Vertrag zur Auftragsverarbeitung (AVV)

Vertrag zur Auftragsverarbeitung für SMG Kunden, die CASALEAD nutzen.

Anlage 2 der Nutzungs- und Lizenzbedingungen

Letzte Aktualisierung: 1. Mai 2025

Dieses Dokument definiert die vertraglich vereinbarte Auftragsverarbeitung von Daten im Rahmen der Bereitstellung des Lead-Management-Systems (nachfolgend „LMS“ – oder auch „CASALEAD“ genannt), das die BOTTIMMO AG (nachfolgend „BOTTIMMO“ oder „Auftragnehmer“) für den jeweiligen Nutzer (d.h. der Kunde von SMG oder im Falle eines Test-Accounts die SMG nachfolgend „Nutzer“ oder „Auftraggeber“) gemäss den Nutzungs- und Lizenzbedingungen bereitstellt.

Zwischen den Parteien besteht ein Vertragsverhältnis auf Grundlage von Nutzungs- und Lizenzbedingungen (nachfolgend „Nutzungs- und Lizenzbedingungen“). Zur Wahrung der datenschutzrechtlichen Anforderungen, insbesondere der Verordnung (EU) 2016/679 (EU-Datenschutz- Grundverordnung – DSGVO) sowie weiterer anwendbarer nationaler Datenschutzvorschriften, schliessen die Parteien die nachfolgende Vereinbarung.

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend auch „Vereinbarung“) einschliesslich seiner Anlagen (Annexe) ersetzt ab seinem Akzept durch den Nutzer – mit Wirkung für die Zukunft – sämtliche bestehenden Vereinbarungen zur Auftrags(-daten-)verarbeitung zwischen den Parteien.

Verantwortlicher der durch den Auftragnehmer als Auftragsverarbeiter verarbeiteten Daten ist der Auftraggeber, der das LMS nutzt.

Der Auftraggeber ist im Verhältnis zum Auftragnehmer in jedem Fall allein verantwortlich für die Einholung aller relevanten Genehmigungen, Zustimmungen und Einwilligungen sowie die Vornahme von Weisungen oder Massnahmen für die Verarbeitung personenbezogener Daten gemäss dieser Vereinbarung.

1. Gegenstand, Dauer und Orte der Vereinbarung

Gegenstand

1.1 Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers und nach dessen Weisung im Zusammenhang mit der Erfüllung der Verpflichtungen aus den Nutzungs- und Lizenzbedingungen oder im Zusammenhang mit der Erfüllung von Zusatzleistungen nach gesonderter Beauftragung durch den jeweiligen Kunden der SMG3 auf Grundlage einer eigenständigen Vereinbarung (nachfolgend „Vereinbarung über Zusatzleistungen“), die im Rahmen des Bestellprozesses der jeweiligen Zusatzleistung gesondert geschlossen wird.

Die von dieser Vereinbarung umfassten Datenverarbeitungen sind in Annex 1 oder ggf. der jeweiligen Vereinbarung über Zusatzleistungen näher beschrieben. Andere als die darin beschriebenen Tätigkeiten bzw. Dienstleistungen werden vom Auftragnehmer entweder nicht als Auftragsverarbeitung oder unter einer gesonderten Vereinbarung zum Datenschutz erbracht.

Dauer

1.2 Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Vertragsverhältnisses unter der Geltung der Nutzungs- und Lizenzbedingungen (zuzüglich des Zeitraums zwischen dem Ende der Laufzeit und der Löschung/Anonymisierung aller personenbezogenen Daten des Auftraggebers). Das Recht zur fristlosen Kündigung dieser Vereinbarung aus wichtigem Grund bleibt unberührt.

Orte der Verarbeitung

1.3 Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet in einem Mitgliedsstaat der Europäischen Union (EU), in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR), in der Schweiz oder in Drittländern unter Einhaltung der besonderen gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO statt. Das angemessene Datenschutzniveau in der Schweiz ist festgestellt durch einen Angemessenheitsbeschluss der EU-Kommission (Art. 45 Abs. 3 DSGVO).

