Kapitel A
Allgemeine Bestimmungen

1. Geltungsbereich und Allgemeines

Diese Allgemeinen Geschäftsbedingungen (AGB) der devguard AG, Gussstrasse 10, 8180 Bülach ZH, (nachfolgend „devguard“), gelten für sämtliche Geschäftsbeziehungen von devguard mit ihren Kunden.

devguard bietet ihren Kunden Leistungen im Bereich Software-as-a-Service-Lösungen („SaaS“) und On-Premise-Software. Sie besitzt und betreibt dafür die Website www.devguard.ch und deren Subdomains.

Als Kunde wird jede natürliche Person über 18 Jahre im Bereich B2B und jede juristische Person bezeichnet, welche mit devguard geschäftliche Beziehungen pflegt.

Diese AGB gelten ausschliesslich. Entgegenstehende, ergänzende oder von diesen AGB abweichende Bedingungen bedürfen zu ihrer Geltung der ausdrücklichen schriftlichen Bestätigung durch devguard.

Der Kunde bestätigt bei der Inanspruchnahme von Leistungen von devguard sowie bei der Nutzung von www.devguard.ch und deren Subdomains bzw. bei Vertragsschluss, diese AGB umfassend anzuerkennen.

Aus Gründen der besseren Lesbarkeit wird in diesen AGB bei Personenbezeichnungen und besonderen Hauptwörtern die männliche Form verwendet. Entsprechende Begriffe gelten im Sinne der Gleichbehandlung grundsätzlich für alle Geschlechter. Die verkürzte Sprachform hat ausschliesslich redaktionelle Gründe und enthält keine Wertung.

2. Informationen von devguard

Prospekt- und Werbematerial von devguard sowie die Website www.devguard.ch, Subdomains und Posts auf Social-Media-Kanälen beinhalten Informationen über Leistungen. Preis- und Angebotsänderungen sowie technische Änderungen bleiben vorbehalten. Alle Angaben (Leistungsbeschreibungen, Abbildungen, Filme, Masse, Gewichte, technische Spezifikationen und sonstige Angaben sowie Preise) sind unverbindlich und stellen insbesondere keine Zusicherung von Eigenschaften oder Garantien dar, ausser es ist explizit anders vermerkt. devguard bemüht sich, sämtliche Angaben und Informationen korrekt, vollständig, aktuell und übersichtlich bereitzustellen, jedoch kann devguard weder ausdrücklich noch stillschweigend dafür Gewähr leisten.

Alle Angaben sind ohne Gewähr und können sich vor Vertragsschluss jederzeit und ohne Ankündigung ändern.

3. Preise

Vorbehaltlich anderweitiger Offerten verstehen sich alle Preise netto in Schweizer Franken (CHF), exklusive Mehrwertsteuer (MWST). Den angegebenen Preisen wird die jeweils bestehende gesetzliche Mehrwertsteuer zugeschlagen.

4. Vertragsabschluss

Die Angebote und Offerten von devguard stellen eine Aufforderung an den Kunden dar, Leistungen von devguard in Anspruch zu nehmen. Die Angebote und Offerten sind für devguard nicht bindend. Vor Vertragsschluss von devguard bekannt gegebene Angebote, Termine und Fristen sind freibleibend und unverbindlich.

Der Kunde kann sich kostenlos registrieren. Die Nutzung des Kostenlosen Konto für produktive Zwecke ist im Rahmen der veröffentlichten Limite gestattet. Das Kostenlose Konto ist dauerhaft und wird bei Nichtzahlung weder gesperrt noch gelöscht. Der Vertragsabschluss kommt nach der Online-Bezahlung des Kunden mit der schriftlichen Zahlungsbestätigung durch devguard zustande. Ein Widerrufsrecht des Kunden nach erfolgtem Kauf besteht nicht.

devguard kann jederzeit Preisänderungen vornehmen. Ist der Kunde mit der Preisänderung nicht einverstanden, hat er das Recht, innert 14 Kalendertagen seit schriftlicher Bekanntgabe der Preisänderung, den entsprechenden Vertrag per sofort zu kündigen.

5. Zahlungsmodalitäten

Dem Kunden stehen die im Bestellvorgang angegebenen Zahlungsmittel zur Verfügung.

Mit der Wahl eines Online-Zahlungsmittels ermächtigt der Kunde devguard, die Zahlung auf dem entsprechenden Weg einzuziehen.

