Vereinbarung zur Auftragsdatenverarbeitung ADV

Die pr24 GmbH, Schiers, (pr24) erbringt für Kunden Dienstleistungen im Zusammenhang mit Onlinetätigkeiten (Webseite, Shop, Marketing etc.) inkl. Wartungsleistungen sowie Leistungen aller Arten der Kommunikation. Bei der Erbringung der Dienstleistungen speichern wir personenbezogene Daten im Auftrag und für die Zwecke des Kunden. Diesfalls ist die pr24 Auftragsverarbeiterin gegenüber dem Kunden. Vorliegender Anhang in unseren AGB regelt diese Auftragsverarbeitung.

Die Bedeutung von Begriffen wie «Auftragsverarbeiterin», «Betroffenenrechte», «personenbezogene Daten», «Verantwortlicher», «verarbeiten» usw. richten sich nach der Bedeutung nach dem Schweizer Datenschutzgesetz (DSG) oder, je nach Kontext, der Europäische Datenschutz-Grundverordnung (DSGVO).

2.1
Diese Vereinbarung zur Auftragsdatenverarbeitung («ADV») gilt in Bezug auf Auftragsverarbeitungen im Rahmen der von pr24 erbrachten Dienstleistungen. Sie regelt die Pflichten, Rollen und Zuständigkeiten der pr24 GmbH («Auftragnehmerin») und dem Kunden («Auftraggeber») in Bezug auf die Auftragsverarbeitung. Die Auftragsverarbeitung besteht in der Speicherung, Erfassung, Erhebung, Bereitstellung, Übermittlung und Löschung von personenbezogenen Daten im Kontext des Vertrages zwischen pr24 und dem Kunden.

2.2
Von der Auftragsverarbeitung betroffen sind insbesondere personenbezogene Daten, auf welche der Kunde Zugriff gewährt, bspw. durch Zugang auf den Server, auf welche seine Website oder Applikationen gespeichert sind, Daten, die der Kunde zur Leistungserbringung zur Verfügung stellt oder Daten, die beim Aufrufen bzw. Ausführen und der Nutzung von Websites und Applikationen üblicherweise erhoben werden (z. B. die IP-Adresse und das Betriebssystem des Geräts des Nutzers sowie das Datum und die Zugriffszeit des Browsers), vom Nutzer eingegebene Daten sowie vom Kunden oder in dessen Auftrag erhobene Nutzungsdaten mit Personenbezug (nachstehend «personenbezogene Daten»).

2.3
Die Bestimmungen dieser ADV ergänzen die Bestimmungen der AGB. Ihren Regelungsgegenstand betreffend gehen die Bestimmungen dieser ADV den Bestimmungen des Hauptvertrages vor.

2.4
Diese Vereinbarung gilt ausdrücklich nicht in Bezug auf Verarbeitungen personenbezogener Daten, bei denen Zwecke und Mittel der Verarbeitung durch die pr24 bestimmt wird. Solche Verarbeitungen erfolgen in Übereinstimmung mit der Datenschutzerklärung der pr24 und den für pr24 anwendbaren Datenschutzgesetzen.

3.1
Pr24 anerkennt, dass der Kunde in der Rolle des Verantwortlichen verpflichtet ist, bei Inanspruchnahme ihrer Dienstleistungen einige seiner Pflichten aus dem DSG oder, sofern anwendbar, der DSGVO zu überbinden.

3.2
Pr24 nimmt in Bezug auf die Verarbeitung betroffener personenbezogener Daten die Rolle der Auftragsverarbeiterin ein. Sofern sie für diese Auftragsverarbeitung nicht selbst der DSGVO untersteht, wird pr24 nicht nach der DSGVO verpflichtet, sondern nimmt diese Rolle nur auf der Grundlage der vertraglichen Pflichten dieser ADV ein.

3.3
Pr24 ist dazu berechtigt, personenbezogene Daten des Kunden so zu verarbeiten, wie es die Erfüllung der Leistungspflichten aus dem Dienstleistungsvertrag, ihre Datenschutzerklärung sowie dieser ADV beinhalten.

