Vereinbarung zur Auftragsbearbeitung (AVV)

zwischen
dem Kunden (nachfolgend «Verantwortlicher» oder «Kunde»)

und

Marcher Lab. (nachfolgend «Auftragsbearbeiter» im Sinne des Schweizer Datenschutzgesetzes bzw. «Auftragsverarbeiter» im Sinne der DSGVO; nachfolgend einheitlich «Marcher Lab.»)

gemeinsam die «Parteien».

1. Gegenstand, Geltungsbereich und Rollen

1. Diese Vereinbarung regelt die Bearbeitung von Personendaten durch Marcher Lab. im Auftrag des Kunden im Zusammenhang mit den im Hauptvertrag vereinbarten Diensten. Sie dient insbesondere der Umsetzung von Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit die Datenschutz-Grundverordnung der Europäischen Union (DSGVO) auf die betreffende Bearbeitung anwendbar ist, Art. 28 DSGVO.
2. Diese AVV ergänzt die Allgemeinen Geschäftsbedingungen, Leistungsbeschreibungen und allfälligen Einzelverträge zwischen den Parteien (gemeinsam «Hauptvertrag»). Bei Widersprüchen hinsichtlich einer Auftragsbearbeitung gehen die Bestimmungen dieser AVV vor.
3. Diese AVV gilt ausschliesslich für Personendaten, die Marcher Lab. im Auftrag des Kunden bearbeitet. Soweit Marcher Lab. Personendaten für eigene Zwecke als Verantwortlicher bearbeitet, insbesondere zur Vertragsverwaltung, Abrechnung, Gewährleistung der Sicherheit der eigenen Systeme, Missbrauchsprävention oder Erfüllung gesetzlicher Pflichten, findet diese AVV auf diese Bearbeitungen keine Anwendung.
4. Der Kunde bleibt für die Rechtmässigkeit der Bearbeitung, die Zulässigkeit der Übermittlung an Marcher Lab. und die Wahrung der Rechte betroffener Personen verantwortlich.

2. Gegenstand, Art, Zweck und Dauer der Bearbeitung

5. Gegenstand der Bearbeitung ist die Bereitstellung von Software-as-a-Service (SaaS), digitalen Tools, Web-Applikationen sowie damit verbundenen Hosting-, Support-, Wartungs- und technischen Dienstleistungen gemäss Hauptvertrag.
6. Die Bearbeitung kann insbesondere das Erfassen, Speichern, Strukturieren, Bereitstellen, Abrufen, Übermitteln, Sichern, Wiederherstellen, Ändern und Löschen von Daten umfassen, soweit dies für die Erbringung der vereinbarten Dienste erforderlich ist.
7. Zweck der Bearbeitung ist ausschliesslich die Erbringung der vom Kunden beauftragten Leistungen sowie die technisch erforderliche Sicherstellung des Betriebs, soweit Marcher Lab. dabei als Auftragsbearbeiter handelt.
8. Die Dauer der Auftragsbearbeitung entspricht grundsätzlich der Laufzeit des Hauptvertrags zuzüglich der technisch und rechtlich erforderlichen Zeit für Rückgabe, Löschung und Abwicklung.

3. Betroffene Personen und Datenkategorien

9. Betroffene Personen können insbesondere Kunden, Mitarbeitende, Bewerber, Geschäftspartner, Lieferanten, Auftragnehmer, Projektbeteiligte sowie sonstige Personen sein, deren Daten der Kunde über die Dienste bearbeitet.
10. Bearbeitete Personendaten können insbesondere Stamm- und Kontaktdaten, Benutzer- und Kontodaten, Vertrags- und Geschäftsdaten, Nutzungs-, Kommunikations- und Protokolldaten sowie vom Kunden eingestellte projekt- oder anwendungsspezifische Inhaltsdaten umfassen.
11. Soweit die vereinbarten Dienste dies zulassen, können vom Kunden eingestellte Inhaltsdaten auch besonders schützenswerte Personendaten im Sinne des DSG oder besondere Kategorien personenbezogener Daten gemäss Art. 9 DSGVO enthalten. Der Kunde ist dafür verantwortlich, dass eine solche Bearbeitung zulässig ist und die hierfür erforderlichen Voraussetzungen erfüllt sind. Soweit Marcher Lab. für einzelne Dienste die Bearbeitung solcher Daten ausschliesst oder einschränkt, gehen die entsprechende Leistungsbeschreibung oder Nutzungsbedingungen vor.

