Datenverarbeitungsvereinbarung

1. Einleitung

1.1 Diese Datenverarbeitungsvereinbarung (DPA) regelt die Verarbeitung personenbezogener Daten durch Scholé Sàrl, EPFL IC IINFCOM ML4ED — INF 231 (Bâtiment INF) — Station 14, 1015 Lausanne, Schweiz (Anbieter) im Auftrag jeder Organisation oder Person, die die Scholé-Plattform und zugehörige Dienste nutzt (Kunde). Diese DPA ist Bestandteil der Vereinbarung zwischen dem Kunden und dem Anbieter und spiegelt die Verpflichtung der Parteien hinsichtlich der Verarbeitung und Sicherheit der personenbezogenen Kundendaten wider.

1.2 Die in dieser DPA verwendeten Begriffe 'betroffene Person', 'Verarbeitung', 'Verantwortlicher' (bzw. 'Inhaber der Datensammlung') und 'Auftragsverarbeiter' haben die in der schweizerischen Datenschutzgesetzgebung oder der DSGVO festgelegte Bedeutung, je nach ihrem jeweiligen Anwendungsbereich. Grossgeschriebene Begriffe sind in Abschnitt 12 definiert.

2. Datenschutzgesetzgebungen

2.1 Die folgenden Datenschutzgesetzgebungen können je nach Umständen auf die Verarbeitung personenbezogener Kundendaten Anwendung finden:

Die schweizerische Datenschutzgesetzgebung
Die EU-Datenschutz-Grundverordnung (DSGVO)
Andere anwendbare Datenschutzgesetzgebungen

2.2 Sofern nicht anders angegeben, gelten die Bestimmungen dieser DPA unabhängig davon, welche Gesetzgebung auf die Verarbeitung personenbezogener Kundendaten anwendbar ist.

3. Datenverarbeitung

3.1 Rollen und Compliance

3.1.1 Wenn die schweizerische Datenschutzgesetzgebung oder die DSGVO Anwendung finden: (a) ist der Kunde Verantwortlicher oder Auftragsverarbeiter für einen Dritten der personenbezogenen Kundendaten; (b) ist der Anbieter Auftragsverarbeiter der personenbezogenen Kundendaten, es sei denn, er verarbeitet die Daten zur Erfüllung gesetzlicher Pflichten oder für seine internen Geschäftstätigkeiten im Rahmen der Dienstleistungserbringung (in diesem Fall handelt er als unabhängiger Verantwortlicher); und (c) jede Partei erfüllt ihre Pflichten gemäss der anwendbaren Gesetzgebung.

3.1.2 Wenn der Kunde Auftragsverarbeiter für einen Dritten ist, gewährleistet der Kunde, dass er die ausdrückliche vorherige Genehmigung des jeweiligen Verantwortlichen hinsichtlich der Weisungen des Kunden und der Beauftragung des Anbieters als weiteren Auftragsverarbeiter eingeholt hat.

3.2 Umfang der Verarbeitung

3.2.1 Der Anbieter verarbeitet personenbezogene Kundendaten gemäss dieser DPA. Als Auftragsverarbeiter verpflichtet sich der Anbieter, personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden zu verarbeiten, es sei denn, eine für den Anbieter geltende Gesetzgebung erfordert eine andere Verarbeitung; in diesem Fall informiert der Anbieter den Kunden vor der Verarbeitung über diese gesetzliche Anforderung.

3.2.2 Mit der Annahme dieser DPA weist der Kunde den Anbieter an, personenbezogene Kundendaten nur zur Bereitstellung und Verbesserung der Dienste zu verarbeiten, wie in dieser DPA und der anwendbaren Vereinbarung dokumentiert. Zusätzliche oder alternative Weisungen bedürfen der Schriftform.