2. Pflichten des Auftragnehmers

Technische und organisatorische Massnahmen (TOM)

2.1 Der Auftragnehmer setzt die in Annex 3 dokumentierten technischen und organisatorischen Massnahmen (nachfolgend „TOM“) um und erhält dies aufrecht, welche die Grundlage des vorliegenden Auftrags darstellen. Die Parteien sind sich einig, dass diese TOM ein dem Risiko angemessenes Schutzniveau hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme, insbesondere unter Berücksichtigung der Organisationskontrolle, Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle sowie des Trennungsgebots, sicherstellen. Die konkreten TOM sind im Einzelfall abhängig von den TOM der jeweils eingebundenen Unterauftragsverarbeiter, die vom Auftragnehmer auf Anfrage zur Verfügung gestellt werden. Dem Auftragnehmer ist es gestattet, seinen Geschäftsbetrieb derart zu organisieren, dass Mitarbeiter auch “remote” bzw. im Home-Office ihren Tätigkeiten zur Erfüllung des Vertragszweckes der Nutzungs- und Lizenzbedingungen nachkommen können, solange dabei ein dem Risiko angemessenes Schutzniveau hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme, sichergestellt wird.

2.2 Die TOM beim Auftragnehmer können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Massnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Massnahmen nicht unterschritten werden. Wesentliche Änderungen sind dem Auftraggeber mitzuteilen.

Weitere Pflichten des Auftragnehmers

2.3 Der Auftragnehmer verarbeitet personenbezogene Daten ausschliesslich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten.

2.4 Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit zu wahren. Personen des Auftragnehmers, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, sind zur Vertraulichkeit verpflichtet, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

2.5 Der Auftragnehmer macht die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes vertraut und trägt dafür Sorge, dass zur Auftragsverarbeitung eingesetzte Personen laufend angemessen angeleitet und überwacht werden.

2.6 Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, verpflichtet sich der Auftragnehmer den Auftraggeber im Rahmen seiner Möglichkeiten zu unterstützen, soweit die Verarbeitung im Auftrag betroffen ist.

2.7 Der Auftragnehmer hat einen Datenschutzbeauftragten benannt (s. Annex 1).

2.8 Der Auftragnehmer teilt dem Auftraggeber durch ihn oder die bei ihm beschäftigten Personen verursachten Verstösse gegen Vorschriften zum Schutz personenbezogener Daten unverzüglich mit.

2.9 Soweit sich eine betroffene Person bezüglich ihrer Datenschutzrechte, insbesondere auf Auskunft, Berichtigung, Löschung und Sperrung, unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen an den Auftraggeber weiterleiten und/oder den Betroffenen an den Auftraggeber verweisen. Der Auftragnehmer selbst wird keine Entscheidung über die Berechtigung von Ersuchen der Betroffenen treffen und insbesondere auch keine Auskunftsverlangen von Betroffenen beantworten.

2.10 Der Auftragnehmer wird den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei dessen Einhaltung seiner Pflichten nach Art. 33 bis 36 DSGVO im Rahmen seiner Möglichkeiten unterstützen.

Hierzu gehören insbesondere:

die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Massnahmen;
die unverzügliche Meldung von Verletzungen personenbezogener Daten an den Auftraggeber;
die Verpflichtung, den Auftraggeber im Rahmen seiner Informationspflicht gegenüber dem Betroffenen bei Datenschutzverletzungen zu unterstützen und ihm in diesem Zusammenhang sämtliche verfügbaren Informationen, soweit relevant, unverzüglich zur Verfügung zu stellen;
die Unterstützung des Auftraggebers für dessen Datenschutz-Folgenabschätzung;
die Unterstützung des Auftraggebers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.

3. Rechte und Pflichten sowie Weisungsbefugnis des Auftraggebers, Vergütung

3.1 Für die Beurteilung der Zulässigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der Betroffenen ist allein der Auftraggeber verantwortlich.

