Peerdom Auftragsverarbeitungsvertrag (AVV) - Datenschutz & Sicherheit

Abgeschlossen zwischen [Kunde] (nachfolgend “Verantwortlicher”) und Peerdom AG, einer nach schweizerischem Recht gegründeten Gesellschaft mit Sitz in Bern, Schweiz, und Adresse Altenbergstrasse 29, CH-3013 Bern, mit der Unternehmensnummer CH-036.3.088.383-6 (nachfolgend “Auftragsverarbeiter”) (Verantwortlicher und Auftragsverarbeiter nachfolgend gemeinsam “Parteien” und jeweils einzeln nachfolgend “Partei”) über die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen durch den Auftragsverarbeiter gemäss Artikel 9 des Schweizer Datenschutzgesetzes (nachfolgend “DSG”), Artikel 28 Absatz 3 der EU-Datenschutz-Grundverordnung (nachfolgend “DSGVO”) und Artikel 28 Absatz 3 der DSGVO in der in das nationale Recht des Vereinigten Königreichs überführten Fassung gemäss Section 3 des European Union (Withdrawal) Act 2018 (die “UK-DSGVO”), soweit jeweils anwendbar.

Präambel

Dieser Auftragsverarbeitungsvertrag, online verfügbar unter https://peerdom.com/de/dpa, (nachfolgend “AVV”) regelt im Einzelnen die Pflichten der Parteien zum Schutz personenbezogener Daten im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen durch den Auftragsverarbeiter, wie sie in den vom Verantwortlichen akzeptierten/ abonnierten Abonnementbedingungen des Auftragsverarbeiters beschrieben ist (nachfolgend “Abonnementbedingungen”).

Dieser AVV ergänzt die Abonnementbedingungen oder jede andere mit dem Auftragsverarbeiter geschlossene Vereinbarung, bildet einen integralen Bestandteil davon und wird mit der Annahme der Abonnementbedingungen durch den Verantwortlichen oder mit dem Abschluss einer anderen Vereinbarung mit dem Auftragsverarbeiter wirksam.

Verweise auf “Datenschutzgesetze” in diesem AVV beziehen sich, soweit jeweils anwendbar, auf das DSG, die DSGVO und die UK-DSGVO sowie auf alle weiteren nachfolgenden Datenschutzgesetze und -vorschriften, die in der Rechtsordnung gelten, in welcher der Auftragsverarbeiter niedergelassen ist und/oder Verarbeitungen durchführt.

1. Umfang und Spezifikation der Verarbeitung personenbezogener Daten

• 1.1. Der Zweck der Verarbeitungstätigkeit des Auftragsverarbeiters besteht darin, dem Verantwortlichen den abonnierten Zugang zur Organigramm-Software des Auftragsverarbeiters und deren Nutzung entweder über einen Webbrowser oder programmatisch über deren öffentliche API zu ermöglichen (nachfolgend “Dienste”).

• 1.2. Im Rahmen dieses AVV werden die folgenden Kategorien personenbezogener Daten verarbeitet: Firmen- oder Organisationsname, Vorname(n), weitere(r) Vorname(n) und Nachname(n) (soweit zutreffend), frühere und aktuelle Position(en), dargestellt durch die Rolle(n), die der jeweilige Mitarbeitende innehat, E-Mail-Adressen, IP-Adressen (anonymisiert), Cookies zur Authentifizierung, Cookies zur Nachverfolgung des Nutzerverhaltens (globales Opt-out, anonymisiert) ausschliesslich zur Ermittlung von Usability-Problemen des Produkts, Betriebssystemversion, Browserversion, Benutzernamen, Passwörter (verschlüsselt), Zugriffsprotokolle, Geolokalisierungsangaben, fotografisches und illustratives Bildmaterial (jeder Mitarbeitende stellt ein optionales Profilbild bereit), Kreditkartendaten (im Falle eines Abonnementkaufs mittels Kreditkarte), Bankverbindung/ Kontonummer/ Geschäftsadresse (im Falle eines Abonnementkaufs per Rechnung). Darüber hinaus sämtliche von den in Ziffer 1.3 unten definierten betroffenen Personen kopierten/ eingefügten oder hochgeladenen Inhalte.

