Auftragsverarbeitungsvertrag (DPA)

Im Sinne dieses DPA bedeutet:

• Anwendbares Datenschutzrecht die für die betreffende Verarbeitung einschlagigen Datenschutzgesetze, einschliesslich soweit relevant des schweizerischen Datenschutzgesetzes und der DSGVO.
• Personenbezogene Daten jede Information über eine identifizierte oder identifizierbare naturliche Person.
• Verantwortlicher die Stelle, die Zwecke und Mittel der Verarbeitung bestimmt.
• Auftragsverarbeiter die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• Unterauftragsverarbeiter jeden Dritten, den Numezis zur Durchfuhrung bestimmter Verarbeitungstatigkeiten im Auftrag des Kunden einsetzt.
• Verletzung personenbezogener Daten jede Sicherheitsverletzung, die zur unbeabsichtigten oder unrechtmassigen Vernichtung, zum Verlust, zur Veranderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten fuhrt.

Dieses DPA gilt für alle verarbeiterseitigen Verarbeitungstatigkeiten, die Numezis im Zusammenhang mit dem Dienst während der Abonnementlaufzeit sowie während einer anschliessenden vereinbarten Übergangs-, Support-, Backup- oder Löschperiode im Auftrag des Kunden durchfuhrt.

Gegenstand der Verarbeitung ist die Bereitstellung des gehosteten Dienstes sowie der damit verbundenen Support-, Sicherheits-, Wartungs-, Speicher-, Übertragungs-, Troubleshooting-, Export- und Kontoverwaltungsfunktionen, die der Kunde anfordert. Die Verarbeitungsdauer entspricht dem Zeitraum, in dem Numezis angewiesen oder anderweitig verpflichtet ist, die betreffenden personenbezogenen Daten im Rahmen der Kundenbeziehung zu verarbeiten.

Je nach Konfiguration und Nutzung des Dienstes durch den Kunden kann Numezis insbesondere folgende Kategorien personenbezogener Daten verarbeiten:

• Identitats- und Kontaktdaten von autorisierten Nutzern, Mitarbeitern, Auftragnehmern, Kunden, Lieferanten oder sonstigen Geschaftskontakten;
• Konto-, Authentifizierungs-, Zugriffs- und Sicherheitsmetadaten;
• Geschafts- und Transaktionsdaten in Rechnungen, Buchungsdaten, Einkaufsunterlagen, Vertragen, lohnbezogenen Eintragen, Freigabeworkflows, Dokumentenablagen oder anderen vom Kunden importierten operativen Datensatzen;
• Support- und Troubleshooting-Informationen, die aus der Nutzung des Dienstes entstehen; sowie
• Logs, Telemetrie und systemgenerierte Metadaten im Zusammenhang mit Betrieb, Sicherheit und Support des Dienstes.

Betroffene Personen können autorisierte Nutzer des Kunden, Mitarbeiter, Auftragnehmer, Organe, Berater, Lieferanten, Kunden, Interessenten, Gegenparteien und alle sonstigen naturlichen Personen sein, deren personenbezogene Daten vom Kunden in den Dienst eingebracht oder innerhalb des Dienstes erzeugt werden.

Numezis verarbeitet personenbezogene Daten nur insoweit, wie dies zur Bereitstellung des Dienstes sowie der vom Kunden angeforderten Support-, Hosting-, Speicher-, Übertragungs-, Export-, Backup-, Sicherheits-, Troubleshooting-, Monitoring- und Kontoverwaltungsfunktionen erforderlich ist. Je nach Konfiguration und Weisung des Kunden kann die Verarbeitung das Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschranken, Löschen oder Vernichten umfassen.

Dokumentierte Weisungen des Kunden können sich aus der Vereinbarung, Kontoeinstellungen, Benutzerrechten, API-Aufrufen, Support-Tickets, Implementierungs-Workflows, schriftlichen Anfragen oder sonstigen dokumentierten Nutzungen des Dienstes ergeben, die vom Kunden veranlasst oder autorisiert wurden.