4. Weisungen und Pflichten des Kunden

12. Marcher Lab. bearbeitet die vom Kunden bereitgestellten Personendaten ausschliesslich gemäss dokumentierten Weisungen des Kunden, soweit keine gesetzliche Verpflichtung zu einer anderweitigen Bearbeitung besteht.
13. Der Hauptvertrag, diese AVV, die bestimmungsgemässe Nutzung und Konfiguration der Dienste sowie vom Kunden über die vorgesehenen Funktionen vorgenommenen Einstellungen gelten als dokumentierte Weisungen.
14. Zusätzliche Weisungen sind in Textform zu erteilen. Marcher Lab. kann für Weisungen, die über den vereinbarten Leistungsumfang hinausgehen und zusätzlichen Aufwand verursachen, eine angemessene Vergütung verlangen, soweit gesetzlich zulässig.
15. Der Kunde gewährleistet, dass seine Weisungen und die Nutzung der Dienste mit dem anwendbaren Datenschutzrecht vereinbar sind. Marcher Lab. informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Einschätzung gegen anwendbares Datenschutzrecht verstösst.
16. Der Kunde ist für die Richtigkeit, Qualität und Rechtmässigkeit der bereitgestellten Daten sowie für die erforderlichen Informationspflichten, Rechtsgrundlagen, Einwilligungen und Berechtigungen verantwortlich.

5. Pflichten von Marcher Lab.

17. Marcher Lab. stellt sicher, dass Personen, die zur Bearbeitung von Kundendaten befugt sind, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
18. Marcher Lab. trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umstände und Zwecke der Bearbeitung sowie der Risiken für betroffene Personen angemessene technische und organisatorische Massnahmen. Die wesentlichen Massnahmen sind in Anhang 1 beschrieben.
19. Marcher Lab. unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der verfügbaren Informationen im gesetzlich erforderlichen und technisch möglichen Umfang bei der Erfüllung von Anfragen betroffener Personen. Richtet eine betroffene Person eine Anfrage unmittelbar an Marcher Lab., wird diese grundsätzlich an den Kunden weitergeleitet, sofern Marcher Lab. nicht selbst zur Bearbeitung verpflichtet ist.
20. Marcher Lab. informiert den Kunden unverzüglich nach Bekanntwerden einer Verletzung der Datensicherheit bzw. einer Verletzung des Schutzes personenbezogener Daten, soweit davon im Auftrag bearbeitete Personendaten betroffen sind. Die Mitteilung enthält die Marcher Lab. zu diesem Zeitpunkt verfügbaren Informationen, die der Kunde zur Erfüllung seiner gesetzlichen Pflichten vernünftigerweise benötigt.
21. Marcher Lab. unterstützt den Kunden unter Berücksichtigung der Art der Bearbeitung und der verfügbaren Informationen im erforderlichen und zumutbaren Umfang bei gesetzlichen Pflichten zur Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und allfälligen Konsultationen mit zuständigen Aufsichtsbehörden.
22. Ist Marcher Lab. aufgrund anwendbaren zwingenden Rechts zu einer Bearbeitung verpflichtet, die von den Weisungen des Kunden abweicht, informiert Marcher Lab. den Kunden vor der Bearbeitung über diese rechtliche Verpflichtung, soweit eine solche Information gesetzlich zulässig ist.

6. Unterauftragsbearbeiter

23. Der Kunde erteilt Marcher Lab. eine allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern, soweit dies zur Erbringung der vereinbarten Dienste erforderlich ist.
24. Marcher Lab. verpflichtet Unterauftragsbearbeiter vertraglich zu Datenschutz- und Sicherheitsverpflichtungen, die den für die jeweilige Bearbeitung relevanten Verpflichtungen dieser AVV im Wesentlichen entsprechen.
25. Marcher Lab. führt eine aktuelle Liste der wesentlichen Unterauftragsbearbeiter. Diese kann dem Kunden elektronisch, über eine Website, innerhalb der Dienste oder auf Anfrage zur Verfügung gestellt werden.
26. Marcher Lab. informiert den Kunden rechtzeitig über beabsichtigte wesentliche Änderungen betreffend die Hinzuziehung oder Ersetzung von Unterauftragsbearbeitern. Der Kunde kann innerhalb von 14 Tagen nach Mitteilung aus einem nachweisbaren wichtigen datenschutzrechtlichen Grund widersprechen. Die Parteien bemühen sich in diesem Fall um eine angemessene Lösung. Ist eine solche nicht möglich und kann Marcher Lab. die Leistung ohne den betreffenden Unterauftragsbearbeiter nicht zumutbar erbringen, bleiben vertragliche Kündigungsrechte unberührt.
27. Marcher Lab. bleibt gegenüber dem Kunden für die Erfüllung der an den Unterauftragsbearbeiter übertragenen Datenschutzpflichten im gesetzlich vorgesehenen Umfang verantwortlich.

