Auftragsdatenbearbeitungsvertrag (ADV)

2.1. Dieser Vertrag (die „ADV") regelt die Rechte und Pflichten der Staffapp AG als Auftragsbearbeiterin und der Kundinnen und Kunden (nachfolgend «Kundinnen») als Verantwortlichen, soweit Staffapp AG (gemeinsam die „Parteien") im Zusammenhang mit der Software Personendaten im Auftrag der Kundinnen bearbeitet. Diese ADV ist Bestandteil der AGB von Staffapp und geht diesen im Widerspruchsfall vor.

2.2. Diese ADV ist für alle Tätigkeiten anwendbar, bei denen Staffapp als Auftragsbearbeiterin ganz oder teilweise Personendaten im Auftrag von Kundinnen bearbeitet oder bearbeiten lässt.

2.3. Staffapp bearbeitet Personendaten gemäss den sonstigen vertraglichen Vereinbarungen zwischen den Parteien und dieser ADV. Diese ADV kommt mit dem Abschluss einer Vereinbarung zustande, die sie einbezieht, und dauert bis zur Kündigung der ADV oder der letzten vertraglichen Vereinbarung zwischen den Parteien, die eine Auftragsbearbeitung betrifft.

3.1. Die Bearbeitung umfasst jeden Umgang mit Personendaten im Auftrag der Kundin, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Archivieren, Aufbewahren, Bekanntgeben, Beschaffen, Umarbeiten, Vernichten und Verwenden von Personendaten.

3.2. Die Bearbeitung betrifft insbesondere die folgenden Kategorien von Daten: Kommunikationsdaten, Kontaktdaten, Stammdaten der erfassten Personen, Nutzungsdaten, Protokolldaten.

3.3. Die Bearbeitung betrifft insbesondere die folgenden Kategorien von betroffenen Personen: Mitarbeitende und weitere von den Kundinnen in der Applikation erfasste Personen.

4.1. Staffapp bearbeitet Personendaten ausschliesslich wie vertraglich vereinbart oder von Kundinnen angeordnet, es sei denn, Staffapp ist gesetzlich zu einer bestimmten Bearbeitung verpflichtet. In diesem Fall informiert Staffapp die Kundinnen vor der Bearbeitung über die betreffende rechtliche Anforderung, soweit das anwendbare Recht eine solche Mitteilung nicht verbietet. Staffapp verwendet darüber hinaus die zur Bearbeitung überlassenen Daten für keine anderen Zwecke, insbesondere nicht für eigene Zwecke. Im Rahmen des Auftrags bearbeitete Daten wird Staffapp nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung der Kundinnen berichtigen, löschen oder sperren. Staffapp ist nicht verpflichtet, Weisungen der Kundinnen auf die Einhaltung rechtlicher Vorgaben zu prüfen, teilt den Kundinnen aber unverzüglich mit, wenn Staffapp eine Weisung der Kundinnen für datenschutzrechtswidrig hält. Staffapp ist berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung durch die Kundinnen auszusetzen.

4.2. Vorbehalten bleibt eine Anonymisierung von Personendaten einschliesslich einer Aggregation von Randdaten und die Verwendung solcher anonymer Daten, die zulässig bleibt, solange solche Daten keinen Rückschluss auf betroffene Personen zulassen.

4.3. Staffapp verpflichtet sich, die Vertraulichkeit der im Auftrag bearbeiteten Personendaten zu wahren.

4.4. Staffapp sichert zu, dass die bei ihr zur Bearbeitung eingesetzten Personen vor Beginn der Bearbeitung mit den einschlägigen datenschutzrechtlichen Vorschriften und mit den relevanten Bestimmungen dieses Vertrags bekannt gemacht wurden. Staffapp trägt dafür Sorge, dass zur Auftragsbearbeitung eingesetzte Personen hinsichtlich der Erfüllung der einschlägigen datenschutzrechtlichen Vorschriften angemessen angeleitet und überwacht werden. Personen, die Kenntnis von den im Auftrag bearbeiteten Daten erhalten können, haben sich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

4.5. Im Zusammenhang mit der Auftragsbearbeitung hat Staffapp die Kundinnen bei Pflege eines allfälligen Bearbeitungsverzeichnisses sowie bei Durchführung von allfälligen Datenschutz-Folgenabschätzungen im benötigten Umfang zu unterstützen.

4.6. Werden Kundinnen durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen gegenüber Kundinnen Rechte geltend, verpflichtet sich Staffapp, die Kundinnen im benötigten Umfang zu unterstützen, soweit die Bearbeitung im Auftrag betroffen ist.

4.7. Auskünfte an Dritte oder betroffene Personen darf Staffapp nur nach vorheriger Weisung der Kundinnen erteilen. Direkt an Staffapp gerichtete Anfragen im Zusammenhang mit der Auftragsbearbeitung wird Staffapp unverzüglich an die Kundinnen weiterleiten.

4.8. Staffapp hat intern eine Person als Datenschutzverantwortliche:n bestimmt, die als Anlaufstelle für datenschutzrechtliche Fragen dient.

