Stand: November 2026
Vereinbarung zur Auftragsbearbeitung (ADV)
nach Art. 9 DSG und Art. 28 DSGVO für die Plattform datenschutzkonform.ch (DSMS+, VMS+, ISMS+)
Parteien
Diese Vereinbarung zur Auftragsbearbeitung (nachfolgend «ADV») wird geschlossen zwischen:
dem Kunden gemäss Nutzungsvertrag bzw. Kundenkonto
_________________________________________________
(Firma, Adresse; nachfolgend «Verantwortlicher»)
und
binary shift GmbH
Gönhardweg 26, 5000 Aarau, Schweiz
UID: CHE-303.852.283
(nachfolgend «Auftragsbearbeiterin»)
Sie konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über die Plattform datenschutzkonform.ch mit den Modulen DSMS+ (Datenschutz-Managementsystem), VMS+ (Vertragsmanagement) und ISMS+ (Informationssicherheits-Managementsystem) (nachfolgend «Plattform»).
1. Gegenstand und Dauer
Die Auftragsbearbeiterin bearbeitet im Rahmen der Bereitstellung der Plattform Personendaten im Auftrag und auf Weisung des Verantwortlichen im Sinne von Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, Art. 28 der EU-Datenschutz-Grundverordnung (DSGVO).
Die Dauer dieser ADV entspricht der Laufzeit des Nutzungsvertrags. Die Pflichten zur Löschung und Rückgabe (Ziffer 11) bestehen über das Vertragsende hinaus.
2. Art und Zweck der Bearbeitung
Die Bearbeitung umfasst das Hosting, die Speicherung, die Anzeige, die Auswertung und die Sicherung der vom Verantwortlichen und seinen Benutzern in der Plattform erfassten Daten sowie den Versand von System- und Erinnerungs-E-Mails und die Verarbeitung von Eingaben durch den optionalen KI-Assistenten, jeweils soweit der Verantwortliche diese Funktionen aktiviert hat.
Zweck der Bearbeitung ist ausschliesslich die Erbringung der vertraglich vereinbarten Leistungen (Betrieb der Module DSMS+, VMS+ und ISMS+ inklusive Support). Eine Bearbeitung zu eigenen Zwecken der Auftragsbearbeiterin findet nicht statt.
3. Kategorien betroffener Personen
- Benutzerinnen und Benutzer der Plattform (Mitarbeitende des Verantwortlichen)
- Personen, deren Daten der Verantwortliche in den Modulen erfasst, insbesondere: Mitarbeitende, Kundinnen und Kunden, Interessenten, Lieferanten und weitere Vertragspartner, Ansprechpersonen von Auftragsbearbeitern, von Datenschutzvorfällen betroffene Personen sowie Personen, die Betroffenenanfragen stellen
4. Kategorien von Personendaten
- Stamm- und Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Funktion, Firma)
- Benutzerkonto- und Authentifizierungsdaten (E-Mail, Passwort-Hash, Zwei-Faktor-Daten)
- Vertrags- und Compliance-Daten, die der Verantwortliche in den Modulen erfasst (z. B. Bearbeitungsverzeichnis, Verträge und Fristen, Vorfalls- und Anfragedokumentation, Audit- und Massnahmendaten)
- Protokoll- und Nutzungsdaten (Zeitstempel, technische Logdaten)
Besonders schützenswerte Personendaten bzw. besondere Kategorien personenbezogener Daten werden nur bearbeitet, soweit der Verantwortliche solche Daten in der Plattform erfasst. Der Verantwortliche stellt sicher, dass er hierfür über eine ausreichende Rechtsgrundlage verfügt.
5. Weisungen
Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen, es sei denn, sie ist gesetzlich zu einer anderen Bearbeitung verpflichtet; in diesem Fall informiert sie den Verantwortlichen vor der Bearbeitung, sofern das Gesetz dies nicht verbietet.