6. Rechte und Pflichten von devguard

Vorbehaltlich anderslautender Vereinbarung erfüllt devguard ihre Verpflichtungen durch Erbringung der vereinbarten Leistung.

devguard ist verpflichtet, die vereinbarte Software in funktionsfähiger Form bereitzustellen, den technischen Betrieb im SaaS-Modell sicherzustellen und Aktualisierungen, Sicherheitsupdates sowie Verbesserungen im zumutbaren Rahmen vorzunehmen. devguard sorgt für eine sorgfältige Auswahl und Überwachung der eingesetzten Subunternehmer sowie für die Einhaltung der geltenden Datenschutzgesetze. devguard hat das Recht, die Software weiterzuentwickeln, Wartungsfenster durchzuführen und den Zugriff bei schwerwiegenden Vertragsverletzungen zu beschränken. Bereitgestellte Beta-Versionen nutzt der Kunde auf eigene Gefahr.

7. Subunternehmer, Hosting und Wartung

devguard ist berechtigt, zur Erbringung ihrer Dienstleistungen Subunternehmer einzusetzen, insbesondere für Hosting, Cloud Services, Entwicklung, Zahlungen oder Support. devguard bleibt für die sorgfältige Auswahl, Instruktion und Überwachung der Subunternehmer verantwortlich.

Wartungsarbeiten und Funktionsupdates dürfen auch während der Vertragslaufzeit durchgeführt werden, soweit diese dem Kunden zumutbar sind. Geplante Wartungsfenster wird devguard dem Kunden, soweit möglich, im Voraus ankündigen.

Bei Notfällen, sicherheitsrelevanten Vorfällen oder zum Schutz der Systemintegrität ist devguard berechtigt, auch kurzfristig notwendige Massnahmen zu ergreifen, die zu temporären Einschränkungen führen können.

8. Rechte und Pflichten des Kunden

Der Kunde ist verpflichtet, die für die Leistungserbringung notwendigen Informationen vollständig und korrekt bereitzustellen, den Zugang zu seinen Systemen oder Daten dort zu ermöglichen, wo dies für die Nutzung oder Einrichtung der Software erforderlich ist, sowie geeignete technische Voraussetzungen zu schaffen.

Der Kunde trägt die Verantwortung für die rechtmässige Nutzung der Software sowie die Einhaltung regulatorischer Vorgaben innerhalb seines Unternehmens. Seine Mitwirkung ist insbesondere bei der Einrichtung, der Benutzerverwaltung, der Definition interner Prozesse sowie – bei On-premise – beim sicheren Betrieb der eigenen Infrastruktur notwendig. Ohne diese Mitwirkung kann die Leistung nur eingeschränkt oder nicht ordnungsgemäss erbracht werden.

9. Nutzungskonzept und Technische Vorgaben

Der Kunde verpflichtet sich, die Software ausschliesslich im Rahmen der vertraglich vorgesehenen Zwecke zu verwenden und alle technischen Vorgaben sowie Nutzungshinweise von devguard einzuhalten.

Die Weitergabe von Zugangsdaten, einschliesslich Benutzername, Passwort und API-Keys, an Dritte ist untersagt. Der Kunde wird angemessene Massnahmen zur Geheimhaltung und Sicherung seiner Zugangsdaten ergreifen und devguard unverzüglich über jeden Verdacht einer missbräuchlichen Nutzung informieren.

Jegliche unautorisierte Mehrfachnutzung der Software ist unzulässig.

10. Technische Eingriffe und rechtswidrige Nutzung

Dem Kunden ist es untersagt, ohne ausdrückliche schriftliche Zustimmung von devguard technische Eingriffe an der Software vorzunehmen, insbesondere Last- und Stresstests durchzuführen, Schutzmechanismen zu umgehen oder technische Begrenzungen zu beseitigen.

Die Umgehung von Sicherheitsmassnahmen, das Veröffentlichen oder Übermitteln rechtswidriger Inhalte sowie jegliche zweckwidrige Nutzung der Software sind nicht gestattet.

11. Abonnements

Abonnements mit fester Laufzeit verlängern sich automatisch um die gleiche Laufzeit, wenn sie nicht von einer Partei vor Ablauf gekündigt werden.

12. Kündigung aus wichtigem Grund

Jede Partei ist berechtigt, den Vertrag aus wichtigem Grund mit sofortiger Wirkung zu kündigen. Ein wichtiger Grund liegt insbesondere bei schwerwiegender oder wiederholter Verletzung vertraglicher Pflichten oder bei der Nutzung der Software zu rechtswidrigen Zwecken vor.

