Auftragsbearbeitungsvertrag (AVV)

zwischen

der Stockwerkeigentümergemeinschaft gemäss Registrierung auf etagia.ch – nachfolgend «Verantwortliche» –

und

Martin Adrian Sigg, Einzelunternehmen, Einsiedlerstrasse 100, 8810 Horgen UID: CHE-195.558.666 – nachfolgend «Auftragsbearbeiter» –

1. Gegenstand und Rollen

1.1 Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Plattform «etagia» gemäss den AGB.

1.2 Die Verantwortliche bestimmt Zweck und Mittel der Bearbeitung. Der Auftragsbearbeiter bearbeitet Personendaten ausschliesslich im Auftrag und nach Weisung der Verantwortlichen (Art. 9 DSG).

1.3 Die Verantwortliche bleibt für die Rechtmässigkeit der Bearbeitung verantwortlich, insbesondere für die Information der betroffenen Personen und für eine allfällig erforderliche Einwilligung.

1.4 Bearbeitet der Auftragsbearbeiter Daten für eigene Zwecke (z.B. Rechnungsstellung an die Verantwortliche, Sicherheitsprotokollierung, Nachweis der Vertragsannahme), handelt er insoweit als eigenständig Verantwortlicher. Massgebend ist dafür die Datenschutzerklärung.

2. Gegenstand, Dauer, Art und Zweck der Bearbeitung

2.1 Gegenstand: Bereitstellung und Betrieb einer Software zur Verwaltung von Stockwerkeigentümergemeinschaften.

2.2 Dauer: Für die Dauer des Hauptvertrags und danach bis zur Löschung der Daten gemäss Ziff. 9.

2.3 Art der Bearbeitung: Erheben, Speichern, Ordnen, Verändern, Auslesen, Bekanntgeben durch Bereitstellung, Einschränken, Löschen.

2.4 Zweck: Verwaltung der Eigentümerdaten, Erstellung von Jahresabrechnungen und Budgets, Kostenverteilung nach Wertquoten, Verwaltung von Erneuerungsfonds, Zahlungsverkehr und Mahnwesen, Dokumentenablage, Protokollierung von Beschlüssen, Kommunikation innerhalb der Gemeinschaft.

3. Kategorien betroffener Personen und Personendaten

3.1 Betroffene Personen:

• Stockwerkeigentümerinnen und -eigentümer (aktuelle und frühere)
• Mitglieder von Verwaltungsorganen und Revisionsstellen
• Mieterinnen und Mieter sowie Nutzniessende, soweit erfasst
• Kontaktpersonen von Handwerksbetrieben, Lieferanten und Dienstleistern

3.2 Kategorien von Personendaten:

• Identifikations- und Kontaktdaten: Name, Adresse, Telefonnummer, E-Mail-Adresse
• Eigentumsdaten: Einheitenbezeichnung, Wertquoten, Erwerbs- und Veräusserungsdaten (Handwechsel)
• Finanzdaten: IBAN, Zahlungseingänge, Kontostände, Ausstände, Akontozahlungen, Darlehen an die Gemeinschaft
• Vertrags- und Vorgangsdaten: Beschlüsse, Protokolle, Korrespondenz, hochgeladene Dokumente
• Nutzungsdaten: Benutzerkonto, Rollen, Zugriffsprotokolle

3.3 Besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG werden nicht systematisch bearbeitet. Die Verantwortliche unterlässt die Eingabe solcher Daten in Freitextfelder.

4. Weisungen

4.1 Der Auftragsbearbeiter bearbeitet die Daten ausschliesslich gemäss den Weisungen der Verantwortlichen. Die Nutzung der Plattform gemäss ihrem bestimmungsgemässen Funktionsumfang gilt als Weisung.

4.2 Weisungen, die über den Funktionsumfang hinausgehen, bedürfen der Textform. Entstehen dem Auftragsbearbeiter daraus Aufwände, kann er diese nach Aufwand in Rechnung stellen.

4.3 Hält der Auftragsbearbeiter eine Weisung für rechtswidrig, informiert er die Verantwortliche und darf deren Ausführung aussetzen.

5. Vertraulichkeit

5.1 Der Auftragsbearbeiter verpflichtet sämtliche zur Bearbeitung eingesetzten Personen auf Vertraulichkeit. Die Verpflichtung besteht über die Beendigung der Tätigkeit hinaus fort.

5.2 Der Zugriff auf Produktivdaten ist auf das für den Betrieb und den Support erforderliche Minimum beschränkt und wird protokolliert.