7. Bekanntgabe und Übermittlung ins Ausland

28. Marcher Lab. stellt sicher, dass grenzüberschreitende Bekanntgaben bzw. Übermittlungen von im Auftrag bearbeiteten Personendaten nur unter Einhaltung der anwendbaren datenschutzrechtlichen Voraussetzungen erfolgen.
29. Bei Bekanntgaben aus der Schweiz richtet sich Marcher Lab. insbesondere nach Art. 16 ff. DSG und den dazugehörigen Ausführungsbestimmungen. Soweit die DSGVO anwendbar ist, gelten ergänzend die Voraussetzungen von Art. 44 ff. DSGVO.
30. Fehlt für ein Empfängerland ein anerkannter angemessener Datenschutz, werden, soweit erforderlich, geeignete Garantien eingesetzt, insbesondere anerkannte Standardvertragsklauseln mit den erforderlichen schweizerischen Anpassungen oder andere gesetzlich zulässige Instrumente und Ausnahmen.

8. Nachweise und Kontrollen

31. Marcher Lab. stellt dem Kunden auf angemessene Anfrage diejenigen Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der für die Auftragsbearbeitung relevanten gesetzlichen und vertraglichen Pflichten nachzuweisen.
32. Soweit vorhandene Dokumentationen, Sicherheitsinformationen, Zertifizierungen oder sonstige geeignete Nachweise nicht ausreichen, kann der Kunde im gesetzlich erforderlichen Umfang eine weitergehende Überprüfung verlangen.
33. Audits sind mit angemessener Vorankündigung während üblicher Geschäftszeiten durchzuführen und so zu gestalten, dass der Betrieb, die Sicherheit, Geschäftsgeheimnisse und die Rechte anderer Kunden nicht unverhältnismässig beeinträchtigt werden. Vom Kunden eingesetzte Prüfer müssen zur Vertraulichkeit verpflichtet und dürfen keine direkten Wettbewerber von Marcher Lab. sein, soweit dem keine zwingenden gesetzlichen Anforderungen entgegenstehen.
34. Zusätzlicher Aufwand für vom Kunden verlangte Prüfungen, der über die gesetzlichen oder vertraglich vereinbarten Pflichten von Marcher Lab. hinausgeht, kann nach vorgängiger Information angemessen verrechnet werden.

9. Rückgabe und Löschung

35. Nach Beendigung der Leistungen löscht Marcher Lab. die im Auftrag bearbeiteten Personendaten oder stellt sie dem Kunden, soweit technisch vorgesehen und vereinbart, in einem gängigen Format zur Verfügung, sofern keine gesetzliche Pflicht oder sonstige zulässige Grundlage zur weiteren Aufbewahrung besteht.
36. Daten in Sicherungskopien können bis zu ihrer turnusmässigen Überschreibung oder Löschung fortbestehen, sofern eine unmittelbare selektive Löschung technisch nicht oder nur mit unverhältnismässigem Aufwand möglich ist. Solche Daten bleiben bis zur endgültigen Löschung geschützt und werden grundsätzlich nicht für andere Zwecke weiterbearbeitet.
37. Gesetzliche, behördliche oder gerichtliche Aufbewahrungspflichten bleiben vorbehalten.

10. Haftung und Verhältnis zum Hauptvertrag

38. Für die Haftung der Parteien gelten die Haftungsregelungen des Hauptvertrags, soweit zwingendes Datenschutzrecht keine abweichenden Regelungen vorsieht.
39. Diese AVV erweitert die im Hauptvertrag vereinbarten Leistungspflichten von Marcher Lab. nur insoweit, als dies zur Erfüllung zwingender datenschutzrechtlicher Anforderungen erforderlich ist.

11. Schlussbestimmungen

40. Änderungen und Ergänzungen dieser AVV bedürfen der Textform, soweit nicht zwingendes Recht eine strengere Form verlangt.
41. Sollte eine Bestimmung dieser AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An ihre Stelle tritt, soweit zulässig, eine Regelung, die dem rechtlichen und wirtschaftlichen Zweck möglichst nahekommt.
42. Auf diese AVV ist Schweizer Recht anwendbar. Ausschliesslicher Gerichtsstand ist der Sitz von Marcher Lab., soweit keine zwingenden gesetzlichen Bestimmungen entgegenstehen.
43. Soweit die DSGVO unmittelbar auf eine konkrete Auftragsverarbeitung anwendbar ist, bleiben deren zwingende Bestimmungen von der Rechtswahl und Gerichtsstandsklausel unberührt.