Numezis wird:

• personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten, soweit keine gesetzliche Pflicht etwas anderes verlangt;
• sicherstellen, dass zur Verarbeitung befugte Personen Vertraulichkeitsverpflichtungen unterliegen und angemessen geschult werden;
• geeignete technische und organisatorische Massnahmen zum Schutz personenbezogener Daten umsetzen und aufrechterhalten;
• den Kunden unter Berucksichtigung der Art der Verarbeitung und der Numezis verfügbaren Informationen bei Betroffenenanfragen und bei der Erfullung datenschutzrechtlicher Pflichten unterstützen; und
• den Kunden unverzuglich informieren, wenn Numezis der Ansicht ist, dass eine Weisung gegen anwendbares Datenschutzrecht verstosst, soweit ein solcher Hinweis nicht gesetzlich untersagt ist.

Die zugelassenen Unterauftragsverarbeiter sind in Anhang 1 zu diesem DPA aufgeführt.

Der Kunde gestattet Numezis den Einsatz von Unterauftragsverarbeitern für Infrastruktur, Hosting, Speicherung, Kommunikation, Sicherheit, Support-Tooling, Analytics und sonstige legitime Zwecke der Leistungserbringung, sofern Numezis diesen Unterauftragsverarbeitern Datenschutzpflichten auferlegt, die materiell mindestens dem Schutzstandard dieses DPA entsprechen.

Numezis bleibt für die Leistungen seiner Unterauftragsverarbeiter verantwortlich, soweit dies das anwendbare Datenschutzrecht und der zugrunde liegende Kundenvertrag verlangen. Soweit sachgerecht, stellt Numezis Informationen zu Unterauftragsverarbeitern über Vertragsunterlagen, ein Trust Center oder einen anderen angemessenen Offenlegungsmechanismus zur Verfügung.

Beabsichtigt Numezis die Aufnahme oder Ersetzung eines Unterauftragsverarbeiters in einer Weise, die das auftragsverarbeiterseitige Risiko wesentlich verandert, wird Numezis wirtschaftlich angemessene Anstrengungen unternehmen, vorab zu informieren und dem Kunden Gelegenheit zu einer begrundeten datenschutzrechtlichen Einwendung zu geben.

Dieser Anhang ist integraler Bestandteil des DPA. Er listet die Unterauftragsverarbeiter auf, die Numezis zur Verarbeitung personenbezogener Daten im Auftrag des Kunden einsetzt, samt dem tatsächlichen Ort der jeweiligen Verarbeitung.

Infrastruktur und Produktivdaten

• Infomaniak Network SA (Schweiz) — Applikations-Hosting, primäre Datenbank, Vektor-Suchindex und Reichweitenmessung der öffentlichen Website. Verarbeitungsort: Genf, Schweiz.
• Google Cloud EMEA Limited / Google LLC — Speicherung der Kundendokumente, Offsite-Sicherungskopien, Verwaltung der Verschlüsselungsschlüssel und Malware-Prüfung hochgeladener Dateien. Verarbeitungsort: Zürich, Schweiz (Region europe-west6).

Verarbeitung durch künstliche Intelligenz

• Microsoft Ireland Operations Limited — Azure OpenAI Service und Azure AI Foundry: Sprachmodelle, semantische Vektoren und Ausführung des Dokumentenlesemodells. Verarbeitungsort: Schweden (Region Sweden Central), Europäische Union. Übermittelte Inhalte werden nicht zum Training von Modellen verwendet.
• Mistral AI SAS (Frankreich) — Herausgeber des Dokumentenlesemodells für Zeichenerkennung und strukturierte Annotation. Das Modell läuft auf der oben genannten Microsoft-Infrastruktur und nicht auf Infrastruktur von Mistral AI.

