Vereinbarung über die Auftragsbearbeitung

1.1 Gegenstand ist die technische Speicherung, Strukturierung, Bereitstellung und kontrollierte Weitergabe von projektbezogenen Objekt-, Dossier-, Teilnehmer-, Angebots- und Finanzierungsdaten über PONDERIO.

1.2 Die Bearbeitung dauert während der Projektlaufzeit und der in Datenschutzerklärung bzw. Hauptvertrag geregelten Löschphase. Gesetzliche Nachweise, eigene Sicherheitsdaten und Rechtsverteidigungsdaten, für die PONDERIO selbst verantwortlich ist, fallen nicht unter diese ABV.

1.3 Bei Widersprüchen gehen zwingendes Datenschutzrecht und diese ABV für Auftragsbearbeitungen den allgemeinen AGB vor. Die übrigen Leistungs- und Haftungsregeln des Hauptvertrags bleiben anwendbar.

2.1 Der Auftraggeber bestimmt im Rahmen des Rechts Zwecke und Mittel der erfassten Auftragsdaten. Er ist insbesondere verantwortlich für Rechtmässigkeit, Transparenz gegenüber betroffenen Personen, Datenminimierung, Zulassung von Kaufinteressenten, Empfängerkreis und Weisungen.

2.2 PONDERIO bearbeitet Auftragsdaten nur nach dokumentierter Weisung des Auftraggebers, soweit keine gesetzliche Pflicht eine andere Bearbeitung verlangt. Vertrag, Projektkonfiguration, freigegebene Funktionen und Supportaufträge gelten als dokumentierte Weisungen.

2.3 Hält PONDERIO eine Weisung für datenschutzwidrig oder sicherheitsgefährdend, informiert es den Auftraggeber und darf die Ausführung bis zur Klärung aussetzen. Eine Rechtsberatung ist damit nicht verbunden.

2.4 PONDERIO ist eigenständig verantwortlich für Konto- und Plattformsicherheit, Abrechnung, eigene Vertragskommunikation, Missbrauchsprävention, gesetzliche Pflichten und Rechtsverteidigung. Diese Bearbeitungen richten sich nach der Datenschutzerklärung.

Betroffene Personen: Verkäufer, Eigentümer, Vertreter, Kaufinteressenten, gemeinsame Erwerber, benannte Kontakte und in erforderlichen Objektdokumenten erwähnte Personen.

Datenarten: Stamm-/Kontaktdaten, Projektrollen, Objekt-/Dossierdaten, Fotos/Pläne, Preis-/Konditionenangaben, Status/Entscheidung, zweckbestimmte Finanzierungsbestätigungen, Kommunikation und technische Verfahrensmetadaten.

Besondere/hohe Risiken: Vertrauliche Finanzierungsangaben, private Dossierinhalte und Kombination mehrerer Datenkategorien; besondere Personendaten sollen nicht standardmässig erhoben werden.

Bearbeitungsvorgänge: Erheben, Übermitteln, Speichern, Ordnen, Strukturieren, Anzeigen, Vergleichen, Exportieren, Beschränken, Sichern, Löschen und Anonymisieren.

Zwecke: Technische Durchführung des konkreten digitalen Selbstverkaufs- und Angebotsverfahrens nach Weisung des Verkäufers.

Dauer: Projektlaufzeit, 60 Tage Zugriff nach Verfahrensende sowie grundsätzlich bis zu 30 Tage operative Löschphase; kürzere Fristen für Finanzierungsnachweise gemäss Datenschutzerklärung.

4.1 PONDERIO verpflichtet Personen mit Zugriff auf Auftragsdaten vertraglich oder gesetzlich zur Vertraulichkeit und beschränkt Zugriff nach Aufgabe und Erforderlichkeit.

4.2 Administrative oder Supportzugriffe erfolgen nur bei dokumentiertem Anlass und werden risikogerecht protokolliert. Sammeldownloads und unkontrollierte Produktivzugriffe sind zu vermeiden.