• 1.3. Im Rahmen dieses AVV können je nach Inhalt der hochgeladenen Dokumente die folgenden Kategorien betroffener Personen des Verantwortlichen Gegenstand der Verarbeitung sein: Kunden, Mitarbeitende, Lieferanten, Geschäftspartner des Verantwortlichen sowie weitere Personen, deren personenbezogene Daten in den vom Verantwortlichen hochgeladenen Dokumenten enthalten sind.

2. Laufzeit des AVV und Pflichten des Auftragsverarbeiters nach Beendigung

• 2.1 Die Laufzeit dieses AVV richtet sich nach den Abonnementbedingungen

• 2.2. Nach Erreichen des Endes der Abonnementlaufzeit des Produkts verpflichtet sich der Auftragsverarbeiter, alle in seinem Besitz befindlichen personenbezogenen Daten des Verantwortlichen im Einklang mit den datenschutzrechtlichen Anforderungen zu löschen oder zu vernichten und/oder dem Verantwortlichen alle personenbezogenen Daten und Datenträger zurückzugeben, die ihm im Rahmen der Abonnementbedingungen überlassen wurden. Die Löschung oder Vernichtung erfolgt, sofern kein rechtlicher Grund entgegensteht. Es ist zu beachten, dass der Auftragsverarbeiter gesetzlich verpflichtet sein kann, bestimmte personenbezogene Daten für einen festgelegten Zeitraum aufzubewahren. Nach Ablauf dieses Zeitraums werden die betreffenden personenbezogenen Daten jedoch ebenfalls im Einklang mit den Datenschutzgesetzen gelöscht oder vernichtet.

3. Pflichten und Rechte des Verantwortlichen; Weisungen und Verantwortlichkeiten

• 3.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen nach dessen Weisungen. Die in diesem AVV und in den Abonnementbedingungen enthaltenen Weisungen sowie die Weisungen, die der Verantwortliche bei der Nutzung der Parametrisierungsmöglichkeiten innerhalb der Dienste erteilt, gelten als die jeweiligen Weisungen im Sinne dieses AVV. Zusätzliche Weisungen dürfen nur erteilt werden, soweit sie zwischen den Parteien schriftlich oder in dokumentierter elektronischer Form (z. B. per E-Mail) einvernehmlich vereinbart wurden.

• 3.2. Änderungen des Gegenstands der Verarbeitung oder der Verfahrensabläufe sind zwischen dem Verantwortlichen und dem Auftragsverarbeiter abzustimmen und schriftlich oder in dokumentierter elektronischer Form festzuhalten.

• 3.3. Der Verantwortliche ist allein verantwortlich für die Rechtmässigkeit der Offenlegung personenbezogener Daten gegenüber dem Auftragsverarbeiter sowie für die Rechtmässigkeit der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen. Der Verantwortliche ist der »Verantwortliche« im Sinne von Artikel 5 lit. j DSG und Artikel 4 Nr. 7 DSGVO und UK-DSGVO.

• 3.4. Vorbehaltlich Ziffer 4.5 dieses AVV liegt es in der alleinigen Verantwortung des Verantwortlichen, Anfragen betroffener Personen zur Wahrnehmung ihrer Rechte zu bearbeiten. Macht eine betroffene Person Ansprüche auf Berichtigung, Löschung oder Auskunft gegenüber dem Auftragsverarbeiter geltend, so leitet der Auftragsverarbeiter den Anspruch der betroffenen Person unverzüglich an den Verantwortlichen weiter und unterstützt den Verantwortlichen, soweit möglich.

4. Pflichten und Rechte des Auftragsverarbeiters

• 4.1. Der Auftragsverarbeiter verarbeitet (beschaffen, speichern, aufbewahren, verwenden, verändern, offenlegen, archivieren, löschen oder vernichten usw.) personenbezogene Daten ausschliesslich im Rahmen dieses AVV, der Abonnementbedingungen und nach Weisung des Verantwortlichen.

