Vereinbarung über die Auftragsverarbeitung von Personendaten (AVV)

1. Gegenstand und Dauer

1.1 Gegenstand dieser AVV ist die Bearbeitung von Personendaten durch espressino im Auftrag des Vereins im Rahmen der Bereitstellung von strokebook gemäss den AGB. Umfang, Art und Zweck der Bearbeitung, die Kategorien der Personendaten und die Kreise der betroffenen Personen sind in Anhang 1 beschrieben.

1.2 Die Dauer dieser AVV richtet sich nach der Laufzeit des Hauptvertrags gemäss den AGB. Eine Kündigung des Hauptvertrags gilt im Zweifel auch als Kündigung dieser AVV. Diese AVV kann während der Laufzeit des Hauptvertrags nicht separat gekündigt werden.

1.3 Die inhaltliche Verwaltung der Vereinsdaten und die Verantwortung für die Zulässigkeit der Datenbearbeitung obliegen dem Verein. espressino bearbeitet die Vereinsdaten ausschliesslich im Auftrag und nach Weisung des Vereins.

2. Anwendbares Datenschutzrecht

2.1 Massgeblich ist das Schweizer Bundesgesetz über den Datenschutz (DSG) samt Verordnung. Soweit auf die Datenbearbeitung des Vereins zusätzlich die Verordnung (EU) 2016/679 (DSGVO) anwendbar ist, erfüllt diese AVV zugleich die Anforderungen von Art. 28 DSGVO; Begriffe dieser AVV sind diesfalls im Sinne der DSGVO auszulegen («Bearbeiten» entspricht «Verarbeiten», «Personendaten» entspricht «personenbezogene Daten»).

3. Rollenabgrenzung: Vereinskontext und persönliche Mitgliederkonten

3.1 Diese AVV gilt für Personendaten, die im Vereinskontext bearbeitet werden, das heisst für Daten, die der Verein oder seine Mitglieder im Rahmen der Vereinsorganisation in strokebook erfassen oder die dabei generiert werden (insbesondere Fahrtenbucheinträge, Bootsreservationen und vom Verein verwaltete Mitgliederstammdaten). Insoweit ist der Verein Verantwortlicher und espressino Auftragsverarbeiterin. Diese AVV gilt auch für die Bearbeitung von Personendaten im Vereinskontext im Rahmen von Funktionen, die als «Beta» oder «experimentell» gekennzeichnet sind (Ziff. 3.4 der AGB); Dienstleister, die für solche Funktionen eingesetzt werden, gelten als Subunternehmer im Sinne von Ziff. 7.

3.2 Nicht Gegenstand dieser AVV sind Personendaten, die ein Mitglied in seinem persönlichen Konto im persönlichen Kontext erfasst oder generiert (zum Beispiel persönliche Kontoeinstellungen sowie künftige persönliche Funktionen wie individuelle Trainingsdaten). Insoweit ist espressino eigenständige Verantwortliche; es gelten die Nutzungsbedingungen für persönliche Konten und die Datenschutzerklärung von espressino. Persönliche Konten sind an die Mitgliedschaft im Verein gebunden; endet die Mitgliedschaft oder der Hauptvertrag des Vereins, wird das Konto gemäss den Nutzungsbedingungen geschlossen.

3.3 Wird derselbe Datensatz in beiden Kontexten verwendet (zum Beispiel eine Fahrt, die sowohl im Vereinsfahrtenbuch erscheint als auch im persönlichen Konto des Mitglieds), gilt: für die Kopie beziehungsweise Sicht im Vereinskontext ist der Verein Verantwortlicher, für die Kopie beziehungsweise Sicht im persönlichen Kontext espressino. Die Löschung im einen Kontext lässt den anderen Kontext unberührt.

4. Weisungen

4.1 espressino bearbeitet die Personendaten ausschliesslich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Vereins (einschliesslich der Bekanntgabe von Personendaten ins Ausland), sofern keine gesetzliche Pflicht zur Bearbeitung besteht. In einem solchen Fall informiert espressino den Verein vor der Bearbeitung über die gesetzliche Anforderung, sofern das Gesetz eine solche Mitteilung nicht verbietet.

4.2 Der Verein erteilt seine allgemeinen Weisungen über die in strokebook bereitgestellten Funktionen, Eingaben und Konfigurationen. espressino ist nicht verpflichtet, andersartige Einzelweisungen auszuführen; ausgenommen ist die Weisung zur Löschung aller im Auftrag bearbeiteten Daten, die espressino immer ausführt, wenn sichergestellt ist, dass sie von einer vertretungsberechtigten Person des Vereins stammt. Löschweisungen bedürfen mindestens der Textform.

4.3 Hält espressino eine Weisung für datenschutzwidrig, informiert sie den Verein unverzüglich und darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wird.

