Erstgespräch buchen

Vereinbarung über die Auftragsbearbeitung (AVV)

WDC GmbH («Auftragsbearbeiter»)
c/o Denny Weber
Bitzistrasse 1c
6370 Stans, Schweiz
UID: CHE-378.213.629 MWST
E-Mail: kontakt@wdc-gmbh.ch

Version 2.0 · Stand: 24. August 2026

Diese Vereinbarung regelt die Bearbeitung von Personendaten durch die WDC GmbH als Auftragsbearbeiter für ihre Kunden als Verantwortliche. Sie wird durch Verweis im jeweiligen Angebot bzw. Hauptvertrag einbezogen; massgeblich ist die dort bezeichnete Version. Sie erfüllt die Anforderungen von Art. 9 des Schweizer Datenschutzgesetzes (revDSG) und ist für Kunden mit EU-Bezug so ausgestaltet, dass sie den Pflichtinhalten von Art. 28 Abs. 3 DSGVO entspricht. Auf Wunsch stellt der Auftragsbearbeiter eine Fassung zur Gegenzeichnung bereit; für die Wirksamkeit ist eine Unterschrift nicht erforderlich.

1. Gegenstand und Dauer

1.1 Diese Vereinbarung regelt die Bearbeitung von Personendaten durch den Auftragsbearbeiter im Rahmen der zwischen den Parteien geschlossenen Dienstleistungsverträge (Workshop, Einrichtung, laufende Zusammenarbeit, Projekte, Managed-Dienste, nachfolgend «Hauptvertrag»).

1.2 Die Dauer entspricht der Laufzeit des Hauptvertrags. Ziffern 7 (Löschung) und die Vertraulichkeitspflichten gelten darüber hinaus.

2. Art, Zweck und Umfang der Bearbeitung

2.1 Die Bearbeitung erfolgt je nach Hauptvertrag in einem oder beiden der folgenden Leistungsmodelle:

a) Leistungen an Systemen des Verantwortlichen: Analyse, Konzeption, Implementierung und Konfiguration von CRM-, Automatisierungs- und KI-Anwendungen sowie, sofern vereinbart, Wartung oder Support. Der Auftragsbearbeiter kann dabei Zugriff auf Personendaten in diesen Systemen haben (Fernzugriff/Administration).

b) Managed-Dienst: Betrieb einer vom Auftragsbearbeiter bereitgestellten und gewarteten Anwendung (insbesondere der Beleg-Verarbeitung für Treuhand- und Buchhaltungsdienstleister) auf Infrastruktur gemäss der Liste der Unterauftragsbearbeiter. Der Auftragsbearbeiter speichert und bearbeitet dabei die vom Verantwortlichen oder dessen Kunden übermittelten Daten für die Dauer und zum Zweck des Hauptvertrags.

2.2 Kategorien der Daten und der betroffenen Personen: gemäss Anhang 1.

2.3 Die Bearbeitung erfolgt ausschliesslich zur Erfüllung des Hauptvertrags und nach dokumentierten Weisungen des Verantwortlichen. Weisungen erfolgen in Textform; mündlich erteilte Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Änderungsverlangen und werden zu den Sätzen des Hauptvertrags vergütet. Der Auftragsbearbeiter verwendet die Daten nicht für eigene Zwecke; eine Nutzung zum Training von KI-Modellen findet nicht statt.

2.4 Verantwortlichkeit: Der Verantwortliche bleibt für die Rechtmässigkeit der Datenbearbeitung, die Rechtsgrundlagen, die Information der betroffenen Personen sowie für Inhalt und Rechtmässigkeit seiner Weisungen allein verantwortlich. Er benennt dem Auftragsbearbeiter die intern für den Datenschutz zuständige Stelle als Ansprechpartner.

2.5 Keine Dauerpflichten über den Hauptvertrag hinaus: Diese Vereinbarung begründet keine über den Hauptvertrag hinausgehenden Betriebs-, Wartungs-, Überwachungs- oder Bereitschaftspflichten. Bei einmaligen Projekten endet die Bearbeitung mit dem Projektabschluss bzw. dem Entzug der Zugänge.

