Auftragsbearbeitung
Auftragsbearbeitung.
Vertragspartnerin auf Anbieterseite ist Rima Hallaoui, handelnd unter Rewalz, Alderwies 6, 8700 Küsnacht, Schweiz. Wer Personaldaten in einer fremden Software bearbeitet, braucht dafür einen Vertrag. Diese Seite ist seine Fassung im Klartext. Sie gilt zwischen dem Kundenunternehmen als verantwortlicher Stelle und Rewalz als Auftragsbearbeiterin, ergänzend zu den Allgemeinen Geschäftsbedingungen. Andernorts heisst dieser Vertrag Auftragsverarbeitungsvertrag oder kurz AVV; gemeint ist dasselbe Papier.
Gegenstand und Dauer
Rewalz bearbeitet Personendaten ausschliesslich zur Erbringung der vertraglich vereinbarten Leistungen. Der Auftrag beginnt mit der Eröffnung des Mandanten und endet mit dem Vertrag. Danach gilt Ziffer 10.
Art und Zweck der Bearbeitung
Die Bearbeitung umfasst das Speichern, Ordnen, Auswerten und Löschen der Daten, die das Kundenunternehmen selbst erfasst oder durch seine Mitarbeitenden erfassen lässt. Ein anderer Zweck als der Betrieb der Software besteht nicht. Personendaten werden weder verkauft noch für Werbung noch für das Training von Sprachmodellen verwendet.
Betroffene Personen und Datenkategorien
Betroffen sind Mitarbeitende, Bewerbende und Ansprechpersonen des Kundenunternehmens. Bearbeitet werden insbesondere Stammdaten, Vertrags- und Lohndaten, Sozialversicherungsnummern, Abwesenheiten, Arbeitszeiten, Dokumente und Bewerbungsunterlagen. Dazu können besonders schützenswerte Personendaten gehören, etwa Gesundheitsangaben.
Weisungsgebundenheit
Rewalz bearbeitet die Daten nur auf dokumentierte Weisung des Kundenunternehmens. Als Weisung gelten der Vertrag, die Einstellungen im Mandanten und ausdrückliche Anweisungen in Textform. Hält Rewalz eine Weisung für rechtswidrig, weist sie darauf hin und darf deren Ausführung aussetzen.
Vertraulichkeit
Alle Personen, die Zugang zu Daten des Kundenunternehmens haben, sind zur Vertraulichkeit verpflichtet. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.
Technische und organisatorische Massnahmen
Der Zugriff wird in der Datenbank selbst durchgesetzt und nicht erst in der Anwendung. Jede Abfrage ist an den eigenen Mandanten und an die Rolle der abfragenden Person gebunden. Übertragung und Ablage sind verschlüsselt, Anmeldungen und Änderungen an Berechtigungen werden protokolliert. Die Übersicht der Massnahmen steht als Anhang 1 auf einer eigenen Seite; die Einzelheiten zu jedem Schutzziel gehören zum unterzeichneten Vertrag.
Unterauftragsverarbeiter
Für den Betrieb werden Supabase für Datenbank und Dateien, Vercel für die Anwendung und Resend für E-Mails eingesetzt. Die Vertrags- und Übermittlungsnachweise werden noch vervollständigt. Das Verfahren für Änderungen an diesen Dienstleistern wird in der freigegebenen Vertragsfassung festgehalten.
Rechte betroffener Personen
Wendet sich eine betroffene Person direkt an Rewalz, wird sie an das Kundenunternehmen verwiesen. Für Auskunft, Berichtigung, Löschung und Herausgabe stellt die Software die nötigen Funktionen bereit, sodass das Kundenunternehmen die Fristen ohne Umweg einhalten kann.
Verletzung der Datensicherheit
Rewalz meldet eine Verletzung der Datensicherheit unverzüglich, spätestens innert vierundzwanzig Stunden nach Kenntnis, mit allen bekannten Angaben zu Art, Umfang und getroffenen Massnahmen. Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen bleibt Sache des Kundenunternehmens.
Löschung und Rückgabe
Nach Vertragsende werden die Daten auf Wunsch in einem gängigen Format herausgegeben und anschliessend gelöscht. Ohne anderslautende Weisung erfolgt die Löschung neunzig Tage nach Vertragsende, ausgenommen bleiben Daten, für die eine gesetzliche Aufbewahrungspflicht besteht.
Nachweis und Überprüfung
Rewalz weist die Einhaltung dieser Pflichten auf Verlangen nach. Das Kundenunternehmen kann die Bearbeitung überprüfen oder überprüfen lassen, nach Ankündigung und ohne den Betrieb der übrigen Mandanten zu beeinträchtigen.
Ort der Bearbeitung
Datenbank und Dateien werden bei Supabase in der Region Zürich gespeichert. Für die Anwendung und den E-Mail-Versand nutzen wir Vercel und Resend. Diese Dienste können Personendaten auch ausserhalb der Schweiz, insbesondere in den USA, verarbeiten. Schweizer Speicherung bedeutet deshalb nicht ausschliesslich Schweizer Verarbeitung. Verarbeitung bei Vercel und Resend kann in den USA erfolgen. Die Vertrags- und Übermittlungsnachweise werden in der Entwurfsfassung des AVV noch vervollständigt.
Unterzeichnete Fassung anfordern
Der veröffentlichte Text ist ein Entwurf. Kontaktieren Sie uns, um die Vertragsunterlagen für Ihren Betrieb und den Freigabestand zu klären.