Auftragsbearbeitungsvertrag (ADV / AVV) — Anhang 2 zu den AGB Pulse

1. Gegenstand und Dauer

1. Der Auftragsbearbeiter betreibt für den Verantwortlichen die Software «Pulse» (Instanz des Kunden) und bearbeitet dabei Personendaten in dessen Auftrag: Hosting, Speicherung, Bereitstellung, Support, Wartung, Datensicherung.
2. Die Dauer entspricht dem Hauptvertrag. Ziff. 9 gilt über das Vertragsende hinaus.

2. Umfang der Bearbeitung

1. Kategorien der Daten und der betroffenen Personen ergeben sich aus Anhang A. Sie umfassen - bei Nutzung des HR-Moduls - auch besonders schützenswerte Personendaten (namentlich gesundheitsbezogene Absenzangaben).
2. Der Verantwortliche stellt sicher, dass in Pulse keine weiteren besonderen Datenkategorien erfasst werden, deren Bearbeitung nicht in Anhang A vorgesehen ist (z. B. keine medizinischen Diagnosen, Konfessions- oder Strafdaten in Freitextfeldern), und instruiert seine Nutzer entsprechend.
3. Die Rechtmässigkeit der Datenbeschaffung und -bearbeitung (Rechtsgrundlagen, Information der Betroffenen) liegt beim Verantwortlichen. Das gilt insbesondere für Daten, die der Verantwortliche importiert oder aus Drittquellen einspielt.

3. Weisungen

1. Der Auftragsbearbeiter bearbeitet Personendaten ausschliesslich zur Vertragserfüllung und auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software-Funktionen durch den Verantwortlichen gilt als Weisung. Hält der Auftragsbearbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen und darf die Ausführung aussetzen.

4. Vertraulichkeit

1. Der Auftragsbearbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden. Zugriffe erfolgen nach dem Need-to-know-Prinzip gemäss Rollenkonzept (Anhang B).

5. Technische und organisatorische Massnahmen (TOMs)

1. Der Auftragsbearbeiter trifft die Massnahmen gemäss Anhang B und passt sie dem Stand der Technik laufend an; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden.
2. Die zugriffsbezogenen Massnahmen gemäss Anhang B - insbesondere Mandantentrennung auf Datenbankebene (Row Level Security), Rollenkonzept und Zwei-Faktor-Authentisierung - sind produktiv umgesetzt; ihre Aufrechterhaltung ist Voraussetzung für die Bearbeitung von Personaldaten des HR-Moduls.

6. Unterauftragsbearbeiter (Subprozessoren)

1. Der Verantwortliche genehmigt die in Anhang C aufgeführten Subprozessoren (allgemeine Genehmigung). Der Beizug weiterer Subprozessoren ist ohne Ankündigung nach Ziff. 6.2 nicht zulässig.
2. Änderungen (Neuaufnahme/Ersatz) teilt der Auftragsbearbeiter mindestens 30 Tage vorab in Textform mit. Widerspricht der Verantwortliche aus datenschutzrechtlichen Gründen und ist keine zumutbare Alternative möglich, kann er den Hauptvertrag auf den Wirksamkeitszeitpunkt der Änderung kündigen.
3. Der Auftragsbearbeiter verpflichtet Subprozessoren auf ein diesem Vertrag im Wesentlichen entsprechendes Schutzniveau und bleibt für deren Leistungen verantwortlich wie für eigene.

7. Datenstandort und Auslandsbekanntgabe

1. Produktivdaten der Kundeninstanzen werden in der Europäischen Union gehostet (Rechenzentrumsregion Frankfurt). Der Sitz einzelner Subprozessoren kann davon abweichen; massgeblich ist Anhang C.
2. Eine Bekanntgabe in andere Staaten erfolgt nur, wenn dort ein angemessenes Schutzniveau besteht (Angemessenheitsbeschluss bzw. -liste) oder geeignete Garantien vorliegen (insbesondere EU-Standardvertragsklauseln mit Schweizer Ergänzung oder Data Privacy Framework); Einzelheiten je Subprozessor gemäss Anhang C.
3. Ein Zugriff auf Produktivdaten aus Drittstaaten erfolgt nur, soweit er für Betrieb, Support oder Fehlerbehebung erforderlich ist, und wird auf das notwendige Mass beschränkt.