Nach Beendigung des Vertrags werden sämtliche Kundendaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen, gelöscht.

13. Gewährleistung

devguard verpflichtet sich, die vereinbarten Leistungen mit der gebotenen Sorgfalt und nach bestem Wissen und Gewissen zu erbringen. Massgeblich ist die im Vertrag oder in der Leistungsbeschreibung festgelegte Leistung.

Der Kunde ist verpflichtet, erkennbare Mängel der SaaS-Leistung unverzüglich, spätestens jedoch innerhalb von sieben Tagen nach Entdeckung in Textform (z. B. per E-Mail) anzuzeigen. Versteckte Mängel sind unverzüglich nach ihrer Entdeckung zu melden. Unterbleibt die fristgerechte Anzeige, entfallen Ansprüche auf Mangelbeseitigung für den betreffenden Mangel, soweit dem Kunden dadurch keine unangemessene Nachteile entstehen.

Bei berechtigter und fristgerechter Mängelanzeige hat devguard das Recht zur Nacherfüllung. Schlägt die Nacherfüllung fehl, kann der Kunde eine angemessene Minderung der Vergütung verlangen oder, bei erheblichen Mängeln, vom Vertrag zurücktreten.

Für Schäden, die durch unsachgemässe Nutzung oder eigenmächtige Änderungen durch den Kunden entstehen, wird keine Gewähr übernommen.

Gewährleistungsansprüche verjähren innerhalb eines Jahres ab dem gesetzlichen Verjährungsbeginn, sofern nicht gesetzlich zwingend eine längere Frist vorgeschrieben ist.

14. Haftung

Die Nutzung der Angebote von devguard erfolgt auf eigenes Risiko und auf eigene Gefahr des Kunden. Entsprechend schliesst devguard jede Haftung, unabhängig von ihrem Rechtsgrund, sowie Schadenersatzansprüche gegen devguard und allfällige Hilfspersonen und Erfüllungsgehilfen aus. devguard haftet insbesondere nicht für Ausfälle von Leistungen von Cloud-Providern, sowie nicht für indirekte Schäden und Mangelfolgeschäden, entgangenen Gewinn oder sonstige Personen-, Sach- und reine Vermögensschäden des Kunden oder von Dritten.

Vorbehalten bleibt eine weitergehende zwingende gesetzliche Haftung, beispielsweise für grobe Fahrlässigkeit oder rechtswidrige Absicht.

15. Immaterialgüterrechte

Sämtliche Urheber-, Marken-, Design-, Patent- und sonstigen Schutzrechte an der Software, dem Quell- und Objektcode, der Benutzeroberfläche und der Dokumentation sowie an allen Weiterentwicklungen verbleiben im alleinigen Eigentum von devguard oder deren Lizenzgebern.

Der Kunde erhält für die Dauer des Vertrags lediglich ein einfaches, nicht übertragbares und nicht unterlizenzierbares Nutzungsrecht an der Software im Rahmen des vertraglich zulässigen Zwecks.

Dem Kunden ist es insbesondere untersagt, die Software oder Teile hiervon zu kopieren, zu dekompilieren, zurückzuentwickeln, zu verändern oder Dritten zugänglich zu machen, es sei denn, dies ist gesetzlich zwingend erlaubt oder wurde ausdrücklich schriftlich von devguard autorisiert. Ebenso unzulässig ist die Entfernung von Marken, Logos oder Urhebervermerken.

Verwendet der Kunde im Zusammenhang mit von devguard Inhalte, Texte oder bildliches Material, an welchem Dritte ein Schutzrecht haben, hat der Kunde sicherzustellen, dass keine Schutzrechte Dritter verletzt werden, andernfalls er devguard vollumfänglich schadlos zu stellen hat.

16. Änderungen

Diese Allgemeinen Geschäftsbedingungen können von devguard jederzeit geändert werden. Der Kunde wird vorab per E-Mail über die Änderung informiert. Die neue Version tritt in Kraft, wenn der Kunde nicht innerhalb von 14 Kalendertagen widerspricht.

17. Vertraulichkeit

Beide Parteien verpflichten sich, sämtliche Informationen, welche im Zusammenhang mit den Leistungen von devguard unterbreitet oder angeeignet wurden (nachfolgend "vertrauliche Informationen") streng vertraulich zu behandeln. Vertrauliche Informationen umfassen insbesondere, aber nicht abschliessend, technische, kommerzielle, finanzielle, rechtliche, betriebliche und sonstige Informationen sowie Geschäftsgeheimnisse, unabhängig davon, ob diese mündlich, schriftlich, elektronisch, in verkörperter oder sonstiger Form offengelegt werden.

