Auftragsverarbeitungsvertrag (AVV)

Vereinbarung über die Bearbeitung von Personendaten im Auftrag nach Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, Art. 28 der Datenschutz-Grundverordnung der EU (DSGVO).

Kurzfassung

• Die Dokumente in Ihrem Archiv bleiben Ihre Daten. Wir bewahren sie in Ihrem Auftrag auf, mehr nicht.
• Dokumente, Verzeichnis und Protokoll werden in der Google Cloud in der Region Zürich gespeichert und verarbeitet.
• Wir lesen und analysieren die Inhalte nicht. Es gibt keine Texterkennung und keine künstliche Intelligenz.
• Eine Besonderheit: Bis zum Ablauf der von Ihnen gewählten Aufbewahrungsfrist kann niemand ein Dokument löschen, auch wir nicht und auch nicht auf Weisung. Das ist der Zweck des Dienstes.
• Dieser Vertrag gilt, sobald Sie die Nutzungsbedingungen annehmen. Eine Unterschrift ist nicht nötig.

1. Parteien und Zustandekommen

Dieser Vertrag gilt zwischen dem Unternehmen, das ein Archiv in Magic Heidi Archiv eröffnet (der «Kunde», Verantwortlicher), und der Magic Heidi AG, Route de Vaux 1, 1126 Vaux, Schweiz, UID CHE-215.620.945 («wir», Auftragsbearbeiterin).

Er ist Bestandteil der Nutzungsbedingungen und kommt mit deren Annahme zustande, also mit der Eröffnung des Archivs. Bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag den Nutzungsbedingungen vor. Die Begriffe «Auftragsbearbeitung» (DSG) und «Auftragsverarbeitung» (DSGVO) meinen in diesem Vertrag dasselbe.

2. Gegenstand, Art und Zweck

Gegenstand ist die Aufbewahrung der Geschäftsunterlagen des Kunden in Magic Heidi Archiv. Wir bearbeiten die Personendaten in diesen Unterlagen ausschliesslich zu diesem Zweck und nur auf die folgende Art:

• entgegennehmen und unverändert speichern; ein ZIP wird in seine Dateien zerlegt;
• eine SHA-256-Prüfsumme berechnen und jeden Vorgang im Protokoll des Archivs festhalten;
• das Verzeichnis führen (Dateiname, Pfad, Grösse, Dateityp, Geschäftsjahr, Fristende);
• die Dokumente dem Kunden und den von ihm berechtigten Personen zum Abruf und Export bereitstellen, solange der Kunde einen aktiven Plan hat (Ziffer 3 der Nutzungsbedingungen);
• die Integrität täglich und auf Abruf prüfen;
• nach Ablauf der Aufbewahrungsfrist auf Anordnung des Kunden oder nach Vertragsende löschen.

Wir werten die Inhalte der Dokumente nicht aus, wandeln sie nicht um, verwenden sie nicht für eigene Zwecke und trainieren damit keine Modelle.

3. Dauer

Der Vertrag gilt, solange wir Personendaten im Auftrag des Kunden bearbeiten, also auch dann, wenn der Kunde keinen aktiven Plan mehr hat. Das ist länger als die Laufzeit der Nutzungsbedingungen, wenn bei Vertragsende noch Dokumente unter einer Aufbewahrungssperre stehen (Ziffer 11): Für diese Dokumente gilt er bis zu ihrer Löschung weiter.

4. Art der Personendaten und betroffene Personen

Was die Dokumente enthalten, bestimmt allein der Kunde. Bei Geschäftsunterlagen sind das üblicherweise:

• Personendaten: Namen, Adressen und Kontaktdaten, Rechnungs-, Zahlungs- und Bankangaben, Vertragsinhalte, Lohn- und Personalangaben, soweit sie in Belegen stehen, sowie die Angaben im Verzeichnis (Dateinamen und Pfade).
• Betroffene Personen: Kundinnen und Kunden, Lieferanten, Mitarbeitende und weitere Geschäftskontakte des Kunden.

Der Dienst ist für Geschäftsunterlagen gebaut. Enthalten Dokumente besonders schützenswerte Personendaten, prüft der Kunde, ob die in Ziffer 8 beschriebenen Massnahmen dafür genügen.

Für die Daten des Kontos (E-Mail-Adresse, Anmeldung), für die Daten zu Abo und Zahlung und für die Server-Protokolle sind wir selbst Verantwortliche; dafür gilt die Datenschutzerklärung.

