Auftragsbearbeitungsvertrag

1.1 AgapeX bearbeitet Personendaten ausschliesslich im Auftrag und nach Weisung des Kunden, soweit dies zur Erbringung der Leistungen nach den AGB erforderlich ist. Der Kunde bestimmt Zweck und Mittel der Bearbeitung und ist für die Rechtmässigkeit der Datenbeschaffung und -bearbeitung verantwortlich.

1.2 Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus so lange, wie AgapeX Personendaten des Kunden bearbeitet.

1.3 Für die Bearbeitung von Daten der Website, der Demonstrationstermine und der Vorschauzugänge sowie für die Vertragsabwicklung mit dem Kunden selbst — namentlich Kontaktdaten der Ansprechpersonen, Abrechnung und Support — ist AgapeX eigenständig Verantwortliche. Insoweit gilt die Datenschutzerklärung, nicht dieser Vertrag.

2.1 Art und Zweck der Bearbeitung, die Kategorien der Personendaten sowie die Kategorien der betroffenen Personen ergeben sich aus Anhang A.

2.2 Die Bearbeitung umfasst insbesondere das Erheben, Speichern, Ordnen, Verändern, Auslesen, Verwenden, Bekanntgeben durch Übermittlung, Verknüpfen, Einschränken, Löschen und Vernichten der Daten — jeweils durch die von FlatpeX bereitgestellten Funktionen.

2.3 Eine Bearbeitung für eigene Zwecke von AgapeX findet nicht statt. Zulässig bleibt die Auswertung von Kennzahlen zu Betrieb, Sicherheit, Abrechnung und Weiterentwicklung, sofern kein Rückschluss auf den Kunden, auf einzelne Personen oder auf einzelne Liegenschaften möglich ist. Kundendaten werden nicht zum Training von KI-Modellen verwendet.

3.1 AgapeX bearbeitet Personendaten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten der Hauptvertrag, dieser Vertrag, die Konfiguration von FlatpeX durch den Kunden sowie die Nutzung der Funktionen durch dessen Benutzerkonten.

3.2 Weitergehende Einzelweisungen erteilt der Kunde in Textform an info@agapex.ch. Verursacht eine Einzelweisung Mehraufwand, kann AgapeX diesen nach Aufwand vergütet verlangen; sie weist vorgängig darauf hin.

3.3 Hält AgapeX eine Weisung für rechtswidrig, teilt sie dies dem Kunden unverzüglich mit. Sie darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

3.4 Ist AgapeX aufgrund schweizerischen Rechts oder des Rechts eines Mitgliedstaats der Europäischen Union zu einer Bearbeitung verpflichtet, informiert sie den Kunden vor der Bearbeitung, sofern das betreffende Recht dies nicht verbietet.

4.1 Vertraulichkeit. AgapeX verpflichtet alle zur Bearbeitung befugten Personen zur Vertraulichkeit und stellt sicher, dass sie über ihre datenschutzrechtlichen Pflichten unterrichtet sind. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

4.2 Datensicherheit. AgapeX trifft die technischen und organisatorischen Massnahmen nach Anhang B. Sie kann diese weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

4.3 Zugriffsbeschränkung. Zugriff auf Personendaten des Kunden erhalten nur Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen. Zugriffe zur Störungsbehebung und zur Bearbeitung von Supportanfragen — einschliesslich der vorübergehenden Übernahme eines Benutzerkontos — werden protokolliert.

4.4 Unterstützung. AgapeX unterstützt den Kunden im Rahmen des technisch Möglichen und Zumutbaren bei der Erfüllung von dessen Pflichten, insbesondere bei Anfragen betroffener Personen, bei der Meldung von Verletzungen der Datensicherheit sowie bei einer Datenschutz-Folgenabschätzung.

4.5 Verzeichnis. AgapeX führt ein Verzeichnis aller Bearbeitungstätigkeiten, die sie im Auftrag des Kunden ausführt, und stellt es dem Kunden auf Verlangen zur Verfügung.

4.6 Kontaktstelle. Anfragen zum Datenschutz richtet der Kunde an info@agapex.ch.

5.1 Der Kunde stellt sicher, dass er zur Bearbeitung der in FlatpeX eingebrachten Personendaten berechtigt ist und dass eine gültige Rechtsgrundlage besteht.

5.2 Der Kunde informiert die betroffenen Personen — namentlich Mieterinnen, Mieter sowie Eigentümerinnen und Eigentümer — über die Bearbeitung ihrer Daten in FlatpeX, soweit ihn eine Informationspflicht trifft. AgapeX stellt ihm die dafür nötigen Angaben zur Verfügung.