Die Nutzung der Funktionen der Plattform durch den Verantwortlichen und seine Benutzer gilt als Weisung. Zusätzliche Weisungen bedürfen der Textform. Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, informiert sie den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.
6. Vertraulichkeit
Die Auftragsbearbeiterin stellt sicher, dass sich alle mit der Bearbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung der jeweiligen Tätigkeit fort.
7. Technische und organisatorische Massnahmen (TOM)
Die Auftragsbearbeiterin trifft die in Anhang A beschriebenen technischen und organisatorischen Massnahmen zur Gewährleistung der Datensicherheit und passt diese laufend an den Stand der Technik an. Massnahmen dürfen durch gleichwertige oder bessere Massnahmen ersetzt werden; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden.
8. Subunternehmer (Unterauftragsbearbeiter)
Der Verantwortliche erteilt die allgemeine Genehmigung zum Beizug der in Anhang B aufgeführten Subunternehmer.
Die Auftragsbearbeiterin informiert den Verantwortlichen über beabsichtigte Änderungen (Beizug neuer oder Ersetzung bestehender Subunternehmer), in der Regel durch Aktualisierung der Liste in Anhang B und einen Hinweis in den Release Notes der Plattform. Der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen innert 30 Tagen widersprechen; können sich die Parteien nicht einigen, steht beiden Parteien ein ausserordentliches Kündigungsrecht des Nutzungsvertrags zu.
Die Auftragsbearbeiterin überbindet ihren Subunternehmern datenschutzrechtliche Pflichten, die den Pflichten aus dieser ADV im Wesentlichen entsprechen, und bleibt für deren Leistungen verantwortlich. Bei Bekanntgaben ins Ausland stellt sie einen angemessenen Datenschutz sicher, insbesondere durch Standardvertragsklauseln oder gleichwertige Garantien (Art. 16 f. DSG, Art. 44 ff. DSGVO).
9. Unterstützung des Verantwortlichen
Die Auftragsbearbeiterin unterstützt den Verantwortlichen im Rahmen des Zumutbaren und unter Berücksichtigung der Art der Bearbeitung:
- bei der Beantwortung von Begehren betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe); die Plattform stellt hierfür Export- und Bearbeitungsfunktionen bereit
- bei der Einhaltung der Pflichten zur Datensicherheit, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde
- bei der Erfüllung von Melde- und Dokumentationspflichten
Die Unterstützung erfolgt in erster Linie über die Funktionen der Plattform. Darüber hinausgehende individuelle Aufwände kann die Auftragsbearbeiterin nach vorheriger Ankündigung zu den üblichen Stundensätzen verrechnen.
10. Meldung von Verletzungen der Datensicherheit
Die Auftragsbearbeiterin meldet dem Verantwortlichen Verletzungen der Datensicherheit, die Personendaten des Verantwortlichen betreffen, ohne unnötigen Verzug, im Regelfall innert 72 Stunden nach Kenntnisnahme, per E-Mail an die im Kundenkonto hinterlegte Adresse. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt: die Art der Verletzung, die betroffenen Datenkategorien und Personen(-kategorien), die voraussichtlichen Folgen sowie die ergriffenen und vorgeschlagenen Massnahmen.
Noch nicht verfügbare Informationen werden nachgereicht. Die Meldung an die zuständige Aufsichtsbehörde und an betroffene Personen obliegt dem Verantwortlichen.
11. Löschung und Rückgabe
Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit über die Exportfunktionen der Plattform herausgeben lassen bzw. selbst exportieren.
Nach Beendigung des Nutzungsvertrags löscht die Auftragsbearbeiterin die Personendaten des Verantwortlichen innert 90 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Verantwortliche ist dafür verantwortlich, seine Daten vor Vertragsende zu exportieren. Daten in Sicherungskopien werden im Rahmen der regulären Backup-Rotation automatisch überschrieben und bis dahin nicht aktiv bearbeitet.