3.2 Die Weisungen des Auftraggebers werden anfänglich durch diese Vereinbarung festgelegt und können vom Auftraggeber danach schriftlich oder in Textform (z.B. per E-Mail) an den oder die Weisungsempfänger des Auftragnehmers durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Der Auftragnehmer unternimmt alle zumutbaren Anstrengungen, um Einzelweisungen des Auftraggebers nachzukommen, soweit sie datenschutzrechtlich erforderlich, technisch durchführbar und ohne Änderungen an den vertraglichen Leistungen gemäss den Nutzungs- und Lizenzbedingungen möglich sind. Einzelweisungen des Auftraggebers werden von diesem in Textform dokumentiert. Mündliche Weisungen wird der Auftraggeber unverzüglich in Textform bestätigen.

3.3 Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung des Auftraggebers verstosse gegen geltende datenschutzrechtliche Bestimmungen oder sie aus einem der in Ziffer 3.2 aufgeführten Gründe nicht ausführen kann. Der Auftragnehmer ist berechtigt, die Durchführung einer Weisung solange auszusetzen, bis die Weisung durch den Weisungsberechtigten des Auftraggebers in Textform bestätigt oder geändert wird. Der Auftragnehmer ist jedoch nicht verpflichtet, die datenschutzrechtliche Zulässigkeit einer vertrags- oder weisungsgemässen Verarbeitung zu prüfen.

3.4 Weisungen sollen grundsätzlich durch den oder die Weisungsberechtigten beim Auftraggeber an den oder die Weisungsempfänger beim Auftragnehmer erteilt werden (siehe Annex 1).

3.5 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmässigkeiten bezüglich datenschutzrechtlicher Bestimmungen oder seiner Weisungen bei der Prüfung der Auftragsergebnisse feststellt.

3.6 Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheits- massnahmen des Auftragnehmers vertraulich zu behandeln.

3.7 Der Auftraggeber wird sicherstellen, dass der Auftragnehmer und seine Unterauftragsverarbeiter keine sensiblen Daten im Sinne der DSGVO verarbeiten, d.h. insbesondere Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person.

3.8 Für vom Auftragnehmer erbrachte Unterstützungsleistungen nach dem vorliegenden Vertrag, die nicht von den Nutzungs- und Lizenzbedingungen ausdrücklich umfasst sind, kann der Auftragnehmer eine angemessene Vergütung verlangen. Diese Regelung kann insbesondere für die Unterstützung des Auftraggebers bei der Erfüllung von Ansprüchen des Betroffenen (Ziffer 2.10), bei der Erfüllung von Pflichten des Auftraggebers nach Art. 32 bis 36 DSGVO (Ziffer 2.11), bei Kontrollen des Auftragnehmers (Ziffer 4) und bei der Ausführung von Einzelweisungen einschlägig sein. Für die angemessene Vergütung ist mangels abweichender Absprache der tatsächlich angefallene Aufwand nach den jeweils aktuellen Stundensätzen des Auftragnehmers massgeblich.

4. Kontrollrechte des Auftraggebers

4.1 Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach dieser Vereinbarung überzeugen kann. Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in dieser Vereinbarung niedergelegten Pflichten insbesondere die Umsetzung der technischen und organisatorischen Massnahmen mit geeigneten Mitteln nach.

4.2 Der Auftragnehmer ist berechtigt, unter angemessener Berücksichtigung der gesetzlichen Verpflichtungen des Auftraggebers sowie der berechtigten Geheimhaltungsinteressen des Auftragnehmers (insbesondere im Hinblick auf die Gewährleistung der Informationssicherheit sowie rechtliche und vertragliche Verpflichtungen) Informationen nicht zu offenbaren.

Der Auftraggeber ist nicht berechtigt, Zugang zu Daten oder Informationen über andere Kunden des Auftragnehmers, zu Informationen hinsichtlich Kosten sowie zu anderen vertraulichen Daten des Auftragnehmers, die nicht für die vereinbarten Kontrollzwecke relevant sind, zu erhalten.

