Auftragsbearbeitungsvertrag (AVV)

1. Gegenstand

Dieser Auftragsbearbeitungsvertrag (AVV) regelt die Bearbeitung von Personendaten durch Elevate Page (Vincent Schmid, nachfolgend «Anbieter») als Auftragsbearbeiter im Auftrag des Kunden als Verantwortlichem im Sinne von Art. 9 des schweizerischen Datenschutzgesetzes (DSG). Er ist Bestandteil der Allgemeinen Geschäftsbedingungen.

Der AVV gilt für alle Personendaten, die der Kunde in Elevate Page erfasst oder die über seine Websites eingehen, soweit der Anbieter dabei weisungsgebunden handelt.

2. Art und Zweck der Bearbeitung

Der Anbieter bearbeitet Personendaten, um die Plattform bereitzustellen, die Websites des Kunden zu hosten, zu pflegen und abzusichern sowie die vom Kunden genutzten Funktionen auszuführen.

Betroffen sind insbesondere:

• Inhalte der Websites des Kunden (Texte, Bilder, Kontaktangaben)
• Anfragen über Kontaktformulare (z. B. Name, E-Mail-Adresse, Telefonnummer, Nachricht)
• Termine, Kursanmeldungen und Wartelisten (z. B. Name, Kontaktdaten, gebuchte Leistung, Bemerkung)
• Bestellungen im Online-Shop (z. B. Name, Liefer- und Rechnungsadresse, E-Mail-Adresse, bestellte Produkte, Zahlungsstatus)
• Besucherstatistik der Websites (ohne IP-Adressen und ohne Cookies)

Betroffene Personen sind die Besucherinnen und Besucher der Websites des Kunden, seine Kundinnen und Kunden sowie seine Mitarbeitenden.

3. Weisungen des Kunden

Der Anbieter bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Kunden, soweit nicht zwingende gesetzliche Vorschriften eine andere Bearbeitung erfordern. Als Weisung gelten insbesondere die Einstellungen und Aktionen des Kunden in der Plattform.

Der Kunde ist dafür verantwortlich, dass er zur Bearbeitung der betreffenden Daten berechtigt ist, dass die Bearbeitung auf seine Weisung rechtlich zulässig bleibt und dass er die betroffenen Personen in der Datenschutzerklärung seiner Website informiert.

4. Technische und organisatorische Massnahmen

Der Anbieter setzt angemessene technische und organisatorische Massnahmen ein, um die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen (Art. 8 DSG).

Dazu zählen insbesondere Zugriffskontrollen und ein Berechtigungskonzept, die Protokollierung sicherheitsrelevanter Vorgänge, die verschlüsselte Übertragung (TLS), die Speicherung von Passwörtern als sicherer Hash, der Betrieb der Server in der Schweiz sowie regelmässige Datensicherungen.

5. Unterauftragsbearbeiter

Der Anbieter darf für den Betrieb der Plattform geeignete Unterauftragsbearbeiter einsetzen, soweit diese denselben Datenschutzpflichten unterliegen und die Weitergabe der Daten für die Leistungserbringung erforderlich ist. Derzeit sind dies:

• Hosting: Server in einem Rechenzentrum in der Schweiz
• E-Mail-Versand: Infomaniak Network SA, Genf (Schweiz)

Nutzt der Kunde optionale Funktionen wie Kartenzahlungen (Stripe) oder die automatische Übersetzung (DeepL), werden die dafür nötigen Daten an diese Anbieter übermittelt; Einzelheiten stehen in der Datenschutzerklärung. Über geplante Änderungen bei den Unterauftragsbearbeitern informiert der Anbieter den Kunden vorgängig.

6. Rechte der betroffenen Personen

Der Kunde bleibt für die Rechte der betroffenen Personen verantwortlich. Der Anbieter unterstützt den Kunden im Rahmen der technischen Möglichkeiten bei Auskunfts-, Berichtigungs-, Lösch- und Herausgabeersuchen. Viele Daten kann der Kunde direkt in der Plattform einsehen, exportieren und löschen.

7. Meldung von Verletzungen der Datensicherheit

Der Anbieter informiert den Kunden unverzüglich, wenn ihm eine Verletzung der Datensicherheit bekannt wird, die Personendaten des Kunden betrifft, und unterstützt ihn bei allfälligen Meldepflichten (Art. 24 DSG).

8. Beendigung

Nach Beendigung der Vertragsbeziehung löscht der Anbieter die Personendaten des Kunden oder gibt sie gemäss den Weisungen des Kunden zurück, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Löscht der Kunde sein Konto selbst, werden die Daten sofort gelöscht; in Sicherungskopien sind sie noch höchstens 30 Tage vorhanden.