3. Pflichten des Auftragsbearbeiters

3.1 Weisungsgebundenheit: Bearbeitung nur im Rahmen des Auftrags und der Weisungen; hält der Auftragsbearbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

3.2 Vertraulichkeit: Alle mit der Bearbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (vertraglich oder gesetzlich).

3.3 Datensicherheit: Der Auftragsbearbeiter trifft die technischen und organisatorischen Massnahmen gemäss Anhang 2 (Art. 8 revDSG / Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

3.4 Unterstützung: Der Auftragsbearbeiter unterstützt den Verantwortlichen im zumutbaren Umfang bei der Beantwortung von Betroffenenbegehren (Auskunft, Berichtigung, Löschung, Übertragung) sowie bei Datenschutz-Folgenabschätzungen und Behördenanfragen. Aufwände hierfür werden zu den Sätzen des Hauptvertrags vergütet, soweit sie nicht auf einer Pflichtverletzung des Auftragsbearbeiters beruhen.

3.5 Meldung von Vorfällen: Verletzungen der Datensicherheit mit Bezug zu Daten des Verantwortlichen werden diesem unverzüglich nach Kenntnisnahme mit den jeweils verfügbaren Informationen gemeldet; die Meldung an Behörden und betroffene Personen ist Sache des Verantwortlichen. Die Meldung stellt kein Anerkenntnis eines Verschuldens dar.

3.6 Verzeichnis: Der Auftragsbearbeiter führt ein Verzeichnis seiner Bearbeitungstätigkeiten als Auftragsbearbeiter, soweit gesetzlich verlangt.

4. Unterauftragsbearbeiter

4.1 Der Verantwortliche erteilt die allgemeine Genehmigung für den Beizug der in der Liste der Unterauftragsbearbeiter aufgeführten Unternehmen. Die Liste weist je Unterauftragsbearbeiter Sitz, Zweck und betroffene Datenkategorien aus.

4.2 Neue oder ersetzte Unterauftragsbearbeiter kündigt der Auftragsbearbeiter mindestens 30 Tage vor deren Einsatz in Textform an (E-Mail an die vom Verantwortlichen benannte Kontaktadresse) und aktualisiert die Liste. Der Verantwortliche kann aus wichtigen datenschutzrechtlichen Gründen widersprechen. Widerspricht er, suchen die Parteien eine Lösung; scheitert diese, kann der Verantwortliche den betroffenen Leistungsteil auf den Zeitpunkt des Einsatzes kündigen.

4.3 Der Auftragsbearbeiter überbindet seinen Unterauftragsbearbeitern gleichwertige Datenschutzpflichten.

5. Auslandsbekanntgabe

5.1 Bearbeitungen erfolgen in der Schweiz und im EU/EWR-Raum. Die EU/EWR-Staaten gelten aus Schweizer Sicht als Staaten mit angemessenem Datenschutzniveau; die Schweiz verfügt umgekehrt über einen Angemessenheitsbeschluss der EU.

5.2 Eine Bekanntgabe in andere Drittstaaten erfolgt nur mit geeigneten Garantien (z.B. Standardvertragsklauseln oder einer Zertifizierung nach dem Swiss-U.S. Data Privacy Framework) und wird in der Liste der Unterauftragsbearbeiter ausgewiesen.

6. Kontroll- und Auditrechte

6.1 Der Auftragsbearbeiter stellt dem Verantwortlichen die zum Nachweis der Pflichteinhaltung erforderlichen Informationen zur Verfügung (zunächst durch Dokumentation, Anhänge und Selbstauskunft).

6.2 Audits vor Ort sind nach Voranmeldung (mindestens 14 Tage) während der Geschäftszeiten möglich, höchstens einmal jährlich, ausser nach einem meldepflichtigen Vorfall. Beauftragt der Verantwortliche Dritte mit dem Audit, müssen diese zur Vertraulichkeit verpflichtet sein und dürfen keine Wettbewerber des Auftragsbearbeiters sein. Kosten trägt der Verantwortliche, sofern keine erheblichen Verstösse festgestellt werden.