4.1
Auf entsprechende Anfrage ist pr24 bereit, weitergehende, die Auftragsverarbeitung betreffende Weisungen des Kunden umzusetzen. Pr24 informiert den Kunden unverzüglich, wenn sie der Meinung ist, eine Weisung verstosse gegen Datenschutzvorschriften. Pr24 ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Kunden bestätigt oder geändert wird. Pr24 kann die Durchführung der entsprechenden Weisung zudem verweigern, wenn diese im Rahmen der vertraglich vereinbarten Dienstleistungen nicht umsetzbar oder objektiv nicht zumutbar sind oder zu Mehrkosten oder geändertem Leistungsumfang führen oder wenn mit der Durchführung gesetzlichen Pflichten nicht erfüllt werden könnten.

4.2
Pr24 sorgt für die Einhaltung der Bestimmungen dieser ADV durch die von ihr mit der Auftragsverarbeitung betrauten Mitarbeitenden und anderen beigezogenen Personen, die von pr24 Zugriff auf die personenbezogenen Daten erhalten. Pr24 verpflichtet sich zudem, Personen mit Zugang zu den personenbezogenen Daten zur Wahrung der Vertraulichkeit (auch über die Dauer ihrer Tätigkeit für pr24 hinaus) zu verpflichten.

4.3
Zur Sicherstellung der Vertraulichkeit, Integrität und vertragsgemässen Verfügbarkeit verpflichtet sich pr24 sich angemessene technische und organisatorische Massnahmen zu treffen, insbesondere Zugriffskontrollen. sowie regelmässige Überprüfung, Wirksamkeit der technischen und organisatorischen Massnahmen. Bei der Auswahl der Massnahmen berücksichtigt pr24 den Stand der Technik, die Implementierungskosten sowie die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für betroffene Personen.

4.4
Pr24 verpflichtet sich, den Kunden unverzüglich zu informieren, wenn sie Kenntnis von einer Datensicherheits-Verletzung erlangt, die personenbezogene Daten betrifft. Soweit bekannt teilt pr24 dem Kunden Art und das Ausmass der Verletzung. Die Parteien treffen gemeinsam die erforderlichen Massnahmen zum Schutz der personenbezogenen Daten und um mögliche nachteilige Folgen für die betroffenen Personen zu mildern. Überdies verpflichtet sich pr24, dem Kunden auf schriftliche Anfrage ausreichende Informationen zur Verfügung zu stellen, damit dieser seinen Pflichten gemäss den anwendbaren Datenschutzgesetzen betreffend die Meldung, Untersuchung und Dokumentation von Datensicherheits-Verletzungen erfüllen kann.

4.5
Pr24 verpflichtet sich, im Rahmen der betrieblichen Ressourcen und Möglichkeiten, den Kunden bei der Erfüllung von Betroffenenrechten gemäss den jeweils anwendbaren Datenschutzgesetzen (inkl. der entsprechenden Bestimmungen des DSG und, sofern anwendbar, Kapitel III der EU-DSGVO) sowie bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörden zu unterstützen. Die Leistungen der pr24 sind separat zu vergüten.

4.6
Wenden sich Personen mit Forderungen betreffend Betroffenenrechte an pr24, verweist sie diese an den Kunden. Voraussetzung ist, dass eine Zuordnung an den Kunden gestützt auf die Angaben der betroffenen Person möglich ist.

4.7
Pr24 ist auf schriftliche Anfrage und gegen separate angemessene Vergütung sowie unter Berücksichtigung der betrieblichen Ressourcen und Möglichkeiten bereit, den Kunden bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörden zu unterstützen.

4.8
Nach Beendigung des Auftrages hat pr24 die Pflicht personenbezogene Daten zu löschen oder herauszugeben. Dies erfolgt unter Berücksichtigung der Notwendigkeit einer Datenspeicherung auf von pr24 genutzten Servern zwecks Sicherungskopien. Unter diesen Daten können sich im Einzelfall auch personenbezogene Daten befinden. Auf schriftliche Mitteilung des Kunden oder nach definitiver Beendigung des Kundenverhältnisses werden diese personenbezogenen Daten zeitnah herausgegeben oder gelöscht.

5.1
Beansprucht der Kunde Dienstleistungen von pr24, welchen personenbezogene Daten betreffen und für welche pr24 Dritte beizieht, bleibt pr24 gegenüber dem Kunden Auftragsverarbeiter und erfüllt die diesbezüglichen Pflichten aus der ADV. Der Anbieter der Drittdienstleistung ist Unter-Auftragsverarbeiter von pr24. Davon zu unterscheiden sind Fälle, in denen pr24 dem Kunden einen direkten Vertragsschluss mit dem Drittdienstleister vermittelt und der Drittdienstleister direkt Auftragsverarbeiter des Kunden wird. In solchen Fällen hat der Kunde selbst dafür besorgt zu sein, dass die anwendbaren Datenschutzgesetze eingehalten werden und er muss allenfalls notwendige Vereinbarungen mit dem Drittdienstleister zu treffen.

