Vertrag zur Auftragsbearbeitung.

Vertrag zur Auftragsbearbeitung

Gilt zusätzlich zur Offerte. Wo sich die beiden widersprechen, geht dieser Vertrag für den Umgang mit Personendaten vor.

Verantwortlicher

Firma, Adresse: Firma und Adresse des Verantwortlichen

Auftragsbearbeiter

Jonas Grüter, Schauensee 28a, 6204 Sempach
jonas.grueter.web@gmail.com
Minderjährig, vertreten durch die Eltern als gesetzliche Vertretung

1. Gegenstand

   Ich baue, teste und betreibe die KI-Lösung gemäss Offerte vom Datum der Offerte. Dabei bearbeite ich Personendaten in Ihrem Auftrag.

   Art der Daten: zum Beispiel Mails von Kunden, Belege
   Betroffene Personen: zum Beispiel Kunden, Mandanten, Mieter
   Dauer: solange der Auftrag läuft.

2. Nur nach Ihren Weisungen

   Ich bearbeite die Daten nur so, wie Sie es selbst dürften, und nur für diesen Auftrag (Art. 9 DSG). Eigene Auswertungen, andere Zwecke und das Training von KI-Modellen mit Ihren Daten sind ausgeschlossen. Halte ich eine Weisung für rechtswidrig, sage ich es Ihnen.

3. Wo die Daten liegen

   Die Daten bleiben in Ihren Programmen und Konten. Zur KI geht nur, was eine Aufgabe braucht, und zwar standardmässig in der Schweiz. Eine Bearbeitung ausserhalb der Schweiz braucht Ihre schriftliche Zustimmung, pro Fall, und die Voraussetzungen von Art. 16 DSG.

4. Unterauftragsbearbeiter

   Ich setze nur die Anbieter im Anhang ein. Ein neuer Anbieter braucht vorher Ihre schriftliche Zustimmung (Art. 9 Abs. 3 DSG). Ich wähle nur Anbieter, deren Vertrag sie zu Vertraulichkeit und Datensicherheit verpflichtet. Läuft das Konto beim Anbieter auf Ihren Namen, ist er direkt Ihr Auftragsbearbeiter.

5. Vertraulichkeit

   Ich behandle die Daten vertraulich, auch nach dem Ende des Auftrags. Unterstehen Sie einer beruflichen Schweigepflicht, bin auch ich daran gebunden (Art. 62 Abs. 2 DSG).

6. Datensicherheit

   Ich schütze die Daten nach dem Stand der Technik (Art. 8 DSG), insbesondere so:

   • Die Lösung erhält nur die Rechte, die sie braucht, zum Beispiel Lesen in einem Postfach und Schreiben in den Entwurfsordner.
   • Mein Zugang ist ein eigenes Konto mit Zwei-Faktor-Anmeldung. Sie können ihn jederzeit entziehen.
   • Schlüssel liegen verschlüsselt, nie in Mails. Ihre Daten speichere ich nicht auf meinen Geräten.
   • Gebaut und getestet wird mit erfundenen Daten.
   • Freigaben werden mit Name und Zeit festgehalten.

7. Meldung bei Vorfällen

   Bemerke ich eine Verletzung der Datensicherheit, melde ich sie Ihnen so rasch als möglich, mit allem, was ich dazu weiss (Art. 24 Abs. 3 DSG). Die KI schalte ich bis zur Klärung ab.

8. Unterstützung und Kontrolle

   Ich helfe Ihnen bei Auskunftsbegehren und anderen Rechten betroffener Personen, soweit es die Lösung betrifft. Sie dürfen prüfen, wie ich diesen Vertrag einhalte, zum Beispiel durch Einsicht in Dokumentation und Zugänge.

9. Ende des Auftrags

   Sie entziehen meine Zugänge. Ich lösche alle Daten, die ich für den Auftrag bei mir hatte, und bestätige es schriftlich. Ihre Daten bleiben in Ihren Programmen.

10. Haftung und Recht

    Die Haftung richtet sich nach der Offerte. Es gilt Schweizer Recht. Gerichtsstand ist am Sitz des Verantwortlichen.