Auftrags­bearbeitungs­vertrag

1. Parteien und Einbeziehung

Dieser Vertrag wird zwischen dem im zugehörigen FragAva-Kundenvertrag bezeichneten Betrieb als Verantwortlichem („Auftraggeber“) und der FragAva KLG, Scheuchzerstrasse 22, 8006 Zürich, Schweiz, hallo@fragava.com, als Auftragsbearbeiterin („FragAva“) geschlossen.

Der Auftraggeber und die für ihn handelnde Person werden bei der Annahme eindeutig dem Kundenvertrag zugeordnet. Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags. Ihre bei Annahme geltenden Fassungen werden mit dem Vertrag gespeichert und dem Auftraggeber zugänglich gemacht.

Dieser Vertrag konkretisiert die Bearbeitung nach Art. 9 des Schweizer Datenschutzgesetzes und, soweit anwendbar, Art. 28 DSGVO. Bei Widersprüchen zu allgemeinen Vertragsbedingungen gehen seine datenschutzbezogenen Regelungen vor. Anwendbare zwingende Vorschriften und vorrangige Standardvertragsklauseln bleiben unberührt.

2. Gegenstand und Dauer

FragAva bearbeitet personenbezogene Daten zur Bereitstellung der vom Auftraggeber aktivierten Kommunikations-, Wissens- und Organisationsfunktionen. Umfang, Kategorien und betroffene Personen ergeben sich aus Anlage 1 und den dokumentierten Einstellungen des Auftraggebers.

Die Auftragsbearbeitung beginnt mit der entsprechenden Freischaltung und dauert bis zur Rückgabe oder Löschung der im Auftrag verarbeiteten Daten nach Vertragsende. Während eines verbleibenden Rückgabe- oder Löschzeitraums gelten die Schutzpflichten fort.

Die eigene Verwaltung der Geschäftsbeziehung durch FragAva, insbesondere Ansprechpartner, Vertragsnachweise, Rechnungen und eigene rechtlich erforderliche Sicherheitsnachweise, ist keine Auftragsbearbeitung. FragAva darf diese Abgrenzung nicht dazu verwenden, Gäste- oder Mitarbeiterinhalte des Auftraggebers ohne eigene tragfähige Grundlage für zusätzliche Zwecke zu nutzen.

3. Weisungen und zulässige Zwecke

FragAva bearbeitet die Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Der Vertrag, die ausgewählten Funktionen und die im vorgesehenen Umfang vorgenommenen Einstellungen bilden die anfängliche Weisung. Weitere Weisungen können in Textform durch die hierzu berechtigten Personen erteilt werden.

Eine gesetzlich vorgeschriebene Verarbeitung ohne Weisung wird dem Auftraggeber vorab mitgeteilt, soweit das betreffende Recht dies nicht verbietet. Hält FragAva eine Weisung für datenschutzwidrig, informiert sie den Auftraggeber unverzüglich und darf die betroffene Umsetzung bis zur Klärung aussetzen.

FragAva verwendet die im Auftrag überlassenen personenbezogenen Inhalte nicht für Werbung, den Verkauf von Daten oder das Training eines allgemeinen betriebsübergreifenden KI-Modells. Funktionale Suchrepräsentationen und die Verbesserung der Wissenssuche innerhalb des beauftragten Betriebs sind nur im vereinbarten, erforderlichen Umfang zulässig. Eine zweckfremde Weiterverwendung durch Unterauftragnehmer darf nicht durch die Bezeichnung als „Produktverbesserung“ verdeckt werden.

4. Pflichten des Auftraggebers

Der Auftraggeber bestimmt die Zwecke, erforderlichen Datenkategorien, berechtigten Nutzer und zulässigen Einstellungen. Er stellt die Rechtmässigkeit seiner Weisungen sicher, informiert betroffene Personen und erfüllt gegebenenfalls erforderliche Einwilligungs- und arbeitsrechtliche Voraussetzungen.