Anhang 1: Technische und organisatorische Massnahmen (TOMs)

Marcher Lab. trifft risikobasierte technische und organisatorische Massnahmen, die dem Schutzbedarf der jeweiligen Verarbeitung sowie dem Stand der Technik angemessen sind. Die konkrete Ausgestaltung kann je nach Dienst, eingesetzter Infrastruktur und Schutzbedarf variieren. Marcher Lab. überprüft die Massnahmen regelmässig und passt sie bei Bedarf an.

1. Zugangs- und Berechtigungsschutz

• Beschränkung administrativer und interner Zugriffe auf autorisierte Personen nach dem Need-to-know- und Least-Privilege-Prinzip.
• Einsatz geeigneter Authentifizierungsverfahren und angemessener Passwort- und Zugriffsschutzmechanismen.
• Zusätzliche Authentifizierungsmechanismen für administrative oder besonders schützenswerte Zugänge, soweit technisch verfügbar und dem Risiko angemessen.
• Regelmässige Überprüfung bzw. Anpassung von Berechtigungen, soweit dies für den jeweiligen Dienst erforderlich ist.

2. Schutz von Daten und Übertragungswegen

• Einsatz verschlüsselter Übertragungsprotokolle für öffentlich erreichbare Webdienste und andere geeignete Kommunikationswege, soweit technisch anwendbar.
• Einsatz angemessener Schutz- und Verschlüsselungsmechanismen für gespeicherte Daten entsprechend Schutzbedarf und Möglichkeiten der eingesetzten Infrastruktur.
• Schutz von Zugangsdaten und Geheimnissen vor unberechtigter Offenlegung; Passwörter werden, soweit Marcher Lab. die Authentifizierung selbst verwaltet, nicht im Klartext gespeichert.

3. Verfügbarkeit, Integrität und Wiederherstellung

• Einsatz geeigneter Sicherungs-, Wiederherstellungs- oder Redundanzmechanismen entsprechend dem jeweiligen Dienst und Schutzbedarf.
• Angemessene Massnahmen zur Reduktion von Datenverlusten und zur Wiederherstellung nach technischen Störungen.
• Pflege und Aktualisierung sicherheitsrelevanter Systemkomponenten im Rahmen der technisch und betrieblich kontrollierbaren Infrastruktur.

4. Trennung und Zugriff auf Kundendaten

• Logische Trennung von Kundendaten bzw. Mandanten, soweit die jeweilige Anwendung mehrere Kunden oder Mandanten auf gemeinsamer Infrastruktur verarbeitet.
• Beschränkung interner Zugriffe auf Kundendaten auf Fälle, in denen dies für Betrieb, Support, Sicherheit oder Fehlerbehebung erforderlich und zulässig ist.
• Vermeidung einer zweckwidrigen Zusammenführung von Kundendaten.

5. Protokollierung und Sicherheitsüberwachung

• Einsatz angemessener Protokollierungs- und Überwachungsmechanismen, soweit dies technisch verfügbar, für den jeweiligen Dienst erforderlich und datenschutzrechtlich zulässig ist.
• Analyse sicherheitsrelevanter Ereignisse und angemessene Reaktion auf festgestellte Sicherheitsvorfälle.
• Schutz von Protokolldaten vor unberechtigtem Zugriff entsprechend ihrem Schutzbedarf.

6. Organisation und Dienstleister

• Auswahl von Dienstleistern und Unterauftragsbearbeitern unter angemessener Berücksichtigung von Datenschutz und Informationssicherheit.
• Vertragliche Absicherung der relevanten Datenschutzpflichten bei Unterauftragsbearbeitern.
• Angemessene organisatorische Verfahren für Berechtigungen, Sicherheitsvorfälle, Änderungen und Löschung bzw. Rückgabe von Daten.

Anhang 2: Unterauftragsbearbeiter

Aktuelle Liste der wesentlichen Unterauftragsbearbeiter (Stand: 26. August 2026):

Matomo (Web-Analytics) läuft self-hosted auf der eigenen Infomaniak-Infrastruktur von Marcher Lab., es werden dabei keine Personendaten an einen externen Anbieter übermittelt.

Änderungen an dieser Liste werden gemäss Ziffer 6 dieser AVV kommuniziert und an gleicher Stelle nachgeführt.