• 4.2. Der Auftragsverarbeiter ist nicht berechtigt, die verarbeiteten personenbezogenen Daten in eigener Zuständigkeit zu löschen oder anderweitig zu vernichten. Eine Löschung oder Vernichtung der Daten darf nur aufgrund einer schriftlichen Weisung des Auftraggebers erfolgen, es sei denn, es besteht eine gesetzliche Pflicht zur Löschung dieser Daten.

• 4.3. Der Auftragsverarbeiter verpflichtet sich, alle personenbezogenen Daten, von denen er im Rahmen dieses AVV Kenntnis erlangt, vertraulich zu behandeln. Diese Pflicht bleibt auch nach Beendigung dieses AVV in Kraft. Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu den personenbezogenen Daten haben oder mit deren Verarbeitung beauftragt sind, über die Vertraulichkeitspflicht informiert und entsprechend vertraglich verpflichtet werden. Darüber hinaus ergreift der Auftragsverarbeiter geeignete interne organisatorische Massnahmen, um sicherzustellen, dass nur autorisierte Mitarbeitende Zugang zu personenbezogenen Daten haben. Dazu gehören unter anderem die Schulung der Mitarbeitenden in den Datenschutzgesetzen und die Umsetzung von Zugangsbeschränkungen.

• 4.4. Auf Verlangen des Verantwortlichen ist der Auftragsverarbeiter verpflichtet, Daten zu berichtigen, wenn diese unrichtig oder unvollständig sind. Macht eine betroffene Person ihre Rechte, insbesondere ihr Recht auf Auskunft, Herausgabe oder Übertragung der Daten, ihr Widerspruchsrecht oder ihr Recht auf Berichtigung, Löschung oder Vernichtung der Daten, unmittelbar gegenüber dem Auftragsverarbeiter geltend, so handelt der Auftragsverarbeiter nicht eigenständig, sondern verweist die betroffene Person unverzüglich an den Verantwortlichen und wartet dessen Weisungen ab.

• 4.5. Der Auftragsverarbeiter unternimmt angemessene Anstrengungen, um den Verantwortlichen bei der Erfüllung der Rechte der betroffenen Personen nach dem für den Verantwortlichen anwendbaren Recht sowie bei der Sicherstellung der Einhaltung der Pflichten nach dem anwendbaren Recht zu unterstützen, wobei die Art der Verarbeitung und die dem Auftragsverarbeiter zur Verfügung stehenden Informationen zu berücksichtigen sind. Soweit der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen gesetzlichen Pflichten gemäss Ziffer 3.4 unterstützen muss, erstattet der Verantwortliche dem Auftragsverarbeiter alle angemessenen zusätzlichen Kosten, die mit der Erbringung dieser Unterstützung verbunden sind.

• 4.6. Der Auftragsverarbeiter ist berechtigt, die personenbezogenen Daten des Verantwortlichen zu Zwecken der Mustererkennung, der Trendanalyse, der Organisationsempfehlungen und der prädiktiven Analyse zu verwenden, unter der Massgabe, dass die Daten vollständig anonymisiert sind und nicht so rückgängig gemacht werden können, dass betroffene Personen identifiziert werden.

• 4.7. Der Auftragsverarbeiter ist berechtigt, den Firmennamen des Verantwortlichen auf der Website von Peerdom und in sonstiger Marketingkommunikation zu verwenden, die sich auf Kunden von Peerdom bezieht. Der Verantwortliche kann der Nennung in solcher Marketingkommunikation jederzeit widersprechen, indem er eine E-Mail an das Support-Team von Peerdom sendet (hello@peerdom.org oder support@peerdom.org).