Vor Verarbeitung besonderer Datenkategorien, insbesondere Gesundheitsdaten, legt er die einschlägige zusätzliche Voraussetzung fest. Eine allgemeine Zustimmung zu AGB genügt hierfür nicht. Er begrenzt eingegebene und importierte Informationen auf den erforderlichen Umfang und hält sie aktuell.

Diese Pflichten entbinden FragAva nicht von ihren eigenen gesetzlichen und vertraglichen Verpflichtungen.

5. Vertraulichkeit und Personal

FragAva beschränkt den Zugang auf Personen, die ihn für die vereinbarte Aufgabe benötigen. Diese Personen werden zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Pflicht. Sie werden angemessen über die datenschutzbezogenen Anforderungen ihres Zugangs informiert.

Administrations- und Supportzugriffe dürfen nur aufgabenbezogen erfolgen. Berechtigungen werden beim Wegfall des Bedarfs entzogen. Die Verpflichtung zur Vertraulichkeit besteht nach dem Ende der Tätigkeit fort.

6. Sicherheit

FragAva trifft angemessene technische und organisatorische Massnahmen unter Berücksichtigung des Stands der Technik, des Umfangs der Verarbeitung und der Risiken für betroffene Personen. Die vereinbarten Mindestmassnahmen sind in Anlage 2 beschrieben.

Massnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert. FragAva unterstützt den Auftraggeber bei dessen Sicherheitsbeurteilung durch angemessene Informationen; eine Zertifizierung wird nur behauptet, wenn sie tatsächlich vorliegt und für den betroffenen Dienst gilt.

7. Unterauftragnehmer

Der Auftraggeber genehmigt die in der bei Vertragsschluss freigegebenen Anlage 3 einzeln bezeichneten Unterauftragnehmer für die dort aufgeführten Aufgaben und Daten. Dienste des Auftraggebers, etwa sein eigener WhatsApp-Vertrag, sind von Unteraufträgen durch FragAva zu unterscheiden.

FragAva informiert mindestens 30 Tage vor der beabsichtigten Hinzunahme oder Ersetzung eines Unterauftragnehmers in Textform unter Angabe der Aufgabe, Datenkategorien, Verarbeitungsländer und einschlägigen Garantien. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung werden die betroffenen Daten diesem neuen Anbieter nicht übermittelt.

Die Parteien suchen eine zumutbare Lösung, etwa eine alternative Verarbeitung oder die Deaktivierung einer abgrenzbaren Funktion. Ist keine vertragsgemässe Alternative möglich, kann der Auftraggeber die betroffene Leistung vor dem Wechsel ohne zusätzliche Beendigungsgebühr kündigen. Nicht verbrauchte Vorauszahlungen für diese Leistung werden erstattet.

FragAva verpflichtet Unterauftragnehmer vertraglich zu einem der jeweiligen Aufgabe entsprechenden Datenschutz und mindestens den erforderlichen Schutzpflichten dieses Vertrags. Sie bleibt gegenüber dem Auftraggeber für die Erfüllung der übernommenen Auftragsbearbeitung verantwortlich. Eine Unterauftragnehmerliste des Dienstleisters ersetzt diese Vertragsbindung nicht.

8. Auslandübermittlungen

Verarbeitungsländer und zulässige Übermittlungsmechanismen werden in Anlage 3 konkret dokumentiert. Eine pauschale Genehmigung zur Verarbeitung an beliebigen weltweiten Orten wird nicht erteilt.

Vor einer Übermittlung in einen Staat ohne anerkanntes angemessenes Datenschutzniveau stellt FragAva die erforderlichen geeigneten Garantien, ergänzenden Prüfungen und gegebenenfalls Zusatzmassnahmen sicher. Änderungen werden nach dem Verfahren für Unterauftragnehmer beziehungsweise wesentliche Verarbeitungsänderungen behandelt.