8. Unterstützung und Meldungen

1. Der Auftragsbearbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln (Export-, Berichtigungs- und Löschfunktionen, Auskünfte) bei der Wahrung der Rechte betroffener Personen sowie - soweit erforderlich - bei Datenschutz-Folgenabschätzungen und Behördenanfragen.
2. Verletzungen der Datensicherheit meldet der Auftragsbearbeiter dem Verantwortlichen unverzüglich, spätestens innert 48 Stunden ab Kenntnis, mit den verfügbaren Angaben (Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der Betroffenen, ergriffene Massnahmen). Meldungen an Behörden und Betroffene sind Sache des Verantwortlichen.
3. Anfragen betroffener Personen, die direkt beim Auftragsbearbeiter eingehen, leitet er ohne inhaltliche Beantwortung an den Verantwortlichen weiter.

9. Löschung und Rückgabe

1. Nach Vertragsende stellt der Auftragsbearbeiter die Daten während 30 Tagen zum Export bereit; danach löscht er sie, einschliesslich Kopien in Sicherungssystemen innert 90 Tagen (Backup-Rotation).
2. Gesetzliche Aufbewahrungspflichten des Auftragsbearbeiters bleiben vorbehalten. Für die Aufbewahrung seiner Geschäftsunterlagen (insb. Art. 958f OR, 10 Jahre) ist der Verantwortliche zuständig; massgeblich ist sein rechtzeitiger Export gemäss AGB Ziff. 6.4.

10. Nachweis und Audit

1. Der Auftragsbearbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach - in erster Linie durch aktuelle TOM-Dokumentation, die Subprozessoren-Liste sowie vorhandene Berichte und Zertifikate der Infrastrukturanbieter (jährliche Selbstauskunft).
2. Bei begründetem Anlass kann der Verantwortliche zusätzlich ein Audit (remote oder vor Ort) durchführen oder durch einen zur Vertraulichkeit verpflichteten Dritten durchführen lassen: mit angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne unverhältnismässige Störung des Betriebs. Die Kosten trägt der Verantwortliche, sofern keine wesentlichen Verstösse festgestellt werden.

11. Haftung und Schlussbestimmungen

1. Für die Haftung gilt der Hauptvertrag (AGB Ziff. 10).
2. Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser Vertrag dem Hauptvertrag vor.
3. Es gilt Schweizer Recht; Gerichtsstand gemäss Hauptvertrag.

Anhang A - Kategorien der Daten und der betroffenen Personen

Nicht vorgesehen und vom Verantwortlichen nicht zu erfassen: medizinische Diagnosen und Arztberichte, Angaben zu religiösen, weltanschaulichen oder politischen Ansichten, Gewerkschaftszugehörigkeit, Angaben zum Sexualleben oder zur sexuellen Orientierung, Strafverfolgungs- und Betreibungsdaten, biometrische und genetische Daten sowie Daten von Kindern unter 16 Jahren.

Anhang B - Technische und organisatorische Massnahmen

1. Zugriffskontrolle: rollenbasiertes Berechtigungskonzept; Mandantentrennung auf Datenbankebene (Row Level Security); Zwei-Faktor-Authentisierung für administrative Zugänge; Need-to-know-Prinzip.
2. Übertragung und Speicherung: Verschlüsselung in transit (TLS) und at rest.
3. Verfügbarkeit: automatisierte Datensicherungen nach definiertem Zyklus; dokumentierte und periodisch getestete Wiederherstellung.
4. Nachvollziehbarkeit: Protokollierung administrativer Zugriffe und wesentlicher Datenoperationen.
5. Trennung der Umgebungen: Entwicklungs-, Test- und Demo-Umgebungen enthalten keine Produktivdaten von Kunden.
6. Organisation: dokumentiertes On- und Offboarding für Zugänge; Incident-Response-Prozess mit Meldeweg gemäss Ziff. 8.2; Vertraulichkeitsverpflichtung aller eingesetzten Personen; jährliche Überprüfung dieses Anhangs.
7. Subprozessoren: Auftragsbearbeitungsverträge mit allen Anbietern gemäss Anhang C.

Anhang C - Subprozessoren

Die Liste wird bei Änderungen gemäss Ziff. 6.2 angekündigt und aktualisiert.