4.9. Die Auftragsbearbeitung erfolgt grundsätzlich in der Schweiz, im Europäischen Wirtschaftsraum (EWR) oder in Staaten, deren Datenschutzrecht nach den Bestimmungen der Datenschutzverordnung einen angemessenen Datenschutz gewährleistet. Eine Übermittlung von im Auftrag der Kundinnen bearbeiteten Personendaten in andere Staaten darf nur mit Zustimmung der Kundinnen (einschliesslich der Zustimmung zum Beizug von Unterauftragnehmern in einem anderen Staat nach Ziff. 6.2) sowie unter den Bedingungen des DSG und unter Einhaltung dieses Vertrags erfolgen.

5.1. Staffapp stellt durch geeignete technische und organisatorische Massnahmen (TOM) den angemessenen Schutz der im Auftrag bearbeiteten Personendaten sicher, mindestens durch die in der entsprechenden Liste von Staffapp genannten Massnahmen, die die Kundinnen durch Auftragserteilung als für den Schutz der Betroffenen angemessen anerkennen. Die jeweils aktuelle Fassung dieser Liste ist unter www.staffapp.ch/tom veröffentlicht und ist Bestandteil dieses Vertrags. Staffapp ist berechtigt, die TOM anzupassen, sofern das Schutzniveau für die bearbeiten Personendaten dadurch nicht reduziert wird. Wesentliche Änderungen werden den Kundinnen vorgängig mitgeteilt.

5.2. Staffapp führt geeignete Nachweise über die Erfüllung ihrer datenschutzrechtlichen Pflichten, insbesondere zum Schutz von Personendaten durch geeignete technische und organisatorische Massnahmen.

5.3. Staffapp führt ein Löschkonzept, das die Aufbewahrungs- und Löschfristen für die im Auftrag bearbeiteten Personendaten regelt. Personendaten werden gelöscht oder anonymisiert, sobald der Bearbeitungszweck erfüllt ist und keine gesetzlichen oder vertraglichen Aufbewahrungspflichten entgegenstehen.

6.1. Staffapp wählt Unterauftragsnehmer (Unterauftragsbearbeiter) insbesondere unter Berücksichtigung der Eignung der vom jeweiligen Unterauftragsnehmer getroffenen technischen und organisatorischen Massnahmen sorgfältig aus und informiert die Kundinnen über die beabsichtigte Hinzuziehung von Unterauftragsnehmern. Kundinnen können der Hinzuziehung oder Ersetzung innerhalb einer Frist von 30 Kalendertagen nach Mitteilung durch Staffapp aus wichtigem Grund widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt dies als Zustimmung. Widerspricht eine Kundin dem Beizug und ist keine einvernehmliche Klärung möglich, ist jede Partei berechtigt, die der Auftragsbearbeitung zugrundeliegende Vereinbarung mit Wirkung auf den geplanten Zeitpunkt des Beizugs zu beenden.

6.2. Zieht Staffapp Unterauftragsnehmer bei, sind die Pflichten dieser ADV dem Unterauftragsnehmer aufzuerlegen.

6.3. Staffapp haftet gegenüber den Kundinnen für die Einhaltung der datenschutzrechtlichen Pflichten durch beigezogene Unterauftragsnehmer wie für eigenes Handeln.

7.1. Staffapp teilt den Kundinnen Verletzungen der Sicherheit von Personendaten unverzüglich nach Kenntnis mit. Die Mitteilung beschreibt, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die getroffenen oder vorgeschlagenen Massnahmen sowie eine Kontaktstelle.

7.2. Staffapp informiert die Kundinnen soweit zulässig unverzüglich über Kontrollen oder Massnahmen von Aufsichtsbehörden oder anderen Dritten, sofern und soweit diese einen Bezug zur Auftragsbearbeitung aufweisen.

7.3. Staffapp sichert zu, die Kundinnen bei deren datenschutzrechtlichen Meldepflichten im erforderlichen Umfang zu unterstützen. Die Kundinnen tragen die Kosten von Staffapp für eine solche Unterstützung (wobei Staffapp diesbezüglich vorleistungspflichtig bleibt).

8.1. Für die Beurteilung der Zulässigkeit der beauftragten Bearbeitung sowie für die Wahrung der Rechte von betroffenen Personen sind allein die Kundinnen verantwortlich.

8.2. Die Kundinnen haben hinsichtlich der Bearbeitung von Personendaten im Auftrag ein Weisungsrecht. Die Kundinnen erteilen Weisungen in dokumentierter Form. In dringlichen Fällen können Weisungen mündlich erteilt werden, die sobald möglich in dokumentierter Form zu bestätigen sind.

8.3. Die Kundinnen informieren Staffapp unverzüglich, wenn sie Fehler oder Unregelmässigkeiten bei der Prüfung der Auftragsergebnisse feststellen.

8.4. Die Kundinnen sind berechtigt, die Einhaltung von Vorschriften über den Datenschutz und dieses Vertrages bei Staffapp in angemessenem Umfang selbst oder durch Dritte zu kontrollieren. Den mit der Kontrolle betrauten Personen ist durch Staffapp — soweit erforderlich — Einblick und Zutritt zu ermöglichen. Die Kundinnen tragen die Kosten von Staffapp für solche Kontrollen.