12. Nachweise und Kontrollen
Die Auftragsbearbeiterin stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieser ADV erforderlichen Informationen zur Verfügung, insbesondere Beschreibungen der TOM sowie vorhandene Zertifizierungen und Prüfberichte der eingesetzten Cloud-Infrastruktur (u. a. ISO/IEC 27001).
Überprüfungen erfolgen in erster Linie anhand dieser Unterlagen sowie durch schriftliche Auskünfte (Fragebogen). Nur wenn diese Nachweise nachweislich nicht ausreichen oder ein konkreter Anlass besteht, kann der Verantwortliche höchstens einmal jährlich eine weitergehende Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Solche Überprüfungen sind mindestens 30 Tage im Voraus anzukündigen, während der üblichen Bürozeiten durchzuführen, auf das Notwendige zu beschränken und dürfen den Geschäftsbetrieb der Auftragsbearbeiterin nicht unverhältnismässig stören. Da die Auftragsbearbeiterin über keine eigenen Rechenzentren verfügt, beschränken sich Kontrollen vor Ort auf ihre organisatorischen Massnahmen; für die Cloud-Infrastruktur gelten die Prüfberichte des Subunternehmers. Die Kosten der Überprüfung, einschliesslich des Aufwands der Auftragsbearbeiterin, trägt der Verantwortliche, sofern die Überprüfung keine wesentlichen Verstösse ergibt.
13. Haftung und Schlussbestimmungen
Die Haftung der Parteien richtet sich nach dem Nutzungsvertrag und den AGB der Auftragsbearbeiterin.
Änderungen und Ergänzungen dieser ADV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt schweizerisches Recht; Gerichtsstand ist Aarau, Schweiz.
Unterschriften
Der Verantwortliche (Kunde)
Die Auftragsbearbeiterin (binary shift GmbH)
Anhang A: Technische und organisatorische Massnahmen
Die Plattform wird vollständig auf der Cloud-Infrastruktur von Google (Firebase / Google Cloud) betrieben, primär in der Region Zürich (europe-west6). Die Auftragsbearbeiterin betreibt keine eigenen Server oder Rechenzentren. Die Massnahmen verteilen sich deshalb auf die Infrastrukturebene (verantwortet durch Google, nachgewiesen durch dessen Zertifizierungen und Prüfberichte) und auf die Plattform- und Organisationsebene (verantwortet durch die Auftragsbearbeiterin). Die Massnahmen orientieren sich an Art. 8 DSG, Art. 3 DSV und Art. 32 DSGVO.
A.1 Vertraulichkeit
- Zutrittskontrolle: Physischer Zutritt zu den Rechenzentren ausschliesslich durch Google (Zertifizierungen u. a. ISO/IEC 27001, 27017, 27018, SOC 1/2/3). Die Auftragsbearbeiterin verfügt über keine Serverräume; ihre Arbeitsgeräte sind verschlüsselt, passwortgeschützt und mit automatischer Sperre versehen.
- Zugangskontrolle: Zugang zur Plattform nur mit persönlichem Benutzerkonto; Anmeldung über Firebase Authentication mit sicher gehashten Passwörtern (kein Klartext). Zwei-Faktor-Authentifizierung (zeitbasierte Einmalcodes) für alle Benutzer verfügbar und für einzelne Konten durch die Auftragsbearbeiterin verpflichtend setzbar. Automatische Abmeldung nach 4 Stunden Inaktivität. Öffentliche Schnittstellen (z. B. Schulungs- und Signatur-Links) sind durch Einmal-Token und Ratenbegrenzung geschützt.
- Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (Firmen-Administrator, Mitglied, Nur-Lesen). Strikte logische Mandantentrennung: Datenbank- und Dateizugriffe werden serverseitig durch Sicherheitsregeln ausschliesslich Mitgliedern der jeweiligen Firma erlaubt; diese Regeln werden vor jedem Deployment automatisiert getestet. Administrative Zugriffe der Auftragsbearbeiterin auf Kundendaten sind auf das für Support und Betrieb erforderliche Minimum beschränkt und erfolgen nur mit persönlichen, durch Zwei-Faktor gesicherten Konten; Dienstkonten für Deployments haben Minimalrechte.