3.3 Pflichten des Kunden

Der Kunde ist für die Qualität, Rechtmässigkeit und Relevanz der im Rahmen der Dienste verarbeiteten Kundendaten verantwortlich und haftet gegenüber betroffenen Dritten. Insbesondere muss der Kunde:

Betroffene Personen ausreichend über die Erhebung und Verarbeitung ihrer personenbezogenen Daten informieren
Eine gültige Einwilligung der betroffenen Personen einholen, wenn dies nach der anwendbaren Datenschutzgesetzgebung erforderlich ist
Die Einhaltung aller Rechte der betroffenen Personen (z.B. Auskunfts- und Berichtigungsrecht, Widerspruchsrecht) und der Pflichten gegenüber zuständigen Datenschutzbehörden sicherstellen
Dem Anbieter nur Verarbeitungsvorgänge übertragen, die der Kunde selbst durchführen dürfte

3.4 Verantwortlichkeit

Der Kunde trägt die alleinige Verantwortung für die Verarbeitung personenbezogener Kundendaten im Rahmen der Dienste. Der Kunde erkennt an und akzeptiert, dass der Anbieter jede Verarbeitung personenbezogener Kundendaten im Rahmen der Dienste, wie durch die Vereinbarung gestattet, als mit allen anwendbaren Gesetzen konform betrachtet.

4. Löschung von Daten

Bei Beendigung der Beziehung kann der Kunde verlangen, dass der Anbieter alle personenbezogenen Kundendaten (einschliesslich vorhandener Kopien) an den Kunden oder einen vom Kunden benannten Dritten überträgt. Der Anbieter kommt dem so bald wie möglich nach, es sei denn, er muss die Daten ganz oder teilweise aus technischen oder rechtlichen Gründen aufbewahren; in diesem Fall speichert und verarbeitet er diese Daten nur zu diesen Zwecken und kann nachweisen, geeignete technische und organisatorische Schutzmassnahmen getroffen zu haben.

5. Datensicherheit

5.1 Sicherheitsmassnahmen

5.1.1 Der Anbieter implementiert und unterhält geeignete technische und organisatorische Massnahmen zum Schutz personenbezogener Kundendaten vor Sicherheitsvorfällen. Kundendaten werden:

In der Schweiz auf Microsoft Azure-Infrastruktur gespeichert
Im Ruhezustand und bei der Übertragung verschlüsselt
Logisch von den Daten anderer Kunden getrennt
Gemäss branchenüblicher Best Practices geschützt

5.1.2 Der Anbieter trifft geeignete Massnahmen, um die Einhaltung der Sicherheitsmassnahmen durch seine Mitarbeiter und Unterauftragnehmer sicherzustellen, insbesondere indem alle zur Verarbeitung personenbezogener Kundendaten befugten Personen vertraglich zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Vertraulichkeitspflicht unterliegen.

5.2 Sicherheitsvorfälle

5.2.1 Wenn der Anbieter Kenntnis von einem Sicherheitsvorfall erlangt, informiert er den Kunden unverzüglich mit allen zweckdienlichen Mitteln, beschreibt die Art des Vorfalls, die ergriffenen Massnahmen zur Risikominderung und die empfohlenen Massnahmen für den Kunden.

5.2.2 Der Anbieter überprüft den Inhalt der Kundendaten nicht, um die Art der betroffenen Daten zu identifizieren. Der Kunde ist allein für die Einhaltung der geltenden Meldepflichten gegenüber zuständigen Behörden und/oder betroffenen Personen verantwortlich. Der Anbieter leistet dem Kunden in diesem Zusammenhang angemessene Unterstützung.

5.3 Prüfungen

5.3.1 Wenn die DSGVO Anwendung findet, stellt der Anbieter dem Kunden alle Dokumente und Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung seiner Pflichten aus dieser DPA nachzuweisen.

5.3.2 Wenn die DSGVO Anwendung findet, gestattet der Anbieter dem Kunden oder einem vom Kunden beauftragten unabhängigen Prüfer die Durchführung von Audits (einschliesslich Inspektionen) zur Überprüfung der Einhaltung. Ausser unter aussergewöhnlichen Umständen darf der Kunde nicht mehr als eine Anfrage pro Jahr stellen. Auditanfragen müssen schriftlich erfolgen und die betroffenen Daten, die Gründe, die zu prüfenden Pflichten sowie die Zusicherung angeben, dass die gesammelten Informationen nur zur Überprüfung der Einhaltung verwendet werden.

