Vereinbarung über die Auftragsbearbeitung (AVV)

1. Parteien und Gegenstand

Diese Vereinbarung gilt zwischen dem Betreiber, der die Onboarding-Plattform nutzt (Verantwortlicher), und Plattform-Betreiberin [nicht hinterlegt] (Auftragsbearbeiterin, «Plattform»).

Die Plattform bearbeitet Personendaten ausschliesslich im Auftrag des Betreibers, damit dieser das Onboarding seiner Händler durchführen kann. Die Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen; für den Datenschutz geht sie ihnen vor.

Sie stützt sich auf Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, auf Art. 28 der EU-Datenschutz-Grundverordnung (DSGVO).

2. Zweck, Art und Dauer der Bearbeitung

Zweck: Erfassung und Prüfung von Händlern des Betreibers — Identifikation, Prüfung von Dokumenten und Registerangaben, Abgleich mit Sanktionslisten, Kommunikation mit dem Händler, Erstellung des Dossiers und Übergabe an den Betreiber.

Die Bearbeitung dauert so lange wie der Plattformvertrag. Danach gilt Ziffer 10 (Rückgabe und Löschung).

3. Betroffene Personen und Datenkategorien

Betroffene: Kontaktpersonen, Unterzeichnende, wirtschaftlich Berechtigte und Mitwirkende der Händler; Mitarbeitende des Betreibers mit Konsolen-Zugang; Koordinatorinnen und Koordinatoren von Rahmenverträgen.

Daten: Identifikations- und Kontaktdaten; Firmen- und Registerangaben; Kopien von Ausweisen und Belegen; Bankverbindungen; Angaben zu wirtschaftlich Berechtigten; Ergebnisse von Sanktions- und PEP-Abgleichen (können besonders schützenswerte Daten über Sanktionen betreffen); Nachrichten zwischen Händler und Betreiber; Protokolldaten.

4. Weisungen

Die Plattform bearbeitet die Daten nur nach den Weisungen des Betreibers. Als Weisung gelten dieser Vertrag und die Einstellungen, die der Betreiber in der Plattform vornimmt (z. B. Prüfvorgabe, Ablauf, Einladungen, Export und Löschung).

Hält die Plattform eine Weisung für rechtswidrig, teilt sie das dem Betreiber unverzüglich mit.

5. Vertraulichkeit und Zugriff der Plattform

Personen, die für die Plattform Daten bearbeiten, sind zur Vertraulichkeit verpflichtet.

Die Plattform greift auf Daten eines Betreibers nur zu, soweit es für Betrieb, Sicherheit oder eine Supportanfrage des Betreibers nötig ist. Solche Zugriffe werden protokolliert.

6. Datensicherheit

Die Plattform trifft angemessene technische und organisatorische Massnahmen, insbesondere: Trennung der Daten je Betreiber in Datenbank und Anwendung; Zugriff auf Betreiberdaten ausschliesslich über den Server; verschlüsselte Übertragung; Zwei-Faktor-Anmeldung für Administratoren; Protokollierung von Rechte- und Kontoänderungen; tägliche Sicherung mit regelmässiger Rückspielprobe.

Die Plattform darf die Massnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsbearbeiter

Der Betreiber erteilt die allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen. Die jeweils aktuelle Liste — mit Zweck, empfangenen Daten und Rechtsgrundlage der Übermittlung — steht öffentlich unter /datenpolicy.

Über neue Unterauftragsbearbeiter informiert die Plattform vorab; der Betreiber kann aus wichtigem Grund widersprechen. Die Plattform überbindet ihnen die Pflichten dieser Vereinbarung.

Hinterlegt der Betreiber einen eigenen Schlüssel eines Dienstes (z. B. für den Sanktionsabgleich), besteht dieses Vertragsverhältnis direkt zwischen dem Betreiber und dem Dienst.

8. Unterstützung des Betreibers

Die Plattform unterstützt den Betreiber bei Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen, unter anderem mit der Auskunftsfunktion der Konsole, sowie bei Datenschutz-Folgenabschätzungen und Meldungen an Behörden.

9. Verletzungen der Datensicherheit

Die Plattform meldet dem Betreiber eine Verletzung der Datensicherheit, die seine Daten betrifft, so rasch wie möglich, spätestens 48 Stunden nach Kenntnis, mit den ihr bekannten Angaben zu Art, Umfang und ergriffenen Massnahmen.

10. Rückgabe und Löschung nach Vertragsende

Endet der Vertrag, sperrt die Plattform den Zugang des Betreibers und stellt ihm einen vollständigen, maschinenlesbaren Export seiner Daten und Dateien zur Verfügung (mit Prüfsummen).

Frühestens 30 Tage nach der Sperre und erst, nachdem ein Export erstellt wurde, löscht die Plattform die Daten des Betreibers. Die Löschung wird protokolliert (welche Daten, wann, gestützt auf welchen Export).

Gesetzliche Aufbewahrungspflichten für die Händlerdaten (z. B. aus der Geldwäscherei-Gesetzgebung) trägt der Betreiber; er erfüllt sie mit dem Export. Die Plattform bewahrt nur auf, wozu sie selbst verpflichtet ist: Vertragsannahmen, Rechnungen und das Protokoll ihrer Handlungen.

11. Nachweise und Kontrollen

Die Plattform stellt dem Betreiber die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieser Vereinbarung braucht, und ermöglicht Überprüfungen nach angemessener Voranmeldung.

12. Ort der Bearbeitung

Die Plattform nennt den Standort ihrer Server auf Anfrage. Übermittlungen ins Ausland erfolgen nur mit den gesetzlich vorgesehenen Garantien; welche das je Unterauftragsbearbeiter sind, steht unter /datenpolicy.

13. Schlussbestimmungen

Es gilt Schweizer Recht. Gerichtsstand ist der Sitz der Plattform.

Kontakt für Datenschutzfragen: [nicht hinterlegt].