Eine auftraggeberseitige Weisung oder Zustimmung ersetzt keine zwingende Voraussetzung für eine internationale Übermittlung. FragAva informiert über rechtlich erhebliche Hindernisse und setzt die betroffene Übermittlung nötigenfalls aus.

9. Betroffenenrechte

Geht bei FragAva eine Anfrage zu Daten des Auftraggebers ein, leitet sie diese ohne unangemessene Verzögerung an ihn weiter. Ohne Weisung trifft sie keine eigenständige Sachentscheidung, soweit keine gesetzliche Pflicht entgegensteht.

FragAva unterstützt den Auftraggeber unter Berücksichtigung der Verarbeitung dabei, Daten zu finden, Auskünfte zu erstellen, Angaben zu berichtigen sowie Löschungen, Einschränkungen und Übertragungen auszuführen. Die Unterstützung umfasst erforderlichenfalls technische Rohereignisse, zuordenbare Suchhilfen und Daten bei Unterauftragnehmern. Eine fehlende Schaltfläche im Produkt beschränkt diese Verpflichtung nicht.

Für gesonderten, aussergewöhnlichen Aufwand kann vorab eine angemessene Vergütung vereinbart werden. Die Erfüllung zwingender Pflichten und gesetzlicher Fristen darf nicht durch eine offene Kostenfrage verhindert werden; Aufwand zur Beseitigung einer von FragAva verursachten Pflichtverletzung wird dem Auftraggeber nicht gesondert berechnet.

10. Datenschutzverletzungen und Unterstützung

FragAva informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes der in seinem Auftrag bearbeiteten Daten. Sie wartet nicht auf eine abschliessende Untersuchung oder die Feststellung eines hohen Risikos.

Die Meldung enthält, soweit bereits bekannt, Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, mögliche Folgen, ergriffene oder vorgesehene Gegenmassnahmen und eine Kontaktstelle. Fehlende Informationen werden schrittweise nachgereicht. FragAva dokumentiert den Vorfall und unterstützt die Eindämmung und Abhilfe.

Der Auftraggeber entscheidet über seine Meldungen an Behörden und betroffene Personen. Eigene zwingende Meldepflichten von FragAva bleiben unberührt. FragAva unterstützt den Auftraggeber ferner angemessen bei Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen, soweit ihre Verarbeitung betroffen ist.

11. Nachweise und Kontrollen

FragAva stellt die zur Beurteilung der Einhaltung dieses Vertrags erforderlichen Informationen bereit. Der Auftraggeber darf selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer angemessene Kontrollen durchführen.

Die Parteien stimmen Umfang und Zeitpunkt so ab, dass andere Kunden, Sicherheitsgeheimnisse und der Betrieb geschützt werden. Geeignete aktuelle Prüfberichte können zur Vermeidung doppelter Kontrollen herangezogen werden. Sie schliessen eine sachlich erforderliche weitergehende Prüfung nicht aus. Bei konkreten Vorfällen oder gesetzlicher Dringlichkeit sind kurzfristige Kontrollen möglich. Gesetzliche Befugnisse von Aufsichtsbehörden werden nicht eingeschränkt.

12. Rückgabe und Löschung

Nach Ende der vereinbarten Verarbeitung gibt FragAva die Daten nach Wahl des Auftraggebers zurück oder löscht sie. Nach Rückgabe werden verbleibende Kopien gelöscht, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Ohne abweichende Weisung wird dem Auftraggeber zunächst für 30 Tage ein Datenabruf beziehungsweise eine Rückgabe ermöglicht; anschliessend erfolgt die Löschung.

Eine rechtmässige frühere Löschweisung wird beachtet. Erforderliche technische Nachläufe und Backupfristen müssen konkret in der freigegebenen Aufbewahrungsanlage bezeichnet sein. Während eines unvermeidbaren Nachlaufs werden die betreffenden Daten gesperrt, nicht für neue Zwecke genutzt und nach einem Wiederherstellungsfall erneut gelöscht. Eine unbestimmte unbegrenzte Backupausnahme ist nicht vereinbart.

