audit durchführen lassen, selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Auditor, höchstens einmal pro Kalenderjahr oder nach einer Verletzung der Datensicherheit im Sinne von Artikel 9.

Der Kunde kündigt das Audit schriftlich unter Einhaltung einer angemessenen Vorankündigungsfrist und unter Angabe seines Gegenstands an. Das Audit findet während der üblichen Arbeitszeiten statt, sodass der Betrieb des Dienstes nicht gestört wird, und darf sich weder auf die Daten anderer Kunden des Auftragsbearbeiters noch auf Informationen erstrecken, die dem Geschäftsgeheimnis unterliegen und keinen Bezug zur Bearbeitung haben.

Die Kosten des Audits trägt der Kunde, einschliesslich des Zeitaufwands des Auftragsbearbeiters, der zu einem angemessenen Ansatz in Rechnung gestellt wird. Der Kunde teilt dem Auftragsbearbeiter die Ergebnisse des Audits mit.

11. Herausgabe und Löschung der Daten am Ende der Bearbeitung

Mit der Schliessung des Arbeitsbereichs, die das Ende des Vertrags im Sinne der Allgemeinen Geschäftsbedingungen bedeutet, stellt der Auftragsbearbeiter die Bearbeitung der Personendaten im Auftrag des Kunden ein, vorbehältlich der für deren Herausgabe und Löschung erforderlichen Vorgänge.

Auf Verlangen des Kunden, das innert dreissig (30) Tagen nach der Schliessung seines Arbeitsbereichs gestellt wird, stellt der Auftragsbearbeiter ihm einen Export der Daten seines Arbeitsbereichs in einem gängigen elektronischen Format zur Verfügung.

Der Auftragsbearbeiter löscht die Personendaten des Kunden innert neunzig (90) Tagen nach der Schliessung des Arbeitsbereichs aus seinen aktiven Systemen. Die in den Datensicherungen enthaltenen Kopien werden am Ende ihres üblichen Rotationszyklus gelöscht; bis dahin bleiben sie gemäss diesem Auftragsverarbeitungsvertrag geschützt und werden nicht mehr verwendet.

Diese Pflichten gelten nicht für Daten, deren Aufbewahrung dem Auftragsbearbeiter durch schweizerisches Recht vorgeschrieben ist. Diese Daten werden in diesem Fall während der gesetzlichen Dauer sicher aufbewahrt und keiner weiteren Bearbeitung unterzogen.

12. Haftung

Jede Partei haftet für Schäden, die durch die Verletzung ihrer eigenen Pflichten aus diesem Auftragsverarbeitungsvertrag und aus dem anwendbaren Datenschutzrecht verursacht werden.

Der Kunde haftet insbesondere für die Rechtmässigkeit der Daten, die er bearbeiten lässt, und für die Weisungen, die er erteilt. Der Auftragsbearbeiter haftet insbesondere für die Einhaltung der Weisungen des Kunden und der ihm als Auftragsbearbeiter obliegenden Pflichten.

Die Haftung des Auftragsbearbeiters aus diesem Auftragsverarbeitungsvertrag unterliegt den im Abschnitt Haftung der Allgemeinen Geschäftsbedingungen vorgesehenen Beschränkungen, vorbehältlich zwingender Bestimmungen des anwendbaren Rechts.

13. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen geht dieser Auftragsverarbeitungsvertrag in allen Fragen betreffend den Schutz der im Auftrag des Kunden bearbeiteten Personendaten vor.

Der Auftragsbearbeiter kann diesen Auftragsverarbeitungsvertrag nach den in den Allgemeinen Geschäftsbedingungen vorgesehenen Modalitäten ändern, um ihn an die Entwicklung des anwendbaren Rechts oder des Dienstes anzupassen. Eine Änderung darf das Schutzniveau der Daten des Kunden nicht senken.

Sollte sich eine Bestimmung dieses Auftragsverarbeitungsvertrags als nichtig oder nicht durchsetzbar erweisen, wird die Gültigkeit der übrigen Bestimmungen dadurch nicht berührt. Die betreffende Bestimmung wird durch eine gültige Bestimmung ersetzt, deren Wirkung der angestrebten Wirkung möglichst nahekommt.

Dieser Auftragsverarbeitungsvertrag untersteht schweizerischem Recht. Für sämtliche Streitigkeiten im Zusammenhang mit seinem Abschluss, seiner Auslegung oder seiner Erfüllung sind die Gerichte am Sitz der Appogée Sàrl im Kanton Waadt zuständig.

Fragen zu diesem Auftragsverarbeitungsvertrag oder zum Datenschutz können an den Auftragsbearbeiter unter der Adresse info@the-training-platform.ch gerichtet werden.