Vereinbarung zur Auftragsdatenverarbeitung

Die Performa AG (Auftragnehmerin) vereinbart mit Ihren Kunden (Auftraggeber) eine Auftragsdatenverarbeitung im Sinne der Datenschutzvorgaben zum Schutz von Personendaten.

Die Vereinbarung zur Auftragsdatenverarbeitung (ADV) wird mit den Kunden einzeln abgeschlossen. Die Vereinbarung enthält jeweils folgende Anhänge:

• Anhang 1: Weitere Auftragsverarbeiter der Performa AG

• Anhang 2: Zweck, Personendaten und betroffene Personen

• Anhang 3: Liste der technischen und organisatorischen Massnahmen

Die Anhänge sind Bestandteil des ADV. Die Inhalte der Anhänge sind nachfolgend abgebildet und stehen einzeln auch als PDF-Datei zur Verfügung.

Anhang 1: Weitere Auftragsverarbeiter der Performa AG

 Version 1.0 vom 25.01.2024

 Anhang 1 als PDF-Datei:

Anhang 2: Zweck, Personendaten und betroffene Personen

Version 1.0 vom 25.01.2024

1. Gegenstand, Art und Zweck der Verarbeitung

1.1 Gegenstand der Auftragsdatenverarbeitung sowie Art und Zweck ergeben sich aus den zwischen den Parteien geschlossenen Verträgen, die eine Auftragsdatenverarbeitung zum Gegenstand haben können, sowie aus der Auftragsdatenverarbeitungsvereinbarung. Massgeblich sind die vereinbarten Leistungen der Verträge zwischen den Parteien.

2. Mögliche Arten personenbezogener Daten

2.1 Die im Rahmen der Auftragsdatenverarbeitung verarbeiteten Arten personenbezogener Daten sowie die Kategorien betroffener Personen ergeben sich aus dem individuell beauftragten Umfang gemäss den zwischen den Parteien geschlossenen Verträgen. Die möglichen Personenbezogenen Daten sind für den Auftraggeber zu jedem Zeitpunkt an folgenden Orten ersichtlich:

2.1.1 Im PerformX unter «F1 – Hilfe». Siehe auch «Handbuch» im PerformX Wikipedia: https://performanet.atlassian.net/wiki/spaces/PerformaNET

2.1.2 Im PerformX-Betriebskonzept des Auftraggebers (inklusive der kundenspezifischen Anpassungen)

2.2 Die effektiven personenbezogenen Daten richten sich nach dem Umfang der Implementation sowie dem PerformX-Betriebskonzept des Auftraggebers.

3. Mögliche Kategorien betroffener Personen

• Mitarbeitende

• Kunden und Kontaktpersonen (B2C und/oder B2B)

• Interessenten

• Geschäftspartner

• Teilnehmende, Studenten

• Dozenten, Kursleiter

• Abonnenten

• Mitglieder

• Lieferanten

4. Mögliche Arten der Auftragsdatenverarbeitung durch Performa

• Korrespondenz

• Beratung

• Projektabwicklung

• Support

• Akquise

• Fakturierung

• Marketing

• Events

 Anhang 2 als PDF-Datei:

Anhang 3: Technische und organisatorische Massnahmen

Version 1.0 vom 25.01.2024

Präambel

Dieser Anhang beschreibt die technischen und organisatorischen Massnahmen im Rahmen der ADV. Das Ziel von Performa ist es, angemessene Datenschutz- und Sicherheitsstandards im Einklang mit den aktuellen rechtlichen Rahmenbedingungen, einschliesslich der DSGVO und des DSG, sowie unter Berücksichtigung von Best Practices zu verfolgen. Wir erkennen an, dass Datenschutz und Datensicherheit fortlaufende Herausforderungen darstellen und beabsichtigen, unsere Massnahmen entsprechend anzupassen. Die beschriebenen Massnahmen sollen als generelle Richtlinien dienen, die wir im Rahmen unserer Möglichkeiten und unter Berücksichtigung der sich ständig ändernden technologischen und regulatorischen Landschaft verfolgen. Unser Ansatz basiert auf der regelmässigen Bewertung und Anpassung unserer Datenschutzpraktiken, wobei die konkrete Umsetzung von verschiedenen Faktoren abhängen kann. Zur Wahrnehmung dieser Aufgabe hat Performa jederzeit das Recht, diese Massnahmen anzupassen.