4.3 Sollten im Einzelfall Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer erforderlich sein, werden diese im Benehmen mit dem Auftragnehmer zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit (in der Regel mindestens einen (1) Monat im Voraus) und nach Information über alle mit der Durchführung der Kontrolle zusammenhängenden Umstände auf Kosten des Auftraggebers durchgeführt. Der Auftragnehmer darf diese von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Auftraggeber und der eingerichteten technischen und organisatorischen Massnahmen abhängig machen. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Einspruchsrecht. Die Parteien gehen davon aus, dass eine Vor-Ort-Kontrolle höchstens einmal jährlich erforderlich ist. Der Auftragnehmer ist grundsätzlich nicht berechtigt, Inspektionen direkt bei Subunternehmern durchzuführen. Sofern derartige Inspektionen im Einzelfall datenschutzrechtlich erforderlich sind, wird sich der Auftragnehmer darum bemühen, in Abstimmung mit dem jeweiligen Subunternehmer eine mittelbare Inspektion über den Auftragnehmer als (Haupt-)Auftragsverarbeiter oder über vom Auftragnehmer beauftragte unabhängige Prüfer auf Kosten des Auftraggebers zu ermöglichen.

4.4 Nach Wahl des Auftragnehmers kann der Nachweis der Einhaltung der Verpflichtungen nach dieser Vereinbarung auch erbracht werden durch

die Vorlage eines geeigneten, aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder
eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudits oder
die Einhaltung genehmigter Verhaltensregeln gem. Art. 40 DSGVO.

Sollen solche Nachweise anerkannt werden, müssen sie es dem Auftraggeber in angemessener Weise ermöglichen, sich von der Einhaltung der Verpflichtungen nach dieser Vereinbarung, insbesondere der technischen und organisatorischen Massnahmen, zu überzeugen.

5. Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverhältnisse)

5.1 Der Auftragnehmer ist im Rahmen seiner vertraglichen Verpflichtungen zur Begründung von weiteren Unterauftragsverhältnissen mit Subunternehmern (Unterauftragsverarbeitern) befugt. Er setzt den Auftraggeber hiervon unverzüglich in Kenntnis. Der Auftraggeber genehmigt bereits jetzt das Unterauftragsverhältnis zwischen dem Auftragnehmer und den in der Annex 2 aufgeführten Subunternehmern.

5.2 Der Auftragnehmer wird den Auftraggeber vorab über jede weitere beabsichtigte Hinzuziehung oder die Ersetzung eines bereits beauftragten Subunternehmers unterrichten. Der Auftraggeber kann der Auslagerung auf Subunternehmer oder der Änderung von bestehenden Subunternehmern – innerhalb einer angemessenen Frist (in der Regel innerhalb von zehn (10) Werktagen) – gegenüber dem Auftragnehmer widersprechen. Erfolgt kein Widerspruch innerhalb der Frist gilt die Zustimmung zur Änderung als gegeben. Erhebt der Auftraggeber den Widerspruch ohne wichtigen Grund, ist der Auftragnehmer zur ausserordentlichen Kündigung der Nutzungs- und Lizenzbedingungen sowie der vorliegenden Vereinbarung berechtigt.

5.3 Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Subunternehmer bzw. an dessen weitere Subunternehmer und dessen/deren erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet. Die vertraglichen Regelungen in der Vertragskette sind auch etwaigen weiteren Subunternehmern aufzuerlegen.

5.4 Nimmt der Auftragnehmer die Dienste eines Subunternehmers in Anspruch, müssen die vertraglichen Vereinbarungen mit dem Subunternehmer so gestaltet werden, dass sie den Anforderungen dieser Vereinbarung, insbesondere zu Vertraulichkeit, Datenschutz und Datensicherheit, entsprechen.

5.5 Der Auftragnehmer ist gegenüber dem Auftraggeber für sämtliche Handlungen und Unterlassungen der von ihm eingesetzten Subunternehmer im Rahmen der vertraglichen Vereinbarung über die Verarbeitung von personenbezogenen Daten des Auftraggebers zwischen dem Auftragnehmer und dem jeweiligen Subunternehmer wie für eigenes Handeln verantwortlich.

5.6 Erbringt der Subunternehmer die vereinbarte Leistung ausserhalb der EU, des EWR oder der Schweiz stellt der Auftragnehmer sicher, dass die besonderen gesetzlichen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Hierzu vereinbart der Auftragnehmer in der Regel insbesondere Standardvertragsklauseln gemäss Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 der Europäischen Kommission (nachfolgend „EU-Standardvertragsklauseln“) mit dem Subunternehmer, wie in Annex 2 (letzte Spalte) näher angegeben.

