Auftragsbearbeitungsvertrag

1. Gegenstand, Rollen, Dauer

1.1 Dieser ADV gilt, soweit der Kunde in Kundeninhalten Personendaten bearbeitet. Der Kunde ist Verantwortlicher, die Natron Tech AG (die "Auftragsbearbeiterin") bearbeitet diese Personendaten ausschliesslich in seinem Auftrag. Der ADV ist automatisch Bestandteil des Vertrags gemäss den AGB.

1.2 Gegenstand ist das Speichern, Ausführen, Sichern und Übertragen der vom Kunden auf der Plattform betriebenen Anwendungen und Dienste. Art der Daten und Kreis der betroffenen Personen bestimmt allein der Kunde (z.B. Daten seiner Endnutzer, Mitarbeitenden oder Kunden); die Plattform gibt keine Kategorien vor.

1.3 Die Dauer entspricht der Laufzeit des Vertrags; die Pflichten aus Ziff. 9 überdauern dessen Ende.

2. Weisungen

Die Auftragsbearbeiterin bearbeitet die Personendaten nur auf dokumentierte Weisung des Kunden. Als Weisungen gelten der Vertrag sowie die vom Kunden über die Plattform, die API oder die CLI vorgenommenen Konfigurationen und ausgelösten Aktionen. Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, informiert sie den Kunden und darf deren Ausführung aussetzen.

3. Vertraulichkeit

Zur Bearbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff auf Kundeninhalte ist auf das für Betrieb, Support und Sicherheit Erforderliche beschränkt und wird protokolliert.

4. Datensicherheit

Die Auftragsbearbeiterin trifft die technischen und organisatorischen Massnahmen gemäss Anlage A und passt sie dem Stand der Technik laufend an, wobei das Schutzniveau insgesamt nicht unterschritten wird (Art. 8 DSG, Art. 32 DSGVO).

5. Unterauftragsbearbeiter

5.1 Der Kunde erteilt die generelle Genehmigung zum Beizug von Unterauftragsbearbeitern. Die aktuelle Liste (Anlage B) ist auf dieser Seite veröffentlicht.

5.2 Neue oder ersetzte Unterauftragsbearbeiter werden mindestens 30 Tage vor ihrem Einsatz angekündigt (E-Mail oder Hinweis in der Plattform). Widerspricht der Kunde aus berechtigten datenschutzrechtlichen Gründen, kann er den betroffenen Dienst auf den Einsatzzeitpunkt kündigen.

5.3 Die Auftragsbearbeiterin überbindet ihren Unterauftragsbearbeitern gleichwertige Datenschutzpflichten und bleibt für deren Leistungen verantwortlich, soweit Ziff. 14.2 der AGB nichts anderes bestimmt.

6. Unterstützung des Kunden

Die Auftragsbearbeiterin unterstützt den Kunden mit angemessenen Mitteln, insbesondere den Export- und Verwaltungsfunktionen der Plattform, bei der Beantwortung von Betroffenenanfragen, bei Datenschutz-Folgenabschätzungen und bei seinen Meldepflichten. Betroffenenanfragen, die direkt bei der Auftragsbearbeiterin eingehen, werden ohne unnötigen Verzug an den Kunden weitergeleitet und nicht selbst beantwortet.

7. Meldung von Datensicherheitsverletzungen

Die Auftragsbearbeiterin meldet dem Kunden jede Verletzung der Datensicherheit, die Kundeninhalte betrifft, so rasch als möglich, in der Regel innert 48 Stunden nach Feststellung. Die Meldung beschreibt die Art der Verletzung, die betroffenen Systeme und Datenkategorien, die getroffenen und geplanten Massnahmen sowie eine Kontaktstelle. Meldungen an Behörden oder betroffene Personen im Namen des Kunden erfolgen nur auf dessen Weisung.

8. Nachweise und Audits

Die Auftragsbearbeiterin dokumentiert die Einhaltung dieses ADV und stellt dem Kunden auf Anfrage die erforderlichen Informationen zur Verfügung, vorrangig in Form von Beschreibungen, Berichten oder Zertifikaten. Darüber hinausgehende Prüfungen sind höchstens einmal jährlich mit 30 Tagen Vorankündigung während der Geschäftszeiten möglich, dürfen den Betrieb und die Vertraulichkeit anderer Kunden nicht beeinträchtigen und erfolgen auf Kosten des Kunden.

9. Löschung und Rückgabe

Der Kunde exportiert seine Daten vor Vertragsende über die Exportfunktionen der Plattform. Nach Beendigung löscht die Auftragsbearbeiterin die Kundeninhalte einschliesslich Sicherungskopien innert angemessener Frist unwiderruflich, soweit keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt die Löschung auf Verlangen.

10. Bekanntgabe ins Ausland

Kundeninhalte werden ausschliesslich in der Schweiz gespeichert und bearbeitet und ohne Weisung des Kunden nicht ins Ausland bekanntgegeben. Für Unterauftragsbearbeiter gelten die in Anlage B ausgewiesenen Standorte und Garantien.

11. Schlussbestimmungen

Massgebend ist das DSG; soweit die DSGVO auf die Bearbeitung des Kunden anwendbar ist, gilt dieser ADV als Vertrag im Sinne von Art. 28 DSGVO. Die Haftung richtet sich nach Ziff. 14 der AGB, soweit gesetzlich zulässig. Im Übrigen gelten Recht und Gerichtsstand gemäss Ziff. 22 der AGB.

Anlage A: Technische und organisatorische Massnahmen (TOMs)

1. Betrieb in Rechenzentren in der Schweiz;
2. Verschlüsselung der Datenübertragung (TLS) und der Speicherung;
3. Mandantentrennung durch dedizierte Kubernetes-Namespaces und restriktive Netzwerkrichtlinien (Default-Deny, explizite Freigaben);
4. rollenbasierte Zugriffskontrolle, SSO/OIDC, Zwei-Faktor-fähige Anmeldung, kurzlebige Tokens;
5. Protokollierung administrativer Zugriffe und Aktionen (Audit-Log);
6. gehärtete Standardkonfigurationen (Ausführung ohne Root-Rechte, Registry-Kontrollen, automatische Sicherheitsupdates der Plattform);
7. regelmässige Backups mit Wiederherstellungstests;
8. Zutritts-, Strom- und Brandschutzkontrollen durch den Rechenzentrumsbetreiber;
9. dokumentierter Incident-Response-Prozess mit Meldewegen nach Ziff. 7.

Anlage B: Unterauftragsbearbeiter und Dienstleister

Unterauftragsbearbeiter für Kundeninhalte:

1. Rechenzentrums-/Infrastrukturbetreiber, Schweiz: Hosting der Plattform-Infrastruktur.

Dienstleister für Konto- und Abrechnungsdaten (Natron Tech AG als Verantwortliche, siehe Datenschutzerklärung):

1. Stripe, Inc., USA: Zahlungsabwicklung (Swiss-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln mit Schweiz-Annex);
2. bexio AG, Schweiz: Rechnungsstellung und Buchhaltung;
3. Resend, Inc., USA: Versand von Transaktions-E-Mails (Standardvertragsklauseln mit Schweiz-Annex).