Vereinbarung zur Auftragsbearbeitung (AVV).

1. Gegenstand, Geltungsbereich und Rollen

1. Diese Vereinbarung regelt die Bearbeitung von Personendaten durch Marcher Lab. im Auftrag des Kunden im Rahmen der Nutzung der Web-Applikation und SaaS-Plattform «Baumandat.» (nachfolgend «Dienst»).
2. Sie dient insbesondere der Umsetzung von Art. 9 des Schweizer Datenschutzgesetzes (DSG) sowie, soweit auf die betreffende Bearbeitung anwendbar, Art. 28 der Datenschutz-Grundverordnung der Europäischen Union (DSGVO).
3. Diese AVV ergänzt die Allgemeinen Geschäftsbedingungen (AGB), Leistungsbeschreibungen und allfälligen Einzelvereinbarungen zu Baumandat. bzw. Marcher Lab. (gemeinsam «Hauptvertrag»). Bei Widersprüchen hinsichtlich einer Auftragsbearbeitung gehen die Bestimmungen dieser AVV vor.
4. Diese AVV gilt ausschliesslich für Personendaten, die Marcher Lab. im Auftrag des Kunden bearbeitet. Soweit Marcher Lab. Personendaten für eigene Zwecke als Verantwortlicher bearbeitet, insbesondere zur Vertragsverwaltung, Abrechnung, Gewährleistung der Sicherheit der eigenen Systeme, Missbrauchsprävention oder Erfüllung gesetzlicher Pflichten, findet diese AVV auf diese Bearbeitungen keine Anwendung.
5. Der Kunde bleibt für die Rechtmässigkeit seiner Datenbearbeitungen, die Zulässigkeit der Übermittlung an Marcher Lab., seine Weisungen sowie die Wahrung der Rechte betroffener Personen verantwortlich.

2. Gegenstand, Art, Zweck und Dauer der Bearbeitung

6. Gegenstand ist die Bereitstellung von Baumandat. zur Verwaltung, Dokumentation, Abwicklung und Nachverfolgung von Baumandaten, Gutachten, Mängeln und Mängelrügen, Abnahmen, Honoraren, Debitoren sowie weiteren bau-, projekt- und verfahrensbezogenen Vorgängen gemäss dem jeweiligen Funktionsumfang.
7. Die Bearbeitung kann insbesondere das Erfassen, Speichern, Verknüpfen, Strukturieren, Bereitstellen, Abrufen, Verwalten, Filtern, Exportieren, Übermitteln, Sichern, Wiederherstellen und Löschen von Daten über die Web-Oberfläche sowie über technisch erforderliche Anwendungs-, Datenbank- und Schnittstellenfunktionen umfassen.
8. Zweck der Auftragsbearbeitung ist die vertragsgemässe Bereitstellung, Wartung, technische Absicherung und Unterstützung des Dienstes für den Kunden.
9. Die Dauer der Auftragsbearbeitung entspricht grundsätzlich der Laufzeit des Hauptvertrags zuzüglich der für Datenexport, Löschung, Backup-Zyklen und gesetzlich erforderliche Abwicklung notwendigen Zeit.

3. Kategorien betroffener Personen und Personendaten

10. Betroffene Personen können insbesondere Mandanten und Auftraggeber des Kunden, Bauherrschaften, Eigentümer, Verwaltungen, Streit- und Gegenparteien, Handwerker, Unternehmer, Subunternehmer, Planer, Ingenieure, Architekten, Rechtsvertreter, Gutachter, Experten, Gerichts- und Behördenvertreter, Mitarbeitende sowie sonstige Projekt- und Verfahrensbeteiligte sein.
11. Bearbeitete Personendaten können insbesondere Stamm- und Kontaktdaten, Rollen- und Unternehmensangaben, Mandats- und Projektdaten, Gutachten und fachliche Dokumentationen, Korrespondenzen, Fristen, Verfahrens- und Besprechungsunterlagen, Baudokumentationen, Fotos, Zustandsberichte, Protokolle, Pläne, Honorar- und Debitordaten, Zahlungsausstände, Mahninformationen, systemseitig berechnete oder vom Kunden erfasste zahlungsbezogene Merkmale sowie System-, Benutzer-, Zeitstempel-, Audit- und Nutzungsdaten umfassen.
12. Die konkreten Datenkategorien richten sich nach den vom Kunden verwendeten Funktionen und den von ihm eingestellten Inhalten. Marcher Lab. bestimmt den fachlichen Inhalt der vom Kunden erfassten Mandats- und Projektdaten nicht.