5.7 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/ Transport- dienstleistungen, Wartung und Benutzerservice sowie sonstige Massnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene vertragliche Vereinbarungen sowie Kontrollmassnahmen zu ergreifen.

6. Löschung der Daten

6.1 Vorbehaltliche der nachstehenden Ziffer 8.2 hat der Auftragnehmer nach Beendigung der Nutzungs- und Lizenzbedingungen oder Abschluss der Erbringung der Verarbeitungsleistungen sämtliche in seinen Besitz gelangten Unterlagen, erstellten Verarbeitungsergebnisse sowie Datenbestände des Auftraggebers, die im Zusammenhang mit dem Auftragsverhältnis stehen, datenschutzgerecht zu löschen bzw. zu anonymisieren oder im Falle von physischen Unterlagen dem Auftraggeber auszuhändigen.

6.2 Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemässen Datenverarbeitung dienen, werden entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahrt.

7. Haftung

Der Auftragnehmer haftet für entstandene Schäden und den Ersatz vergeblicher Aufwendungen, gleich aus welchem Rechtsgrund, ausschliesslich nach den in den Nutzungs- und Lizenzbedingungen vereinbarten Haftungsbegrenzungen.

8. Schlussbestimmungen

8.1 Diese Vereinbarung ist im Einklang mit den Rechtsbegriffen und Definitionen der DSGVO sowie dem anwendbaren nationalen Datenschutzrecht auszulegen.

8.2 Änderungen und/oder Ergänzungen dieser Vereinbarung bedürfen einer schriftlichen Vereinbarung. Eine Aufhebung des Schriftformerfordernisses bedarf ebenfalls der Schriftform.

8.3 Im Fall von Widersprüchen zwischen dieser Vereinbarung und den Nutzungs- und Lizenzbedingungen haben die in dieser Vereinbarung getroffenen Regelungen Vorrang. Im Fall von Widersprüchen zwischen dieser Vereinbarung bzw. den Nutzungs- und Lizenzbedingungen und den EU-Standardvertragsklauseln haben die in den EU-Standardvertragsklauseln getroffenen Regelungen Vorrang.

8.4 Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Entsprechendes gilt für Lücken.

8.5 Auf diese Vereinbarung und ihre Auslegung und Durchführung findet ausschliesslich Schweizer Recht unter Ausschluss kollisionsrechtlicher Bestimmungen Anwendung. Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus und in Zusammenhang mit dieser Vereinbarung ist der Sitz des Auftragnehmers.

Anlagen:

Annex 1: Einzelheiten der Auftragsverarbeitung
Annex 2: Unterauftragsverarbeiter
Annex 3: Technische und organisatorische Massnahmen (TOM)

