Auftragsbearbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Dieser Auftragsbearbeitungsvertrag (AVV) regelt die Bearbeitung von Personendaten durch die Cyberopex GmbH (nachfolgend «Auftragsbearbeiterin») im Auftrag des Kunden (nachfolgend «Verantwortlicher») nach Art. 9 des Bundesgesetzes über den Datenschutz (DSG). Soweit die Datenschutz-Grundverordnung der EU (DSGVO) anwendbar ist, erfüllt dieser AVV zugleich die Anforderungen von Art. 28 DSGVO.

Der AVV gilt für alle Leistungen nach den AGB, bei denen Personendaten des Verantwortlichen bearbeitet werden, und für die Dauer des jeweiligen Vertrags.

2. Art, Zweck und Umfang der Bearbeitung

Zweck: Betrieb der GRC-Plattform (Swiss GRC Hosting), des Kundenportals und der AI-Agents; Beratung und Betreuung des Informationssicherheits-Managementsystems (ISMS).
Datenkategorien: Namen, geschäftliche Kontaktdaten, Funktionen und Rollen; Inhalte in der GRC-Plattform wie Nachweise, Kontrollen, Risiken, Vorfälle, Richtlinien und Lieferantenangaben; Anmelde- und Protokolldaten (Audit-Log).
Betroffene Personen: Mitarbeitende, Beauftragte und Auditoren des Verantwortlichen; Ansprechpersonen von Lieferanten und Partnern.
Besonders schützenswerte Personendaten sind nicht vorgesehen. Will der Verantwortliche solche Daten bearbeiten lassen, informiert er die Auftragsbearbeiterin vorgängig.

3. Weisungen

Die Auftragsbearbeiterin bearbeitet Personendaten nur nach den dokumentierten Weisungen des Verantwortlichen, die im Hauptvertrag, in diesem AVV und in den Einstellungen des Kundenportals festgehalten sind. Hält sie eine Weisung für rechtswidrig, informiert sie den Verantwortlichen umgehend.

4. Pflichten der Auftragsbearbeiterin

Sie verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
Sie trifft die technischen und organisatorischen Massnahmen nach Anhang 1 und passt sie dem Stand der Technik an.
Sie unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden.
Sie meldet Verletzungen der Datensicherheit ohne Verzug, spätestens innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang und Massnahmen.

5. Ort der Bearbeitung

Die Personendaten werden ausschliesslich in der Schweiz gespeichert und bearbeitet. Eine Bekanntgabe ins Ausland erfolgt nur mit vorgängiger schriftlicher Zustimmung des Verantwortlichen und unter Einhaltung von Art. 16 f. DSG.

Zum Schutz vor Angriffen wird der Datenverkehr verschlüsselt über einen Netzwerkdienst geleitet (Schutz vor Überlastungsangriffen, Web Application Firewall). Einzelheiten stehen in der Liste der Unterauftragsbearbeiter.

6. Unterauftragsbearbeiter

Der Verantwortliche genehmigt den Beizug der Unterauftragsbearbeiter gemäss Anhang 2. Die aktuelle Liste mit Name, Leistung und Standort erhält der Verantwortliche mit dem Vertrag und im Kundenportal. Über neue Unterauftragsbearbeiter informiert die Auftragsbearbeiterin mindestens 30 Tage im Voraus; der Verantwortliche kann aus wichtigem Grund widersprechen und die betroffene Leistung kündigen. Unterauftragsbearbeiter werden vertraglich zu mindestens gleichwertigem Datenschutz verpflichtet.

7. AI-Agents und Sprachmodelle

Für die AI-Agents werden ausschliesslich Sprachmodelle eingesetzt, die in der Schweiz betrieben werden. Eingaben und Ergebnisse werden nicht für das Training von Modellen verwendet. Jeder Agent-Lauf wird mit Agent, Modell, Zeitpunkt und freigebender Person protokolliert. Kein Agent schreibt ohne menschliche Freigabe in die GRC-Plattform.

8. Nachweise und Kontrollen

Die Auftragsbearbeiterin stellt dem Verantwortlichen auf Anfrage die Nachweise zur Einhaltung dieses AVV zur Verfügung, zum Beispiel Zertifikate des Rechenzentrums und Berichte über Sicherheitstests. Der Verantwortliche kann einmal jährlich, mit einer Vorankündigung von 30 Tagen, eine Prüfung durch sich oder eine zur Verschwiegenheit verpflichtete Drittperson durchführen. Der Aufwand dafür wird nach Aufwand verrechnet, ausser die Prüfung deckt einen wesentlichen Verstoss auf.

9. Rückgabe und Löschung

Nach Vertragsende stellt die Auftragsbearbeiterin die Daten auf Wunsch innert 30 Tagen als Export bereit und löscht sie anschliessend. Datensicherungen werden im Rahmen des Backup-Zyklus überschrieben, spätestens nach 90 Tagen. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten.

10. Haftung und Schlussbestimmungen

Für die Haftung gelten die AGB. Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen geht der AVV in Fragen des Datenschutzes vor. Es gilt schweizerisches Recht, Gerichtsstand ist Zug.

Anhang 1: Technische und organisatorische Massnahmen

Rechenzentrum: ISO-27001-zertifiziertes Rechenzentrum in der Schweiz mit Zutrittskontrolle.
Zugang: Pflicht zur Multi-Faktor-Anmeldung (Passkey oder Authenticator), optional Microsoft Entra ID (SSO); automatische Abmeldung bei Inaktivität.
Zugriff: Rollen nach dem Prinzip der minimalen Rechte; Mandantentrennung pro Kunde (eigene Organisation, eigene Datenbankbereiche); Agents ohne Schreibrechte.
Übertragung: Verschlüsselung mit TLS; Anbindungen an Kundenumgebungen über mTLS, IP-Allowlist oder VPN; Zugangsdaten in einem Secret-Speicher.
Protokollierung: Audit-Log für Anmeldungen, Änderungen, Agent-Läufe und Support-Zugriffe; Support-Zugriffe von Cyberopex sind für den Kunden sichtbar.
Verfügbarkeit: tägliche Datensicherung, regelmässige Wiederherstellungstests, Überwachung und Alarmierung.
Sicherheit im Betrieb: zeitnahe Sicherheitsupdates, Härtung, Schwachstellenmanagement, Sicherheitstests vor dem Produktivbetrieb.
Organisation: Vertraulichkeitsverpflichtung und regelmässige Schulung der Mitarbeitenden; Informationssicherheit nach ISO/IEC 27001.

Anhang 2: Unterauftragsbearbeiter

Die Liste mit Name, Leistung und Standort der Unterauftragsbearbeiter (Rechenzentrum und Cloud-Infrastruktur in der Schweiz, Sprachmodelle in der Schweiz, Netzwerkschutz, E-Mail-Versand) erhält der Verantwortliche mit dem Vertrag und im Kundenportal unter «Dokumente». Auf Anfrage an [email protected] senden wir sie auch vorab zu.

Stand: 22. Oktober 2026. Cyberopex GmbH, Baarermattstrasse 8b, 6340 Baar, UID CHE-348.844.311.