4.3 Auftragsdaten dürfen nicht für Werbung, Datenhandel, eigene Bonitätsbewertung oder Training von KI-Modellen genutzt werden.

PONDERIO unterhält dem Risiko angemessene Massnahmen und dokumentiert sie in einem nicht öffentlichen Sicherheitsanhang. Vor Realbetrieb müssen mindestens umgesetzt und getestet sein: rollenbasierte Berechtigungen und strikte Projektmandantentrennung; sichere Authentisierung und verstärkte Absicherung privilegierter Konten; Verschlüsselung beim Transport und die vom Hostinganbieter bereitgestellte Speicherverschlüsselung; private Buckets und kurzlebige, zweckgebundene Dateizugriffe; serverseitige Autorisierung für jede sensible Lese-, Schreib-, Export- und Statusaktion; Upload-Limits, MIME- und Magic-Byte-Prüfung, Quarantäne, Malware-Scan und sichere Vorschau; Schutz vor offenen Objekt-URLs, unberechtigten Metadatenabfragen und sensiblen Logeinträgen; manipulationssensitive Protokollierung relevanter Ereignisse; Backup-, Wiederherstellungs-, Patch-, Schwachstellen- und Incident-Prozesse; automatisierte, überwachte Lösch- und Retention-Jobs; regelmässige Zugriffs- und Berechtigungsüberprüfung.

PONDERIO kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht wesentlich herabgesetzt wird.

6.1 Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz folgender Anbieter: Vercel Inc. (Webhosting/Auslieferung/Logs; USA, globale Infrastruktur; nur nach kommerziell zulässigem Vertrag und dokumentierter Auftragsbearbeitungs-/Übermittlungsgrundlage — das aktuelle Hobby-Deployment ist für Auftrags- und reale Projektdaten nicht freigegeben). Supabase Pte. Ltd., Supabase Inc. und aktuelle Infrastruktur-Subprozessoren (Datenbank, Authentisierung, privater Speicher; primär Zürich, daneben Singapur, USA und weitere Support-/Subprozessorstandorte; DPA, SCC und Schweizer Zusatz). ActiveCampaign, LLC / Postmark und aktuelle Infrastruktur-Subprozessoren (Transaktions-E-Mail/OTP; USA und aktuelle Subprozessorstandorte; DPA, DPF soweit anwendbar, SCC). Hostpoint AG (Domain/DNS/Basisdienste; Schweiz; Dienstleistungsvertrag und Datenschutzpflichten).

6.2 PONDERIO setzt für Auftragsdaten nur Subprozessoren ein, für welche eine kommerziell zulässige Nutzung und ein angemessenes Datenschutz- und Sicherheitsniveau vertraglich dokumentiert sind. PONDERIO bleibt für die vertragsgemässe Auftragsbearbeitung verantwortlich. Ein Anbieter, dessen Voraussetzungen in der vorstehenden Tabelle noch nicht erfüllt sind, darf bis zur dokumentierten Freigabe keine Auftrags- oder realen Projektdaten erhalten.

6.3 Neue oder ersetzte Subprozessoren werden mindestens 30 Tage vor einem wesentlichen Einsatz über eine dauerhafte Online-Liste oder per E-Mail mitgeteilt. Der Auftraggeber kann aus nachvollziehbaren Datenschutzgründen innert 14 Tagen widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Projektteil beendet werden; eine angemessene Rückerstattung für nicht erbrachte Leistungen bleibt vorbehalten.

PONDERIO lässt Auftragsdaten nur bei einer zulässigen Grundlage ins Ausland bearbeiten. Bei fehlender Angemessenheitsentscheidung werden insbesondere an die Schweiz angepasste Standardvertragsklauseln und erforderliche Zusatzmassnahmen verwendet; für entsprechend zertifizierte US-Anbieter kann das Swiss-US Data Privacy Framework eingesetzt werden. Aktuelle Länder und Subprozessoren werden dokumentiert.