- Trennungskontrolle: Getrennte Cloud-Projekte für Test und Produktion; keine Kundendaten in der Testumgebung. Kundendaten sind pro Firma logisch getrennt gespeichert.
- Verschlüsselung: Sämtliche Verbindungen sind mit TLS verschlüsselt (HTTP Strict Transport Security). Gespeicherte Daten und Sicherungen sind serverseitig verschlüsselt (AES-256, Encryption at Rest).
A.2 Integrität
- Weitergabekontrolle: Datenübertragung ausschliesslich verschlüsselt; Schutz der Anwendung durch Sicherheits-Header (Content Security Policy, Klickjacking-Schutz, Referrer-Policy, MIME-Sniffing-Schutz). E-Mail-Versand über den in Anhang B genannten Versanddienst mit Transportverschlüsselung. Exporte (PDF, CSV) nur für angemeldete, berechtigte Benutzer.
- Eingabekontrolle: Änderungen sind nur angemeldeten, berechtigten Benutzern möglich und tragen einen Zeitstempel. Anmeldevorgänge und Aufrufe der Serverfunktionen werden durch Google Cloud Logging protokolliert. Ein feldgenaues Änderungsprotokoll pro Datensatz besteht nicht.
- Änderungsmanagement: Quellcode in versionierter Verwaltung; jedes Deployment durchläuft ein Qualitäts-Gate mit automatisierten Tests der App, der Serverfunktionen und der Zugriffsregeln. Verwendete Softwarebibliotheken werden im Rahmen der Sicherheitsüberprüfungen auf bekannte Schwachstellen geprüft und aktualisiert. Änderungen werden in den Release Notes der Plattform dokumentiert.
A.3 Verfügbarkeit und Belastbarkeit
- Infrastruktur: Redundante, über mehrere Zonen verteilte Datenbank in der Region Zürich; Auslieferung der Anwendung über ein globales Content Delivery Network mit DDoS-Schutz durch Google.
- Datensicherung: Automatisierte tägliche und wöchentliche Sicherungen der Produktionsdatenbank innerhalb der Google-Cloud-Infrastruktur (Aufbewahrung 14 Wochen) sowie Point-in-Time-Recovery für die letzten 7 Tage. Die Sicherungen dienen der Wiederherstellung des Plattformbetriebs im Störungs- oder Katastrophenfall; Grenzen gemäss SLA Ziffer 7.
- Wiederherstellbarkeit: Die Anwendung kann aus dem versionierten Quellcode über die automatisierte Deployment-Pipeline jederzeit neu bereitgestellt werden; die Datenbank ist aus den Sicherungen wiederherstellbar.
- Überwachung: Protokollierung und Überwachung der Cloud-Ressourcen über Google Cloud Logging und Monitoring.
- Datenportabilität: Der Verantwortliche kann seine Inhalte modulweise über die Exportfunktionen der Plattform (CSV, PDF) sichern.
A.4 Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung
- Sicherheitsüberprüfungen: Periodische Sicherheitsüberprüfungen der Plattform (Zugriffsregeln, Schnittstellen, Softwarebibliotheken), mindestens bei grösseren Releases, mit Behebung der Feststellungen; automatisierte Tests der Zugriffsregeln bei jedem Deployment.
- Vorfallmanagement: Sicherheitsvorfälle werden durch die Geschäftsleitung der Auftragsbearbeiterin behandelt (Eindämmen, Beheben, Meldung an den Verantwortlichen nach Ziffer 10 dieser ADV, Nachbearbeitung). Hinweise auf Schwachstellen können jederzeit an info@datenschutzkonform.ch gemeldet werden.