Die empfangende Partei darf vertrauliche Informationen ausschliesslich zum Zweck der Zusammenarbeit zwischen den Parteien verwenden. Eine Weitergabe an Dritte ist nur mit vorheriger schriftlicher Zustimmung der offenlegenden Partei zulässig. Die empfangende Partei verpflichtet sich, alle angemessenen Massnahmen zu treffen, um die Vertraulichkeit der Informationen zu wahren.

Von der Vertraulichkeitsverpflichtung ausgenommen sind Informationen, die der empfangenden Partei bereits rechtmässig bekannt waren, die ohne Verstoss gegen diese Vereinbarung allgemein bekannt werden, die von einem berechtigten Dritten rechtmässig erhalten werden und die aufgrund gesetzlicher Vorschriften, behördlicher oder gerichtlicher Anordnung offengelegt werden müssen, wobei die empfangende Partei die offenlegende Partei, soweit rechtlich zulässig, unverzüglich über eine solche Offenlegungspflicht informiert.

Diese Vertraulichkeitsverpflichtung gilt während der Dauer des Vertrags zwischen den Parteien sowie für einen Zeitraum von drei Jahren nach deren Beendigung.

Bei Beendigung des Vertrages zwischen den Parteien hat die empfangende Partei auf Verlangen der offenlegenden Partei sämtliche vertraulichen Informationen und Kopien davon unverzüglich zurückzugeben oder nachweislich zu vernichten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Kunde ist damit einverstanden, dass devguard ihn als Referenz angeben darf (online oder Print). Möchte der Kunde dies nicht, kann er dies devguard jederzeit schriftlich mitteilen. Bereits angegebene Referenzen bleiben davon unberührt.

18. Höhere Gewalt

Wird die fristgerechte Erfüllung durch devguard infolge höherer Gewalt wie beispielsweise Naturkatastrophen, Erdbeben, Vulkanausbrüchen, Lawinen, Pandemien, Unwetter, Gewitter, Stürme, Kriege, Unruhen, Bürgerkriege, Revolutionen und Aufstände, Terrorismus, Sabotage, Streiks, Atomunfälle resp. Reaktorschäden verunmöglicht, so ist devguard während der Dauer der höheren Gewalt sowie einer angemessenen Anlaufzeit nach deren Ende von der Erfüllung der betroffenen Pflichten befreit. Dauert die höhere Gewalt länger als 30 Tage, kann devguard vom Vertrag zurücktreten. devguard hat dem Kunden bereits geleistetes Entgelt für noch nicht geleistete Leistungen vollumfänglich zurückzuerstatten.

Jegliche weiteren Ansprüche, insbesondere Schadenersatzansprüche infolge höherer Gewalt, sind ausgeschlossen.

19. Datenschutz

Der Schutz der Personendaten ihrer Kunden ist devguard wichtig. devguard nimmt das Thema Datenschutz ernst und achtet auf entsprechende Sicherheit. devguard verarbeitet und pflegt Personendaten im Einklang mit den Bestimmungen des Bundesgesetzes über den Datenschutz (DSG), der Verordnung zum Bundesgesetz über den Datenschutz (VDSG) und, soweit anwendbar, anderen datenschutzrechtlichen Bestimmungen, insbesondere der Datenschutzgrundverordnung der Europäischen Union (DSGVO).

Der Kunde nimmt zur Kenntnis und ist damit einverstanden, dass devguard seine Personendaten zum Zwecke der Erbringung ihrer Leistungen bearbeitet und auch an Dritte weitergibt. Der Kunde kann dieser Zustimmung jederzeit schriftlich (per E-Mail genügt) widersprechen.

Im Übrigen wird auf die Datenschutzerklärung von devguard, einsehbar unter www.devguard.ch/privacy, sowie auf die Auftragsdatenverarbeitung in Kapitel B verwiesen.

Der Kunde ist damit einverstanden, dass devguard seine Daten zur Durchführung von Werbemassnahmen (Online oder Print) verwendet, insbesondere um ihm Informationen über Angebote zukommen zu lassen.

Der Kunde hat die Möglichkeit, diesen Werbezwecken jederzeit zu widersprechen, durch Aktivierung resp. Deaktivierung durch den Kunden in der Applikation.