6. Unterstützung durch den Anbieter

6.1 Der Anbieter leistet auf Anfrage des Kunden die angemessen erforderliche Unterstützung, damit der Kunde seinen Pflichten gemäss der schweizerischen Datenschutzgesetzgebung oder der DSGVO nachkommen kann.

6.2 Erhält der Anbieter eine Anfrage einer betroffenen Person bezüglich personenbezogener Kundendaten, verweist er die betroffene Person an den Kunden. Es obliegt allein dem Kunden, auf solche Anfragen zu antworten.

6.3 Der Anbieter unterstützt den Kunden bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen, soweit dies angemessen und mit der Funktionalität der Dienste vereinbar ist, einschliesslich aller Rechte gemäss der anwendbaren Gesetzgebung (Auskunft, Berichtigung, Einschränkung, Widerspruch, Löschung und Datenübertragbarkeit).

6.4 Wenn die DSGVO Anwendung findet, verpflichtet sich der Anbieter, den Kunden bei der Einhaltung seiner Pflichten zur Datenschutz-Folgenabschätzung und vorherigen Konsultation gemäss den Artikeln 35 und 36 DSGVO oder der schweizerischen Datenschutzgesetzgebung zu unterstützen, soweit dies vernünftigerweise erwartet werden kann.

7. Internationale Datenübermittlungen

7.1 Sofern nicht anders vereinbart, speichert und verarbeitet der Anbieter personenbezogene Kundendaten in der Schweiz und der Europäischen Union oder in einem Land, das von der Europäischen Kommission und der Schweiz als ein Land mit angemessenem Datenschutzniveau anerkannt ist.

7.2 Der Anbieter informiert den Kunden vor jeder Übermittlung in ein oben nicht genanntes Land, und der Kunde verpflichtet sich, eine solche Übermittlung zu genehmigen, sofern der Anbieter ein angemessenes Schutzniveau mit geeigneten Mitteln gewährleisten kann.

7.3 Wenn der Anbieter einen Unterauftragsverarbeiter in einem Drittland beauftragt, das kein angemessenes Schutzniveau bietet, kann der Anbieter die Standardvertragsklauseln der Europäischen Kommission oder einen anderen rechtmässigen Mechanismus verwenden, um die DSGVO oder die schweizerische Datenschutzgesetzgebung einzuhalten.

8. Unterauftragsverarbeitung

8.1 Der Kunde genehmigt dem Anbieter den Einsatz von Unterauftragsverarbeitern, die verbundene Unternehmen oder Dritte sein können. Der Anbieter informiert den Kunden im Voraus und schriftlich über geplante Änderungen bezüglich der Hinzufügung oder des Austauschs von Unterauftragsverarbeitern, um dem Kunden die Möglichkeit zu geben, Einwände zu erheben.

8.2 Der Anbieter stellt sicher, dass: (a) Unterauftragsverarbeiter nur im erforderlichen Umfang auf personenbezogene Kundendaten zugreifen und diese verarbeiten; (b) Unterauftragsverarbeiter vertragliche Pflichten haben, die mindestens denen dieser DPA gleichwertig sind; und (c) wenn die DSGVO Anwendung findet, dem Unterauftragsverarbeiter die Pflichten aus Art. 28 Abs. 3 DSGVO auferlegt wurden.

8.3 Der Kunde hat nach Benachrichtigung über eine geplante Hinzufügung oder einen Austausch 30 Tage Zeit, Einwände zu erheben. Bestätigt der Anbieter die Ernennung, kann der Kunde die jeweilige Vereinbarung mit sofortiger Wirkung durch schriftliche Mitteilung innerhalb von 14 Tagen kündigen. Unterlässt der Kunde eine Reaktion innerhalb dieser Fristen, gilt dies als Zustimmung.

Die aktuelle Liste der Unterauftragsverarbeiter mit Land, Verarbeitungsregion, Zweck und Übermittlungsgrundlage ist veröffentlicht unter app.schole.ai/sub-processors.