4. Besonders schützenswerte Personendaten

13. Baumandat. kann aufgrund seines Einsatzbereichs Inhalte enthalten, die als besonders schützenswerte Personendaten im Sinne des DSG oder – soweit die DSGVO anwendbar ist – als besondere Kategorien personenbezogener Daten bzw. anderweitig besonders geschützte Daten einzuordnen sind. Dies kann insbesondere bei verfahrensbezogenen Unterlagen, Angaben zu administrativen oder strafrechtlichen Verfolgungen und Sanktionen oder sonstigen sensiblen Inhalten der Fall sein.
14. Der Kunde ist dafür verantwortlich, dass die Erfassung und Bearbeitung solcher Daten über Baumandat. zulässig ist, eine erforderliche Rechtsgrundlage besteht und gesetzliche Informations-, Dokumentations- und Schutzpflichten eingehalten werden.
15. Soweit einzelne Funktionen oder Leistungsbeschreibungen die Bearbeitung bestimmter besonders schützenswerter Daten ausschliessen oder einschränken, sind diese Vorgaben vom Kunden einzuhalten.

5. Weisungen und Pflichten der Parteien

16. Marcher Lab. bearbeitet die im Auftrag bearbeiteten Personendaten ausschliesslich gemäss dokumentierten Weisungen des Kunden, soweit keine gesetzliche Verpflichtung zu einer anderweitigen Bearbeitung besteht. Der Hauptvertrag, diese AVV, die bestimmungsgemässe Nutzung und Konfiguration von Baumandat. sowie die über die vorgesehenen Funktionen vorgenommenen Eingaben und Aktionen gelten als dokumentierte Weisungen.
17. Marcher Lab. verwendet die im Auftrag bearbeiteten Daten nicht für sachfremde eigene Zwecke, insbesondere nicht zum Verkauf von Kundendaten oder zur Erstellung eigenständiger personenbezogener Profile für Werbezwecke.
18. Marcher Lab. stellt sicher, dass Personen mit berechtigtem Zugriff auf im Auftrag bearbeitete Personendaten zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
19. Marcher Lab. informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Einschätzung gegen anwendbares Datenschutzrecht verstösst.
20. Ist Marcher Lab. aufgrund anwendbaren zwingenden Rechts zu einer von den Weisungen abweichenden Bearbeitung verpflichtet, informiert Marcher Lab. den Kunden vor der Bearbeitung über diese Verpflichtung, soweit dies gesetzlich zulässig ist.
21. Der Kunde gewährleistet die Rechtmässigkeit seiner Weisungen und der von ihm über Baumandat. vorgenommenen Bearbeitungen und ist insbesondere für erforderliche Rechtsgrundlagen, Informationen, Einwilligungen, Berechtigungen und Aufbewahrungsentscheide verantwortlich.

6. Technische und organisatorische Massnahmen (TOMs)

Marcher Lab. trifft unter Berücksichtigung des Stands der Technik, des Schutzbedarfs, der Art und des Umfangs der Bearbeitung sowie der Risiken angemessene technische und organisatorische Massnahmen. Die konkrete technische Ausgestaltung kann sich mit der Weiterentwicklung des Dienstes ändern, sofern das Schutzniveau insgesamt nicht unangemessen reduziert wird.

• Mandantentrennung und Berechtigungen: logische Trennung der Kundendaten durch anwendungs- und datenbankseitige Berechtigungsmechanismen. Soweit eingesetzt, gehören dazu insbesondere mandantenbezogene Zugriffskontrollen und Row-Level-Security-Regeln.
• Transport- und Speicherschutz: verschlüsselte Übertragung über aktuelle HTTPS/TLS-Verbindungen sowie Nutzung der Sicherheits- und Verschlüsselungsmechanismen der eingesetzten Infrastruktur für gespeicherte Daten und Dateien.
• Authentifizierung und Zugriff: rollen- und berechtigungsbasierte Zugriffssteuerung; administrative Zugriffe werden auf das erforderliche Minimum beschränkt. Zusätzliche Authentifizierungsmechanismen werden für administrative Zugänge eingesetzt, soweit technisch verfügbar und angemessen.
• Passwortschutz: Passwörter werden, soweit Marcher Lab. bzw. die eingesetzte Authentifizierungsinfrastruktur diese verwaltet, nicht im Klartext gespeichert.
• Verfügbarkeit und Wiederherstellung: regelmässige, mindestens tägliche Datensicherung durch den eingesetzten Datenbankdienst sowie angemessene Wiederherstellungsmechanismen entsprechend der eingesetzten Infrastruktur und dem jeweiligen Dienst.
• Protokollierung und Überwachung: angemessene technische Protokollierungs- und Sicherheitsmechanismen, soweit für Betrieb, Nachvollziehbarkeit und Schutz des Dienstes erforderlich und technisch verfügbar.
• Interne Zugriffe: Zugriff auf Kundendaten durch Marcher Lab. nur soweit für Betrieb, Support, Sicherheit, Fehlerbehebung oder die Erfüllung rechtlicher Pflichten erforderlich und zulässig.