5.2
Pr24 ist grundsätzlich berechtigt, Unter-Auftragsverarbeiter im Rahmen der Erbringung ihrer Dienstleistungen beizuziehen. Die Bearbeitung personenbezogener Daten wird nur an Unter-Auftragsverarbeiter delegiert, die sich nach den Vorgaben zur Auftragsbearbeitung gemäss DSG und, soweit anwendbar, gemäss Art. 28 DSGVO verpflichtet haben.

6.1
Eine Übermittlung oder Bekanntgabe von Daten ins Ausland durch pr24 ist, vorbehalten der Fälle, in welchen pr24 selbst dazu berechtigt ist (bspw. an von ihr beigezogene Unter-Auftragsverarbeiter), nur in folgenden Fällen vorgesehen:

I. an den Kunden und seine verbundenen Unternehmen oder

II. an Dritte auf Anweisung des Kunden

III. gemäss vertraglicher Vereinbarung

IV. an einen Empfänger in einem Land, in welchem die nach DSG und, soweit anwendbar, EU-DSGVO erforderlichen Voraussetzungen für eine rechtmässige Bekanntgabe bzw. Übermittlung der Personendaten gegeben sind oder geschaffen wurden (angemessenes Datenschutzniveau), abweichende vertragliche Regelung sind vorbehalten.

7.1
Mit Anerkennung der AGB bestätigt der Kunde, dass er für die Verarbeitung der personenbezogenen Daten nach den anwendbaren Datenschutzgesetzen verantwortlich ist und bleibt. Der Kunde nimmt somit die Rolle des Verantwortlichen ein. Vorbehalten bleiben Fälle, in denen der Kunde in Bezug auf die personenbezogenen Daten selbst Auftragsverarbeiter ist.

7.2
Der Kunde ist für die Rechtmässigkeit der Verarbeitung der personenbezogenen Daten, einschliesslich der Zulässigkeit der Auftrags- bzw. Unter-Auftragsverarbeitung, verantwortlich.

7.3
Der Kunde trifft in seinem Verantwortungsbereich (z. B. auf seinen eigenen Systemen und Applikationen) selbstständig angemessene technische und organisatorische Massnahmen zum Schutz der personenbezogenen Daten.

7.4
Der Kunde verpflichtet sich, pr24 unverzüglich zu informieren, wenn er in der Leistungserbringung von pr24 Verletzungen von anwendbaren Datenschutzgesetzen feststellt.

8.1
Pr24 ist verpflichtet, dem Kunden auf schriftliche Anfrage alle Informationen zur Verfügung zu stellen, die dieser vernünftigerweise zum Nachweis der Einhaltung dieser ADV gegenüber betroffenen Personen oder Datenschutz- und Aufsichtsbehörden benötigt.

8.2
Pr24 ermöglicht dem Kunden oder einem vom Kunden beauftragten und zur Vertraulichkeit verpflichteten Prüfer, die Einhaltung dieser ADV durch pr24 zu prüfen. Werden nach Vorlage entsprechender Nachweise Verletzungen durch Pr24 festgestellt, hat sie unverzüglich und kostenlos geeignete Korrekturmassnahmen zu implementieren.

8.3
Die vorstehenden Informations- und Prüfungsrechte des Kunden bestehen nur insoweit, als keine vertraglichen Informations- und Prüfungsrechte bestehen, welche den einschlägigen Anforderungen der anwendbaren Datenschutzgesetze entsprechen. Weiter stehen diese Informations- und Prüfungsrechte unter dem Vorbehalt des Verhältnismässigkeitsgebots und der Wahrung der schutzwürdigen Interessen (insbesondere Sicherheits- oder Geheimhaltungsinteressen) von pr24. Vorbehältlich einer anderslautenden Vereinbarung zwischen den Vertragsparteien trägt der Kunde sämtliche Kosten der Information und Prüfung, einschliesslich nachgewiesener interner Aufwände und Kosten von pr24.

Schiers, Februar 2026