Kommunikation

• Amazon Web Services EMEA SARL — Empfang eingehender E-Mails an den Dienst sowie temporäre Aufbewahrung der Rohnachrichten und ihrer Anhänge. Verarbeitungsort: Frankfurt, Deutschland (Region eu-central-1).
• Google Ireland Limited (Google Workspace) — Zustellung ausgehender transaktionaler E-Mails des Dienstes. Verarbeitungsort: Europäische Union.
• Telegram FZ-LLC und WhatsApp Ireland Limited — Konversationskanäle, ausschliesslich wenn der Kunde den betreffenden Kanal ausdrücklich aktiviert. Ohne Aktivierung werden ihnen keine Daten übermittelt.

Unterstützende Funktionen

• Stripe Payments Europe Limited (Irland) — Fakturierung, Abonnements und Zahlungseinzug. Verarbeitet Kontakt- und Rechnungsdaten, niemals die im Dienst erfassten Geschäftsdaten.
• Functional Software, Inc. (Sentry) — Erfassung von Anwendungsfehlern zu Zuverlässigkeitszwecken. Die automatische Erfassung personenbezogener Daten ist deaktiviert, Ereignisse werden vor der Übermittlung gefiltert.
• Tavily, Inc. — Websuche zur Anreicherung von Unternehmensinformationen und zur regulatorischen Beobachtung. Erhält öffentliche Unternehmensmerkmale (Firma, Domain), niemals Buchhaltungs- oder Lohndaten.

Mitteilung. Jede Aufnahme oder Ersetzung eines Unterauftragsverarbeiters wird dem Kunden mindestens 30 Kalendertage im Voraus mitgeteilt, gemäss dem Abschnitt «Unterauftragsverarbeiter».

Numezis unterhalt ein Sicherheitsprogramm, das der Art des Dienstes und den Risiken der Verarbeitung angemessen ist. Die Massnahmen können Zugriffskontrollen nach Least Privilege, Rollentrennung, Verschlusselung in der Übertragung, gegebenenfalls Verschlusselung im Ruhezustand, Logging, Monitoring, starke Authentifizierung, Vulnerability Management, Patch-Management, Incident-Response-Verfahren sowie Backup- und Wiederherstellungsmechanismen umfassen.

Der Kunde erkennt an, dass Sicherheit eine gemeinsame Verantwortung ist. Er bleibt verantwortlich für die Konfiguration von Benutzerrechten, Freigabeworkflows, Aufbewahrungsfristen, Endgeratesicherheit, Datenminimierung und etwaigen zusätzlichen Massnahmen, die sein regulatorisches Umfeld erfordert.

Primärer Standort. Der Applikationsdienst, die primäre Datenbank, der Suchindex und die lokalen Sicherungen werden in der Schweiz betrieben, auf Infrastruktur in Genf. Kundendokumente, Offsite-Sicherungskopien und verwaltete Verschlüsselungsschlüssel werden in der Schweiz in der Region Zürich aufbewahrt.

Verarbeitung ausserhalb der Schweiz. Zwei Verarbeitungskategorien finden ausserhalb des Schweizer Staatsgebiets, jedoch innerhalb des Europäischen Wirtschaftsraums statt: Verarbeitungen durch künstliche Intelligenz (Dokumentenlesung, semantische Vektoren, Textgenerierung) in Schweden sowie der Empfang eingehender E-Mails samt temporärer Aufbewahrung ihrer Anhänge in Deutschland. Anhang 1 benennt Unterauftragsverarbeiter, Zweck und Ort jeder dieser Verarbeitungen.

Garantien. Werden personenbezogene Daten, die diesem DPA unterliegen, ausserhalb der Schweiz oder des EWR/Vereinigten Königreichs übermittelt, setzt Numezis einen nach anwendbarem Recht anerkannten Übermittlungsmechanismus ein (Angemessenheitsbeschluss, EU-Standardvertragsklauseln 2021, Schweizer oder britisches Addendum) und, soweit erforderlich, eine Übermittlungsfolgenabschätzung mit angemessenen ergänzenden Massnahmen.

Numezis informiert den Kunden unverzuglich, nachdem Numezis von einer bestatigten Verletzung personenbezogener Daten Kenntnis erlangt hat, die personenbezogene Daten unter diesem DPA betrifft. Soweit operationell möglich, strebt Numezis für wesentliche Vorfalle eine erste Benachrichtigung innerhalb von 48 Stunden nach dieser Kenntnis an, wobei komplexe Vorfalle gestufte Kommunikation erforderlich machen können.

