Der Auftraggeber beauftragt den Auftragnehmer mit der Verarbeitung personenbezogener Daten wie folgt:
Während der Laufzeit des Leistungsvertrags sowie Monate darüber hinaus zur Dokumentation.
☑ Speicherung ☑ Verarbeitung durch KI-Systeme ☑ Übermittlung an Drittanbieter (§ 3) ☐ Sonstige:
Der Auftraggeber trägt die Gesamtverantwortung als Data Controller gemäss DSG/nDSG. Der Auftragnehmer handelt als Auftragsverarbeiter und verarbeitet die Daten ausschliesslich nach Weisung des Auftraggebers.
Der Auftragnehmer wahrt die Vertraulichkeit der verarbeiteten Daten und gibt diese nur an berechtigte Personen weiter. Diese Geheimhaltungspflicht besteht auch nach Beendigung des Auftrags für mindestens 3 Jahre.
Der Auftragnehmer setzt folgende Drittanbieter ein:
| Dienstleister | Standort | Zweck | Absicherung |
|---|---|---|---|
| Anthropic (Claude AI) | USA / Schweiz | KI-Sprachverarbeitung | SCC ✅ |
| OpenAI (GPT) | USA | KI-Textgenerierung | SCC ✅ |
| Google (Gmail/Workspace) | Weltweit | E-Mail-Verarbeitung | SCC ✅ |
| HeyGen | USA / Asien | Video-Generierung | SCC ✅ |
| Cloudflare | Weltweit | CDN / Hosting | SCC ✅ |
Der Auftragnehmer informiert bei Änderungen der Drittanbieter mit mindestens 15 Tagen Vorlauf.
✅ Verschlüsselung bei Übertragung (TLS/SSL) ✅ Authentifizierung (OAuth, API-Keys) ✅ Zugriffskontrolle (Whitelist) ✅ Regelmässige Backups ✅ Monitoring
✅ Vertraulichkeitspflicht in Verträgen ✅ Dokumentation der Verarbeitungstätigkeiten ✅ Incident-Management-Verfahren (§ 6)
Der Auftragnehmer implementiert angemessene Schutzmassnahmen gemäss DSG Art. 22–24 und gibt keine Garantie für absolute Sicherheit.
Der Auftraggeber bleibt zuständig für Anfragen betroffener Personen. Der Auftragnehmer unterstützt den Auftraggeber innert 10 Arbeitstagen bei: Auskunftsrecht (Art. 25 DSG), Berichtigungsrecht, Löschungsrecht und Datenportabilität.
Bei einer Datenpanne informiert der Auftragnehmer den Auftraggeber unverzüglich, spätestens innert 24 Stunden, und dokumentiert: Zeitpunkt der Entdeckung, Art der Verletzung, Umfang betroffener Daten, getroffene Gegenmassnahmen. Der Auftraggeber entscheidet über Meldung an Datenschutzbehörde oder betroffene Personen.
Nach Beendigung des Auftrags löscht oder gibt der Auftragnehmer alle verarbeiteten Daten auf Anforderung zurück und bescheinigt die Löschung in Schriftform. Backups werden nach Monaten gelöscht. Ausgenommen sind Daten, die gesetzlich aufzubewahren sind (z.B. Buchhaltung).
Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags zu prüfen: durch Inspektion vor Ort (5 Tage Vorlauf), Anforderung von Dokumentation, oder externe Audits (Kosten trägt Auftraggeber, ausser bei festgestellter Verletzung). Antwort innert 10 Tagen.
Kosten für Compliance-Dokumentation und Sicherheitsmassnahmen sind in der vereinbarten Leistungsvergütung enthalten. Erhebliche Zusatzanforderungen (z.B. externe Audits) können separat vereinbart werden.
Dieser AVV läuft parallel zum Leistungsvertrag und gilt noch 3 Monate nach Vertragsende für Abwicklungs- und Dokumentationszwecke. Beendigung mit 30 Tagen Ankündigung, sofern kein Leistungsvertrag mehr besteht.
Schweizer Recht (DSG/nDSG). Gerichtsstand: Bern, Schweiz.
Name und Funktion:
Antonio Ruiz · Eigentümer