Vereinbarung zur Auftragsbearbeitung (AVV / DPA)

gemäss Schweizer Datenschutzgesetz (DSG, SR 235.1) und Datenschutzverordnung (DSV)
 

Auftragsbearbeiterin: Martha Lee GmbH

Hauptsitz: Eisenbahnstrasse 19, 8840 Einsiedeln, Schweiz

Atelier: Mühlebachstrasse 41, 8800 Thalwil, Schweiz

UID: CHE-264.214.177

E-Mail: info@marthalee.ch
Web: www.marthalee.ch
Verantwortliche: gemäss Offerte/Auftragsbestätigung

1. Zweck und Geltungsbereich

1.1 Diese Vereinbarung regelt die Bearbeitung von Personendaten durch die Martha Lee GmbH als Auftragsbearbeiterin im Auftrag der Kundschaft als Verantwortliche im Rahmen der beauftragten Leistungen (z. B. Webprojekte, Wartung/Support, technische Unterstützung mit Systemzugriff).

1.2 Diese AVV ist Bestandteil des Vertragsverhältnisses und gilt automatisch, sobald die Martha Lee GmbH im Rahmen der Leistungserbringung Personendaten im Auftrag bearbeitet (Textform/elektronisch genügt).

​

1.3 Soweit auf die Bearbeitung die Datenschutz-Grundverordnung der EU (DSGVO) anwendbar ist, gilt diese AVV zugleich als Vertrag nach Art. 28 DSGVO. Die Martha Lee GmbH erfüllt in diesem Fall die Pflichten nach Art. 28 Abs. 3 DSGVO.

2. Gegenstand, Art und Zweck der Bearbeitung

2.1 Gegenstand: Bearbeitung von Personendaten, die im Rahmen der beauftragten Leistungen anfallen oder von der Kundschaft bereitgestellt werden.

​

2.2 Zweck: Erfüllung der vertraglich vereinbarten Leistungen (z. B. Konzeption/Umsetzung einer Website, Fehleranalyse, Support, technische Konfigurationen).

​

2.3 Wichtiger Hinweis – kein Hosting: Die Martha Lee GmbH bietet kein Hosting an. Die Hosting-Umgebung (Server, Domain, E-Mail, Datenbank) wird in der Regel von der Kundschaft selbst oder durch von der Kundschaft beauftragte Dritte betrieben. Eine allfällige Empfehlung (z. B. Hostpoint) stellt keine Beauftragung durch die Martha Lee GmbH dar; Vertragspartei des Hostinganbieters ist die Kundschaft.

​

2.4 Eingesetzte Web-Plattformen (Wix, WordPress, Shopify): Die Agentur erstellt und betreut Websites je nach Projekt auf Wix, WordPress oder Shopify. Der Betrieb der Plattform/Hosting-Umgebung erfolgt in der Regel über ein Vertragsverhältnis zwischen der Kundschaft und dem jeweiligen Anbieter (z. B. Plattformanbieter/Hoster). In diesem Fall gelten diese Anbieter nicht als Unterauftragsbearbeiter der Agentur; die Agentur erhält – sofern erforderlich – lediglich die notwendigen Zugriffsrechte zur Umsetzung und Unterstützung nach Weisung der Kundschaft. Registriert oder verwaltet die Agentur ausnahmsweise Domains, E-Mail- oder Plattformkonten in eigenem Namen für die Kundschaft, gilt der betreffende Anbieter als Unterauftragsbearbeiter der Agentur (vgl. Ziff. 6).
Rechtlicher Hintergrund: Verantwortlichkeit bleibt bei der Kundschaft als Verantwortliche, auch wenn Aufgaben ausgelagert werden.

​

2.5 Einsatz von KI-gestützten Tools: Die Agentur kann zur effizienten Leistungserbringung KI-gestützte Tools einsetzen (z. B. für Text-, Konzept-, Analyse- oder Bildbearbeitung). Dabei bearbeitet die Agentur Personendaten nur, soweit dies zur Vertragserfüllung erforderlich ist und im Rahmen der Weisungen der Kundschaft erfolgt. Die Kundschaft verpflichtet sich, der Agentur keine besonders schützenswerten Personendaten oder geheimhaltungsbedürftige Inhalte zur Bearbeitung via KI zu übermitteln, sofern dies nicht ausdrücklich vereinbart und datenschutzrechtlich abgesichert ist. Falls der Einsatz bestimmter KI-Tools von der Kundschaft nicht gewünscht ist, teilt sie dies der Agentur vorgängig schriftlich mit.

​

2.6 Art der Bearbeitung (je nach Auftrag): Erfassen, Speichern, Strukturieren, Ändern, Auslesen, Übermitteln, Löschen/Wiederherstellen, Fehleranalyse.

​

2.7 Kategorien von Personendaten (typisch): Kontaktdaten (Name, E-Mail), Kommunikationsinhalte, Website- und Nutzungsdaten (z. B. IP-Adresse/Logs), Kundendaten in CMS/CRM/Newsletter-Systemen, Support-Tickets. Je nach Auftrag können auch Bild- und Videodaten (z. B. Fotografien von Personen) bearbeitet werden.

​

2.8 Betroffene Personen (typisch): WebsitebesucherInnen, KundInnen, Mitarbeitende der Kundschaft, InteressentInnen.

3. Weisungen der Verantwortlichen

3.1 Die Martha Lee GmbH bearbeitet Personendaten ausschliesslich zur Vertragserfüllung und gemäss Weisungen der Verantwortlichen.

​

3.2 Weisungen erfolgen grundsätzlich über Vertrag/Leistungsbeschreibung, E-Mail oder Ticket/Projekttool.

​

3.3 Erscheint eine Weisung offensichtlich rechtswidrig, weist die Auftragsbearbeiterin darauf hin; die Umsetzung kann bis zur Klärung ausgesetzt werden.

