Zwischen dem Kunden (Verantwortlicher) und miller IT-Solutions, Bahnhofstrasse 18, 3312 Fraubrunnen (Auftragsbearbeiterin).

1. Gegenstand und Dauer

1.1 Die Auftragsbearbeiterin bearbeitet Personendaten im Auftrag des Verantwortlichen, um den Dienst Varmo nach dem Hauptvertrag (AGB) zu erbringen. Einzelheiten zu Art, Zweck, Daten und betroffenen Personen stehen in Anhang 1.

1.2 Der AVV gilt, solange die Auftragsbearbeiterin Personendaten des Verantwortlichen bearbeitet, auch über das Ende des Hauptvertrags hinaus bis zur Löschung.

2. Weisungen

2.1 Die Auftragsbearbeiterin bearbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Der Hauptvertrag, dieser AVV und die Einstellungen, die der Verantwortliche im Dienst vornimmt (z. B. Rollen, Löschfristen, Support-Freigaben), gelten als Weisung.

2.2 Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit.

3. Vertraulichkeit

Personen, die bei der Auftragsbearbeiterin Zugang zu den Daten haben können, sind zur Vertraulichkeit verpflichtet. Zugriff auf Daten des Verantwortlichen erhält die Auftragsbearbeiterin für den Support nur mit befristeter, nur lesender Freigabe durch einen Tenant Admin des Verantwortlichen.

4. Datensicherheit

Die Auftragsbearbeiterin trifft die technischen und organisatorischen Massnahmen nach Anhang 2 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

5. Unterauftragsbearbeiter

5.1 Der Verantwortliche genehmigt die Unterauftragsbearbeiter in Anhang 3.

5.2 Neue oder ersetzte Unterauftragsbearbeiter kündigt die Auftragsbearbeiterin mindestens [30] Tage vorher an. Der Verantwortliche kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag auf das Inkrafttreten hin kündigen.

5.3 Die Auftragsbearbeiterin verpflichtet Unterauftragsbearbeiter vertraglich mindestens zu demselben Schutz.

6. Bekanntgabe ins Ausland

Die Daten werden in [Land/Staaten] bearbeitet. Eine Bekanntgabe in Staaten ohne angemessenen Datenschutz erfolgt nur mit geeigneten Garantien (z. B. Standardvertragsklauseln) und nach Information des Verantwortlichen.

7. Unterstützung des Verantwortlichen

7.1 Die Auftragsbearbeiterin unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe). Die meisten Anfragen kann der Verantwortliche selbst im Dienst erledigen (Bearbeiten, Löschen, Datenexport).

7.2 Sie unterstützt ihn bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit es den Dienst betrifft.

8. Verletzungen der Datensicherheit

Die Auftragsbearbeiterin meldet dem Verantwortlichen Verletzungen der Datensicherheit, die seine Daten betreffen, unverzüglich, spätestens innert [48] Stunden nach Kenntnis, mit den verfügbaren Angaben (Art, betroffene Daten und Personen, Folgen, ergriffene Massnahmen). Angaben, die später bekannt werden, reicht sie nach.

9. Löschung und Rückgabe

9.1 Vor Vertragsende kann der Verantwortliche seine Daten selbst exportieren (ZIP-Datei je Organisation, 7 Tage herunterladbar).

9.2 Nach Vertragsende und Ablauf der Löschfrist des Kontos (Standard 30 Tage, einstellbar 30–365 Tage) löscht die Auftragsbearbeiterin alle Daten des Verantwortlichen endgültig, einschliesslich hochgeladener Dateien und Anmeldekonten. Daten in Backups werden nach 7 Tagen überschrieben und bis dahin nicht mehr bearbeitet.

9.3 Die Auftragsbearbeiterin bestätigt die Löschung auf Anfrage.

10. Nachweise und Kontrollen

10.1 Die Auftragsbearbeiterin stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem AVV nötig sind.

10.2 Der Verantwortliche oder eine von ihm beauftragte, zur Verschwiegenheit verpflichtete Prüferin kann nach Vorankündigung von [30] Tagen höchstens einmal pro Jahr prüfen, ausser bei begründetem Anlass. [Kostenregelung ergänzen.]

11. Schlussbestimmungen

Bei Widersprüchen geht dieser AVV dem Hauptvertrag vor, soweit es um den Datenschutz geht. Es gelten Recht und Gerichtsstand des Hauptvertrags.

