Auftragsverarbeitungsvertrag

Version 2.3Letzte Aktualisierung: 31. Oktober 2026

Dieser Auftragsverarbeitungsvertrag ("AVV" oder "Anhang"), einschliesslich der hierin beigefügten Standardvertragsklauseln (wie unten definiert) (zusammenfassend der "AVV"), wird ab dem Wirksamkeitsdatum ("Wirksamkeitsdatum") der Akzeptanz der Nutzungsbedingungen durch den jeweiligen Kunden ("Kunde") zwischen Zenovay ("Unternehmen" oder "Zenovay") und dem Kunden, an den dieser AVV angehängt und einbezogen ist (der "Vertrag"), geschlossen und tritt in Kraft. Alle grossgeschriebenen Begriffe, die in diesem AVV nicht anderweitig definiert sind, haben die im Vertrag festgelegte Bedeutung.

Dieser Anhang wird rechtsverbindlich, sobald der Kunde den Vertrag abschliesst oder diesen Anhang unterzeichnet.

1. Definitionen

Für die Zwecke dieses AVV haben die folgenden Begriffe die nachstehend aufgeführten Bedeutungen:

"Verbundenes Unternehmen" bezeichnet (i) ein Unternehmen, an dem eine Partei direkt oder indirekt fünfzig Prozent (50 %) oder mehr der Aktien oder sonstigen Eigenkapitalanteile hält, (ii) ein Unternehmen, das mindestens fünfzig Prozent (50 %) oder mehr der Aktien oder sonstigen Eigenkapitalanteile einer Partei hält, oder (iii) ein Unternehmen, das unter gemeinsamer Kontrolle mit einer Partei steht, indem mindestens fünfzig Prozent (50 %) oder mehr der Aktien oder sonstigen Eigenkapitalanteile dieses Unternehmens und einer Partei von derselben Person gehalten werden; ein solches Unternehmen gilt jedoch nur so lange als verbundenes Unternehmen, wie diese Beteiligung besteht.
"Betroffene Person" bezeichnet eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Informationen nach den anwendbaren Datenschutzgesetzen geschützt sind, und umfasst einen "Konsumenten" im Sinne des CCPA sowie gleichwertige Begriffe nach anderen anwendbaren Datenschutzgesetzen.
"Kundendaten" bezeichnet alle Inhalte, Daten, Informationen oder sonstigen Materialien (einschliesslich personenbezogener Informationen), die der Kunde, Endnutzer oder verbundene Unternehmen des Kunden für die Verarbeitung durch Zenovay im Zusammenhang mit den Diensten einreichen oder die von den Diensten erhoben werden.
"EWR" bezeichnet den Europäischen Wirtschaftsraum.
"Datenschutzgesetze" bezeichnet alle Datenschutz- und Persönlichkeitsschutzgesetze und -vorschriften, die auf die Verarbeitung personenbezogener Informationen im Rahmen des Vertrags anwendbar sind, einschliesslich, wo und soweit anwendbar: der Verordnung (EU) 2016/679 (DSGVO) und ihrer nationalen Umsetzungsgesetze; der UK GDPR und des Data Protection Act 2018; der Richtlinie 2002/58/EG (ePrivacy) in ihrer nationalen Umsetzung; des Schweizer Bundesgesetzes über den Datenschutz vom 25. September 2020 (revFADP/revDSG, in Kraft seit dem 1. September 2023) und der zugehörigen Verordnung; sowie der anwendbaren Datenschutzgesetze einzelner US-Bundesstaaten einschliesslich des California Consumer Privacy Act in seiner geänderten Fassung (CCPA). Verweise in diesem AVV auf eine Bestimmung eines dieser Gesetze sind in Bezug auf eine betroffene Person, die durch ein anderes dieser Gesetze geschützt ist, als Verweise auf die funktional gleichwertige Bestimmung jenes anderen Gesetzes zu lesen.
"Personenbezogene Informationen" oder "Personenbezogene Daten" bezeichnet Informationen, die eine bestimmte betroffene Person identifizieren, sich auf sie beziehen, sie beschreiben, vernünftigerweise mit ihr in Verbindung gebracht werden können oder direkt oder indirekt vernünftigerweise mit ihr verknüpft werden könnten. Personenbezogene Informationen umfassen Informationen, die nach geltendem Datenschutzrecht als "personenbezogene Daten", "personenbezogene Informationen" oder ähnliche Begriffe gelten.
"Verarbeitung" bezeichnet jeden Vorgang oder jede Vorgangsreihe, der/die mit oder ohne Hilfe automatisierter Verfahren an personenbezogenen Informationen vorgenommen wird, wie z. B. Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Anpassung, Abfrage, Konsultation, Verwendung, Offenlegung, Verbreitung, Einschränkung, Löschung oder Vernichtung.
"Standardvertragsklauseln" oder "SCC" bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern, die durch den Durchführungsbeschluss 2021/914 der Europäischen Kommission vom 4. Juni 2021 genehmigt wurden.
"Unterauftragsverarbeiter" bezeichnet jeden Drittauftragsverarbeiter, der von Zenovay oder seinen verbundenen Unternehmen engagiert wird, um personenbezogene Informationen im Auftrag des Kunden im Rahmen des Vertrags zu verarbeiten.

2. Verhältnis der Parteien; Verarbeitung von Daten

2.1 Rollen und Umfang der Verarbeitung

Die Parteien erkennen an und stimmen zu, dass im Hinblick auf die Verarbeitung personenbezogener Informationen der Kunde der Verantwortliche (oder "Unternehmen" im Sinne des CCPA) und Zenovay der Auftragsverarbeiter (oder "Dienstleister" im Sinne des CCPA) ist. Der Kunde hat bei der Nutzung der Dienste personenbezogene Informationen gemäss den Anforderungen der geltenden Datenschutzgesetze zu verarbeiten. Die Weisungen des Kunden für die Verarbeitung personenbezogener Informationen müssen den geltenden Datenschutzgesetzen entsprechen. Der Kunde ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmässigkeit der personenbezogenen Informationen und die Mittel, mit denen der Kunde die personenbezogenen Informationen erlangt hat.

