Auftragsbearbeitungsvertrag (AVV / DPA)
Für B2B-Kunden · revDSG Art. 9 (Schweizer Datenschutzgesetz)
Wann brauchen Sie einen AVV?
Wenn Ihre Organisation (Gemeinde, Firma, Verein) Personendaten Dritter (Mitarbeitende, Kundinnen und Kunden, Bürgerinnen und Bürger) über die Plattform bearbeitet, sind Sie nach Art. 9 revDSGverpflichtet, mit dem Betreiber einen schriftlichen Auftragsbearbeitungsvertrag abzuschliessen. Verstösse können mit Bussen bis zu CHF 250'000 geahndet werden (revDSG Art. 60 ff.). Bearbeiten Sie zusätzlich Daten von EU-Datensubjekten, gilt parallel Art. 28 DSGVO.
Was der AVV regelt
Inhaltlich setzt ein AVV nach Art. 28 Abs. 3 DSGVO mindestens fest:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Kategorien betroffener Personen und Datenarten
- Pflichten und Rechte des Verantwortlichen (Kunde) und Auftragsverarbeiters (Betreiber)
- Technische und organisatorische Massnahmen (TOMs)
- Unterauftragsverarbeiter und ihre Aufnahme/Ablehnung
- Unterstützung bei Betroffenenrechten und Datenpannen
- Löschung oder Rückgabe der Daten nach Vertragsende
Was der Betreiber als Auftragsverarbeiter zusichert
- Datenverarbeitung nur auf dokumentierte Weisung des Verantwortlichen. Standard-Anwendungsfall: Chatbot-Antworten auf Basis der von Ihnen bereitgestellten Dokumente.
- Vertraulichkeit: alle Mitarbeitenden und Subunternehmen sind zur Verschwiegenheit verpflichtet.
- Technische und organisatorische Massnahmen gemäss Art. 32 DSGVO: Verschlüsselung at-rest und in-transit nach Industriestandard, strikte Organisations-Isolation auf Datenbank- Ebene, Audit-Log, Zugriffskontrolle, regelmässige Backups, Härtung der Server (siehe Datenschutzerklärung Abschnitt 9; detaillierte technische Spezifikation auf Anfrage unter NDA).
- Unterstützung bei Betroffenenrechten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit): Self-Service über Einstellungen, manuelle Unterstützung auf Anfrage.
- Meldung von Datenschutzverletzungen innert 72 Stunden nach Kenntnisnahme (DSGVO Art. 33).
- Löschung oder Rückgabe aller Daten nach Vertragsende (nach Ihrer Wahl).
- Unterstützung bei Datenschutz-Folgenabschätzungen (DSFA) gemäss DSGVO Art. 35.
- Audit-Recht: Sie dürfen die Einhaltung dieser Pflichten einmal jährlich überprüfen, mit 14 Tagen Vorankündigung.
Liste der Unterauftragsverarbeiter
Folgende Unterauftragsverarbeiter setzt der Betreiber für den Betrieb der Plattform ein. Sie werden über Änderungen mindestens 30 Tage im Voraus informiert und können neuen Unterauftragsverarbeitern widersprechen.
| Anbieter | Sitz | Zweck | Datenarten |
|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, DE (Hosting in Falkenstein, DE) | Hosting der Anwendung (Server, DB, Objekt-Speicher) in der EU, DSGVO-konform | Alle Daten (verschlüsselt at-rest) |
| Eigenbetrieb (kein Dritter) | Schweiz | KI-Inferenz souverän auf eigener Infrastruktur in der Schweiz | Nur zur Antwortzeit verarbeitete Eingaben (keine dauerhafte Speicherung beim Modell) |
| Cloudflare Inc. | San Francisco, US | DNS, CDN, DDoS-Schutz | IP-Adressen, Request-Header, Routing-Metadaten (keine Inhalte) |
Wie schliesse ich den AVV ab?
Schreiben Sie eine E-Mail an [email protected] mit dem Betreff «AVV-Anfrage» und folgenden Angaben:
- Firmenname, Adresse, Land
- UID / Handelsregister-Nummer (sofern vorhanden)
- Ansprechperson und deren Funktion (z. B. Datenschutzbeauftragte)
- Art der zu verarbeitenden Daten und Zweck
- Voraussichtliche Anzahl betroffener Personen
- Ggf. besondere Anforderungen (sektorspezifische Vorgaben wie FINMA- Rundschreiben, HIPAA, ISO 27018)
Der Betreiber sendet Ihnen innert 5 Werktagen den AVV-Entwurf in zwei Exemplaren zur elektronischen Unterzeichnung (PDF, qualifizierte elektronische Signatur oder einfache Unterschrift). Der AVV wird mit Unterzeichnung beider Parteien Vertragsbestandteil.
Mustertext zum Download
Häufige Fragen
Brauche ich auch als kleine Gemeinde einen AVV?
Ja. Das revDSG kennt keine Schwelle nach Organisationsgrösse. Sobald Sie Personendaten Dritter bearbeiten (Einwohnerdaten, Steuerakten, Sozialleistungen, Personalakten), brauchen Sie einen AVV mit jedem Auftragsbearbeiter.
Kann ich den AVV auf meinem eigenen Muster verwenden?
Grundsätzlich ja. Der Betreiber prüft Ihren Muster-AVV gerne und meldet sich mit ggf. notwendigen Anpassungen oder Ergänzungsanhängen (insbesondere zu Unter-Auftragsbearbeitern und TOMs).
Gilt der AVV auch unter DSGVO?
Ja. Art. 9 revDSG ist mit Art. 28 DSGVO weitgehend kongruent. Der gleiche AVV erfüllt beide Regelwerke. Massgebend für Schweizer Kunden ist jedoch primär das revDSG.