Vereinbarung zur Auftragsbearbeitung (AVV)

Diese Vereinbarung regelt, wie die Mirabit AG (im Folgenden «Auftragsbearbeiterin») Personendaten im Auftrag ihrer Kunden (im Folgenden «Kunde») bearbeitet, wenn sie miraSEO nutzen. Sie ist Bestandteil der AGB und gilt nach Art. 9 des Schweizer Datenschutzgesetzes (DSG) sowie, soweit anwendbar, nach Art. 28 der EU-Datenschutz-Grundverordnung (DSGVO).

1. Gegenstand und Dauer

Die Auftragsbearbeiterin stellt dem Kunden miraSEO bereit und bearbeitet dabei die Personendaten, die der Kunde in den Dienst einbringt oder darin erzeugt. Die Vereinbarung gilt, solange der Vertrag läuft und danach, bis die Daten nach Ziffer 8 gelöscht sind.

2. Art, Zweck und betroffene Daten

• Zweck: Auswertungen zu Websites und Suchergebnissen, Massnahmen, Berichte und die Verwaltung der Benutzer des Kunden.
• Betroffene Personen: Benutzer des Kunden, die Kunden des Kunden mit eigenem Zugang, Empfänger von Berichten sowie Personen, deren Daten in geprüften Websites oder in Daten von Google vorkommen.
• Datenkategorien: Name, E-Mail-Adresse und Rolle von Benutzern und Berichtsempfängern; Zugänge zu Google (verschlüsselt); zusammengefasste Daten aus der Google Search Console und Google Analytics (Suchbegriffe, Seiten, Klicks, Einblendungen, Sitzungen); Inhalte öffentlich abgerufener Seiten; Keywords, Notizen, Ereignisse und Massnahmen.

Besonders schützenswerte Personendaten sind für den Dienst nicht vorgesehen; der Kunde bringt keine solchen Daten ein.

3. Weisungen

Die Auftragsbearbeiterin bearbeitet die Daten nur nach den Weisungen des Kunden. Die Weisungen ergeben sich aus den AGB und aus der Nutzung des Dienstes durch den Kunden (etwa das Anlegen eines Projekts oder eines Berichts). Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, teilt sie dies dem Kunden mit.

4. Pflichten der Auftragsbearbeiterin

• Sie verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
• Sie trifft die technischen und organisatorischen Massnahmen nach Ziffer 7 und passt sie dem Stand der Technik an.
• Sie unterstützt den Kunden bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden, soweit es den Dienst betrifft.
• Sie meldet dem Kunden eine Verletzung der Datensicherheit, die seine Daten betrifft, so rasch wie möglich, mit den bekannten Angaben zu Art, Umfang und Massnahmen.
• Sie bearbeitet die Daten nicht für eigene Zwecke; ausgenommen sind anonymisierte, zusammengefasste Angaben über die Nutzung nach den AGB.

5. Unterauftragsbearbeiter

Der Kunde ist einverstanden, dass die Auftragsbearbeiterin die folgenden Unterauftragsbearbeiter einsetzt:

Neue oder ersetzte Unterauftragsbearbeiter kündigt die Auftragsbearbeiterin den Administratoren des Kunden mindestens 30 Tage vorher per E-Mail an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; findet sich keine Lösung, kann er den Vertrag auf den Wechsel hin kündigen. Die Auftragsbearbeiterin verpflichtet jeden Unterauftragsbearbeiter auf gleichwertige Pflichten.

6. Bearbeitung im Ausland

Anwendung und Datenbank laufen in der Schweiz. Bearbeiten Unterauftragsbearbeiter Daten in Ländern ohne angemessenen Datenschutz, insbesondere in den USA, stützt sich die Übermittlung auf das Swiss-U.S. bzw. EU-U.S. Data Privacy Framework oder auf die Standardvertragsklauseln der EU-Kommission in der vom EDÖB anerkannten Fassung.

7. Technische und organisatorische Massnahmen

• Hosting: Server und Datenbank bei einem Schweizer Rechenzentrumsbetreiber mit Zutrittskontrolle.
• Übertragung: ausschliesslich verschlüsselt (HTTPS mit TLS).
• Zugang: persönliche Konten, Passwörter nur als Hash gespeichert, Mindestanforderungen an Passwörter, Begrenzung fehlgeschlagener Anmeldungen, Bestätigung neuer Konten per E-Mail.
• Zugriff: strikte Trennung der Daten je Kunde in jeder Abfrage, Rechte nach Rollen (Administrator, Benutzer, Kunden-Login nur lesend); Zugang der Auftragsbearbeiterin zu Kundendaten nur zur Unterstützung und Fehlerbehebung.
• Geheimnisse: Zugänge zu Google verschlüsselt gespeichert, Schlüssel und Passwörter des Betriebs ausserhalb des Quellcodes.
• Datensparsamkeit: von Google nur zusammengefasste Daten; Seitentexte nach 90 Tagen gelöscht; Tagesdaten nach 25 Monaten zu Monatswerten verdichtet.
• Verfügbarkeit: regelmässige Datensicherungen beim Hostinganbieter, überwachte Hintergrundaufgaben.
• Entwicklung: automatisierte Tests, Prüfung jeder Änderung vor der Veröffentlichung, Aktualisierung von Software mit Sicherheitslücken.

8. Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit als Export herunterladen. Nach dem Vertragsende sind sie 30 Tage lang lesbar und exportierbar; danach löscht die Auftragsbearbeiterin sie mit allen Projekten und Benutzern. Datensicherungen werden im Rhythmus des Hostinganbieters überschrieben. Ausgenommen sind Angaben, die die Auftragsbearbeiterin von Gesetzes wegen aufbewahren muss, und das anonymisierte Protokoll der kostenpflichtigen Abrufe.

9. Nachweise und Kontrollen

Die Auftragsbearbeiterin gibt dem Kunden auf Anfrage die Auskünfte, die er zum Nachweis der Einhaltung dieser Vereinbarung braucht. Prüfungen vor Ort sind nach Voranmeldung von mindestens 30 Tagen während der Geschäftszeiten möglich; ihre Kosten trägt der Kunde, ausser sie decken einen erheblichen Verstoss auf.

10. Haftung und Rangfolge

Für die Haftung gelten die AGB. Bei Widersprüchen zwischen den AGB und dieser Vereinbarung geht diese Vereinbarung in Fragen des Datenschutzes vor.