• 4.8. Der Auftragsverarbeiter ist berechtigt, den Firmennamen des Verantwortlichen, die Peerdom-URL und das Sitzland im globalen Organisationsverzeichnis von Peerdom zu verwenden, um es anderen Kunden zu ermöglichen, ihn zu entdecken und mit ihm in Kontakt zu treten. Über die Einstellungen des Produkts kann der Verantwortliche der Aufnahme in das globale Organisationsverzeichnis jederzeit widersprechen.

5. Informations- und Prüfrechte

• 5.1. Auf Verlangen des Verantwortlichen stellt der Auftragsverarbeiter dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten des Auftragsverarbeiters nachzuweisen, einschliesslich der Umsetzung technischer und organisatorischer Massnahmen.

• 5.2. Der Auftragsverarbeiter stellt dem Verantwortlichen geeignete Informationsmittel zur Verfügung, etwa durch die Durchführung einer Selbstprüfung und die Bereitstellung der entsprechenden Informationen an den Verantwortlichen oder durch die Vorlage von Bescheinigungen, Zertifizierungen, Berichten oder Auszügen daraus von unabhängigen Stellen (z. B. externen Prüfern) oder sonstigen geeigneten Zertifizierungen.

• 5.3. Hat der Verantwortliche begründete Zweifel an den vom Auftragsverarbeiter nach Ziffer 5.2 bereitgestellten Unterlagen und legt er dem Auftragsverarbeiter eine Erläuterung dieser Zweifel vor, so können der Verantwortliche oder ein vom Verantwortlichen beauftragter unabhängiger, anerkannter Drittprüfer die Einhaltung der Pflichten des Auftragsverarbeiters nach Ziffer 5.1 überprüfen. Der Auftragsverarbeiter ist berechtigt, eine solche Überprüfung vom Abschluss einer marktüblichen Geheimhaltungsvereinbarung abhängig zu machen.

• 5.4. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn im Verlauf der Prüfung Fehler oder Unregelmässigkeiten festgestellt werden.

• 5.5. Der Verantwortliche vergütet alle zusätzlichen Kosten, die dem Auftragsverarbeiter durch eine solche Prüfung nach den Ziffern 5.3 bis 5.5 entstehen, es sei denn, aus dieser Inspektion/Prüfung ergibt sich, dass die Datenverarbeitung des Auftragsverarbeiters unter Verstoss gegen diesen AVV oder die anwendbaren Datenschutzgesetze erfolgt ist.

6. Mitteilungspflichten des Auftragsverarbeiters

• 6.1. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn nach seiner Auffassung ein Verstoss gegen Datenschutzgesetze vorliegt oder wenn vom Verantwortlichen erteilte Weisungen gegen Datenschutzgesetze verstossen.

7. Unterauftragsverarbeiter

• 7.1. Der Verantwortliche willigt hiermit in den Einsatz von Unterauftragsverarbeitern durch den Auftragsverarbeiter zur Erfüllung seiner vertraglichen Pflichten aus den Abonnementbedingungen ein.

• 7.2. Die aktuellen Unterauftragsverarbeiter sind in Anhang 2 dieses AVV aufgeführt.

• 7.3. Vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen hierüber und gibt dem Verantwortlichen die Möglichkeit, einer solchen Änderung innerhalb von 14 Tagen nach der Mitteilung durch den Auftragsverarbeiter aus Gründen, die mit den Datenschutzgesetzen zusammenhängen, zu widersprechen. Widerspricht der Verantwortliche einer solchen Änderung nicht innerhalb dieser Frist, so gilt seine Zustimmung zu dieser Änderung als erteilt. Widerspricht der Verantwortliche dem Einsatz eines neuen oder ausgetauschten Unterauftragsverarbeiters, so wird dem neuen oder ausgetauschten Unterauftragsverarbeiter kein Zugang zu den personenbezogenen Daten des Verantwortlichen gewährt.

• 7.4. Der Auftragsverarbeiter stellt durch den Abschluss einer Vereinbarung mit dem Unterauftragsverarbeiter sicher, dass dem Unterauftragsverarbeiter mindestens im Wesentlichen gleichwertige Pflichten auferlegt werden, wie sie der Auftragsverarbeiter im Rahmen dieses AVV übernommen hat.