4. Vertraulichkeit

4.1 Die Martha Lee GmbH stellt sicher, dass Personen, die Personendaten bearbeiten, zur Vertraulichkeit verpflichtet sind und nur im notwendigen Umfang Zugriff erhalten (Need-to-know).

5. Datensicherheit und technische/organisatorische Massnahmen (TOM)

5.1 Die Martha Lee GmbH trifft angemessene technische und organisatorische Massnahmen zum Schutz der im Auftrag bearbeiteten Personendaten (z. B. Zugriffsschutz, Rollen-/Rechtekonzept, wo möglich MFA, sichere Übertragung, Schutz vor Malware, Update-/Patchprozesse im vereinbarten Umfang).

​

5.2 Eine Beschreibung der TOM kann der Verantwortlichen auf Anfrage in angemessenem Umfang zur Verfügung gestellt werden.

​

5.3 Soweit die Kundschaft eine eigene Hosting-Umgebung oder Drittanbieter nutzt, liegen Betrieb und Basis-Sicherheit (z. B. Serverhärtung, Verfügbarkeit, Infrastruktur-Backups) grundsätzlich in der Verantwortung der Kundschaft bzw. ihres Hostinganbieters.

6. Beizug von Unterauftragsbearbeitern (Subprozessoren) und Tools

6.1 Die Kundschaft erteilt der Agentur die vorgängige generelle Genehmigung, zur Vertragserfüllung Unterauftragsbearbeiter beizuziehen (insbesondere für Projektorganisation, Zusammenarbeit, Dateiablage, Stock-/Medienbeschaffung sowie KI-gestützte Arbeitsprozesse), sofern diese vertraglich zu angemessenen Datenschutz- und Sicherheitsstandards verpflichtet werden.

​

6.2 Die Agentur führt eine aktuelle Übersicht der von ihr eingesetzten Unterauftragsbearbeiter („Subprozessoren-Liste“) und stellt diese der Kundschaft auf Anfrage zur Verfügung.

​

6.3 Die Agentur informiert die Kundschaft über wesentliche Änderungen bei den Unterauftragsbearbeitern (Hinzuziehung/Ersatz). Die Kundschaft kann aus wichtigen Gründen (z. B. Compliance/Geheimhaltung) innerhalb von 30 Tagen nach der Mitteilung schriftlich widersprechen; in diesem Fall werden die Parteien eine zumutbare Alternative prüfen.

​

6.4 Plattformanbieter der Kundschaft (z. B. Wix/Shopify/WordPress-Hosting), mit denen die Kundschaft direkt einen Vertrag hat, gelten nicht als Unterauftragsbearbeiter der Agentur, sofern die Agentur die Hosting-/Plattformleistung nicht selbst erbringt, sondern lediglich Zugriff zur Umsetzung nach Weisung erhält.

​

6.5 Soweit durch eingesetzte Tools/Unterauftragsbearbeiter eine Bearbeitung oder Bekanntgabe von Personendaten im Ausland erfolgt, unterstützt die Agentur die Kundschaft in angemessenem Umfang mit den notwendigen Informationen. Die Kundschaft bleibt dafür verantwortlich, die betroffenen Personen entsprechend zu informieren.

7. Unterstützung der Verantwortlichen

7.1 Die Martha Lee GmbH unterstützt die Verantwortliche in angemessenem Umfang bei datenschutzbezogenen Anfragen/Pflichten, soweit dies die im Auftrag bearbeiteten Daten betrifft (z. B. technische Abklärungen zu Auskunfts-/Löschanfragen). Aufwand kann – sofern nicht im Paket/Wartungsabo enthalten – nach Aufwand verrechnet werden.

8. Meldung von Verletzungen der Datensicherheit

8.1 Die Martha Lee GmbH informiert die Verantwortliche unverzüglich, sobald sie von einer Verletzung der Datensicherheit erfährt, die Personendaten im Auftrag betrifft, damit die Verantwortliche ihre weiteren Schritte (inkl. allfälliger Meldungen) prüfen kann.

9. Backups, Wiederherstellung, Rückgabe/Löschung

9.1 Backups: Sofern nicht ausdrücklich vereinbart, ist die Kundschaft für Backups der Website/Umgebung und Inhalte verantwortlich (insbesondere bei eigenem Hosting oder Hosting über Dritte). Wenn im Rahmen eines Wartungsabos Backup- oder Restore-Leistungen vereinbart sind, gelten diese nur im dort definierten Umfang (Turnus, Aufbewahrung, Restore-Umfang).

​

9.2 Rückgabe/Löschung: Nach Beendigung der Leistungen löscht oder gibt die Martha Lee GmbH Personendaten im Auftrag der Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Details richten sich nach Vertrag/Projekt; notwendiger Aufwand kann verrechnet werden.

10. Kontrollrechte / Nachweise

10.1 Die Verantwortliche kann in angemessenem Umfang Nachweise zur Einhaltung dieser AVV verlangen (z. B. TOM-Beschreibung). Audits vor Ort erfolgen nur bei berechtigtem Anlass und nach vorgängiger Abstimmung.

11. Haftung

11.1 Es gilt die Haftungsregelung des Hauptvertrags/der AGB, unter Vorbehalt zwingenden Rechts.

12. Schlussbestimmungen

12.1 Schweizer Recht ist anwendbar. Gerichtsstand ist – soweit zulässig – Einsiedeln (SZ).

​

12.2 Änderungen dieser AVV erfolgen in Textform (E-Mail genügt).

​

12.3 Sollte eine Bestimmung unwirksam sein, bleibt der Rest gültig; die Parteien ersetzen sie durch eine wirksame Regelung mit ähnlichem Zweck.