1. Verschlüsselung personenbezogener Daten

• Verschlüsselung von Arbeitsgeräten

• Direct Access VPN (für Fernarbeit, z.B. Home-Office)

2. Vertraulichkeit

2.1 Physische Zugangskontrolle

Unzulässigem physischem Zugang zu den Räumlichkeiten, in denen die personenbezogenen Daten verarbeitet werden, wird vorgebeugt (physische Zugangskontrolle). Technische oder organisatorische Massnahmen der physischen Zugangskontrolle in den Räumlichkeiten, einschliesslich Legitimierung der zugangsberechtigten Person:

• Es wird ein mechatronisches Schliesssystem eingesetzt

• Eingangstüren sind ausserhalb der Bürozeiten verriegelt

• Besucherinnen und Besucher werden am Eingang in Empfang genommen und halten sich nur in Begleitung in den Räumlichkeiten auf

• Die technischen Räume sind zusätzlich vor Zutritt gesichert

2.2 Elektronische Zugangskontrolle

Unzulässigem physischem Zugang zu den Datenverarbeitungs- oder Speichersystemen wird vorgebeugt (Zugangskontrolle). Technische oder organisatorische Massnahmen der Zugangskontrolle bezüglich der Nutzeridentifikation und -authentifizierung:

• Computersperren, IT-Systeme und Anwendungen sind passwortgeschützt

• Zusätzlich sind Benutzerkonten mit einer Multifaktor-Authentifizierung gesichert

• Computer werden bei zwischenzeitlichem Verlassen des Arbeitsplatzes gesperrt und bei Arbeitsende in der Regel komplett heruntergefahren (gilt nicht für Server)

• Verfahren zur Zurücksetzung der «vergessenen» Passwörter

• Rollenbasiertes Nutzerrechtmanagement, Nutzeridentifikation und -Authentifikation

• Verschlüsselung der Arbeitsgeräte

• Keine Verwendung externer Speichermedien

• Zugang zum Unternehmens-WLAN über Maschinenzertifikate und AD-Nutzerkennung mit Multifaktor-Authentifizierung

• Zugang zum Unternehmens-LAN über Maschinenzertifikate und AD-Nutzerkennung mit Multifaktor-Authentifizierung

2.3 Zugriffs- und Benutzerkontrolle

Der autorisierte Zugriff auf Datenverarbeitungssysteme ist gewährleistet, um die einzelnen Zugriffsautorisationen oder Zugriffsrechte aufeinander abzustimmen und zu beschränken. Es gilt sicherzustellen, dass die personenbezogenen Daten während der Bearbeitung, Verwendung oder Speicherung (Zugriffsrechte) nicht unbefugt gelesen, kopiert, geändert oder entfernt werden. Nicht autorisierte Aktivitäten in den IT-Systemen über die gewährten Genehmigungen oder Autorisierungsniveaus hinaus sind zu verhüten. Das Autorisationskonzept und die Zugriffsgenehmigungen sind funktions- und rollenbasiert.