• 7.5. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen weiterhin für die Pflichten seiner Unterauftragsverarbeiter.

8. Ort der Verarbeitung

• 8.1. Die Verarbeitung personenbezogener Daten erfolgt ausschliesslich in der Schweiz, der Europäischen Union, dem Vereinigten Königreich sowie bei einigen unserer Unterauftragsverarbeiter in einem Drittland. Wird die Erbringung der Leistungen durch den Auftragsverarbeiter auch während ferienbedingter Abwesenheiten des Auftragsverarbeiters oder an einem vorübergehenden Remote-Arbeitsort seiner Mitarbeitenden gewünscht, so gestattet der Verantwortliche dem Auftragsverarbeiter ausnahmsweise, die Daten von seinem jeweiligen Standort im Ausland aus mittels Fernzugriff zu verarbeiten, und zwar unter Einsatz eines sicheren Passwortschutzes, einer verschlüsselten Verbindung und der Nutzung eines eigenen Geräts, das vor dem Zugriff Dritter geschützt ist.

• 8.2. Bei den in einem Drittland ansässigen Unterauftragsverarbeitern gewährleistet der Auftragsverarbeiter einen angemessenen Datenschutz durch den Abschluss von Standarddatenschutzklauseln, die von den zuständigen Datenschutzstellen vorgängig genehmigt, erlassen oder anerkannt wurden.

9. Technische und organisatorische Massnahmen

• 9.1. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Massnahmen gemäss den Artikeln 7 und 8 DSG bzw. Artikel 32 DSGVO und UK-DSGVO, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Vernichtung zu schützen. Dazu gehören der Einsatz von Firewalls, Verschlüsselungstechnologien, Zugangskontrollen und weiteren geeigneten Sicherheitsmassnahmen, wie in Anhang 1 aufgeführt.

• 9.2. Die technischen und organisatorischen Massnahmen werden regelmässig überprüft und bei Bedarf aktualisiert, um den aktuellen technologischen Standards und den anwendbaren Datenschutzvorschriften zu entsprechen.

10. Gewährleistungen

Der Auftragsverarbeiter gewährleistet:

• bei der Erbringung der Dienste und der Verarbeitung personenbezogener Daten die Datenschutzgesetze einzuhalten;

• alle anwendbaren Datenschutzgesetze in Bezug auf Datenschutz-Folgenabschätzungen sowie Vorgaben der zuständigen Aufsichtsbehörden oder Regulierungsstellen einzuhalten; und

• dem Verantwortlichen alle Verletzungen des Schutzes personenbezogener Daten unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Eintritt der Verletzung schriftlich mitzuteilen.

11. Haftung

Der Verantwortliche haftet gegenüber der betroffenen Person für Schadenersatz oder sonstige Ansprüche, die im Zusammenhang mit der Verarbeitung personenbezogener Daten entstehen und die unmittelbare Folge eines Verstosses des Verantwortlichen gegen die Datenschutzgesetze oder gegen diesen AVV sind. Ein direkter Rückgriff auf den Auftragsverarbeiter ist nur zulässig, wenn der Auftragsverarbeiter gegen die Bestimmungen dieses AVV oder die anwendbaren Datenschutzgesetze verstossen hat.

12. Schlussbestimmungen

• 12.1. Widerspricht dieser AVV den Abonnementbedingungen oder anderen zwischen den Parteien geschlossenen Vereinbarungen, so gehen die Bestimmungen dieses AVV vor.

• 12.2. Änderungen oder Ergänzungen dieses AVV bedürfen der einvernehmlichen Vereinbarung beider Parteien in Schriftform und der Unterzeichnung durch eine Vertreterin oder einen Vertreter jeder Partei, vorbehaltlich Ziffer 12.3 unten.

• 12.3. Anhang 1 und Anhang 2 bilden integrale Bestandteile dieses AVV. Der Auftragsverarbeiter kann Anhang 2 jedoch nach Massgabe von Ziffer 7.3 dieses AVV ändern (Einsatz neuer oder Austausch von Unterauftragsverarbeitern). Die in Anhang 1 festgelegten technischen und organisatorischen Massnahmen können vom Auftragsverarbeiter jederzeit einseitig durch Massnahmen ersetzt werden, die den in Anhang 1 festgelegten Massnahmen gleichwertig oder überlegen sind. Der Auftragsverarbeiter teilt dem Verantwortlichen Änderungen mit einer Frist von 30 Tagen im Voraus mit.

• 12.4. Dieser AVV untersteht dem materiellen Recht der Schweiz unter Ausschluss der Kollisionsnormen und internationaler Abkommen. Gerichtsstand sind die staatlichen Gerichte am eingetragenen Sitz des Auftragsverarbeiters.

13. Anhänge

• Anhang 1: Technische und organisatorische Massnahmen
• Anhang 2: Liste der aktuellen Unterauftragsverarbeiter

Anhang 1: Technische und organisatorische Massnahmen

Der Auftragsverarbeiter hat die folgenden technischen und organisatorischen Massnahmen umgesetzt, die von Zeit zu Zeit aufgrund des technologischen Fortschritts angepasst werden können.

Auf die personenbezogenen Daten des Verantwortlichen wird nur mit der ausdrücklichen Einwilligung des Verantwortlichen zugegriffen, damit der Auftragsverarbeiter Support für die Nutzung der Peerdom-Anwendung leisten kann.

Der Verantwortliche erteilt dem Auftragsverarbeiter die ausdrückliche Einwilligung, auf die personenbezogenen Daten des Verantwortlichen zuzugreifen, wenn das Support-Team des Auftragsverarbeiters per E-Mail kontaktiert wird (typischerweise über support@peerdom.org, hello@peerdom.org oder eine beliebige E-Mail-Adresse von Mitarbeitenden des Verantwortlichen), um in dessen Namen tätig zu werden.

Vertraulichkeit

Physische Zutrittskontrolle

• Die von uns genutzten Rechenzentren (Google Cloud Platform, siehe Unterauftragsverarbeiter in Anhang 2) sind durch physische Barrieren an den relevanten Zugangspunkten, elektronische Prüfung der Zutrittsberechtigung oder Prüfung durch Sicherheitspersonal, Ausweispflicht, bedarfsabhängige Beschränkungen der Zutrittsrechte und elektronische Einbruchmeldeanlagen gesichert. Eine angemessene Videoüberwachung ist vorhanden, und alle relevanten Zugangspunkte werden in einem gesicherten (verschlossenen) Zustand gehalten. Jeder physische Zutritt zu den Rechenzentren wird protokolliert.

Elektronische Zugangskontrolle

• Die von uns genutzten Rechenzentren sind durch Zugangskontrollen und Richtlinien für das Netzwerk geschützt, einschliesslich Firewalls (oder gleichwertiger Lösungen) und Authentifizierungskontrollen. Der Benutzerzugang zu den Rechenzentren wird protokolliert.

• Für den Zugang zu unseren IT-Systemen werden für autorisiertes Personal persönliche Benutzerkonten mit Benutzernamen und (verschlüsselten) Passwörtern eingerichtet. Wir verfügen über eine Passwortrichtlinie mit Mindestanforderungen an Länge und Zusammensetzung der Passwörter.

• Wir verfügen über eine Richtlinie zur Zwei-Faktor-Authentifizierung für kritische Dienste und Schlüsselnutzer.

• Der Zugang zu unseren IT-Systemen wird nach dem Need-to-know- und dem Least-Privilege-Prinzip gewährt.

• Wir haben eine Unternehmensrichtlinie, die ausschliesslich die Nutzung von Laptops mit verschlüsseltem Festplattenspeicher erlaubt.

• Unbefugter externer Zugriff auf unsere kritischen Systeme wird durch eine verschlüsselte Verbindung und Zwei-Faktor-Authentifizierung verhindert.

• Der Zugriff auf unsere kritischen Systeme wird protokolliert.

• Wir verwenden unterschiedliche Umgebungen für Staging und Produktion.

Integrität

• Der Zugang zu unseren Rechenzentren wird vollständig durch unsere Unterauftragsverarbeiter protokolliert, verwaltet und geschützt (siehe Anhang 2).

• Unsere Staging-Umgebung ist nur über eine verschlüsselte Verbindung zugänglich.

• Alle Mitarbeitenden, die sich über eine verschlüsselte Verbindung verbinden müssen, verfügen über eigene Zugangsdaten für die Nutzung der verschlüsselten Verbindung.

• Alle unsere Umgebungen (sowohl Staging als auch Produktion) verwenden HTTPS zur Absicherung der Datenübertragung.

• Intern dokumentieren wir mittels Protokolldateien, wer kritische Daten erhält oder ändert.

• Wir verschlüsseln Daten bei der Übertragung.

• Wir führen jährliche Penetrationstests (Pen-Tests) durch, die von einer unabhängigen Partei durchgeführt werden. Testergebnisse (Management Summary) sind nur auf Anfrage verfügbar.

Verfügbarkeit und Belastbarkeit, einschliesslich der Fähigkeit zur Wiederherstellung der Verfügbarkeit

• Wir nutzen Rechenzentrumsinfrastruktur(en), die vollständig von unseren Unterauftragsverarbeitern verwaltet werden (siehe Anhang 2). Für die Daten erstellen wir regelmässige Backups, um die Daten im Notfall wiederherstellen zu können.

• Wir setzen Firewalls (oder ähnliche Technologien) und Virenschutz ein (Letzterer ist für die Desktop-Computer der Mitarbeitenden des Auftragsverarbeiters vorgesehen und nur für Betriebssysteme, die ohne Virenschutz als unsicher gelten, z. B. Microsoft Windows, alle Versionen).

• Wir führen Schulungen zu Sicherheit und Datenschutz für unsere Mitarbeitenden durch.

• Wir verfügen über einen Notfallwiederherstellungsplan.

Verfahren zur regelmässigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen

Datenschutzmanagement

• Wir verfügen über einen Standard-Auftragsverarbeitungsvertrag.
• Wir verfügen über Datenschutzhinweise für die betroffenen Personen.
• Wir verfügen über ein Verfahren zur Erfüllung von Anfragen betroffener Personen zur Wahrnehmung ihrer Rechte.
• Wir führen Datenschutz-Folgenabschätzungen durch, soweit erforderlich.
• Wir verfügen über ein Schulungskonzept zu DSG / DSGVO / UK-DSGVO.
• Wir haben einen Datenschutzbeauftragten (Kontakt: privacy@peerdom.org).
• Wir haben einen DSGVO-Vertreter im Vereinigten Königreich (Swiss GRC UK Limited, The Nova Centre, 1 Purser Road, Northampton, NN1 4PG England, peerdom.dataprivacy@swissinfosec.de) und in der EU (VGS Datenschutzpartner GmbH, Am Kaiserkai 69, 20457 Hamburg, Deutschland, info@datenschutzpartner.eu).

Incident-Response-Management

• Wir verfügen über ein klar definiertes internes Verfahren zum Umgang mit Sicherheitsvorfällen.
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen:
  • Wir löschen Benutzerdateien entsprechend den Entscheidungen der Nutzenden und unserem Datenaufbewahrungskonzept (siehe oben unter Integrität).
  • Wir verfügen über ein Verfahren zur Erfüllung von Anfragen betroffener Personen zur Wahrnehmung ihrer Rechte.
  • Wir beschränken den Datenzugriff unseres Personals nach dem Need-to-know- und dem Least-Privilege-Prinzip.
  • Wir kommunizieren wesentliche Vorfälle über https://x.com/peerdomorg.