2.2 Verarbeitungsweisungen des Kunden

Durch den Abschluss dieses AVV weist der Kunde Zenovay an, personenbezogene Informationen nur in Übereinstimmung mit geltendem Recht zu verarbeiten: (a) zur Erbringung der Dienste und damit verbundenen technischen Unterstützung; (b) wie durch die Nutzung der Dienste durch den Kunden weiter spezifiziert (einschliesslich über das Dashboard, die API oder andere Schnittstellen); (c) wie im Vertrag, einschliesslich dieses AVV, dokumentiert; und (d) wie in anderen schriftlichen Weisungen des Kunden weiter dokumentiert, die von Zenovay als Weisungen für die Zwecke dieses AVV anerkannt werden.

2.3 Einhaltung der Weisungen durch Zenovay

Zenovay verarbeitet personenbezogene Informationen nur gemäss den dokumentierten Weisungen des Kunden, es sei denn, die Verarbeitung ist nach anwendbarem Recht, dem Zenovay unterliegt, erforderlich; in diesem Fall informiert Zenovay den Kunden über diese gesetzliche Anforderung vor der Verarbeitung, es sei denn, das Gesetz verbietet eine solche Mitteilung aus wichtigen Gründen des öffentlichen Interesses.

2.4 Einzelheiten der Verarbeitung

Gegenstand, Art, Zweck, Dauer und Arten der personenbezogenen Informationen sowie Kategorien betroffener Personen, die im Rahmen dieses AVV verarbeitet werden, sind in Anlage A (Einzelheiten der Verarbeitung) beschrieben.

3. Vertraulichkeit

Zenovay stellt sicher, dass alle Personen, die zur Verarbeitung personenbezogener Informationen in seinem Auftrag befugt sind, einer Vertraulichkeitspflicht unterliegen, sei es aufgrund eines Vertrags oder einer gesetzlichen Verpflichtung.

4. Sicherheit

4.1 Sicherheitsmassnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der Risiken unterschiedlicher Wahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen setzt und pflegt Zenovay geeignete technische und organisatorische Massnahmen zum Schutz personenbezogener Informationen vor Sicherheitsvorfällen (wie unten definiert) und zur Wahrung der Sicherheit und Vertraulichkeit personenbezogener Informationen, wie in Anlage B (Sicherheitsmassnahmen) beschrieben.

4.2 Benachrichtigung bei Sicherheitsvorfällen

"Sicherheitsvorfall" bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmässigen Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugriff auf personenbezogene Informationen führt, die Zenovay im Rahmen dieses AVV verarbeitet. Nicht erfasst sind erfolglose Versuche oder Aktivitäten, welche die Sicherheit personenbezogener Informationen nicht beeinträchtigen, etwa Pings, Portscans, fehlgeschlagene Anmeldeversuche, Denial-of-Service-Angriffe oder Packet Sniffing auf der Netzwerkinfrastruktur. Zenovay benachrichtigt den Kunden unverzüglich und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden, nachdem Zenovay von einem Sicherheitsvorfall Kenntnis erlangt hat. Zenovay ist Auftragsverarbeiter und benachrichtigt weder Aufsichtsbehörden noch betroffene Personen im Namen des Kunden; der Kunde bleibt als Verantwortlicher für eine solche Benachrichtigung und für die Feststellung, ob eine solche erforderlich ist, zuständig. Die Benachrichtigung durch Zenovay ist kein Anerkenntnis eines Verschuldens oder einer Haftung und darf nicht als solches ausgelegt werden. Diese Benachrichtigung enthält, soweit Zenovay die Informationen zu diesem Zeitpunkt vorliegen:

Eine Beschreibung der Art des Sicherheitsvorfalls, einschliesslich der Kategorien und der ungefähren Anzahl der betroffenen Personen und der betroffenen Datensätze
Die Kontaktdaten der von Zenovay benannten Datenschutz-Kontaktstelle ([email protected]), bei der weitere Informationen eingeholt werden können
Eine Beschreibung der wahrscheinlichen Folgen des Sicherheitsvorfalls
Eine Beschreibung der ergriffenen oder vorgeschlagenen Massnahmen zur Behebung des Sicherheitsvorfalls und zur Minderung seiner möglichen nachteiligen Auswirkungen

5. Unterauftragsverarbeiter

5.1 Autorisierte Unterauftragsverarbeiter

Der Kunde erkennt an und stimmt zu, dass Zenovay Unterauftragsverarbeiter beauftragen kann, personenbezogene Informationen im Auftrag des Kunden zu verarbeiten. Die aktülle Liste der Unterauftragsverarbeiter ist unter zenovay.com/legal/subprocessors verfügbar.

5.2 Pflichten der Unterauftragsverarbeiter

Zenovay verpflichtet sich:

Mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag abzuschliessen, der Datenschutzpflichten auferlegt, die im Wesentlichen denen entsprechen, die Zenovay in diesem AVV auferlegt werden
Dem Kunden gegenüber für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters vollständig haftbar zu bleiben
Unterauftragsverarbeiter auszuwählen, die hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Massnahmen bieten, unter Berücksichtigung der Art der ihnen anvertrauten Verarbeitung, und das veröffentlichte Verzeichnis der Unterauftragsverarbeiter entsprechend zu führen

5.3 Änderungen bei Unterauftragsverarbeitern

Zenovay informiert den Kunden mindestens 30 Tage im Voraus schriftlich über die Hinzufügung eines neuen Unterauftragsverarbeiters. Der Kunde kann der Nutzung eines neuen Unterauftragsverarbeiters widersprechen, indem er Zenovay innerhalb von 10 Tagen nach Erhalt der Mitteilung von Zenovay schriftlich benachrichtigt, sofern der Widerspruch auf vernünftigen Datenschutzgründen basiert. Wenn der Kunde einem neuen Unterauftragsverarbeiter vernünftigerweise widerspricht und Zenovay keine wirtschaftlich vertretbare Alternative bereitstellen kann, kann der Kunde die betroffenen Dienste durch schriftliche Mitteilung an Zenovay kündigen.

6. Rechte betroffener Personen

Zenovay benachrichtigt den Kunden, soweit gesetzlich zulässig und im Rahmen seiner Rolle als Auftragsverarbeiter, unverzüglich, wenn Zenovay von einer betroffenen Person eine Anfrage auf Zugang zu, Berichtigung, Änderung oder Löschung der personenbezogenen Informationen dieser Person erhält. Zenovay unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Massnahmen, soweit dies möglich ist, bei der Erfüllung der Pflichten des Kunden zur Beantwortung von Anfragen zur Ausübung von Betroffenenrechten nach Datenschutzgesetzen, einschliesslich des Rechts auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

7. Rückgabe und Löschung von Daten

7.1 Datenspeicherfristen

Personenbezogene Informationen werden entsprechend dem Abonnementplan des Kunden aufbewahrt:

Kostenloser Plan: 1 Jahr (365 Tage)
Pro-Plan: 2 Jahre (730 Tage)
Scale-Plan: 4 Jahre (1.460 Tage)
Enterprise-Plan: Individülle Aufbewahrungsfrist gemäss Vereinbarung im jeweiligen Auftragsformular

7.2 Ablauf der Aufbewahrungsfrist: Ausblenden, Karenzfrist, Löschung

Wenn personenbezogene Informationen die für den Plan des Kunden geltende Aufbewahrungsfrist überschreiten, durchlaufen sie vor der Löschung drei Stufen:

Phase 1 - Vorläufige Ausblendung: Personenbezogene Informationen, die älter als die Aufbewahrungsfrist sind, werden als ausgeblendet markiert und aus den Analyseabfragen des Kunden ausgeschlossen. Die Daten verbleiben in den Systemen von Zenovay, sind jedoch nicht über die Dienste zugänglich.
Phase 2 - Kulanzfrist: Der Kunde wird per E-Mail darüber informiert, dass Daten ausgeblendet wurden. Eine 30-tägige Kulanzfrist beginnt, während derer der Kunde auf einen höheren Plan upgraden kann, um die ausgeblendeten Daten wiederherzustellen.
Phase 3 - Endgültige Löschung: Nach Ablauf der 30-tägigen Kulanzfrist werden ausgeblendete personenbezogene Informationen mit sicheren Löschmethoden dauerhaft gelöscht.

7.3 Datenwiederherstellung

Wenn der Kunde während der Kulanzfrist auf einen Plan mit einer längeren Aufbewahrungsfrist upgradet, stellt Zenovay automatisch personenbezogene Informationen wieder her (hebt die Ausblendung auf), die in die neue Aufbewahrungsfrist fallen. Dauerhaft gelöschte Daten können nicht wiederhergestellt werden.

7.4 Löschung bei Vertragsbeendigung

Bei Kündigung oder Ablauf des Vertrags kann der Kunde innerhalb von dreissig (30) Tagen schriftlich wählen, dass Zenovay (a) personenbezogene Informationen über die Dienste zum Export bereitstellt oder (b) sie löscht. Trifft der Kunde keine solche Wahl, löscht Zenovay personenbezogene Informationen innerhalb von neunzig (90) Tagen nach Ablauf dieser dreissigtägigen Frist aus ihren aktiven Produktivsystemen. Die Löschung aus routinemässigen verschlüsselten Sicherungen erfolgt mit dem gewöhnlichen Ablauf des jeweiligen Sicherungszyklus und nicht auf Verlangen; bis zu diesem Ablauf wird auf gesicherte personenbezogene Informationen nicht zugegriffen und sie sind durch die Massnahmen in Anhang B geschützt. Dieser Abschnitt gilt nicht, soweit Zenovay nach geltendem Recht zur Aufbewahrung personenbezogener Informationen verpflichtet ist oder sie in aggregierter oder deidentifizierter Form aufbewahrt, die keiner betroffenen Person mehr zuzuordnen ist, oder Aufzeichnungen zu Abrechnung, Steuern, Audit-Logs und Missbrauchsprävention aufbewahrt, soweit dies gesetzlich zulässig oder vorgeschrieben ist; in diesem Fall isoliert und schützt Zenovay sie vor jeder weiteren Verarbeitung, ausser soweit dieses Recht sie verlangt. Das Löschen des Kundenkontos über die Dienste löscht die zugehörigen personenbezogenen Informationen sofort und dauerhaft; der Kunde ist dafür verantwortlich, zuvor alles zu exportieren, was er behalten möchte.

8. Prüfungsrechte

Zenovay stellt dem Kunden auf angemessene Anfrage und vorbehaltlich von Vertraulichkeitspflichten alle Informationen zur Verfügung, die notwendig sind, um die Einhaltung dieses AVV nachzuweisen, und ermöglicht und unterstützt Prüfungen, einschliesslich Inspektionen, die vom Kunden oder einem vom Kunden beauftragten Prüfer durchgeführt werden. Der Kunde kann seine Prüfungsrechte gemäss diesem Abschnitt ausüben durch:

Überprüfung der Sicherheitszertifizierungen und -testate, die von den Infrastrukturanbietern von Zenovay aufrechterhalten werden (Cloudflare: SOC 2 Typ II, ISO 27001, ISO 27018; Oracle Cloud Infrastructure: SOC 2, ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018), bereitgestellt auf angemessene Anfrage. Zenovay selbst ist derzeit nicht SOC-2-zertifiziert; wir aktualisieren diese Offenlegung, sobald ein Audit abgeschlossen ist.
Übermittlung eines Fragebogens zu den Datenschutzpraktiken von Zenovay (auf einmal pro Jahr beschränkt, es sei denn, dies ist nach Datenschutzgesetzen erforderlich)
In Ausnahmefällen Durchführung einer Vor-Ort- oder Fernprüfung der Datenschutzpraktiken von Zenovay, vorbehaltlich einer angemessenen Ankündigung, Vertraulichkeitspflichten und der Erstattung der angemessenen Kosten von Zenovay

9. Internationale Übermittlungen

9.1 Datenübermittlungen

Zenovay hat ihren Sitz in der Schweiz. Die Europäische Kommission hat der Schweiz ein angemessenes Schutzniveau bescheinigt (Beschluss 2000/518/EG, in der aufrechterhaltenen Fassung), und das Vereinigte Königreich hat diese Feststellung übernommen, sodass eine Übermittlung personenbezogener Informationen aus dem EWR oder dem Vereinigten Königreich an Zenovay in der Schweiz für sich genommen kein zusätzliches Übermittlungsinstrument erfordert. Soweit Zenovay personenbezogene Informationen an einen Unterauftragsverarbeiter in einem Land weiterübermittelt, dem von der Europäischen Kommission, den britischen Behörden oder dem Schweizer Bundesrat kein angemessenes Schutzniveau bescheinigt wurde, erfolgt diese Übermittlung auf einer der folgenden Grundlagen:

EU-US-Datenschutzrahmen (DPF) / Schweiz-US-DPF: Für Übermittlungen an einen Unterauftragsverarbeiter in den Vereinigten Staaten, der für die betroffenen Datenkategorien unter dem einschlägigen Data Privacy Framework-Programm aktiv zertifiziert ist, Berufung auf den Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023, die seit dem 12. Oktober 2023 geltende UK-Erweiterung sowie die seit dem 15. September 2024 wirksame Schweizer Anerkennung. Zenovay sichert nicht zu, dass ein bestimmter Unterauftragsverarbeiter so zertifiziert ist; der für den jeweiligen Anbieter herangezogene Mechanismus ist auf der Seite zu den Unterauftragsverarbeitern angegeben.
Standardvertragsklauseln (SCC): Wie in Abschnitt 9.2 unten beschrieben.
Ergänzende Massnahmen: Datentransfer-Folgenabschätzungen, Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrollen und andere vom EDPB und EDÖB im Lichte des Schrems-II-Urteils empfohlene Massnahmen.

9.2 Standardvertragsklauseln

Übermittlungen personenbezogener Informationen des Kunden aus dem EWR oder dem Vereinigten Königreich an Zenovay in der Schweiz erfolgen im Vertrauen auf die in Abschnitt 9.1 genannten Angemessenheitsbeschlüsse. Wird ein Angemessenheitsbeschluss, der die Schweiz erfasst, aufgehoben, ausgesetzt, für nichtig erklärt oder bietet er auf andere Weise keine gültige Grundlage mehr für solche Übermittlungen, so gelten die Parteien mit Wirkung ab jenem Datum und ohne weiteres Zutun als Parteien der Standardvertragsklauseln, Modul Zwei (Verantwortlicher zu Auftragsverarbeiter), mit dem Kunden als Datenexporteur und Zenovay als Datenimporteur. Soweit Zenovay personenbezogene Informationen an einen Unterauftragsverarbeiter ausserhalb der Schweiz und ausserhalb eines Landes mit angemessenem Schutzniveau weiterübermittelt und der Unterauftragsverarbeiter nicht von Abschnitt 9.1(a) erfasst ist, schliesst Zenovay als Datenexporteur mit diesem Unterauftragsverarbeiter die Standardvertragsklauseln, Modul Drei (Auftragsverarbeiter zu Auftragsverarbeiter), ab, zusammen mit dem UK International Data Transfer Addendum, sofern Daten aus dem Vereinigten Königreich betroffen sind, und den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Anpassungen, sofern Schweizer Daten betroffen sind. Für die Zwecke von Standardvertragsklauseln, die nach diesem Abschnitt abgeschlossen werden, gilt:

Nach Modul Zwei ist der Kunde der "Datenexporteur" und Zenovay der "Datenimporteur"; nach Modul Drei ist Zenovay der "Datenexporteur" und der betreffende Unterauftragsverarbeiter der "Datenimporteur"
Die Parteien stimmen den optionalen Klauseln in Klausel 7, Klausel 11 und Klausel 9(a) zu
Das anwendbare Recht des Mitgliedstaats ist das Recht des Mitgliedstaats, in dem der Kunde niedergelassen ist, oder, wenn der Kunde nicht in einem Mitgliedstaat niedergelassen ist, das irische Recht
Die zuständige Aufsichtsbehörde ist die Aufsichtsbehörde des Mitgliedstaats, in dem der Kunde niedergelassen ist; für Schweizer Kunden der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter); für Kunden, die nicht in einem Mitgliedstaat oder der Schweiz niedergelassen sind, die irische Datenschutzbehörde
Für Übermittlungen, die Schweizer Recht unterliegen, gelten die vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten anerkannten Anpassungen: Verweise auf die DSGVO sind als Verweise auf das revDSG zu lesen, zuständige Aufsichtsbehörde ist der EDÖB, und Verweise auf die EU oder den EWR sind als Verweise auf die Schweiz zu lesen. Für Übermittlungen, die dem Recht des Vereinigten Königreichs unterliegen, gilt das UK International Data Transfer Addendum und geht im Umfang eines Widerspruchs vor
Die Beschreibung der Übermittlung ist in Anlage A (Einzelheiten der Verarbeitung) dargelegt
Die technischen und organisatorischen Massnahmen sind in Anlage B (Sicherheitsmassnahmen) dargelegt

10. Haftungsbeschränkung

Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den im Vertrag festgelegten Haftungsausschlüssen und -beschränkungen, und die Obergrenze im Vertrag ist eine einzige Gesamtobergrenze für den Vertrag und diesen AVV zusammen und nicht je eine gesonderte Obergrenze. Weder dieser AVV noch der Vertrag beschränken die Haftung einer Partei gegenüber einer betroffenen Person nach Artikel 82 DSGVO oder einer gleichwertigen gesetzlichen Bestimmung oder berühren die Rechte, die einer betroffenen Person nach den anwendbaren Datenschutzgesetzen unmittelbar gegenüber einem Verantwortlichen oder einem Auftragsverarbeiter zustehen; die Beschränkung wirkt ausschliesslich zwischen den Parteien. Soweit Standardvertragsklauseln nach Abschnitt 9.2 abgeschlossen werden, beschränkt nichts in diesem Abschnitt die Haftung einer Partei nach jenen Klauseln gegenüber einer betroffenen Person.

11. Allgemeine Bestimmungen

11.1 Rangfolge

Im Falle eines Widerspruchs oder einer Unvereinbarkeit zwischen diesem AVV und dem Vertrag haben die Bestimmungen dieses AVV im Umfang des Widerspruchs oder der Unvereinbarkeit Vorrang.

11.2 Änderungen

Zenovay kann diesen AVV von Zeit zu Zeit aktualisieren, um Änderungen der Datenschutzgesetze, behördlicher Leitlinien oder branchenüblicher Praktiken widerzuspiegeln. Wesentliche Änderungen werden dem Kunden mindestens 30 Tage vor deren Inkrafttreten mitgeteilt.

11.3 Salvatorische Klausel

Sollte eine Bestimmung dieses AVV für ungültig oder nicht durchsetzbar befunden werden, bleiben die übrigen Bestimmungen uneingeschränkt in Kraft.

11.4 Höhere Gewalt

Keine Partei haftet für ein Versäumnis oder eine Verzögerung bei der Erfüllung ihrer Pflichten nach diesem DPA (mit Ausnahme von Zahlungspflichten), soweit dies durch ein Ereignis höherer Gewalt im Sinne der Vereinbarung verursacht wird. Ohne die Allgemeinheit des Vorstehenden einzuschränken, ist Zenovay von ihren Pflichten als Auftragsverarbeiter nach diesem DPA befreit, soweit die Erfüllung durch einen Ausfall, eine Störung, einen Sicherheitsvorfall, eine behördliche Anordnung oder eine vertragliche Kündigung verhindert, behindert oder verzögert wird, die einen auf der Seite der Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter betreffen, einschliesslich ohne Einschränkung Cloudflare, Oracle Cloud Infrastructure, Stripe, Resend, OpenAI (über Cloudflare AI Gateway), Anthropic, LemonSqueezy, Polar, IPwho.is, Mapbox und Sentry. Zenovay wird sich nach wirtschaftlich vertretbaren Massstäben und nach Treu und Glauben bemühen, den Kunden über wesentliche Ereignisse höherer Gewalt, welche die Verarbeitung personenbezogener Daten betreffen, zu informieren und deren Auswirkungen zu mindern, ohne dass dadurch eine Service-Level-Zusage begründet wird.

Klarstellend gilt: Die Klausel zur höheren Gewalt entbindet Zenovay nicht von ihrer Pflicht als Auftragsverarbeiter, den Kunden unverzüglich nach Kenntniserlangung über einen Sicherheitsvorfall zu benachrichtigen; Artikel 33(2) DSGVO und Artikel 24(3) des Schweizer Bundesgesetzes über den Datenschutz auferlegen diese Pflicht ohne feste Frist, und Abschnitt 4.2 dieses AVV ergänzt sie um eine äussere Grenze von zweiundsiebzig Stunden. Zenovay wird diese Benachrichtigungspflicht unabhängig vom Ereignis höherer Gewalt erfüllen und dafür alle verbleibenden verfügbaren Kommunikationskanäle nutzen, einschliesslich Out-of-Band-Kanälen wie SMS, Telefon oder einer Mitteilung auf der Zenovay-Statusseite, sofern der primäre E-Mail-Kanal nicht verfügbar ist.

Wenn ein Ereignis höherer Gewalt Zenovay daran hindert, ihre wesentlichen Pflichten als Auftragsverarbeiter länger als dreissig (30) aufeinanderfolgende Kalendertage zu erfüllen, kann der Kunde dieses DPA durch schriftliche Mitteilung kündigen. Die Kündigung dieses DPA führt nicht von sich aus zur Kündigung der Vereinbarung, für die weiterhin deren eigene Bestimmungen zur höheren Gewalt und zur Kündigung gelten.

11.5 Anwendbares Recht und Gerichtsbarkeit

Dieser AVV unterliegt den im Vertrag festgelegten Bestimmungen zum anwendbaren Recht und zur Gerichtsbarkeit und ist gemäss diesen auszulegen, sofern die Standardvertragsklauseln nichts anderes vorsehen.

Anlage A: Einzelheiten der Verarbeitung

Liste der Parteien

Datenexporteur: Kunde (wie im Vertrag definiert)

Datenimporteur: Zenovay, Wanderstrasse 19, 4054 Basel, Schweiz

Beschreibung der Übermittlung

Gegenstand: Gegenstand der Datenverarbeitung ist die Bereitstellung von Website-Analysediensten.

Art und Zweck der Verarbeitung: Zenovay verarbeitet personenbezogene Informationen, um Website- und Anwendungsanalysedienste bereitzustellen, einschliesslich:

Erhebung und Analyse von Website-Besucherdaten
Erstellung von Analyseberichten und Erkenntnissen
Bereitstellung von Dashboard- und Datenvisualisierungsdiensten
Speicherung und Pflege von Analysedaten
Automatisierte Besucherwert-Bewertung: ein Score von 0 bis 100, abgeleitet aus Verhaltenssignalen, ungefährer Geografie und Gerätedaten, berechnet auf Weisung des Kunden und dem Kunden angezeigt. Zenovay ergreift auf Grundlage des Scores keine automatisierten Massnahmen
KI-gestützte Analysefunktionen, bei Nutzung durch den Kunden über Cloudflare AI Gateway an OpenAI geleitet. Je nach Anfrage können die an das Modell gesendeten Daten einzelne Analysedatensätze und Identifikatoren enthalten, die der Kunde über die Identify-Funktion übermittelt hat
Bereitstellung von Kundensupport und Kontoverwaltung

Dauer der Verarbeitung: für die Laufzeit des Vertrags zuzüglich der für den Abonnementplan des Kunden geltenden Datenaufbewahrungsfrist (1 Jahr für Free, 2 Jahre für Pro, 4 Jahre für Scale oder wie für Enterprise vereinbart). Personenbezogene Informationen, welche die Aufbewahrungsfrist überschreiten, unterliegen dem in Abschnitt 7.2 beschriebenen Verfahren aus Ausblenden, Karenzfrist und Löschung; personenbezogene Informationen, die bei Vertragsende noch vorhanden sind, werden nach Abschnitt 7.4 behandelt.

Kategorien personenbezogener Informationen: Die übermittelten Kategorien personenbezogener Informationen können umfassen:

Netzwerkdaten: IP-Adressen. Die Adresse wird zunächst in Klartextform verwendet, um den ungefähren Standort zu ermitteln, Ratenbegrenzungen anzuwenden und Missbrauch zu erkennen, und wird anschliessend in einen täglich gesalzenen SHA-256-Hash umgewandelt; in die Analysedatenbank wird der Hash geschrieben, nicht die Adresse. Ungefähre Geolokalisierung (Land, Region, Stadt)
Gerätedaten: User-Agent-Strings, Gerätetyp, Browser, Betriebssystem, Bildschirmauflösung
Browsing-Daten: Besuchte Seiten-URLs, Seitentitel, Referrer-URLs, Zeitstempel, auf Seiten verbrachte Zeit
Verhaltensdaten: Scrolltiefe, Klickanzahl, Formularinteraktionen (ohne sensible Felder), Engagement-Metriken
Kampagnendaten: UTM-Parameter, Klick-Identifikatoren von Werbeplattformen (z. B. Google, Facebook, TikTok)
Konversionsdaten: Benutzerdefinierte Ereignisse, Zielabschlüsse und zugehörige Werte gemäss Konfiguration durch den Kunden
Sitzungsdaten: Sitzungsidentifikatoren, Dauer, Seiten pro Sitzung, Status als wiederkehrender Besucher

Optionale Daten (wenn Funktionen vom Kunden aktiviert):

Session-Replay: DOM-Snapshots, Mausbewegungen, Klicks und Scroll-Verhalten. Eingabefelder werden maskiert, und Passwort- sowie Zahlungskartenfelder werden standardmässig von der Erfassung ausgeschlossen; Text, den die Seite darstellt, wird so erfasst, wie er angezeigt wird, sofern der Kunde nicht die Textmaskierung aktiviert; der Kunde ist daher dafür verantwortlich, keine personenbezogenen Informationen darzustellen, die er nicht aufgezeichnet haben möchte
Heatmaps: Aggregierte Klick- und Scroll-Positionsdaten
Nutzeridentifikation: Name, E-Mail, Telefon, Unternehmen und benutzerdefinierte Identifikatoren, sofern durch die Implementierung des Kunden bereitgestellt
B2B-Anreicherung: Unternehmensname, Domain, Branche, Grösse und andere Geschäftsattribute aus Drittanbieter-Anreicherungsdiensten

Der Kunde ist dafür verantwortlich festzulegen, welche personenbezogenen Informationen erhoben werden, und die Einhaltung der geltenden Datenschutzgesetze sicherzustellen.

Kategorien betroffener Personen: Zu den betroffenen Personen, deren personenbezogene Informationen verarbeitet werden, gehören:

Besucher der Websites und Anwendungen des Kunden
Nutzer der Online-Dienste des Kunden
Kunden der Produkte oder Dienstleistungen des Kunden
Mitarbeiter oder Vertreter des Kunden (für Kontoverwaltungszwecke)

Sensible Daten: Zenovay beabsichtigt nicht, sensible personenbezogene Daten (z. B. Gesundheitsinformationen, biometrische Daten, Finanzkontodaten) zu verarbeiten. Der Kunde ist verpflichtet, keine sensiblen personenbezogenen Daten ohne vorherige schriftliche Vereinbarung und geeignete Schutzmassnahmen an Zenovay zu übermitteln.

Häufigkeit der Übermittlung: Die Häufigkeit der Übermittlung personenbezogener Daten ist kontinuierlich, bis der Vertrag endet.

Anlage B: Sicherheitsmassnahmen

Dieser Anhang beschreibt die technischen und organisatorischen Massnahmen, die zum Datum der letzten Aktualisierung dieses AVV in Kraft sind. Zenovay betreibt eine kleine, stark automatisierte Infrastruktur und stützt sich für einen wesentlichen Teil dieser Massnahmen auf ihre Infrastrukturanbieter; wo eine Massnahme von einem Anbieter betrieben und nicht von Zenovay selbst umgesetzt wird, ist dies angegeben. Zenovay kann einzelne Massnahmen im Laufe der Zeit ändern, auch als Reaktion auf technologische Entwicklungen oder auf Veränderungen der Bedrohungslage, sofern das Gesamtniveau der Sicherheit nicht wesentlich verringert wird. Die Massnahmen sind diejenigen, die Zenovay als dem Risiko angemessen im Sinne von Artikel 32 DSGVO und gleichwertiger Bestimmungen anderer Datenschutzgesetze erachtet. Sie sind keine Garantie dafür, dass personenbezogene Informationen von einem Sicherheitsvorfall unberührt bleiben.

1. Physische und umgebungsbezogene Sicherheit (betrieben durch Infrastrukturanbieter)

Compute, Caching und Netzwerksicherheit werden von Cloudflare, Inc. auf deren globalem Edge-Netzwerk bereitgestellt. Cloudflare unterhält Zertifizierungen nach SOC 2 Type II, ISO 27001 und ISO 27018; dies sind Zertifizierungen von Cloudflare, nicht von Zenovay
Seit dem 28. Oktober 2026 werden die primäre Datenbank (einschliesslich der Authentifizierungsdaten) und ihre Sicherungen auf Oracle Cloud Infrastructure in der Schweiz (eu-zurich-1, Zürich) gehostet, wo Zenovay die Datenbanksoftware selbst betreibt; die Analytik-Datenbank und deren Backups werden dort seit dem 23. Oktober 2026 gehostet. Die Zertifizierungen von Oracle sind Zertifizierungen von Oracle, nicht von Zenovay. Seit dem 29. Oktober 2026 werden Dateien (hochgeladene Bilder und Anhänge, Session Replays und Heatmap-Screenshots) bei Backblaze, Inc. in der Europäischen Union (eu-central, Amsterdam, Niederlande) gespeichert; die Zertifizierungen von Backblaze sind Zertifizierungen von Backblaze, nicht von Zenovay. Seit dem 31. Oktober 2026 speichert Backblaze, Inc. ausserdem eine verschlüsselte Kopie der nächtlichen Sicherungen der primären Datenbank und der Analytik-Datenbank.
Zenovay betreibt kein eigenes Rechenzentrum, keinen eigenen Serverraum und keine sonstige eigene Einrichtung und hält im gewöhnlichen Betrieb der Dienste keine personenbezogenen Informationen auf physischen Datenträgern unter der Kontrolle von Zenovay. Sämtliche physischen und umgebungsbezogenen Kontrollen für die Systeme, die personenbezogene Informationen enthalten, liegen in der Verantwortung der vorstehend genannten Anbieter
Zutrittskontrolle zu den Einrichtungen, Überwachung und Umgebungsschutz werden von diesen Anbietern durchgeführt und sind in deren eigenen veröffentlichten Zertifizierungen und Prüfberichten beschrieben, die Zenovay dem Kunden auf Anfrage anstelle einer Inspektion vor Ort zur Verfügung stellt

2. Systemzugangskontrollen

Der administrative Zugang zur internen Betriebskonsole von Zenovay liegt hinter einem Zero-Trust-Zugangsperimeter, der am Ursprung erneut geprüft wird, einer authentifizierten Sitzung sowie einer Berechtigungsprüfung gegen eine ausdrückliche Administratorenliste, die in der Umgebungskonfiguration und nicht in der Datenbank hinterlegt ist, sodass eine Kompromittierung der Datenbank keinen administrativen Zugang verschaffen kann. Als weiterer Faktor ist eine hardwaregestützte Passkey-Abfrage im Einsatz
Rollenbasierte Zugriffskontrolle. Innerhalb des Arbeitsbereichs des Kunden ist der Zugang nach Rolle beschränkt (Eigentümer, Administrator, Bearbeiter, Betrachter). Auf Seiten von Zenovay sind administrative Fähigkeiten durch eine Berechtigungsmatrix mit Lese- und Schreibrechten je Bereich eingegrenzt, wobei die Rollen- und Mitgliederverwaltung dem Betreiber vorbehalten und über diese Matrix niemals zuteilbar ist
Individuelle, namentliche Konten für den administrativen Zugang; gemeinsam genutzte oder generische administrative Anmeldungen werden nicht verwendet
Mehrfaktor-Authentifizierung per zeitbasiertem Einmalpasswort oder Passkey steht den Nutzern des Kunden zur Verfügung. Der Kunde ist dafür verantwortlich, sie für seine eigenen autorisierten Nutzer zu aktivieren und deren Zugang zu widerrufen, wenn sie nicht mehr für ihn tätig sind
Administrative und privilegierte Handlungen werden in Audit-Logs geschrieben, die ausschliesslich Einfügungen zulassen und für die keine Update- oder Delete-Richtlinie besteht. Audit-Schreibvorgänge sind bewusst nicht blockierend, sodass ein Protokollierungsfehler die zugrunde liegende Handlung nicht verhindern kann; die Protokolle sind daher ein Nachweis der Rechenschaft, und es wird nicht zugesichert, dass sie eine vollständige Aufzeichnung jedes Ereignisses darstellen

3. Datenzugriffskontrollen

Alle Verbindungen zu den Diensten werden über HTTPS bereitgestellt, wobei TLS an der Cloudflare-Edge terminiert wird; der Verkehr zwischen der Compute-Ebene von Zenovay und der Datenbank ist bei der Übertragung verschlüsselt
Ruhende personenbezogene Informationen werden von den Anbietern verschlüsselt, die sie speichern (Oracle Cloud Infrastructure mit von Oracle verwalteten Schlüsseln für die primäre Datenbank, die Analytik-Datenbank und deren Sicherungen; Backblaze mit von Backblaze verwalteten Schlüsseln für den Dateispeicher). Die Verschlüsselung im Ruhezustand und die zugehörige Schlüsselverwaltung sind vom Anbieter betriebene Massnahmen, mit einer Ausnahme: Die zusätzliche Kopie der nächtlichen Datenbanksicherungen bei Backblaze wird von Zenovay vor dem Hochladen verschlüsselt, mit einem Schlüssel, den Zenovay offline aufbewahrt und den Backblaze nicht besitzt. Davon abgesehen betreibt Zenovay über gespeicherten personenbezogenen Informationen keine eigene zusätzliche Verschlüsselungs- oder Schlüsselverwaltungsebene.
Zugang zu personenbezogenen Informationen nur für autorisiertes Personal
Kundendaten werden pro Website und pro Team logisch getrennt. Row Level Security ist für jede Tabelle in der Produktionsdatenbank aktiviert, und jeder Abfragepfad der Anwendung erzwingt zusätzlich ein Mandantenprädikat; auf dem API-Pfad, der sich mit einer Service-Rolle authentifiziert, ist diese Prüfung auf Anwendungsebene die primäre Massnahme und Row Level Security die zusätzliche Verteidigungslinie