4.4 Weisungsberechtigt sind die Personen, die den Verein wirksam vertreten können, sowie die in strokebook als Administratoren des Vereins definierten Personen. Bei widersprüchlichen Weisungen gilt Ziff. 6.7 der AGB.

5. Vertraulichkeit

5.1 espressino setzt für die Bearbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterstehen und die zuvor mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden.

6. Technische und organisatorische Massnahmen

6.1 espressino trifft die in Anhang 2 beschriebenen technischen und organisatorischen Massnahmen, um ein dem Risiko angemessenes Schutzniveau hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme zu gewährleisten.

6.2 Die Massnahmen unterliegen dem technischen Fortschritt. espressino darf alternative adäquate Massnahmen umsetzen, sofern das Sicherheitsniveau der festgelegten Massnahmen nicht unterschritten wird. Wesentliche Änderungen teilt espressino dem Verein in Textform mit.

6.3 espressino überprüft die Wirksamkeit der Massnahmen regelmässig und führt ein Verzeichnis der Kategorien der im Auftrag des Vereins durchgeführten Bearbeitungstätigkeiten.

7. Subunternehmer

7.1 Der Verein stimmt dem Einsatz der in Anhang 3 aufgeführten Subunternehmer zu. Als Subunternehmer gelten Dienstleister, deren Leistung sich unmittelbar auf die Erbringung der Hauptleistung bezieht; Nebenleistungen (zum Beispiel Telekommunikation oder Entsorgung von Datenträgern) gelten nicht als Unterauftragsverhältnisse, wobei espressino auch dafür angemessene Vertraulichkeits- und Kontrollmassnahmen trifft.

7.2 espressino schliesst mit jedem Subunternehmer eine Vereinbarung, die diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diese AVV espressino. Kommt ein Subunternehmer seinen Datenschutzpflichten nicht nach, haftet espressino dem Verein für die Einhaltung der Pflichten dieses Subunternehmers wie für eigenes Verhalten.

7.3 Neue Subunternehmer. Beabsichtigt espressino, einen neuen Subunternehmer beizuziehen oder einen bestehenden zu ersetzen, informiert sie den Verein mindestens 30 Tage im Voraus in Textform. Der Verein kann der Änderung innert dieser Frist aus berechtigten datenschutzrechtlichen Gründen in Textform widersprechen. Können sich die Parteien im Fall eines Widerspruchs nicht einigen, kann der Verein den Hauptvertrag ausserordentlich auf den Zeitpunkt des geplanten Einsatzes des neuen Subunternehmers kündigen; bis zu diesem Zeitpunkt setzt espressino den neuen Subunternehmer für Daten des Vereins nicht ein.

8. Ort der Bearbeitung und Datenexporte

8.1 Die Bearbeitung erfolgt in der Schweiz und im Europäischen Wirtschaftsraum (EWR) sowie, für einzelne in Anhang 3 ausgewiesene Leistungen (namentlich die Auslieferung der Web-Applikation über ein weltweites CDN sowie Support- und Betriebszugriffe aus Drittstaaten), in Staaten ausserhalb der Schweiz und des EWR; Ziff. 8.2 bleibt vorbehalten. Die Hosting-Region der produktiven Systeme ist in Anhang 3 ausgewiesen.

8.2 Eine Bekanntgabe von Personendaten in Staaten ohne angemessenes Datenschutzniveau erfolgt nur gestützt auf geeignete Garantien, insbesondere die von der EU-Kommission erlassenen und vom EDÖB anerkannten Standardvertragsklauseln mit den für die Schweiz erforderlichen Anpassungen, oder gestützt auf einen anderen gesetzlich zulässigen Übermittlungsmechanismus. Beabsichtigt espressino, sich künftig auf einen anderen Mechanismus zu stützen, teilt sie dies dem Verein vorab mit.

9. Unterstützung des Vereins

9.1 Wendet sich eine betroffene Person (zum Beispiel ein Vereinsmitglied) bezüglich ihrer Rechte im Vereinskontext direkt an espressino, leitet espressino das Ersuchen an den Verein weiter beziehungsweise verweist die betroffene Person an den Verein und informiert ihn. espressino entscheidet nicht selbst über solche Ersuchen.

9.2 espressino unterstützt den Verein im Rahmen ihrer Möglichkeiten mit geeigneten technischen und organisatorischen Massnahmen bei der Erfüllung der Rechte betroffener Personen (insbesondere Auskunft, Berichtigung, Löschung, Datenherausgabe) sowie bei der Einhaltung der Pflichten zur Datensicherheit, zur Meldung von Verletzungen der Datensicherheit, zu Datenschutz-Folgenabschätzungen und zu allfälligen Konsultationen der Aufsichtsbehörde.

9.3 Für Unterstützungsleistungen, die über die in strokebook bereitgestellten Funktionen hinausgehen und nicht auf ein Fehlverhalten von espressino zurückzuführen sind, kann espressino eine angemessene Zusatzvergütung nach Aufwand verlangen.

10. Meldung von Verletzungen der Datensicherheit

10.1 espressino meldet dem Verein unverzüglich jede Verletzung der Datensicherheit, die Personendaten aus dem Verantwortungsbereich des Vereins betrifft. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und Personenkreise, die voraussichtlichen Folgen sowie die ergriffenen und vorgeschlagenen Massnahmen.

10.2 Die Beurteilung und allfällige Meldung an die zuständige Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Verein als Verantwortlichem. espressino unterstützt den Verein dabei gemäss Ziff. 9.

11. Nachweis und Kontrollrechte

11.1 espressino stellt dem Verein auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus dieser AVV erforderlich sind.

11.2 Der Verein kann die Einhaltung dieser AVV höchstens einmal jährlich sowie bei konkretem Anlass überprüfen oder durch einen geeigneten, zur Vertraulichkeit verpflichteten Dritten überprüfen lassen, der nicht in einem Wettbewerbsverhältnis zu espressino steht. Kontrollen erfolgen nach Voranmeldung von in der Regel mindestens vier Wochen, während der üblichen Geschäftszeiten, auf Kosten des Vereins und ohne Störung des Betriebs.

11.3 espressino kann den Nachweis stattdessen durch aktuelle Testate, Berichte oder Zertifizierungen unabhängiger Stellen erbringen (zum Beispiel ISO 27001 oder SOC 2 der eingesetzten Infrastrukturanbieter), sofern diese dem Verein eine angemessene Beurteilung ermöglichen. Geschäftsgeheimnisse von espressino und Daten anderer Kunden sind von der Kontrolle ausgenommen. Für die Unterstützung bei Kontrollen kann espressino eine angemessene Zusatzvergütung nach Aufwand verlangen.

12. Löschung und Rückgabe

12.1 Kopien oder Duplikate der Vereinsdaten erstellt espressino nur, soweit dies zur ordnungsgemässen Leistungserbringung erforderlich ist (zum Beispiel Sicherheitskopien, Tests im Rahmen von Releases, Fehleranalyse).

12.2 Nach Vertragsende gilt das Exportfenster von 60 Tagen gemäss Ziff. 10.5 der AGB. Nach dessen Ablauf löscht espressino sämtliche im Auftrag des Vereins bearbeiteten Personendaten innert angemessener technischer Frist; Sicherungskopien werden mit dem regulären Rotationszyklus von maximal sieben Tagen überschrieben. espressino bestätigt dem Verein die Löschung auf Anfrage in Textform. Ausgenommen sind Daten, die espressino aufgrund gesetzlicher Aufbewahrungspflichten weiter aufbewahren muss, sowie Daten in persönlichen Mitgliederkonten (Ziff. 3.2); für diese ist espressino eigenständige Verantwortliche, und ihre Löschung richtet sich nach der Datenschutzerklärung. Endet der Hauptvertrag, werden auch die persönlichen Konten der Mitglieder des Vereins geschlossen; die Mitglieder werden gemäss den Nutzungsbedingungen für persönliche Konten vorgängig informiert, und die Daten werden innert 30 Tagen gelöscht, vorbehältlich gesetzlicher Aufbewahrungspflichten.

13. Haftung

13.1 Für die Haftung aus oder im Zusammenhang mit dieser AVV gelten die Haftungsregeln der AGB, insbesondere die Haftungsbegrenzung gemäss Ziff. 13 der AGB. Zwingende gesetzliche Haftungsbestimmungen bleiben vorbehalten.

13.2 Wendet sich eine betroffene Person direkt an espressino und erlangt sie von espressino Schadenersatz, hat der Verein espressino den daraus entstandenen Schaden zu ersetzen, soweit espressino dem Verein nach dieser AVV und den AGB für die betreffende Verletzung nicht gehaftet hätte, insbesondere wenn espressino sich an die Vereinbarungen und Weisungen des Vereins gehalten hat.

14. Schlussbestimmungen

14.1 Soweit diese AVV keine Sonderregelungen enthält, gelten die AGB. Änderungen dieser AVV erfolgen nach dem Verfahren gemäss Ziff. 17 der AGB.

14.2 Diese AVV untersteht schweizerischem Recht unter Ausschluss des Kollisionsrechts und des UN-Kaufrechts. Ausschliesslicher Gerichtsstand ist Zürich.

Anhang 1: Gegenstand der Bearbeitung

Anhang 2: Technische und organisatorische Massnahmen (TOMs)

Anhang 3: Subunternehmer

Die zugelassenen Subunternehmer sind in der separaten Subunternehmerliste strokebook aufgeführt, die integrierender Bestandteil dieser AVV ist. Die jeweils aktuelle Fassung ist auf strokebook.club abrufbar. Für die Aufnahme neuer Subunternehmer gilt Ziff. 7.3 dieser AVV.