9. Verzeichnis der Verarbeitungstätigkeiten

Der Kunde erkennt an, dass der Anbieter verpflichtet sein kann, bestimmte Informationen zu erheben und aufzubewahren (einschliesslich Name und Kontaktdaten jedes Auftragsverarbeiters und/oder Verantwortlichen sowie die Kategorien der durchgeführten Verarbeitungen) und diese Informationen jeder zuständigen Behörde zur Verfügung zu stellen. Der Kunde verpflichtet sich, dem Anbieter alle vernünftigerweise erforderlichen Informationen zur Erfüllung dieser Pflichten bereitzustellen.

10. Ansprechpartner für Datenschutzfragen

Wenn die DSGVO die Benennung eines Datenschutzbeauftragten durch den Kunden erfordert, muss der Kunde dem Anbieter die Kontaktdaten dieser Person mitteilen.

Alle Mitteilungen an den Anbieter im Zusammenhang mit dieser DPA und/oder dem Datenschutz sind zu richten an: Datenschutz-Team, privacy@schole.ai

11. Sonstiges

11.1 Die Bestimmungen jeder anwendbaren Vereinbarung gelten für alle Aspekte, die nicht von dieser DPA abgedeckt sind.

11.2 Im Falle eines Widerspruchs zwischen dieser DPA und den Bestimmungen einer anwendbaren Vereinbarung haben die Bestimmungen dieser DPA Vorrang, vorbehaltlich ausdrücklicher Abweichungen in der Vereinbarung.

11.3 Diese DPA ist wirksam, solange der Kunde die Dienste nutzt. Sie bleibt bis zum Ablauf oder zur Beendigung der anwendbaren Vereinbarung in Kraft, einschliesslich etwaiger Zeiträume, in denen der Anbieter weiterhin personenbezogene Kundendaten speichert. Jede Partei kann diese DPA mit einer Frist von 6 Monaten schriftlich kündigen.

11.4 Sollte eine Bestimmung dieser DPA für ungültig oder nicht durchsetzbar erklärt werden, ersetzen die Parteien sie durch eine Ersatzbestimmung, die dieselben rechtlichen und wirtschaftlichen Zwecke erfüllt. Die übrigen Bestimmungen dieser DPA bleiben vollständig wirksam.

11.5 Diese DPA unterliegt dem schweizerischen Recht (ohne Verweisung auf dessen Kollisionsnormen). Streitigkeiten werden der ausschliesslichen Zuständigkeit der Gerichte am Sitz des Anbieters unterworfen, vorbehaltlich des Rechts auf Beschwerde an das Schweizerische Bundesgericht.

12. Definitionen

'Vereinbarung' bezeichnet jede Vereinbarung zwischen dem Kunden und dem Anbieter über die Erbringung von Diensten, einschliesslich der Allgemeinen Geschäftsbedingungen.
'Anwendbare Datenschutzgesetzgebung' bezeichnet die schweizerische Datenschutzgesetzgebung, die DSGVO und jede andere anwendbare Datenschutzgesetzgebung.
'Kundendaten' bezeichnet Daten, die vom Kunden an den Anbieter übermittelt, vom Anbieter im Auftrag des Kunden erhoben oder vom Anbieter im Zusammenhang mit den Diensten generiert werden.
'Personenbezogene Kundendaten' bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen und in den Kundendaten enthalten sind, gemäss der anwendbaren Datenschutzgesetzgebung.
'DSGVO' bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr.
'Sicherheitsvorfall' bezeichnet eine Sicherheitsverletzung, die zur versehentlichen oder unrechtmässigen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Kundendaten führt.
'Dienste' bezeichnet alle vom Anbieter für den Kunden erbrachten Dienstleistungen, einschliesslich der Scholé-Plattform und zugehöriger Dienste.
'Schweizerische Datenschutzgesetzgebung' bezeichnet das Schweizerische Bundesgesetz über den Datenschutz und seine Ausführungsverordnungen in der jeweils geltenden Fassung.