Auftragsverarbeitungsvertrag

1.1Der Auftraggeber (Verantwortlicher) beauftragt den Auftragnehmer (Auftragsverarbeiter) mit der Verarbeitung personenbezogener Daten nach Artikel 28 der Verordnung (EU) 2016/679 (DSGVO). Auftragnehmer ist Seriax - Jacobs, Einzelunternehmen, Inhaber Luca Jacobs, Flurstrasse 7, 6014 Luzern, Schweiz, Betreiber des Dienstes Seriax.

1.2Gegenstand ist der Betrieb von Seriax: ein Werkzeug zur Vorbereitung der Meldungen nach Artikel 14 der Verordnung (EU) 2024/2847 und zur Führung der Nachweise nach der Verordnung (EU) 2023/1230.

1.3Der Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit dessen Beendigung und den in Nummer 8 geregelten Pflichten zur Rückgabe und Löschung.

2.1Verarbeitet werden Kontaktdaten der Beschäftigten des Auftraggebers (Name, dienstliche E-Mail-Adresse, dienstliche Telefonnummer, Rolle), Anmeldedaten (E-Mail-Adresse, Passwort ausschliesslich als Hash, zweiter Faktor), Protokolldaten über Handlungen im System (Zeitpunkt, handelnde Person, Vorgang) sowie Kontaktdaten der Betreiber ausgelieferter Maschinen, soweit der Auftraggeber sie einpflegt (Firma, Anschrift, Land, Ansprechpartner).

2.2Betroffene sind die Beschäftigten des Auftraggebers, die das System nutzen, sowie Ansprechpartner bei dessen Kunden, soweit sie für die Unterrichtung nach Artikel 14(8) der Verordnung (EU) 2024/2847 erfasst sind.

2.3Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO werden nicht verarbeitet. Der Auftraggeber trägt dafür Sorge, keine solchen Daten einzupflegen.

3.1Der Auftragnehmer verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Die Nutzung des Dienstes gemäss Hauptvertrag gilt als Weisung. Weitergehende Weisungen erfolgen in Textform an anfragen@seriax.eu.

3.2Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstösst. Er darf die Ausführung bis zur Klärung aussetzen.

3.3Ein Zugriff des Auftragnehmers auf Daten des Auftraggebers erfolgt ausschliesslich zur Fehlerbehebung und nur auf Anforderung des Auftraggebers. Jeder solche Zugriff wird im Protokoll des Auftraggebers festgehalten und ist für ihn einsehbar.

4.1Der Auftragnehmer verarbeitet die Daten allein. Es bestehen keine weiteren zur Verarbeitung befugten Personen. Werden künftig Personen hinzugezogen, verpflichtet der Auftragnehmer sie zuvor schriftlich zur Vertraulichkeit und unterrichtet den Auftraggeber nach Nummer 6.

4.2Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung des Vertrags fort.

5.1Verschlüsselung der Übertragung: Alle Verbindungen laufen über TLS. Ohne Verschlüsselung ist der Dienst nicht erreichbar (HSTS mit einer Geltung von zwei Jahren, einschliesslich Unterdomains).

5.2Trennung der Mandanten: Jeder Auftraggeber hat eine eigene Kennung, die bei jeder Datenbankabfrage geprüft wird. Die Trennung ist durch automatisierte Tests gegen eine echte Datenbank abgesichert, darunter Tests, die gezielt versuchen, über die Mandantengrenze hinweg zu lesen und zu schreiben.

5.3Passwörter: Es werden ausschliesslich Hashwerte mit Zufallswert (Salt) gespeichert; Klartextpasswörter werden weder gespeichert noch protokolliert. Ein zweiter Faktor nach RFC 6238 ist verfügbar und lässt sich für den Mandanten verbindlich vorschreiben.

5.4Protokollierung: Jede Handlung wird mit Zeitpunkt, handelnder Person und Einzelheiten festgehalten. Die Einträge sind zu einer Kette verbunden; eine nachträgliche Änderung bricht die Kette und ist damit erkennbar. Die Unversehrtheit wird täglich automatisch nachgerechnet und ein Bruch als Störung ausgewiesen.

5.5Sicherung: Es entsteht täglich ein vollständiger Stand der Datenbank; 14 Stände werden vorgehalten. Das Zurückspielen ist erprobt, einschliesslich der Prüfung, ob die Protokollkette den Vorgang unversehrt übersteht.

5.6Zugriffsschutz: Die Datenbank ist von aussen nicht erreichbar. Betriebswege, die keinen Nutzer voraussetzen, sind durch ein eigenes Geheimnis geschützt und verweigern bei dessen Fehlen den Dienst, statt still weiterzulaufen.

5.7Übertragbarkeit: Der Auftraggeber kann jederzeit und ohne Anfrage ein vollständiges Paket seiner Daten als CSV und JSON abrufen. Ihm liegt ein eigenständiges Programm bei, mit dem sich die Unversehrtheit des Protokolls ohne Internetverbindung und ohne Mitwirkung des Auftragnehmers nachrechnen lässt.

6.1Der Auftraggeber stimmt der Beauftragung der in der Anlage genannten Unterauftragsverarbeiter zu. Der Auftragnehmer hat mit jedem von ihnen einen Vertrag geschlossen, der die Pflichten aus diesem Vertrag im Wesentlichen abbildet.

6.2Ein Wechsel oder eine Ergänzung wird dem Auftraggeber mindestens 30 Tage vorher in Textform mitgeteilt. Der Auftraggeber kann innerhalb dieser Frist widersprechen; im Fall eines Widerspruchs kann jede Seite den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

6.3Eine Übermittlung in ein Drittland findet für den regulären Betrieb nicht statt. Alle in der Anlage genannten Verarbeitungen erfolgen innerhalb der Europäischen Union oder in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht.

7.1Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen nach den Artikeln 15 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er sie an den Auftraggeber weiter und unterrichtet diesen.

7.2Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, über eine Verletzung des Schutzes personenbezogener Daten. Die Mitteilung enthält die Art der Verletzung, die betroffenen Datenkategorien, die ergriffenen Massnahmen und, soweit bekannt, den Umfang.

7.3Der Auftragnehmer unterstützt den Auftraggeber bei der Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, soweit ihm die dafür erforderlichen Angaben vorliegen.

8.1Nach Beendigung des Hauptvertrags bleiben die Daten 90 Tage abrufbar. Der Auftraggeber kann in dieser Zeit jederzeit das vollständige Übergabepaket abrufen.

8.2Gelöscht wird erst, wenn die Herausgabe des Übergabepakets nachweislich erfolgt ist. Auf Anforderung des Auftraggebers erfolgt die Löschung früher; sie wird im Protokoll festgehalten.

8.3Der Auftraggeber trägt seine eigenen Aufbewahrungspflichten nach der Verordnung (EU) 2024/2847 und der Verordnung (EU) 2023/1230. Der Auftragnehmer bewahrt Daten nicht deshalb länger auf, weil der Auftraggeber einer Aufbewahrungspflicht unterliegt.

9.1Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Angaben zur Verfügung, die dieser zum Nachweis der Einhaltung benötigt, und ermöglicht Überprüfungen einschliesslich Inspektionen.

9.2Über den aktuellen Betriebszustand und über offene Störungen erteilt der Auftragnehmer auf Anfrage Auskunft. Eine Störung, die den Auftraggeber betrifft, teilt er von sich aus mit.

9.3Der Auftragnehmer führt keine Zertifizierung. Nachweisbar sind die Protokollkette, die sich unabhängig nachrechnen lässt, und die dokumentierte Ernstfallprobe mit Messwerten.