Auftragskontrolle: Keine Unterauftragsverarbeitung ohne vorherige Information des Verantwortlichen (Vorprüfung und Auswahl der Anbieter, Auftragsmanagement)

• Wir schliessen mit jedem Unterauftragsverarbeiter, der Zugang zu personenbezogenen Daten hat, Auftragsverarbeitungsverträge ab.
• Wir verfügen über ein Verfahren zur Auswahl geeigneter Unterauftragsverarbeiter im Einklang mit den Datenschutzanforderungen.
• Wir dokumentieren den Vertragsabschluss.
• Wir prüfen regelmässig die Einhaltung der Vorgaben durch unsere Unterauftragsverarbeiter, die Zugang zu personenbezogenen Daten haben.

Anhang 2: Liste der aktuellen Unterauftragsverarbeiter

Name, Sitz des Unterauftragsverarbeiters	Beschreibung der betroffenen Leistungsteile
Google GmbH Zürich, Schweiz	Datenverarbeitungstätigkeit: Hosting-Anbieter (Backend-Anwendung, Datenbank und Speicherung hochgeladener Dateien in Zürich, Schweiz, SSO sowohl für den Verantwortlichen als auch für den Auftragsverarbeiter) Datenschutzniveau: https://cloud.google.com/security/infrastructure DSGVO-Konformität: https://cloud.google.com/privacy/gdpr
Exoscale AG Lausanne, Schweiz	Datenverarbeitungstätigkeit: Hosting-Anbieter (DNS, Quellcode (selbst gehostetes Gitlab), Support-Tickets (selbst gehostetes Gitlab), internes Chat-System (selbst gehostetes Mattermost), Metriken (selbst gehostetes Matomo), Backups der Produktionsdatenbank) Datenschutzniveau: https://www.exoscale.com/security/ DSGVO-Konformität: https://www.exoscale.com/compliance/gdpr/
Infomaniak Network SA Genf, Schweiz	Datenverarbeitungstätigkeit: Hosting-Anbieter (Frontend-Anwendung) Datenschutzniveau: https://www.infomaniak.com/en/legal/general-data-protection-regulation DSGVO-Konformität: https://www.infomaniak.com/en/legal/general-data-protection-regulation
Libracore AG Saland, Schweiz	Datenverarbeitungstätigkeit: Hosting-Anbieter von ERPNext (Open-Source-ERP) (Speicherung von Rechnungsdaten) Datenschutzniveau: https://libracore.com/impressum DSGVO-Konformität: https://libracore.com/impressum
Stripe, Inc. San Francisco, USA	Datenverarbeitungstätigkeit: Abrechnung von Abonnements mittels Kreditkarte Datenschutzniveau: https://stripe.com/docs/security/stripe DSGVO-Konformität: https://stripe.com/dpa/legal
Mailgun, Inc. USA	Datenverarbeitungstätigkeit: Versand obligatorischer, transaktionaler E-Mails (z. B. Erinnerungen, Onboarding, Login-Aufforderungen usw.) Datenschutzniveau: https://www.mailgun.com/enterprise/security/ DSGVO-Konformität: https://www.mailgun.com/gdpr/
The Rocket Science Group, LLC Atlanta, USA	Datenverarbeitungstätigkeit: Versand optionaler Marketing-E-Mails in Form eines Newsletters mit Fokus auf Produktneuigkeiten unter Verwendung von Mailchimp Datenschutzniveau: https://mailchimp.com/about/security/ DSGVO-Konformität: https://mailchimp.com/gdpr/
Microsoft Corporation Seattle, USA	Datenverarbeitungstätigkeit: Empfang, Speicherung und Versand interner E-Mails sowie interner Dokumente (Verträge, Supportinformationen) unter Verwendung von Microsoft 365, SSO entweder für den Verantwortlichen (optional, als Teil des Abonnements bereitgestellt) oder für den Auftragsverarbeiter (typischerweise im Rahmen der Nutzung von Azure Active Directory) Datenschutzniveau: https://learn.microsoft.com/en-us/microsoft-365/security/?view=o365-worldwide DSGVO-Konformität: https://learn.microsoft.com/en-us/compliance/regulatory/gdpr