5. Weisungen

Wir bearbeiten die Personendaten nur so, wie der Kunde es selbst tun dürfte, und nur nach seinen Weisungen. Die Weisungen des Kunden sind in den Nutzungsbedingungen und in diesem Vertrag festgehalten; im Einzelnen erteilt er sie über die Anwendung, indem er Dokumente ablegt, Geschäftsjahr und Aufbewahrungsfrist wählt, Lesezugriffe erteilt oder entzieht, exportiert und nach Fristende löscht. Weitere Weisungen nehmen wir per E-Mail von der archivverantwortlichen Person entgegen.

Halten wir eine Weisung für rechtswidrig, teilen wir das dem Kunden mit. Verpflichtet uns das Gesetz zu einer anderen Bearbeitung, informieren wir den Kunden vorher, soweit das Gesetz es erlaubt.

Weisung zur Aufbewahrungssperre

Mit dem Ablegen eines Dokuments weist der Kunde uns an, es bis zum Ende der gewählten Frist mit einer unwiderruflichen Aufbewahrungssperre zu speichern. Der Kunde weiss, dass diese Weisung nicht zurückgenommen werden kann: Bis zum Ablauf der Sperre verweigert der Speicher jedes Löschen und Überschreiben, für den Kunden ebenso wie für uns. Eine spätere Weisung, ein gesperrtes Dokument vorzeitig zu löschen, zu berichtigen oder herauszulösen, können wir deshalb nicht ausführen. Der Kunde stützt die Aufbewahrung auf seine gesetzliche Aufbewahrungspflicht (Art. 958f OR) und legt nur Unterlagen ab, die er aufbewahren muss oder darf.

6. Vertraulichkeit

Wir behandeln die Dokumente vertraulich. Zugriff auf die Systeme haben nur Personen, die ihn für Betrieb, Sicherheit und Support benötigen; sie sind zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus. Auf den Inhalt von Dokumenten greifen wir nur zu, wenn der Kunde es verlangt, etwa für eine Supportanfrage, oder wenn es zur Behebung einer Störung oder eines Befunds der Integritätsprüfung unerlässlich ist.

7. Unterauftragsbearbeiter

Der Kunde genehmigt mit der Annahme dieses Vertrags den Beizug der folgenden Unterauftragsbearbeiter (Art. 9 Abs. 3 DSG):

Die Dokumente gehen vom Browser des Kunden direkt in den Speicher in Zürich und von dort direkt zurück; sie laufen nicht über Vercel. Die Zeitstempelstellen, Vercel und Stripe führen wir der Vollständigkeit halber auf, obwohl sie keine archivierten Personendaten erhalten. Die Daten zu Abo und Zahlung bearbeiten wir als Verantwortliche (Ziffer 4).

Wir verpflichten Unterauftragsbearbeiter vertraglich auf einen Datenschutz, der diesem Vertrag entspricht, und stehen dem Kunden für deren Bearbeitung ein wie für unsere eigene, im Rahmen der Haftung nach den Nutzungsbedingungen.

Änderungen

Wollen wir einen weiteren Unterauftragsbearbeiter beiziehen oder einen bestehenden ersetzen, teilen wir das der archivverantwortlichen Person mindestens 30 Tage im Voraus per E-Mail mit und passen diese Liste an. Der Kunde kann innert dieser Frist widersprechen. Können wir dem Widerspruch nicht Rechnung tragen, kann der Kunde den Vertrag auf den Zeitpunkt der Änderung beenden und sein Archiv vorher nach Ziffer 11 exportieren; für bereits gesperrte Dokumente gilt Ziffer 11. Einen Wechsel des Speicherorts protokollieren wir zudem nach Art. 10 GeBüV im Archiv.

8. Technische und organisatorische Massnahmen

Wir gewährleisten eine dem Risiko angemessene Datensicherheit (Art. 8 DSG). Zurzeit gelten die folgenden Massnahmen. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

Zugang und Zugriff

• Anmeldung ohne Passwort über einen einmalig gültigen Link an die E-Mail-Adresse des Kontos; damit ist jede Adresse bestätigt.
• Jedes Archiv gehört genau einem Konto. Der Server ordnet jede Anfrage dem Archiv des angemeldeten Kontos zu; ein Zugriff auf fremde Archive ist nicht vorgesehen.
• Nur die archivverantwortliche Person legt ab, löscht nach Fristende und erteilt Lesezugriff. Personen mit Lesezugriff können ansehen, herunterladen, prüfen und exportieren, aber nichts verändern.
• Datenbank und Speicher sind für Browser nicht direkt erreichbar. Nur der Server der Anwendung hat Zugriff auf die Daten; er läuft in der Google Cloud in Zürich.
• Dokumente werden über kurzlebige, einzeln ausgestellte Verweise hoch- und heruntergeladen. Hochgeladene Dateien liegen bis zur Archivierung in einem getrennten Zwischenspeicher, der nach einem Tag geleert wird.
• Der Dienstleister, der die Seiten der Website ausliefert, besitzt keine Zugangsdaten zu Datenbank oder Speicher.
• Der administrative Zugang zur Infrastruktur ist auf wenige Personen beschränkt und mit Mehr-Faktor-Authentifizierung geschützt.

