This page is currently available in German only.

Vereinbarung über die Auftragsbearbeitung

Bestandteil der AGB (Version 1). Stand: 18. Oktober 2026

Diese Vereinbarung gilt, soweit wir (Hunkeler Digital Services, «Auftragsbearbeiter») im Rahmen des Dienstes Personendaten bearbeiten, für die Sie («Verantwortliche») verantwortlich sind (Art. 9 DSG; soweit anwendbar Art. 28 DSGVO). Sie gilt für die Dauer des Vertrags und bis zur Löschung nach Ziffer 9.

1. Gegenstand, Zweck und Dauer

Bereitstellung der gebuchten Module: Speicherung, Anzeige und Auslieferung der Inhalte, die Sie oder Ihre Benutzer erfassen oder die über Ihre Website anfallen. Zweck ist ausschliesslich die Erbringung des Dienstes. Die Bearbeitung dauert so lange wie der Vertrag, zuzüglich der Exportfrist und der Löschung nach Ziffer 9.

2. Art der Daten und betroffene Personen

Je nach gebuchten und verfügbaren Modulen:

• Besucherinnen und Besucher Ihrer Website: Einwilligungsentscheide (Cookie-Banner) mit Zeitpunkt;
• betroffene Personen, die ein Begehren stellen: Name, Kontaktangaben, Inhalt und Verlauf des Begehrens;
• Ihre Mitarbeitenden, Kundschaft und Vertragspartner: Angaben in Verzeichnissen, Vorfallregistern und Folgenabschätzungen;
• Teilnehmende an Schulungen und Phishing-Übungen: Name, E-Mail-Adresse, Ergebnisse;
• Ihre Benutzer im Kundenbereich: siehe Datenschutzerklärung (hier sind wir selbst verantwortlich).

Die Anwendung ist nicht speziell für die Bearbeitung besonders schützenswerter Personendaten ausgelegt. Je nach Freitexteingaben können solche Daten dennoch enthalten sein. Sie prüfen als Verantwortliche vor der Eingabe die Zulässigkeit, Erforderlichkeit und angemessene Schutzmassnahmen; wir wenden die vereinbarten technischen und organisatorischen Massnahmen an. Für Bearbeitungen mit erhöhtem Risiko sind vorab zusätzliche Massnahmen und gegebenenfalls eine Datenschutz-Folgenabschätzung zu prüfen.

3. Weisungen

Wir bearbeiten die Daten nur nach Ihren dokumentierten Weisungen. Ihre Weisungen erteilen Sie über die Einstellungen und Funktionen des Kundenbereichs; weitere Weisungen schriftlich oder per E-Mail. Wir dokumentieren sie. Ist eine Weisung nach unserer Auffassung rechtswidrig, teilen wir Ihnen das unverzüglich mit. Wir können die Ausführung einer mutmasslich rechtswidrigen Weisung bis zur Klärung aussetzen; eine Bestätigung allein verpflichtet uns nicht zur Ausführung einer rechtswidrigen Weisung. Gesetzliche Pflichten zur Bekanntgabe bleiben vorbehalten; wir informieren Sie darüber, soweit das Gesetz es erlaubt.

4. Vertraulichkeit

Personen mit Zugriff auf die Daten sind zur Verschwiegenheit verpflichtet. Zugriff auf Ihre Daten hat nur Hunkeler Digital Services und nur, soweit es für Betrieb, Support oder Fehlerbehebung nötig ist.

5. Sicherheit

Wir treffen die technischen und organisatorischen Massnahmen nach der Anlage Technische und organisatorische Massnahmen. Wir können sie weiterentwickeln, sofern das Schutzniveau nicht sinkt.

6. Unterauftragsbearbeiter

Sie genehmigen den Beizug dieser Unterauftragsbearbeiter:

• Server4You GmbH, Hanau (Deutschland): dedizierter Server im Rechenzentrum Strasbourg (Frankreich), Bereitstellung von Hardware, Strom, Netz und Rechenzentrum. Die Systemadministration liegt ausschliesslich bei uns; ein regulärer Zugriff von Server4You auf die Daten ist nicht vorgesehen. Ein Eingriff des Supports erfolgt nur auf unseren Auftrag bei einer Störung, kontrolliert, zeitlich begrenzt und protokolliert, mit anschliessendem Wechsel der Zugangsdaten. Deutschland und Frankreich gewährleisten einen angemessenen Datenschutz (Anhang 1 DSV). Mit Server4You besteht derzeit kein gesonderter Auftragsbearbeitungsvertrag. Der Abschluss einer ergänzenden vertraglichen Regelung zur Auftragsbearbeitung ist ausstehend. Bis dahin gelten die bestehenden Vertragsbedingungen für den Servermietvertrag; deren Eignung als Grundlage für eine Auftragsbearbeitung ist nicht abschliessend nachgewiesen. Die von uns beherrschbaren Sicherheitsmassnahmen nach Ziffer 5 treffen wir auf dem Server selbst. Diese Erklärung ersetzt keine gesetzlich erforderliche vertragliche Absicherung.

Weitere Unterauftragsbearbeiter verpflichten wir vertraglich auf Pflichten, die dieser Vereinbarung entsprechen. Neue oder ersetzte Unterauftragsbearbeiter teilen wir Ihnen mindestens 30 Tage im Voraus per E-Mail mit. Sie können innert dieser Frist aus wichtigem Grund widersprechen. Können wir dem Widerspruch nicht Rechnung tragen, können Sie den Vertrag auf den Wechsel hin kündigen; bereits bezahlte Beträge für die Zeit danach erstatten wir anteilig.

7. Unterstützung

• Rechte betroffener Personen: Mit den Funktionen des Dienstes können Sie Daten einsehen, berichtigen, exportieren und löschen. Erreicht uns ein Begehren direkt, leiten wir es Ihnen unverzüglich weiter.
• Verletzungen der Datensicherheit: Eine Verletzung in unserem Bereich melden wir Ihnen unverzüglich, sobald wir davon Kenntnis haben. Wir geben Ihnen die Angaben, die Sie für Ihre Meldung an den EDÖB oder eine Aufsichtsbehörde und für die Information betroffener Personen benötigen.
• Datenschutz-Folgenabschätzung und Konsultation: Wir stellen Ihnen die nötigen Angaben zu unserer Bearbeitung und unseren Massnahmen zur Verfügung.

Unterstützung, die über die Funktionen des Dienstes hinausgeht, können wir nach Aufwand verrechnen, sofern sie nicht auf einen Fehler unsererseits zurückgeht.

8. Nachweise und Kontrollen

Auf Anfrage stellen wir Ihnen geeignete Nachweise über die vereinbarten technischen und organisatorischen Massnahmen zur Verfügung, insbesondere die Anlage zu den Massnahmen. Betriebsinterne Unterlagen, Zugangsdaten und sicherheitsrelevante Konfigurationsdetails sind davon ausgenommen, soweit gleichwertige Nachweise bereitgestellt werden können. Kontrollen vor Ort durch Sie oder eine zur Verschwiegenheit verpflichtete Prüfperson sind nach Absprache mit angemessener Vorankündigung möglich, soweit die schriftlichen Nachweise nicht genügen. Die Kontrollen beschränken sich auf unseren Bereich; das Rechenzentrum des Hostingdienstleisters ist nicht eingeschlossen.

9. Rückgabe und Löschung

Während des Vertrags und während 30 Tagen nach Vertragsende können Sie alle Daten Ihrer Organisation im Kundenbereich exportieren. Danach löschen wir sie automatisch, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien bewahren wir verschlüsselt auf einem vom Produktionssystem getrennten, eigenen Rechner in der Schweiz längstens sechs Monate auf und verwenden sie nur für eine Wiederherstellung. Auf Anfrage bestätigen wir die Löschung schriftlich.

Restrisiko bei einer Wiederherstellung. Wird der Dienst aus einer Sicherung wiederhergestellt, führt der tägliche Löschlauf Löschungen erneut aus, deren Voraussetzungen aus den wiederhergestellten Daten erkennbar sind (z. B. abgelaufene Fristen). Daten von Organisationen und Konten, die nach dem Sicherungszeitpunkt vollständig gelöscht wurden, können dagegen wieder erscheinen. Werden bei einer Wiederherstellung personenbezogene Daten erneut verfügbar, die zuvor gelöscht wurden, unterstützt der Auftragsbearbeiter den Verantwortlichen bei der erneuten Löschung. Eine Benachrichtigung erfolgt, soweit sie gesetzlich erforderlich ist oder eine vertraglich vereinbarte Informationspflicht besteht.