Gesetzlich aufzubewahrende eigene Geschäftsunterlagen von FragAva werden getrennt und zweckgebunden behandelt. FragAva dokumentiert die Erledigung einer Rückgabe beziehungsweise Löschung und bestätigt sie auf Anforderung.

13. Schlussbestimmungen

Im Übrigen gelten die wirksam vereinbarten Regelungen des Hauptvertrags. Dieser Vertrag begrenzt keine gesetzlichen Ansprüche betroffener Personen. Für Kontakte und Weisungen steht hallo@fragava.com zur Verfügung; die zuständige Kontaktperson des Auftraggebers ergibt sich aus seiner Vertragsverwaltung.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand: Technische Bereitstellung der für den Betrieb freigeschalteten FragAva-Funktionen.

Verarbeitungsvorgänge: Erheben, Empfangen, Strukturieren, Speichern, Suchen, Transkribieren, Übersetzen, Erstellen von Suchrepräsentationen, Zuordnen, regelbasierte Ausführung, Übermitteln an berechtigte Empfänger, Exportieren, Berichtigen und Löschen.

Funktion	Personen	Daten	Zweck
Gästeanfragen	Gäste, Ansprechpartner des Betriebs	Telefonnummer, Profilname, Sprache, Texte, Audio und Transkript, Kontext	Fragen beantworten und Rückfragen weiterleiten
Reservationen und Abholung	Gäste und mitreservierte Personen, soweit benannt	Name, Kontaktdaten, Termin, Personenzahl, Positionen, Wünsche, Status und Rückfragen	Anfrage, Annahme, Änderung, Stornierung und betriebliche Durchführung
Teamfunktionen	Mitarbeitende und Leitung	Kontaktangaben, Rollen, Fragen, Antworten, Dokumente, Lesestatus, Checklisten, Fotos	Betriebliche Information und Organisation
Abwesenheiten, falls aktiviert	Mitarbeitende	Tatsache und Zeitraum der Abwesenheit; Freitext kann zusätzliche Angaben enthalten	Organisation durch den Auftraggeber
Wissen und Import	In Inhalten genannte Personen	Betriebsdaten, Seiten, Dateien, Dokumente, Suchhilfen	Bereitstellung der freigegebenen Wissensbasis
Technischer Betrieb	Alle genannten Gruppen	Kennungen, technische Ereignisse, Zeitpunkte, Zustellstatus und erforderliche Fehlerdaten	Zuverlässige Verarbeitung, Fehlerbehebung und Missbrauchsschutz

Besondere Kategorien: Gesundheitsangaben können insbesondere in Allergiehinweisen, Nachrichten und Abwesenheitsmeldungen vorkommen. Sie sind nur bei tatsächlich erfüllten zusätzlichen Voraussetzungen und erforderlichen Schutzmassnahmen vom Auftrag umfasst. Diagnosen und andere nicht erforderliche Informationen sind auszuschliessen. Das Produkt darf nicht als pauschal freigegebenes System für beliebige Gesundheitsakten verstanden werden.

Dauer: Nach Hauptvertrag und Ziffer 12. Regelmässige funktionsbezogene Fristen sind in der Datenschutzerklärung beschrieben; die Weisung des Auftraggebers kann kürzere zulässige Fristen vorsehen. Eine darüber hinausgehende Aufbewahrung besonderer Datenkategorien bedarf einer dokumentierten Erforderlichkeitsprüfung.

Anlage 2 – Vereinbarte technische und organisatorische Mindestmassnahmen

Diese Anlage legt die geschuldeten Massnahmen fest. Sie ist kein Prüfbericht und enthält keine Zusage einer ISO-Zertifizierung. Der Einsatz muss vor Beginn der entsprechenden Verarbeitung diese Anforderungen erfüllen.