Übertragung und Speicherung

• Alle Verbindungen sind verschlüsselt (TLS).
• Google Cloud verschlüsselt die gespeicherten Daten.
• Dokumente, Verzeichnis und Protokoll werden in der Region europe-west6 (Zürich) gespeichert und verarbeitet.
• Mandantentrennung: Jedes Dokument und jeder Protokolleintrag ist genau einem Archiv zugeordnet.

Integrität und Nachvollziehbarkeit

• SHA-256-Prüfsumme für jedes Dokument beim Eingang; Dateien werden nie umgewandelt.
• Protokoll, das nur fortgeschrieben werden kann: Jeder Eintrag enthält die Prüfsumme des vorangehenden. Ein geänderter, entfernter oder eingefügter Eintrag ist dadurch erkennbar.
• Protokolliert werden die Eröffnung des Archivs, jede Archivierung, jeder Abruf, jeder Export, jede Löschung und jede Integritätsprüfung, mit Zeitpunkt und E-Mail-Adresse der handelnden Person.
• Zeitstempel nach RFC 3161 von einer externen Zeitstempelstelle auf dem neuesten Protokolleintrag, nach jeder Archivierung, Löschung, Prüfung und jedem Export, mindestens täglich.
• Aufbewahrungssperre pro Dokument im Speicher selbst: Bis zum Fristende sind Löschen und Überschreiben für alle Rollen ausgeschlossen, auch für uns.
• Tägliche Integritätsprüfung: Jedes Dokument wird gelesen und mit seiner Prüfsumme verglichen, die Protokollkette wird nachgerechnet. Abweichungen lösen eine Meldung an uns aus; wir klären die Ursache und informieren den Kunden.

Verfügbarkeit

• Dokumente sind über mehrere Rechenzentren der Region Zürich verteilt gespeichert.
• Verzeichnis und Protokoll werden täglich gesichert und lassen sich auf jeden Zeitpunkt der letzten sieben Tage zurücksetzen.
• Einen zweiten Standort ausserhalb der Region Zürich gibt es zurzeit nicht.
• Mit aktivem Plan kann der Kunde jederzeit das gesamte Archiv exportieren; der Export lässt sich ohne unsere Software nachprüfen.

Organisation

• Zugriff auf Kundendaten nur nach Bedarf und nur durch zur Vertraulichkeit verpflichtete Personen.
• Server-Protokolle für Betrieb und Fehlersuche werden 30 Tage aufbewahrt.
• Die Abläufe sind in der Verfahrensdokumentation beschrieben (Art. 4 GeBüV).

9. Unterstützung des Kunden

• Begehren betroffener Personen: Gehen bei uns Begehren ein, die Dokumente des Kunden betreffen (Auskunft, Berichtigung, Löschung, Herausgabe), leiten wir sie ohne Verzug an den Kunden weiter und beantworten sie nicht selbst. Der Kunde kann mit Suche, Abruf und Export selbst Auskunft erteilen; Abruf und Export setzen einen aktiven Plan voraus. Für gesperrte Dokumente gilt Ziffer 5.
• Verletzungen der Datensicherheit: Wir melden dem Kunden eine Verletzung der Datensicherheit, die seine Dokumente betrifft, so rasch als möglich (Art. 24 Abs. 3 DSG; Art. 33 Abs. 2 DSGVO), per E-Mail an die archivverantwortliche Person. Die Meldung nennt, soweit bekannt, die Art der Verletzung, ihre Folgen und die ergriffenen oder vorgesehenen Massnahmen.
• Weitere Pflichten: Wir unterstützen den Kunden mit den uns vorliegenden Informationen bei einer Datenschutz-Folgenabschätzung und bei Anfragen des EDÖB oder einer anderen Aufsichtsbehörde.

10. Nachweise und Kontrolle

Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die er braucht, um die Einhaltung dieses Vertrags zu prüfen: die Verfahrensdokumentation, diese Liste der Massnahmen und die öffentlich zugänglichen Nachweise der Unterauftragsbearbeiter. Vieles kann der Kunde selbst prüfen: Das Protokoll zeigt jeden Zugriff auf sein Archiv, und die Integritätsprüfung lässt sich jederzeit auslösen.