20. Partner- und Referral-Programme

Für Programme mit Partnern, Affiliates oder Resellern gelten ergänzende, eigenständige Bedingungen. Die Teilnahme berechtigt nicht zur Vertretung von devguard und begründet kein Arbeits-, Agentur- oder Gesellschaftsverhältnis.

Kapitel B
Auftragsdatenverarbeitung

21. Allgemeines

Nachfolgend wird der Kunde als Auftraggeber und devguard AG als Auftragnehmer bezeichnet.

Der Auftraggeber und der Auftragnehmer schliessen eine Vereinbarung über Nutzung von Software des Auftragnehmers, in deren Rahmen der Auftragnehmer für den Auftraggeber Software-Leistungen (SaaS) erbringt.

Zu diesem Zweck erhält der Auftragnehmer unter Umständen Zugang zu Personendaten, die dem Auftragnehmer durch den Auftraggeber direkt oder in dessen Auftrag durch Dritte offengelegt oder auf andere Weise zur Verfügung gestellt werden (nachfolgend Personendaten).

Der Auftraggeber und der Auftragnehmer möchten sicherstellen, dass die durch den Auftragnehmer im Auftrag des Auftraggebers direkt oder durch Dritte durchgeführte Verarbeitung von Personendaten den geltenden Datenschutzgesetzen entspricht, und sich dabei auf bestimmte Bedingungen für die genannte Datenverarbeitung verständigen, die nachfolgend festgelegt sind.

22. Automatische Einbeziehung und Geltung

Geltende Datenschutzgesetze meint das revidierte Schweizer Bundesgesetz über den Datenschutz (DSG, SR 235.1), die revidierte Schweizer Verordnung zum Bundesgesetz über den Datenschutz (DSV, SR 235.11).

Verantwortlicher ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von Personendaten entscheidet (Art. 5 lit. j DSG).

Auftragsbearbeiter ist die natürliche oder juristische Person, die Personendaten im Auftrag des Verantwortlichen verarbeitet (Art. 5 lit. k DSG).

Personendaten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (nachfolgend betroffene Person); als bestimmbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (Art. 5 lit. a DSG).

Bearbeitung ist jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten (Art. 5 lit. d DSG).

Bekanntgeben ist das Übermitteln oder Zugänglichmachen von Personendaten (Art. 5 lit. e DSG).

23. Geltungsbereich und Gegenstand

Dieses Kapitel B gilt für jede Form der Verarbeitung von Personendaten für den Auftraggeber durch den Auftragnehmer.

Der Auftragnehmer erbringt insbesondere Leistungen der Bereitstellung, Wartung und Betrieb von Software-, Cloud- und On-Premises-Lösungen, Authentifizierungsdiensten, Benutzerverwaltung, Logging, Monitoring, Support und Abrechnung, wie im Hauptvertrag und diesen Vereinbarungen näher beschrieben.

Gegenstand und Dauer sowie Art und Zweck der Verarbeitung ergeben sich aus einer individuellen Vereinbarung zwischen dem Auftraggeber und dem Auftragnehmer.

Die Art der Personendaten sowie die Kategorien der betroffenen Personen sind untenstehend spezifiziert.

Verarbeitet werden insbesondere folgende Kategorien von Personendaten: Benutzer- und Kontaktdaten (Name, E-Mail, Rolle, Organisation), Kommunikations- und Supportdaten, Protokoll- und Nutzungsdaten (z.B. Login-Zeitpunkte, IP-Adressen), Vertrags- und Abrechnungsdaten. Betroffene Personen sind insbesondere: Mitarbeitende, Auftragnehmer oder Kunden des Auftraggebers, Nutzer der Plattformen, sowie sonstige Personen, deren Daten in Folge der Nutzung der Plattform verarbeitet werden.

24. Pflichten des Auftragnehmers

24.1 Weisungsgemässe Verarbeitung

Der Auftragnehmer verpflichtet sich, die Daten ausschliesslich für die Zwecke der Vertragserfüllung sowie gemäss den dokumentierten Instruktionen/Weisungen des Auftraggebers zu verarbeiten. Dies gilt insbesondere auch bezüglich der Übermittlung der Daten in ein Drittland oder an eine internationale Organisation. Wird der Auftragnehmer durch das Recht der Europäischen Union, der Mitgliedstaaten oder eines Nicht-EU-Mitgliedstaats, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.