5.3 Der Kunde konfiguriert Rollen, Berechtigungen und Freigabestufen für Dokumente so, dass nur berechtigte Personen Zugriff erhalten, und überprüft diese Einstellungen regelmässig.

5.4 Der Kunde bringt besonders schützenswerte Personendaten nur ein, soweit dies für die Bewirtschaftung erforderlich ist, und beachtet dabei die erhöhten Anforderungen des Datenschutzrechts.

5.5 Der Kunde führt das eigene Verzeichnis seiner Bearbeitungstätigkeiten und ist für Meldungen an die zuständige Aufsichtsbehörde und an betroffene Personen verantwortlich.

6.1 Der Kunde erteilt AgapeX die allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsbearbeiter sind im Sub-Prozessoren-Verzeichnis aufgeführt und gelten als genehmigt.

6.2 AgapeX informiert den Kunden mindestens 30 Tage vor der Beauftragung eines neuen oder dem Wechsel eines bestehenden Unterauftragsbearbeiters in Textform oder durch Aktualisierung des Verzeichnisses mit gleichzeitiger Benachrichtigung.

6.3 Der Kunde kann der Änderung innert 30 Tagen aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag auf den Zeitpunkt der Änderung kündigen; weitergehende Ansprüche bestehen nicht.

6.4 AgapeX verpflichtet Unterauftragsbearbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und haftet für deren Verhalten wie für eigenes.

6.5 Findet eine Bearbeitung ausserhalb der Schweiz und des Europäischen Wirtschaftsraums in einem Staat ohne angemessenen Datenschutz statt, stellt AgapeX geeignete Garantien sicher, insbesondere durch Standardvertragsklauseln. Die betroffenen Dienste sind im Verzeichnis gekennzeichnet.

7.1 Für die Beantwortung von Anfragen betroffener Personen ist der Kunde verantwortlich. AgapeX unterstützt ihn mit den Funktionen von FlatpeX, insbesondere mit Auskunfts-, Berichtigungs-, Export- und Löschfunktionen.

7.2 Wendet sich eine betroffene Person unmittelbar an AgapeX, beantwortet AgapeX die Anfrage nicht inhaltlich, sondern leitet sie unverzüglich an den Kunden weiter und informiert die betroffene Person darüber.

7.3 Berichtigungen, Einschränkungen und Löschungen von Daten des Kunden nimmt AgapeX nicht eigenmächtig vor, sondern nur auf dessen dokumentierte Weisung oder aufgrund gesetzlicher Verpflichtung.

8.1 AgapeX informiert den Kunden unverzüglich, spätestens innert 48 Stunden nach Kenntnisnahme, über eine Verletzung der Datensicherheit, die Personendaten des Kunden betrifft.

8.2 Die Meldung enthält, soweit verfügbar: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen sowie eine Kontaktstelle für Rückfragen. Fehlende Angaben werden nachgereicht.

8.3 AgapeX ergreift unverzüglich angemessene Massnahmen zur Sicherung der Daten und zur Begrenzung nachteiliger Folgen und dokumentiert den Vorfall.

8.4 Meldungen an die zuständige Aufsichtsbehörde und an betroffene Personen nimmt der Kunde vor. AgapeX unterstützt ihn dabei.

9.1 AgapeX weist die Einhaltung dieses Vertrags in erster Linie durch geeignete Dokumentation nach, namentlich durch die Beschreibung der Massnahmen nach Anhang B, durch das Verzeichnis der Bearbeitungstätigkeiten und durch Nachweise der Unterauftragsbearbeiter.

9.2 Reicht dies im begründeten Einzelfall nicht aus, kann der Kunde eine Überprüfung vor Ort verlangen. Sie ist mindestens 30 Tage im Voraus anzukündigen, auf Geschäftszeiten und auf höchstens einmal pro Kalenderjahr beschränkt und darf den Betrieb nicht unangemessen beeinträchtigen. Die Kosten trägt der Kunde; AgapeX kann ihren Aufwand nach Aufwand verrechnen.

9.3 Beauftragt der Kunde eine Drittperson mit der Überprüfung, darf diese nicht in einem Wettbewerbsverhältnis zu AgapeX stehen und ist vorgängig zur Vertraulichkeit zu verpflichten.

10.1 Nach Beendigung des Hauptvertrags stehen dem Kunden die Export- und Löschbestimmungen der AGB Ziffer 5.6 bis 5.8 zur Verfügung: 30 Tage für den Export, anschliessend Löschung innert 90 Tagen einschliesslich vorhandener Sicherungskopien.