7. Unterauftragsbearbeiter und externe Dienste

Der Kunde erteilt Marcher Lab. eine allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern, soweit dies für den Betrieb von Baumandat. erforderlich ist. Massgebend ist die jeweils tatsächlich eingesetzte Infrastruktur. Die nachfolgende Liste wird bei wesentlichen Änderungen der eingesetzten Infrastruktur aktualisiert.

22. Marcher Lab. verpflichtet Unterauftragsbearbeiter zu Datenschutz- und Sicherheitsverpflichtungen, die den für die jeweilige Bearbeitung relevanten Verpflichtungen dieser AVV im Wesentlichen entsprechen.
23. Marcher Lab. führt eine aktuelle Liste der wesentlichen Unterauftragsbearbeiter und stellt sie dem Kunden elektronisch, über die Plattform, über eine Website oder auf Anfrage zur Verfügung.
24. Marcher Lab. informiert den Kunden rechtzeitig über beabsichtigte wesentliche Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsbearbeitern. Der Kunde kann innerhalb von 14 Tagen nach Mitteilung aus einem nachweisbaren wichtigen datenschutzrechtlichen Grund widersprechen. Die Parteien bemühen sich in diesem Fall um eine angemessene Lösung.
25. Marcher Lab. bleibt gegenüber dem Kunden für die Erfüllung der an Unterauftragsbearbeiter übertragenen Datenschutzpflichten im gesetzlich vorgesehenen Umfang verantwortlich.
26. Nicht jeder externe Dienst ist für jede Bearbeitung zwingend Unterauftragsbearbeiter von Marcher Lab. Insbesondere können Zahlungsdienstleister je nach konkreter Verarbeitung teilweise als eigenständige Verantwortliche handeln. Die datenschutzrechtliche Rollenverteilung richtet sich nach der tatsächlichen Verarbeitung und den jeweiligen Vertragsbedingungen.

8. Bekanntgabe und Übermittlung ins Ausland

27. Marcher Lab. stellt sicher, dass grenzüberschreitende Bekanntgaben bzw. Übermittlungen von im Auftrag bearbeiteten Personendaten nur unter Einhaltung der anwendbaren datenschutzrechtlichen Voraussetzungen erfolgen.
28. Für Bekanntgaben aus der Schweiz gelten insbesondere Art. 16 ff. DSG und die dazugehörigen Ausführungsbestimmungen. Soweit die DSGVO anwendbar ist, gelten ergänzend Art. 44 ff. DSGVO.
29. Fehlt für ein Empfängerland ein anerkannter angemessener Datenschutz, werden – soweit erforderlich – geeignete Garantien oder andere gesetzlich zulässige Übermittlungsmechanismen eingesetzt, insbesondere anerkannte Standardvertragsklauseln mit den erforderlichen schweizerischen Anpassungen.

9. Datenlöschung und mandantenspezifisches Löschkonzept

30. Die Datenlöschung und Datenrückgabe richtet sich ergänzend nach dem für Baumandat. jeweils gültigen mandantenspezifischen Löschkonzept. Interne Dateinamen oder technische Dokumentbezeichnungen sind für die vertragliche Geltung nicht erforderlich; massgebend ist die dem Kunden zugänglich gemachte Fassung des Löschkonzepts.
31. Während der Vertragslaufzeit kann der Kunde Daten im Rahmen der jeweils verfügbaren Produktfunktionen verwalten, archivieren und löschen. Welche Daten unmittelbar endgültig gelöscht werden und welche zunächst einen Lösch- oder Aufbewahrungsstatus erhalten, richtet sich nach dem produktiven Funktions- und Löschkonzept.
32. Nach Beendigung des SaaS-Vertrags oder auf ein entsprechendes Löschbegehren des Kunden hin werden die im Auftrag bearbeiteten Daten im Rahmen des für Baumandat. geltenden Löschkonzepts durch eine autorisierte administrative Handlung aus den Produktivsystemen gelöscht. Dies erfolgt in der Regel innerhalb von 30 Tagen, sofern keine abweichende Vereinbarung, gesetzliche Aufbewahrungspflicht oder sonstige zulässige Grundlage entgegensteht. Bis zur tatsächlichen Löschung kann ein Datenexport im vertraglich bzw. technisch vorgesehenen Umfang erfolgen.
33. Daten in Sicherungskopien können bis zu ihrer turnusmässigen Überschreibung oder Löschung fortbestehen, sofern eine unmittelbare selektive Löschung technisch nicht oder nur mit unverhältnismässigem Aufwand möglich ist. Sie bleiben bis dahin geschützt und werden grundsätzlich nicht für andere Zwecke wiederhergestellt oder bearbeitet, ausser dies ist zur Wiederherstellung des Systems, zur Sicherheit oder aufgrund einer gesetzlichen Pflicht erforderlich.