6. Technische und organisatorische Massnahmen

Der Auftragsbearbeiter trifft angemessene Massnahmen zur Gewährleistung der Datensicherheit (Art. 8 DSG, Art. 1 ff. DSV), namentlich:

6.1 Zugangs- und Zugriffskontrolle

• Authentifizierung mit individuellen Konten, Passwörter nur als Hash gespeichert
• Rollenbasierte Berechtigungen, Mandantentrennung auf Datenbankebene
• Administrativer Zugriff nur über gesicherte Verbindungen

6.2 Übertragungs- und Speicherungskontrolle

• Transportverschlüsselung (TLS) für sämtliche Verbindungen
• Verschlüsselung der Daten im Ruhezustand auf Ebene des Speichermediums
• Verschlüsselte Sicherungskopien

6.3 Verfügbarkeit und Wiederherstellbarkeit

• Regelmässige automatisierte Sicherungen mit periodischer Wiederherstellungsprüfung
• Getrennte Aufbewahrung der Sicherungskopien vom Produktivsystem

6.4 Nachvollziehbarkeit

• Protokollierung sicherheitsrelevanter Vorgänge
• Trennung von Entwicklungs-, Test- und Produktivumgebung; keine Produktivdaten in Testumgebungen

6.5 Organisation

• Aktuelles Verzeichnis der Bearbeitungstätigkeiten
• Zeitnahes Einspielen von Sicherheitsaktualisierungen
• Dokumentierter Prozess für Sicherheitsvorfälle

Der Auftragsbearbeiter darf die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Sub-Auftragsbearbeiter

7.1 Die Verantwortliche stimmt dem Beizug der nachstehenden Sub-Auftragsbearbeiter zu:

7.2 Der Auftragsbearbeiter teilt den Beizug oder Wechsel eines Sub-Auftragsbearbeiters mit einer neuen Fassung dieses Vertrags mit. Die Mitteilung geht mindestens 30 Tage vor der Änderung per E-Mail an die Administratorinnen und Administratoren der Verantwortlichen und verweist auf die neue und die bisherige Fassung. Die Verantwortliche kann der Änderung widersprechen, indem sie den Hauptvertrag vor dem Zeitpunkt der Änderung kündigt. Der Vertrag endet dann gemäss den AGB auf das Ende der laufenden Vertragsperiode; bis dahin gilt für die Verantwortliche die bisherige Fassung dieses Vertrags. Kündigt sie nicht vor diesem Zeitpunkt, gilt die Änderung als genehmigt. Eine Administratorin oder ein Administrator kann die neue Fassung zudem in der Plattform ausdrücklich annehmen.

7.3 Der Auftragsbearbeiter verpflichtet Sub-Auftragsbearbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für deren Verhalten wie für eigenes.

7.4 Sämtliche Bearbeitung erfolgt in der Schweiz. Eine Bekanntgabe ins Ausland erfolgt nur in Staaten mit angemessenem Datenschutz gemäss Anhang 1 DSV oder gestützt auf eine Garantie nach Art. 16 Abs. 2 DSG.

8. Unterstützungspflichten

8.1 Der Auftragsbearbeiter unterstützt die Verantwortliche bei der Beantwortung von Auskunfts-, Berichtigungs-, Lösch- und Herausgabebegehren betroffener Personen. Wendet sich eine betroffene Person direkt an den Auftragsbearbeiter, leitet er das Begehren unverzüglich weiter und beantwortet es nicht selbst.

8.2 Der Auftragsbearbeiter meldet der Verantwortlichen jede Verletzung der Datensicherheit unverzüglich, spätestens innert 48 Stunden nach Kenntnisnahme, mit Angaben zu Art, betroffenen Datenkategorien, mutmasslichen Folgen und getroffenen Massnahmen. Die Meldung an den EDÖB nach Art. 24 DSG obliegt der Verantwortlichen.

8.3 Der Auftragsbearbeiter unterstützt die Verantwortliche bei einer allfälligen Datenschutz-Folgenabschätzung mit den erforderlichen Angaben aus seinem Bereich.

9. Löschung und Rückgabe

9.1 Nach Beendigung des Hauptvertrags bleiben die Daten im Lesemodus einsehbar und die Downloads gemäss AGB Ziff. 8.2 verfügbar. Ein Export sämtlicher Daten in einem maschinenlesbaren Format wird zurzeit nicht angeboten.

9.2 Der Auftragsbearbeiter löscht die Daten, sobald die Verantwortliche dies in Textform verlangt; eine automatische Löschung nach Ablauf einer festen Frist erfolgt nicht. Sicherungskopien werden im Rahmen des ordentlichen Rotationszyklus gelöscht oder überschrieben, spätestens 180 Tage nach ihrer Erstellung.

9.3 Daten, die der Auftragsbearbeiter aufgrund gesetzlicher Aufbewahrungspflichten weiter aufbewahren muss, werden für andere Zwecke gesperrt.

9.4 Auf Verlangen bestätigt der Auftragsbearbeiter die Löschung in Textform.

10. Nachweis und Kontrolle

10.1 Der Auftragsbearbeiter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach, namentlich durch eine aktuelle Beschreibung der technischen und organisatorischen Massnahmen.

10.2 Die Verantwortliche kann höchstens einmal jährlich sowie bei konkretem Anlass eine Überprüfung verlangen. Sie kündigt diese mindestens 30 Tage im Voraus an und führt sie so durch, dass der Betrieb möglichst wenig gestört wird. Für den Aufwand des Auftragsbearbeiters kann eine angemessene Entschädigung verlangt werden.

11. Haftung und Schlussbestimmungen

11.1 Die Haftungsregelung der AGB gilt sinngemäss auch für diesen Vertrag.

11.2 Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen in datenschutzrechtlichen Fragen die Bestimmungen dieses Vertrags vor.

11.3 Es gilt Schweizer Recht. Gerichtsstand ist Horgen, Kanton Zürich.