Anhang 1: Gegenstand der Bearbeitung

  • Zweck: Bereitstellung eines Managementsystems für Informationssicherheit (Assets, Schutzbedarf, Risiken, Massnahmen, Kontrollen, Vorfälle, Audits, Dokumente) und Support.
  • Art: Speichern, Anzeigen, Ändern, Auswerten, Exportieren, Löschen; Versand von Mails des Dienstes.
  • Betroffene Personen: Mitarbeitende und weitere Personen mit Zugang beim Verantwortlichen; Personen, die der Verantwortliche in Inhalten erfasst (z. B. Verantwortliche, Meldende, Personen in Vorfällen).
  • Datenkategorien: Konto: Name, E-Mail, Rolle, Organisation, Anmeldungen (Zeit, Ergebnis, IP, Browser), Änderungsprotokoll. Inhalte: was der Verantwortliche erfasst; je nach Nutzung auch besonders schützenswerte Personendaten (z. B. in Vorfällen oder DSFA).
  • Dauer: Laufzeit des Hauptvertrags plus Löschfrist (Ziffer 9).

Anhang 2: Technische und organisatorische Massnahmen (TOM)

Belegt im Produkt (Stand 2. Oktober 2026):

Zugriffskontrolle und Trennung

  • Strikte Trennung der Organisationen in der Datenbank (Row Level Security auf allen Tabellen, erzwungen auch für den Eigentümer; Fremdschlüssel je Organisation), zusätzlich geprüft in der Anwendung; automatisierte Tests der Trennung bei jeder Änderung.
  • Rechte nach dem Need-to-know-Prinzip über Fachrollen; Verwaltungsrechte (Tenant Admin) getrennt von fachlichen Rechten; Aufgabentrennung mit begründeten, genehmigten Ausnahmen; jährliche Rechteüberprüfung.
  • Vier-Augen-Prinzip bei Freigaben (z. B. Richtlinien, Risikoakzeptanz, Dokumente) in der Datenbank durchgesetzt.
  • Betreiber ohne Zugriff auf Kundendaten; Support nur mit befristeter, nur lesender Freigabe des Kunden, technisch auf Lesen beschränkt und protokolliert.

Authentisierung und Sitzungen

  • Passwörter mindestens 12 Zeichen, keine Selbst-Registrierung.
  • Zweiter Faktor (TOTP) Pflicht für Administratoren; ohne ihn liefert die Datenbank keine Daten.
  • Sperre nach 5 Fehlversuchen in 15 Minuten für 30 Minuten.
  • Höchstdauer der Sitzung und Abmeldung nach Inaktivität je Konto einstellbar; Deaktivieren und Befristen von Zugängen.

Nachvollziehbarkeit

  • Unveränderliches Änderungsprotokoll (alte und neue Werte, Person, Zeit) und Protokoll der Anmeldungen, auch gegen Änderung durch den Betrieb geschützt.
  • Verwaltungsprotokoll für Tenant Admins (Mitglieder, Rollen, Konto, Support-Zugriffe).

Übertragung und Betrieb

  • Verschlüsselte Übertragung (TLS); Sicherheits-Header und Content-Security-Policy.
  • Fehlererfassung selbst betrieben, ohne Cookies, Anfrageinhalte und Personenangaben.
  • Tägliche Backups auf dem Server und als Kopie des Datenspeichers beim Hosting-Anbieter in der Schweiz (je 7 Tage), Wiederherstellung regelmässig geübt.
  • Aktualisierung der Abhängigkeiten mit automatischer Prüfung auf bekannte Schwachstellen.

Löschung

  • Automatische Löschung nach Ablauf der Fristen (Konto, Anmeldungen, Demo-Anfragen) einschliesslich hochgeladener Dateien; Überwachung der Löschjobs durch den Betrieb.

Organisation [ergänzen: Vertraulichkeitsverpflichtung, Vertretung, Notfallzugang, Umgang mit Sicherheitsvorfällen, Schulung.]

Anhang 3: Unterauftragsbearbeiter

  • Infomaniak Network SA, Genf (Rechenzentrum in der Schweiz): Rechenzentrum, Server, Speicher, Backups
  • Infomaniak Network SA, Genf (Schweiz): Versand der Mails des Dienstes

Fehlererfassung und Datenbank betreibt die Auftragsbearbeiterin selbst; dafür gibt es keinen Unterauftragsbearbeiter.