- Subunternehmer: Auswahl nach Datenschutz- und Sicherheitskriterien; vertragliche Bindung über die Auftragsbearbeitungsbedingungen der Anbieter; Liste in Anhang B.
- Personal: Vertraulichkeitsverpflichtung aller Mitarbeitenden; Sensibilisierung für Datenschutz und Informationssicherheit; sofortiger Entzug sämtlicher Zugänge bei Austritt.
- Auftragskontrolle: Bearbeitung ausschliesslich im Rahmen dieser ADV und der Weisungen des Verantwortlichen (Ziffer 5); keine Bearbeitung zu eigenen Zwecken.
Anhang B: Genehmigte Subunternehmer
- Google Cloud EMEA Limited, Dublin, Irland (Konzernobergesellschaft: Google LLC, USA): Cloud-Infrastruktur (Google Firebase: Hosting, Datenbank, Authentifizierung, Dateispeicher, Serverfunktionen) sowie KI-Sprachmodell für den optionalen KI-Assistenten «Sommervogel» (Google Gemini über Vertex AI, Verarbeitung in der EU-Multi-Region; Eingaben werden gemäss den Google-Cloud-Vertragsbedingungen nicht zum Training der Modelle verwendet; nur aktiv, wenn der Verantwortliche den Assistenten eingeschaltet hat). Datenhaltung der Plattform primär in der Region Zürich (europe-west6). Garantien für Übermittlungen in Drittländer: EU-Standardvertragsklauseln bzw. Swiss-US Data Privacy Framework.
- Mailjet SAS, Paris, Frankreich (Sinch-Gruppe; Konzernobergesellschaft: Sinch AB, Schweden): E-Mail-Versanddienst ab 1. Januar 2027 (Versand von System-, Einladungs- und Erinnerungs-E-Mails, sofern vom Verantwortlichen aktiviert bzw. durch dessen Nutzung ausgelöst). Datenhaltung in der EU (Deutschland und Belgien). Garantie, soweit Konzerngesellschaften oder Unterauftragnehmer des Anbieters in den USA Zugriff erhalten (insbesondere im Support): EU-Standardvertragsklauseln.
- Resend, Inc., San Francisco, USA: E-Mail-Versanddienst bis zur Umstellung auf Mailjet, längstens bis 31. Dezember 2026 (Versand von System-, Einladungs- und Erinnerungs-E-Mails, sofern vom Verantwortlichen aktiviert bzw. durch dessen Nutzung ausgelöst). Garantie für Übermittlungen in Drittländer: Swiss-US Data Privacy Framework.
- Anthropic, PBC, San Francisco, USA: KI-gestützte Werkzeuge für Software-Entwicklung, Code-Erstellung und Fehleranalyse. Bearbeitet werden grundsätzlich Quellcode und technische Daten der Plattform; Personendaten des Verantwortlichen werden nicht planmässig übermittelt und nur, soweit sie ausnahmsweise in Fehlerberichten enthalten sind. Garantie für Übermittlungen in Drittländer: EU-Standardvertragsklauseln.
- Trello (Atlassian, Inc., San Francisco, USA): Aufgaben- und Projektverwaltung der Auftragsbearbeiterin (Support-, Entwicklungs- und Betriebsaufgaben). Personendaten nur, soweit sie in Support- oder Änderungsanfragen enthalten sind. Garantie für Übermittlungen in Drittländer: Swiss-US Data Privacy Framework.
- Proton AG, Genf, Schweiz: E-Mail, Kalender und Cloud-Speicher der Auftragsbearbeiterin (Geschäftskorrespondenz mit dem Verantwortlichen, Ablage von Vertrags- und Supportunterlagen). Datenhaltung in der Schweiz; keine Bekanntgabe ins Ausland.
Die jeweils aktuelle Liste der Subunternehmer kann bei der Auftragsbearbeiterin unter info@datenschutzkonform.ch angefordert werden.