10. Betroffenenrechte, Sicherheitsvorfälle und weitere Unterstützung

34. Der Kunde bleibt primärer Ansprechpartner für Auskunfts-, Berichtigungs-, Lösch-, Herausgabe- und sonstige Begehren betroffener Personen hinsichtlich der vom Kunden über Baumandat. bearbeiteten Daten. Marcher Lab. unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der verfügbaren Informationen durch geeignete technische und organisatorische Massnahmen.
35. Wendet sich eine betroffene Person unmittelbar an Marcher Lab. hinsichtlich einer Bearbeitung, für die der Kunde verantwortlich ist, leitet Marcher Lab. die Anfrage grundsätzlich an den Kunden weiter, sofern Marcher Lab. nicht selbst zur Bearbeitung verpflichtet ist.
36. Marcher Lab. informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung der Datensicherheit bzw. einer Verletzung des Schutzes personenbezogener Daten, soweit davon im Auftrag bearbeitete Personendaten betroffen sind. Marcher Lab. stellt die zu diesem Zeitpunkt verfügbaren Informationen zur Verfügung, die der Kunde zur Erfüllung seiner gesetzlichen Pflichten vernünftigerweise benötigt.
37. Marcher Lab. unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der verfügbaren Informationen im erforderlichen und zumutbaren Umfang bei Datenschutz-Folgenabschätzungen, Sicherheitspflichten und allfälligen Konsultationen mit zuständigen Aufsichtsbehörden.

11. Nachweise und Audits

38. Marcher Lab. stellt dem Kunden auf angemessene Anfrage diejenigen Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der für die Auftragsbearbeitung relevanten gesetzlichen und vertraglichen Pflichten nachzuweisen.
39. Soweit vorhandene Dokumentationen und sonstige geeignete Nachweise nicht ausreichen, kann der Kunde im gesetzlich erforderlichen Umfang eine weitergehende Überprüfung verlangen.
40. Audits sind mit angemessener Vorankündigung während üblicher Geschäftszeiten durchzuführen und so auszugestalten, dass Betrieb, Sicherheit, Geschäftsgeheimnisse und Rechte anderer Kunden nicht unverhältnismässig beeinträchtigt werden. Prüfer sind zur Vertraulichkeit zu verpflichten.
41. Zusätzlicher Aufwand für vom Kunden verlangte Prüfungen, der über die gesetzlichen oder vertraglich vereinbarten Pflichten von Marcher Lab. hinausgeht, kann nach vorgängiger Information angemessen verrechnet werden.

12. Schlussbestimmungen

42. Für die Haftung gelten die Regelungen des Hauptvertrags, soweit zwingendes Datenschutzrecht keine abweichenden Bestimmungen vorsieht.
43. Änderungen und Ergänzungen dieser AVV bedürfen der Textform, soweit nicht zwingendes Recht eine strengere Form verlangt.
44. Sollte eine Bestimmung dieser AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
45. Auf diese AVV ist Schweizer Recht anwendbar. Gerichtsstand ist der Sitz von Marcher Lab., soweit keine zwingenden gesetzlichen Bestimmungen entgegenstehen. Soweit die DSGVO unmittelbar auf eine konkrete Auftragsverarbeitung anwendbar ist, bleiben deren zwingende Bestimmungen unberührt.

Rechtliche und technische Referenzen

• EDÖB, Outsourcing / Auftragsdatenbearbeitung: edoeb.admin.ch/de/outsourcing-auftragsdatenbearbeitung
• EDÖB, Datenbearbeitungen in der Cloud: edoeb.admin.ch/de/datenbearbeitungen-in-der-cloud
• Supabase, Available regions: supabase.com/docs/guides/platform/regions
• Stripe, Data Processing Agreement: stripe.com/legal/dpa