7. Löschung und Rückgabe

Nach Abschluss der Leistungen löscht der Auftragsbearbeiter alle Personendaten des Verantwortlichen in seinem Einflussbereich oder gibt sie zurück, nach Wahl des Verantwortlichen, spätestens 60 Tage nach Vertragsende bzw. Projektabschluss, ausser es bestehen gesetzliche Aufbewahrungspflichten. Kommt innerhalb dieser Frist ein Folgeauftrag zustande, werden die Daten für diesen weiterverwendet und die Frist beginnt mit dessen Abschluss neu; auf Verlangen wird jederzeit früher gelöscht. Beim Managed-Dienst erhält der Verantwortliche vor der Löschung auf Wunsch einen Export seiner Daten in einem gängigen Format. Von der Löschpflicht ausgenommen sind gesetzlich zu archivierende Geschäftskorrespondenz sowie Daten in Sicherungskopien mit regulärem Überschreibzyklus; solche Daten werden nicht mehr aktiv bearbeitet und nach Ablauf der Fristen gelöscht. Die Löschung wird auf Verlangen bestätigt. Zugriffe auf Kundensysteme werden entzogen bzw. dokumentiert deaktiviert.

8. Haftung

Es gelten die Haftungsregeln des Hauptvertrags einschliesslich der dort bzw. in den Allgemeinen Geschäftsbedingungen vereinbarten Haftungsbeschränkungen. Im Aussenverhältnis haften die Parteien nach den anwendbaren Datenschutzgesetzen; im Innenverhältnis haftet jede Partei für den ihr zurechenbaren Verursachungsbeitrag.

9. Änderungen dieser Vereinbarung

9.1 Der Auftragsbearbeiter kann diese Vereinbarung anpassen, soweit dies zur Umsetzung geänderter rechtlicher Anforderungen, zur Abbildung neuer oder verbesserter technischer und organisatorischer Massnahmen oder zur redaktionellen Klarstellung erforderlich ist. Das vereinbarte Schutzniveau wird dadurch nicht abgesenkt.

9.2 Änderungen werden mindestens 30 Tage vor Inkrafttreten in Textform angekündigt und im Änderungsprotokoll dieser Seite ausgewiesen. Beeinträchtigt eine Änderung die Rechte des Verantwortlichen wesentlich, kann er ihr widersprechen; kommt keine Einigung zustande, kann er den betroffenen Leistungsteil auf den Zeitpunkt des Inkrafttretens kündigen.

9.3 Frühere Fassungen stellt der Auftragsbearbeiter auf Anfrage zur Verfügung.

10. Schlussbestimmungen

10.1 Bei Widersprüchen geht diese Vereinbarung dem Hauptvertrag in Datenschutzfragen vor; im Übrigen bleiben Hauptvertrag und AGB (insbesondere Haftung und Vertraulichkeit) unberührt.

10.2 Anwendbares Recht: Schweizer Recht. Gerichtsstand: Stans (NW). Für Kunden mit Sitz in der EU gelten ergänzend die zwingenden Bestimmungen der DSGVO.

Anhang 1: Gegenstand der Bearbeitung

Leistungsmodell a) Systeme des Verantwortlichen:

Leistungsmodell b) Managed-Dienst (Beleg-Verarbeitung):

Besonders schützenswerte Daten sind nicht Gegenstand der Leistung. Einzelne Belege können solche Daten enthalten (etwa Rechnungen über Gesundheitsleistungen); sie unterliegen denselben Schutzmassnahmen, eine gezielte Auswertung findet nicht statt.

Anhang 2: Technische und organisatorische Massnahmen (TOM)

Der Auftragsbearbeiter trifft insbesondere folgende Massnahmen und entwickelt sie angemessen weiter:

Anhang 3: Unterauftragsbearbeiter

Die aktuelle Liste der Unterauftragsbearbeiter mit Sitz, Zweck, Datenkategorien und Änderungsprotokoll wird geführt unter: wdc-gmbh.ch/subprozessoren. Änderungen unterliegen dem Verfahren nach Ziffer 4.

Änderungsprotokoll