2.4 Trennungskontrolle

Es soll sichergestellt werden, dass die Datensätze, die für unterschiedliche Zwecke erfasst wurden, separat verarbeitet werden. Massnahmen zur Trennung von Daten, um die ungeplante Nutzung dieser Daten (Speicherung, Änderung, Löschung, Übertragung) für andere Zwecke zu vermeiden (Trennungskontrolle):

• Kundentrennung, Multi-Client-Fähigkeit der Systeme

• Einhaltung der Bestimmungen mit Einschränkung auf einzelne Zwecke

• Autorisation, welche die separate Bearbeitung der Kundendaten ermöglicht

• Funktionstrennung (Produktiv-, Test- und Schulungsumgebungen)

3. Integrität

3.1 Übertragungskontrolle

Es soll sichergestellt werden, dass die personenbezogenen Daten während des Transports, der Übertragung oder der Speicherung auf einem Datenträger nicht unbefugt gelesen, kopiert, geändert oder entfernt werden und dass Verifizierung und Bestätigung der Orte, an die personenbezogene Daten über Übertragungssysteme übertragen werden sollen, möglich sind. Massnahmen während Transport, Übertragung oder Speicherung:

• Verschlüsselung der Datenträger (Arbeitsgeräte)

• Verwendung von https und VPN-Verbindungen

• Dem Gesetz entsprechende Vernichtung der Backup-Bänder und Festplatten durch Dienstleister

• Verwendung von https und VPN-Verbindungen

 3.2 Eingabekontrolle

Es soll sichergestellt werden, dass später überprüft und bestätigt werden kann, ob und von wem personenbezogene Daten eingegeben, geändert oder entfernt (Eingabekontrolle) wurden. Ferner ist die Transparenz der Dokumentation für das Datenmanagement und die Datenpflege zu gewährleisten. Massnahmen und Verfahren für spätere Prüfungen, von wem die Daten eingegeben, geändert oder entfernt (gelöscht) wurden:

• Aufzeichnung der Nutzeraktivitäten auf dem Filesystem, Serverlogs, Microsoft Azure, PerformaNET-Logbuch

• Aufzeichnung administrativer Aktivitäten: VPN-Zugang, Serverlogs, Filesystem, Microsoft Azure, PerformaNET-Logbuch

4. Verfügbarkeit und Resilienz

4.1 Verfügbarkeitskontrolle

Es soll sichergestellt werden, dass die personenbezogenen Daten vor Verlust oder böswilliger bzw. versehentlicher Vernichtung geschützt sind (Verfügbarkeitskontrolle). Massnahmen zum Datenschutz (physisch und logisch):

• Ausfallsicherung der kritischen Infrastruktursysteme

• Backup-Verfahren (Point-In-Time, täglich, wöchentlich, monatlich)

• Getrennte Speicherung/Verwahrung der Backup-Kopien

• Virenschutz

• Standardverfahren/Patch-Management für regelmässige Updates der Schutzsoftware (z.B. Virusscanner, Endpoint Security)

• Standardverfahren/Patch-Management für regelmässige Überprüfung/Updates aller übrigen Software

• Beauftragung von zertifizierten IT-Partnern mit eigenen Rechenzentren

4.2 Resilienzkontrolle

• Verwendung einer zentralisierten IT-Infrastruktur mit hoher Verfügbarkeit und Redundanz an verschiedenen Standorten

• Störungsmanagementprozess

5. Verfügbarkeit, um die personenbezogenen Daten bei einer physischen oder technischen Störung rechtzeitig wiederherzustellen und auf sie zuzugreifen

• Backup der Systeme

• SLA mit hohen Service-Levels für Geschäftsanwendungen

6. Verfahren für die regelmässige Prüfung, Beurteilung und Bewertung der Wirksamkeit der technischen und organisatorischen Massnahmen

• Datenschutzmanagement

• Incident Response Management

• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

7. Auftragsüberwachung

Es soll sichergestellt werden, dass die personenbezogenen Daten, die für den Verantwortlichen verarbeitet werden, nur in Übereinstimmung mit den Anweisungen des Verantwortlichen verarbeitet werden können (Auftragsüberwachung):

• Schriftliche Verträge

• Auftragserteilung ist formalisiert

• Auswahlkriterien für Dienstleister

• Überwachung der Vertragserfüllung

 Anhang 3 als PDF-Datei: