Auftragsbearbeitungsvertrag

1. Parteien und Geltungsbereich

Dieser Auftragsbearbeitungsvertrag («AVV») wird geschlossen zwischen dem Kunden, der SchweizerIMG zu geschäftlichen Zwecken nutzt («Verantwortlicher»), und SchweizerIMG, betrieben vom am Ende dieses AVV genannten Einzelunternehmen («Auftragsbearbeiter»). Er ist Bestandteil der Nutzungsbedingungen und regelt die Bearbeitung im Auftrag des Verantwortlichen nach Art. 9 des Bundesgesetzes über den Datenschutz (nDSG) und, soweit anwendbar, Art. 28 DSGVO. In Fragen des Datenschutzes geht er den Nutzungsbedingungen vor.

2. Gegenstand der Bearbeitung

Die Bildwerkzeuge laufen im Browser der Nutzerinnen und Nutzer des Verantwortlichen. Bilder, ihr Inhalt und ihre Metadaten, Dateinamen und Ergebnisse werden auf den Geräten der Nutzerinnen und Nutzer verarbeitet und nicht an den Auftragsbearbeiter übermittelt; sie sind nicht Gegenstand dieses AVV. Pro Durchgang eines Werkzeugs erhält der Auftragsbearbeiter nur das Werkzeug und das Ergebnis des Durchgangs.

3. Weisungen

Der Auftragsbearbeiter bearbeitet die Personendaten nur auf dokumentierte Weisung des Verantwortlichen. Diese Weisungen sind die Nutzungsbedingungen, dieser AVV sowie die Einstellungen und Funktionen des Dienstes (zum Beispiel das Löschen eines Kontos). Der Auftragsbearbeiter informiert den Verantwortlichen, wenn er eine Weisung für datenschutzwidrig hält.

4. Vertraulichkeit

Der Auftragsbearbeiter stellt sicher, dass die zur Bearbeitung der Personendaten befugten Personen zur Vertraulichkeit verpflichtet sind. Administrativer Zugriff ist auf die Personen beschränkt, die ihn für den Betrieb des Dienstes benötigen.

5. Technische und organisatorische Massnahmen

Der Auftragsbearbeiter trifft angemessene technische und organisatorische Massnahmen, insbesondere:

• Verarbeitung der Bilder im Browser und eine Website, die so konfiguriert ist, dass sie sich nur mit dem eigenen Server des Auftragsbearbeiters verbindet;
• verschlüsselte Verbindungen (HTTPS);
• Passwörter nur als Hash gespeichert, kurzlebige Anmeldecodes, Ablauf von Sitzungen und ein Bestätigungsschritt bei heiklen Aktionen;
• Schutz vor Cross-Site Request Forgery, Begrenzung wiederholter Anfragen und Sperrung missbräuchlicher IP-Adressen;
• ein Protokoll sicherheitsrelevanter Aktionen, aus dem IP-Adressen nach 90 Tagen entfernt werden;
• Hosting in der Schweiz und regelmässige Datenbanksicherungen, die für eine begrenzte Zeit aufbewahrt werden.

6. Verletzungen der Datensicherheit

Der Auftragsbearbeiter informiert den Verantwortlichen unverzüglich, nachdem er von einer Verletzung der Datensicherheit Kenntnis erhalten hat, die Personendaten des Verantwortlichen betrifft, mit den zu diesem Zeitpunkt verfügbaren Informationen.

7. Unterstützung

Soweit zumutbar, unterstützt der Auftragsbearbeiter den Verantwortlichen bei der Beantwortung von Begehren betroffener Personen und bei der Erfüllung seiner Pflichten zur Datensicherheit, zur Meldung von Verletzungen und zu Datenschutz-Folgenabschätzungen. Viele Begehren lassen sich direkt im Dienst erledigen, zum Beispiel durch das Löschen eines Kontos. Für Aufwand, der über das Übliche hinausgeht, kann der Auftragsbearbeiter eine Vergütung verlangen.

8. Unterauftragsbearbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Beizug von Unterauftragsbearbeitern. Der Auftragsbearbeiter setzt folgende ein:

Der Auftragsbearbeiter kündigt Änderungen auf dieser Seite an, bevor sie in Kraft treten. Ist der Verantwortliche mit einer Änderung nicht einverstanden, kann er den Vertrag beenden, bevor die Änderung in Kraft tritt.

Zahlungen über Stripe betreffen nur die eigenen Abrechnungsdaten des Kunden, die der Auftragsbearbeiter als Verantwortlicher bearbeitet; sie sind in der Datenschutzerklärung beschrieben und nicht Gegenstand dieses AVV.

9. Bekanntgabe ins Ausland

Die Personendaten werden in der Schweiz und, für die E-Mail-Zustellung, in Norwegen, Deutschland und Finnland bearbeitet, denen der Bundesrat einen angemessenen Datenschutz zuerkennt. Jede andere Bekanntgabe ins Ausland erfordert die Garantien des nDSG.

10. Information und Kontrollen

Auf Anfrage weist der Auftragsbearbeiter die Einhaltung dieses AVV durch schriftliche Auskünfte nach, etwa eine Beschreibung seiner Massnahmen und die Liste der Unterauftragsbearbeiter. Kontrollen vor Ort finden nur statt, wo das Gesetz oder eine Behörde sie verlangt, nach angemessener Voranmeldung und auf Kosten des Verantwortlichen.

11. Löschung

Wird ein Nutzerkonto gelöscht, werden seine Kontodaten, Sitzungen, Nutzungsdaten und Abonnementdaten gelöscht. Die übrigen Daten werden nach den Fristen der Datenschutzerklärung gelöscht, insbesondere E-Mail-Protokolle und IP-Adressen in Sicherheitseinträgen nach 90 Tagen, Nutzungsdaten nach 13 Monaten und Sicherungen nach 14 Tagen. Daten mit gesetzlicher Aufbewahrungspflicht, etwa Rechnungen, werden so lange aufbewahrt, wie das Gesetz es verlangt. Am Ende des Vertrags löscht der Verantwortliche die Konten seiner Nutzerinnen und Nutzer oder lässt sie löschen.

12. Haftung

Die Haftung aus diesem AVV richtet sich nach den Nutzungsbedingungen, einschliesslich ihrer Ausschlüsse und ihrer Höchstgrenze; diese Höchstgrenze gilt für Ansprüche aus den Nutzungsbedingungen und diesem AVV zusammen.

13. Dauer

Dieser AVV gilt, solange der Auftragsbearbeiter Personendaten im Auftrag des Verantwortlichen bearbeitet, und endet mit dem Vertrag gemäss den Nutzungsbedingungen.

14. Änderungen

Der Auftragsbearbeiter kann diesen AVV ändern, indem er eine neue, datierte Fassung veröffentlicht. Wesentliche Änderungen werden mindestens 30 Tage vor ihrem Inkrafttreten angekündigt. Frühere Fassungen bleiben im Archiv verfügbar.

15. Anwendbares Recht und Gerichtsstand

Dieser AVV untersteht schweizerischem Recht. Ausschliesslicher Gerichtsstand ist Pfäffikon SZ, Schweiz, unter Vorbehalt zwingender Gerichtsstände.