10.2 Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Solche Daten werden gesperrt und ausschliesslich zur Erfüllung dieser Pflicht bearbeitet.

10.3 Auf Verlangen bestätigt AgapeX die Löschung in Textform.

11.1 Für die Haftung gilt Ziffer 10 der AGB, soweit nicht zwingendes Datenschutzrecht etwas anderes vorsieht.

11.2 Im Innenverhältnis trägt jede Partei den Anteil an einem Schaden oder an einer Sanktion, der ihrem Verschulden entspricht.

11.3 Es gelten schweizerisches Recht und der Gerichtsstand nach Ziffer 11.6 und 11.7 der AGB.

Kategorien betroffener Personen

• Mitarbeitende und Hilfspersonen des Kunden (Bewirtschaftung, Buchhaltung, Hauswartung)
• Mieterinnen und Mieter sowie deren Haushaltsangehörige
• Stockwerkeigentümerinnen und Stockwerkeigentümer sowie weitere Eigentümerinnen und Eigentümer
• Dienstleistende, Handwerksbetriebe und Lieferanten
• Weitere Kontaktpersonen im Zusammenhang mit einer Liegenschaft oder einem Vorgang

Kategorien von Personendaten

Zweck der Bearbeitung

Bewirtschaftung von Liegenschaften und Einheiten, Bearbeitung von Meldungen und Aufträgen, Kommunikation mit Beteiligten, Verwaltung von Dokumenten, Durchführung von Versammlungen und Abstimmungen, Wohnungsabnahmen, Projekt- und Aufgabensteuerung, Auswertungen sowie Betrieb, Sicherheit und Support der Plattform.

Die nachfolgenden Massnahmen beschreiben den Stand zum oben genannten Datum. AgapeX kann sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

Vertraulichkeit

• Mandantentrennung: Jeder Datensatz ist einer Organisation zugeordnet. Die Trennung wird auf Datenbankebene durch Zugriffsregeln (Row Level Security) und zusätzlich in der Anwendung durchgesetzt.
• Zugangskontrolle: Persönliche Benutzerkonten, Passwortrichtlinie, erzwungene Passwortsetzung bei Erstanmeldung, Sitzungsverwaltung über verschlüsselte Cookies.
• Berechtigungssystem: Rollen mit fein granulierten Einzelberechtigungen, projektbezogene Rechte, dokumentbezogene Freigabestufen. Änderungen an Berechtigungen werden protokolliert.
• Transportverschlüsselung: Sämtliche Verbindungen zur Plattform und zu Drittdiensten erfolgen über TLS.
• Verschlüsselung ruhender Daten: Datenbank und Dateispeicher werden auf verschlüsselten Datenträgern der verwalteten Datenbankinfrastruktur betrieben.
• Mobile Anwendungen: Sitzungsdaten werden auf dem Gerät geschützt abgelegt; die Anwendungen unterstützen die biometrische Entsperrung des Geräts.

Integrität und Nachvollziehbarkeit

• Protokollierung von Anmeldungen, Berechtigungsänderungen und administrativen Zugriffen einschliesslich der Übernahme eines Benutzerkontos zu Supportzwecken.
• Nachvollziehbare Bearbeitungshistorie zu Vorgängen, Dokumenten und Versammlungsbeschlüssen.
• Prüfsummenbasierte Verifikation von Abnahmeprotokollen über eine öffentliche Prüfseite.
• Getrennte Umgebungen für Entwicklung und Betrieb; Änderungen an der Datenbank ausschliesslich über versionierte Migrationen.

Verfügbarkeit und Belastbarkeit

• Betrieb der Datenbank und des Dateispeichers auf einer verwalteten Infrastruktur mit Überwachung des Systemzustands.
• Tägliche Sicherung der Datenbank mit einer Aufbewahrung von 7 Tagen; die Sicherungen liegen am selben Bearbeitungsort wie die Produktivdaten.
• Selbstbedienung des Kunden für den Export seiner Daten in maschinenlesbarer Form, jederzeit während der Vertragsdauer.

Organisation

• Verpflichtung aller Mitarbeitenden zur Vertraulichkeit, auch über das Ende der Tätigkeit hinaus.
• Zugriff nach dem Grundsatz der Erforderlichkeit; getrennte Zugänge für Betrieb und Support.
• Vertragliche Verpflichtung aller Unterauftragsbearbeiter auf ein gleichwertiges Schutzniveau.
• Definierter Ablauf für die Behandlung von Sicherheitsvorfällen einschliesslich Meldung an den Kunden.