Die Mitteilung enthalt, soweit bekannt und verhaltnismassig verfügbar, die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Abhilfemassnahmen und sonstige Informationen, die der Kunde vernunftigerweise zur Erfullung eigener Meldepflichten benötigt.

Unter Berucksichtigung der Art der Verarbeitung und der Numezis verfügbaren Informationen wird Numezis den Kunden in angemessenem Umfang dabei unterstützen, auf rechtmassige Anfragen betroffener Personen zu reagieren und Pflichten zu Sicherheit, Vorfallsmanagement, Folgenabschatzungen und Konsultationen mit zustandigen Aufsichtsbehorden zu erfullen, soweit der Dienst für diese Pflichten relevant ist.

Erfordert eine Anfrage unverhaltnismassigen Aufwand, kundenspezifische Entwicklung, erhebliche juristische Prüfung oder Leistungen ausserhalb der Standardfahigkeiten des Dienstes, kann Numezis angemessene Gebühren berechnen, sofern diese soweit kommerziell praktikabel vorab offengelegt werden.

Nach Beendigung oder Ablauf des betreffenden Dienstes und vorbehaltlich des zugrunde liegenden Vertrags wird Numezis die unter diesem DPA verarbeiteten personenbezogenen Daten nach Ablauf einer vereinbarten Export- oder Übergangsphase löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht, kein Bedarf an Sicherheitslogs oder keine legitimen Beweis- oder Streitmanagementinteressen entgegenstehen.

Soweit eine Rückgabe verlangt wird, kann Numezis dieser Pflicht durch Bereitstellung über die Standard-Exportfunktionen des Dienstes oder durch eine andere wirtschaftlich zumutbare Exportmethode genugen. Soweit nicht anders vereinbart, wird die prozessorseitige Löschung in der Regel innerhalb von 30 Tagen nach Ende des anwendbaren Übergangsfensters abgeschlossen.

Auf angemessene schriftliche Anfrage stellt Numezis Informationen zur Verfügung, die vernunftigerweise zum Nachweis der Einhaltung dieses DPA erforderlich sind. Numezis kann dieser Pflicht durch Sicherheitsdokumentation, Compliance-Fragebogen, Richtlinien, Zusammenfassungen von Auditberichten oder andere Standard-Assurance-Materialien nachkommen.

Reichen diese Informationen nach anwendbarem Recht nicht aus, kann der Kunde höchstens einmal pro Jahr ein Audit verlangen, das während der ublichen Geschaftszeiten, mit angemessener Vorankundigung und unter Währung von Vertraulichkeit, Sicherheit und Betriebsfortfuhrung durchgefuhrt wird. Audits müssen verhaltnismassig sein, durfen keine Informationen anderer Kunden offenlegen und können durch einen unabhangigen, zur Vertraulichkeit verpflichteten Drittprufer erfolgen.

Sofern ein Audit keinen wesentlichen Verstoss von Numezis aufdeckt, tragt der Kunde seine Auditkosten selbst und erstattet Numezis angemessene interne Kosten für die Auditunterstutzung.

Dieses DPA unterliegt dem im zugrunde liegenden Kundenvertrag bestimmten Recht und den dort vorgesehenen Streitbeilegungsregeln, soweit das anwendbare Datenschutzrecht keine zwingenden vorrangigen Vorgaben macht. Sollte eine Bestimmung dieses DPA unwirksam oder nicht durchsetzbar sein, bleibt der uebrige Teil im gesetzlich maximal zulassigen Umfang wirksam.

Fragen zu diesem DPA, zu Unterauftragsverarbeitern, Transfers, Betroffenenanfragen oder zur prozessorseitigen Compliance können an privacy@numezis.com gerichtet werden. Kommerzielle oder vertragliche Fragen können ausserdem an hello@numezis.com gerichtet werden; Numezis leitet diese an den zustandigen Legal- oder Compliance-Kontakt weiter.