8.1 PONDERIO unterstützt den Auftraggeber unter Berücksichtigung von Art, Umfang und verfügbaren Informationen angemessen bei: Anfragen betroffener Personen; Berichtigung, Export, Einschränkung und Löschung; Informations-, Sicherheits- und Nachweispflichten; Risikoanalysen und Datenschutz-Folgenabschätzungen; Meldung und Behandlung von Datensicherheitsverletzungen; Anfragen zuständiger Aufsichtsbehörden.

8.2 Erhält PONDERIO eine Anfrage zu Auftragsdaten direkt, leitet es sie ohne unnötige Verzögerung an den Auftraggeber weiter und antwortet nicht materiell, sofern keine gesetzliche Pflicht oder separate eigene Verantwortlichkeit besteht.

8.3 Leistungen, die deutlich über die standardmässige Plattformunterstützung hinausgehen und nicht durch eine von PONDERIO verursachte Pflichtverletzung nötig werden, können nach vorgängiger Mitteilung zu angemessenen Sätzen verrechnet werden.

9.1 PONDERIO informiert den Auftraggeber ohne unnötige Verzögerung, nachdem es Kenntnis von einer Verletzung der Sicherheit von Auftragsdaten erlangt hat.

9.2 Die Information enthält, soweit verfügbar, Art des Vorfalls, betroffene Kategorien und ungefähre Anzahl, wahrscheinliche Folgen, getroffene bzw. vorgeschlagene Massnahmen und eine Kontaktstelle. Fehlende Informationen werden nachgereicht.

9.3 PONDERIO dokumentiert Vorfälle, begrenzt Schäden, sichert Beweise und unterstützt bei der Beurteilung gesetzlicher Meldungen. Meldungen an EDÖB oder betroffene Personen koordiniert der Auftraggeber für seine Verantwortlichkeit; PONDERIO erfüllt eigene Meldepflichten.

10.1 Während der Zugriffsfrist kann der Auftraggeber die vorgesehenen Projektdaten exportieren. Exporte sind sicher aufzubewahren und nach Zweckerfüllung zu löschen.

10.2 Nach Ablauf löscht oder anonymisiert PONDERIO Auftragsdaten gemäss dokumentiertem Löschkonzept und Datenschutzerklärung, soweit keine gesetzliche Pflicht oder ein dokumentierter Rechts-/Sicherheits-Hold entgegensteht.

10.3 Gesperrt aufbewahrte Daten dürfen nur für den Grund des Holds verwendet werden und werden nach dessen Wegfall gelöscht. Backups werden im normalen Zyklus überschrieben und nicht für operative Zwecke wiederhergestellt, ausser zur Wiederherstellung des Dienstes.

11.1 PONDERIO stellt auf Anfrage angemessene Informationen zum Nachweis dieser ABV bereit, insbesondere aktuelle Anbieter-DPA, Subprozessorenliste, technische und organisatorische Massnahmen sowie relevante Prüf- oder Testzusammenfassungen, soweit Sicherheits- und Drittgeheimnisse gewahrt bleiben.

11.2 Bei konkretem begründetem Risiko kann der Auftraggeber höchstens einmal jährlich eine zusätzliche Kontrolle durch eine unabhängige, vertraulich verpflichtete Fachperson verlangen. Sie ist zu koordinieren, darf Betrieb und Daten Dritter nicht beeinträchtigen und erfolgt grundsätzlich auf Kosten des Auftraggebers; bei einer wesentlichen Pflichtverletzung trägt PONDERIO angemessene Kontrollkosten.

12.1 Änderungen dieser ABV bedürfen der Textform. Aktualisierungen technischer Massnahmen und genehmigte Subprozessorenänderungen erfolgen nach den vorstehenden Regeln.

12.2 Es gelten Rechtswahl und Gerichtsstand des Hauptvertrags, vorbehaltlich zwingender Datenschutz- und Gerichtsstandsregeln.

12.3 Ansprechpartner: Erwin Fries, datenschutz@axia4.ch.