4. Übertragungskontrollen

Verschlüsselung der Datenübertragung mit TLS/SSL-Protokollen
Sichere APIs mit Authentifizierungs- und Autorisierungskontrollen
Ratenbegrenzung, IP-Reputationsbewertung und Missbrauchsheuristiken, angewendet an der Edge und in der Anwendungsschicht

5. Eingabekontrollen

Prüfprotokollierung von Datenerstellung, -änderung und -löschung
Versionskontroll- und Änderungsmanagementverfahren
Automatisierte Sicherungen der primären Datenbank und der Analysedatenbank alle sechs Stunden, davon eine jede Nacht, betrieben von Zenovay und gespeichert in Oracle Cloud Infrastructure Object Storage in der Schweiz (eu-zurich-1, Zürich). Für die primäre Datenbank werden die letzten 4 sechsstündlichen und die letzten 7 nächtlichen Sicherungen aufbewahrt, für die Analysedatenbank die letzten 3 sechsstündlichen und die letzten 14 nächtlichen. Point-in-Time-Wiederherstellung ist derzeit nicht aktiviert, sodass das Recovery Point Objective im Normalbetrieb bis zu sechs (6) Stunden beträgt. Seit dem 31. Oktober 2026 wird zusätzlich eine Kopie der nächtlichen Sicherung der primären Datenbank und der Analysedatenbank bei Backblaze, Inc. in der Europäischen Union (eu-central, Amsterdam, Niederlande) gespeichert, als unabhängige zweite Kopie für den Fall, dass der primäre Infrastrukturanbieter nicht verfügbar ist. Diese Kopie wird vor dem Hochladen auf den Servern von Zenovay verschlüsselt, zusätzlich zur Verschlüsselung im Ruhezustand bei Backblaze; der Entschlüsselungsschlüssel wird von Zenovay offline aufbewahrt und liegt nicht bei Backblaze. Die Server können dort Sicherungen nur hinzufügen, sie aber weder lesen noch löschen, und jede Kopie ist 14 Tage lang gegen Löschung geschützt. Die Kopien werden 30 Tage (primäre Datenbank) bzw. 14 Tage (Analysedatenbank) aufbewahrt und danach automatisch gelöscht

6. Verfügbarkeitskontrollen

Globales Edge-Netzwerk von Cloudflare, mit vom Anbieter betriebenem Failover zwischen Edge-Standorten
Datenbankserver auf Oracle Cloud Infrastructure, mit vom Anbieter betriebener Wartung von Hardware und Rechenzentrum; die Datenbanksoftware wird von Zenovay betrieben und gewartet, mit automatisierten Sicherungen alle sechs Stunden
Die primäre Datenbank läuft in einer einzigen Region (eu-zurich-1, Zürich, Schweiz), und ihre sechsstündlichen und nächtlichen Sicherungen werden in Oracle Cloud Infrastructure Object Storage in derselben Region gespeichert; zusätzlich wird eine verschlüsselte Kopie jeder nächtlichen Sicherung bei Backblaze, Inc. in der Europäischen Union (Amsterdam, Niederlande) gespeichert. Darüber hinaus betreibt Zenovay keinen weiteren geografisch verteilten Sicherungsbestand
Ein dokumentiertes Runbook für Notfallwiederherstellung und Geschäftskontinuität, dessen Wiederherstellungsziele interne Zielwerte und keine Zusagen gegenüber dem Kunden sind
Systemüberwachung und Incident-Response-Verfahren
Hinweis: Es wird keine spezifische Betriebszeit-SLA gewährt, sofern nicht separat in einem Enterprise-Vertrag vereinbart

7. Organisatorische Massnahmen

Der Zugang zu personenbezogenen Informationen ist auf den Betreiber und auf ausdrücklich vom Betreiber autorisierte Personen beschränkt und wird nur gewährt, soweit er zur Bereitstellung, Absicherung oder Unterstützung der Dienste erforderlich ist
Jede Person, die befugt ist, personenbezogene Informationen im Auftrag von Zenovay zu verarbeiten, ist zur Vertraulichkeit verpflichtet, sei es vertraglich oder von Gesetzes wegen, wie in Abschnitt 3 dargelegt
Incident-Response- und Datenpannen-Benachrichtigungsverfahren
Wöchentliche automatisierte Sicherheitsscans der Code-Repositories von Zenovay, die Schwachstellen in Abhängigkeiten, statische Analyse und Secret Scanning abdecken. Zenovay verfolgt Sicherheitsupdates der von ihr betriebenen Datenbanksoftware und spielt Aktualisierungen über ein getestetes Aktualisierungsverfahren ein. Zenovay hat weder einen unabhängigen Penetrationstest noch ein Sicherheitsaudit durch Dritte in Auftrag gegeben und behauptet dies auch nicht
Unterauftragsverarbeiter werden auf Grundlage schriftlicher Auftragsverarbeitungsbedingungen beauftragt, die Datenschutzpflichten auferlegen, die denen dieses AVV im Wesentlichen entsprechen, und werden in einem Verzeichnis geführt, das Zenovay pflegt und unter zenovay.com/legal/subprocessors veröffentlicht

Kontaktinformationen

Bei Fragen zu diesem AVV oder den Datenverarbeitungspraktiken wenden Sie sich bitte an:

E-Mail: [email protected]

Support: [email protected]

Adresse: Zenovay, Wanderstrasse 19, 4054 Basel, Schweiz