Genügt das im Einzelfall nicht, kann der Kunde höchstens einmal pro Jahr, oder wenn ein konkreter Anlass besteht, mit einer Voranmeldung von 30 Tagen eine weitergehende Prüfung durchführen oder durch eine zur Verschwiegenheit verpflichtete Fachperson durchführen lassen. Die Prüfung darf die Daten anderer Kunden nicht offenlegen; in den Rechenzentren der Unterauftragsbearbeiter richtet sie sich nach deren Bedingungen. Seine eigenen Kosten trägt der Kunde.

11. Rückgabe und Löschung

• Rückgabe: Solange der Kunde einen aktiven Plan hat (Ziffer 3 der Nutzungsbedingungen), kann er jederzeit das gesamte Archiv exportieren: alle Dokumente im Originalformat, das Verzeichnis mit den Prüfsummen und das vollständige Protokoll mit den Zeitstempeln.
• Ohne aktiven Plan: Sind die kostenlosen ersten zwölf Monate abgelaufen und besteht kein Abo, oder hat das Abo geendet, sind Abruf und Export gesperrt, und es können keine Dokumente abgelegt werden. Die Dokumente bleiben unveränderbar gespeichert, bis ihre Aufbewahrungsfrist abläuft, und werden zu keinem anderen Zweck bearbeitet; Verzeichnis, Protokoll und Integritätsprüfung bleiben für den Kunden sichtbar. Sobald der Kunde (wieder) ein Abo abschliesst, sind Abruf und Export wieder möglich.
• Löschung während des Vertrags: Nach Ablauf der Aufbewahrungsfrist löscht der Kunde ein Dokument selbst. Die Löschung wird protokolliert; der Protokolleintrag mit Dateiname und Prüfsumme bleibt bestehen.
• Löschung nach Vertragsende: Mit dem Vertragsende (Ziffer 9 der Nutzungsbedingungen) entfernen wir die Anmeldung und alle Lesezugriffe und löschen die Dokumente, deren Sperre abgelaufen ist. Dokumente, deren Sperre noch läuft, kann niemand vorzeitig löschen. Sie bleiben gesperrt gespeichert, sind für niemanden mehr abrufbar, werden zu keinem anderen Zweck bearbeitet und nach Ablauf ihrer Sperre gelöscht. Verzeichnis und Protokoll des Archivs löschen wir zusammen mit dem letzten Dokument.
• Sicherungen: Sicherungskopien von Verzeichnis und Protokoll werden nach Ablauf ihrer Aufbewahrungsdauer überschrieben.

Der Kunde bleibt dafür verantwortlich, seine gesetzliche Aufbewahrungspflicht zu erfüllen. Will er den Dienst nicht weiter bezahlen oder den Vertrag beenden, exportiert er sein Archiv vorher, solange sein Plan aktiv ist, und bewahrt den Export während der gesetzlichen Frist selbst auf.

12. Bekanntgabe ins Ausland

Dokumente, Verzeichnis und Protokoll werden in der Schweiz gespeichert und verarbeitet. Ausserhalb der Schweiz können nur die in Ziffer 7 genannten Kontodaten der Anmeldung, Verbindungsdaten und Zahlungsdaten bearbeitet werden. Soweit der Empfängerstaat nach der Feststellung des Bundesrates keinen angemessenen Schutz gewährleistet, stützen wir uns auf Standardvertragsklauseln oder auf andere gesetzlich zulässige Garantien (Art. 16 und 17 DSG; Kapitel V DSGVO).

13. Pflichten des Kunden

• Der Kunde ist als Verantwortlicher dafür zuständig, dass er die Dokumente rechtmässig bearbeitet und bei uns aufbewahren darf, und dass keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung an uns verbietet (Art. 9 Abs. 1 DSG).
• Er schützt das Postfach, über das er sich anmeldet, und erteilt Lesezugriff nur an berechtigte Personen.
• Er entscheidet nach Ablauf der Aufbewahrungsfrist über die Löschung (Art. 6 Abs. 4 DSG) und beantwortet die Begehren der betroffenen Personen.

14. Schlussbestimmungen

Für Haftung, anwendbares Recht und Gerichtsstand gelten die Nutzungsbedingungen: Schweizer Recht, Gerichtsstand am Sitz der Magic Heidi AG, unter Vorbehalt zwingender gesetzlicher Gerichtsstände. Änderungen dieses Vertrags teilen wir mindestens 30 Tage im Voraus per E-Mail mit. Fragen richten Sie an hello@magicheidi.ch.