Annex 1: Einzelheiten der Auftragsverarbeitung

Gegenstand, Art und Zweck der Verarbeitung	BOTTIMMO verarbeitet im Zusammenhang mit den nachfolgend aufgeführten, gemäss den Nutzungs- und Lizenzbedingungen zu erbringenden Leistungen personenbezogene Daten im Auftrag des Auftraggebers. Die Datenverarbeitung durch BOTTIMMO umfasst ggf. das Erheben, Erfassen, Organisieren, Ordnen, Verändern, Auslesen, Verwenden, Offenlegen, Verknüpfen, Löschen oder Vernichten. Die folgenden Tätigkeiten bzw. Dienstleistungen sind von der Vereinbarung zur Auftragsverarbeitung umfasst: Bereitstellung des LMS für die Auslieferung von elektronischen Inhalten zu immobilienspezifischen Themen an Endkunden Anlage und Verwaltung von Immobilienobjekten sowie des übrigen Auftraggeber-spezifischen Datenbestandes Weiterleitung von eingegebenen Kunden- und Objektdaten an den Auftraggeber Sicherung des Auftraggeber-spezifischen Datenbestandes auf Serversystemen Auswertung von Anfragen und Kundenpräferenzen sowie der Nutzung der Landingpages Support, ggf. einschliesslich Remote-Zugriff auf das LMS
Kategorien betroffener Personen	Endkunden – An den von BOTTIMMO im Namen des Auftraggebers angebotenen Services interessierte Internetnutzer. Nutzer – Mitarbeiter oder Erfüllungsgehilfen des Auftraggebers, die mittels Zugang zu dem von BOTTIMMO bereitgestellten LMS arbeiten. Auftraggeber – siehe oben
Art der personenbezogenen Daten	Im Rahmen der Datenverarbeitung gemäss den Nutzungs- und Lizenzbedingungen werden von Endkunden nach deren Zustimmung Kontaktdaten, in der Regel die E-Mail-Adresse, bei entsprechender Zustimmung auch der Name, Vorname, Geschlecht und die angegebene Telefonnummer verarbeitet. Im Falle von durch den Endkunden angefragten Immobilienbewertungen/Immobiliengesuche werden zudem insbesondere die vom Endkunden mit dessen Zustimmung bereitgestellten Adressdaten der zu bewertenden Immobilie, sowie die jeweils getätigten Angaben zur Immobilie verarbeitet. Darüber hinaus können im Rahmen der Leistungserbringung gemäss den Nutzungs- und Lizenzbedingungen weitere Daten zur Erfüllung des Vertragszweck bei entsprechender Zustimmung der Endkunden verarbeitet werden. Im Rahmen der Datenverarbeitung gemäss den Nutzungs- und Lizenzbedingungen werden von Nutzern des bereitgestellten LMS in der Regel Kontaktdaten wie insbesondere Name, Vorname, Telefonnummer und E-Mail-Adresse verarbeitet. Im Rahmen der Datenverarbeitung gemäss den Nutzungs- und Lizenzbedingungen werden vom Auftraggeber die von ihm zu diesem Zwecke angegebenen Kontaktdaten, in der Regel Name, Vorname, Büroadresse, E-Mail-Adresse, Telefonnummer, Mobilnummer, sowie als Bilddateien vom Auftraggeber für diesen Zweck bereitgestellte Profilfotos, Teamfotos, Zahlungsdaten, wie insbesondere die Bankverbindung und eine eingescannte handschriftliche Signatur verarbeitet. Der Auftragnehmer behält sich vor die zu verarbeitende Art von Daten mit dem Ziel der Verbesserung der erbrachten Services gemäss den Nutzungs- und Lizenzbedingungen zu erweitern oder zu verändern. Der Auftragnehmer wird den Auftraggeber über solche Änderungen in angemessener Form informieren. Der Auftraggeber wird sicherstellen, dass BOTTIMMO und ihre Unterauftragsverarbeiter keine sensiblen Daten im Sinne der DSGVO verarbeiten.
Datenschutzbeauftragter des Auftragnehmers	Unter https://bottimmo.com/de/datenschutzerklaerung/ finden Sie die aktuellen Kontaktdaten des Datenschutzbeauftragten des Auftragnehmers.
Weisungsempfänger des Auftragnehmers	Yannick Messmer E-Mail: [email protected]

Annex 2: Unterauftragsverarbeiter

Es gilt die zum Zeitpunkt des Wirksamwerdens der Vereinbarung gültige Auflistung der Unterauftragsverarbeiter*. Diese kann vom Auftragnehmer während der Laufzeit nach Massgabe von Ziffer 5.2 der Vereinbarung angepasst werden.

* (Unter-)Unterauftragsverarbeiter der aufgeführten Dienstleister werden dort nicht genannt. Den aufgeführten Dienstleistern ist es unter Einhaltung entsprechender Verpflichtungen der vorliegenden Vereinbarung gestattet, ihrerseits (Unter-)Unterauftragsverarbeiter einzubinden. Weitere Informationen werden auf Anfrage bereitgestellt.

Annex 3: Technische und organisatorische Massnahmen (TOM)

Der Auftragnehmer stellt die aufgeführten technischen und organisatorischen Massnahmen (TOM) sicher. Diese können vom Auftragnehmer während der Laufzeit nach Massgabe von Ziffer 2.2 der Vereinbarung angepasst werden.