1. Zugangs- und Berechtigungsverwaltung: Individuelle Konten, rollenbezogene Berechtigungen, Schutz privilegierter Konten, angemessene Authentifizierung und unverzüglicher Entzug entfallener Zugriffe. Privilegierte Verwaltungszugänge werden mit Mehrfaktorauthentifizierung geschützt, soweit technisch verfügbar; andernfalls ist ein gleichwertiger Schutz zu dokumentieren.
2. Mandantentrennung: Betriebszuordnung in Datenzugriffen und Suchfunktionen, geeignete Datenbankregeln sowie Prüfung der serverseitigen Berechtigung. Administrative Schlüssel dürfen nicht an normale Clients ausgegeben werden. Gemeinsame Infrastruktur hebt die Trennung der Zugriffsrechte nicht auf.
3. Übertragung und Geheimnisse: Verschlüsselte Kommunikationswege nach Stand der Technik; kontrollierte Speicherung und Rotation von Zugangsdaten und Schlüsseln; keine Geheimnisse in öffentlich zugänglichem Quellcode, Protokollen oder Exporten.
4. Administration und Nachvollziehbarkeit: Beschränkung und angemessene Dokumentation relevanter administrativer Eingriffe, definierter Supportzweck, Prüfung ungewöhnlicher Zugriffe und Schutz der Protokolle. Keine unkontrollierte Nutzung von Anmeldelinks zur Einsicht in fremde Betriebe.
5. Verfügbarkeit und Wiederherstellung: Ein dem Risiko entsprechendes Sicherungs- und Wiederherstellungskonzept mit dokumentierter Frequenz, Fristen, Zugriffsrechten und regelmässiger Wiederherstellungsprüfung. Das Konzept muss insbesondere die betroffenen Datenbanken und Dateien abdecken. Die konkreten Parameter werden als Betriebsnachweis vorgelegt; nicht vorhandene Sicherungen dürfen nicht als vorhanden ausgewiesen werden.
6. Datenminimierung und Löschung: Begrenzte Eingaben, sachgerechte Protokollierung, Kontrolle personenbezogener Inhalte in Fehlermeldungen, funktionsbezogene Löschregeln und Verfahren für Einzelrechte. Kopien in Freitext, Suchindizes, Rohereignissen und Unterauftragssystemen werden berücksichtigt.
7. Entwicklung und Tests: Überprüfung relevanter Änderungen, kontrollierte Veröffentlichung und geeignete Trennung von Test- und Produktionsverarbeitung. Tests mit echten Daten dürfen nur bei tragfähiger Grundlage und erforderlichem Umfang erfolgen. Testkennzeichnungen allein ersetzen keine Zugriffstrennung.
8. Dienstleister und Personal: Dokumentierte Freigabe der Anbieter, wirksame Vereinbarungen, Prüfung wesentlicher Änderungen, Vertraulichkeitsbindung und aufgabenbezogene Unterweisung der zugriffsberechtigten Personen.
9. Vorfallmanagement: Erreichbare Zuständigkeit, Erkennung und Bearbeitung von Vorfällen, Meldung an den Auftraggeber nach Ziffer 10 sowie dokumentierte Abhilfe.
10. Regelmässige Kontrolle: Risikobezogene Überprüfung der Wirksamkeit, insbesondere bei neuen Funktionen, Datenarten oder Anbietern. Erforderliche Verbesserungen werden dokumentiert und umgesetzt.

Anlage 3 – Unterauftragnehmer, Länder und Aufbewahrung

Die bei Vertragsschluss freigegebene Fassung des Anbieter- und Übermittlungsregister ist Bestandteil dieses Vertrags. Sie muss für jeden Unterauftrag mindestens den konkreten Rechtsträger, Aufgabe, betroffene Daten, Verarbeitungsländer, geltende Übermittlungsgrundlage und erforderliche Speicher-/Löschangaben enthalten.

Das Register unterscheidet zwischen eigenen Auftragnehmern von FragAva und direkt vom Auftraggeber beauftragten Diensten. Spätere Änderungen unterliegen Ziffer 7 und 8 dieses Vertrags.