Der Auftraggeber kann jederzeit neue Instruktionen erlassen, ergänzen oder bestehende Instruktionen ändern. Dies umfasst auch Instruktionen im Hinblick auf die Berichtigung, Löschung und Sperrung von Personendaten. Alle erteilten Instruktionen sind sowohl vom Auftraggeber als auch vom Auftragnehmer schriftlich zu dokumentieren.

Ist der Auftragnehmer der Ansicht, dass eine Instruktion des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstösst, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Der Auftragnehmer darf die Durchführung einer offensichtlich rechtswidrigen Instruktion ablehnen.

Im Übrigen bleiben die Pflichten, die dem Auftragnehmer direkt aus den anwendbaren Datenschutzgesetzen entstehen, wie beispielsweise die Erstellung eines Verzeichnisses der vorliegenden Auftragsverarbeitung gemäss Art. 12 DSG, erhalten und von diesem Vertrag unberührt.

24.2 Pflicht zur Verschwiegenheit

Der Auftragnehmer verpflichtet sich und leistet Gewähr dafür, dass er alle mit der Datenverarbeitung betrauten Personen, einschliesslich Erfüllungsgehilfen, vor Aufnahme der Tätigkeit zur Vertraulichkeit in schriftlicher Form verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen, und dass die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung betrauten Personen auch nach Beendigung ihrer Tätigkeit beim Auftragnehmer bestehen bleibt. Der Auftragnehmer haftet für ein etwaiges Zuwiderhandeln der mit der Datenverarbeitung betrauten Personen, einschliesslich Erfüllungsgehilfen, wie für sein eigenes Verhalten.

24.3 Schutzmassnahmen des Auftragnehmers

Der Auftragnehmer verpflichtet sich und leistet Gewähr dafür, dass er alle erforderlichen Massnahmen zur Gewährleistung der Sicherheit der Bearbeitung gemäss Art. 7 und 8 DSG ergriffen hat und aufrechterhält, um eine unbefugte Verarbeitung, einen Verlust oder eine Beschädigung Personendaten zu verhindern.

24.4 Unterstützungspflichten

Der Auftragnehmer ist verpflichtet, den Auftraggeber auf Verlangen bei der Einhaltung der geltenden Datenschutzgesetze jederzeit und soweit möglich zu unterstützen.

a. Anträge und Rechte betroffener Personen

Der Auftragnehmer verpflichtet sich, den Auftraggeber mit geeigneten technischen und organisatorischen Massnahmen zu unterstützen, damit der Auftraggeber seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen (insbesondere Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit nachkommen kann, und überlässt dem Auftraggeber alle dafür notwendigen und ihm zur Verfügung stehenden Informationen.

Wird ein entsprechender Antrag an den Auftragnehmer gerichtet, hat der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiterzuleiten. Der Auftragnehmer muss die Beantwortung solcher Anträge dem Auftraggeber überlassen, es sei denn, er ist gesetzlich dazu verpflichtet. In jedem Fall vereinbaren die Parteien, die Beantwortung solcher Anträge gegenseitig abzusprechen.

b. Weitere Informations- und Unterstützungspflicht

Der Auftragnehmer verpflichtet sich, den Auftraggeber unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 7, 8, 22–24 DSG genannten Pflichten zu unterstützen (Datensicherheitsmassnahmen, Meldungen von Verletzungen des Schutzes Personendaten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes Personendaten betroffenen Person, Datenschutz-Folgenabschätzung und vorherige Konsultation).

Der Auftragnehmer verpflichtet sich, den Auftraggeber unverzüglich zu benachrichtigen im Falle (i) eines etwaigen tatsächlichen oder mutmasslichen Datenschutzverstosses unter Angabe sämtlicher dem Auftragnehmer zur Verfügung stehenden Informationen gemäss Art. 24 Abs. 2 DSG, (ii) etwaiger tatsächlicher oder drohender Beeinträchtigungen oder Mängel aufseiten des Auftragnehmers, die einer Einhaltung der Bestimmungen des Hauptvertrags einschliesslich dieses Vertrags entgegenstehen, (iii) des Vorliegens etwaiger Anträge auf Zugang sowie des tatsächlich erfolgten Zugangs zu Personendaten durch Behörden, sofern diese Benachrichtigung nicht per Gesetz aus wichtigen Gründen des öffentlichen Interesses verboten ist.

24.5 Festlegung von Meldefristen bei Datenschutzvorfällen

Der Auftragnehmer meldet dem Auftraggeber jeden bekannten Vorfall, der zu einer unrechtmässigen Offenlegung, Veränderung oder Löschung Personendaten geführt hat oder führen könnte, unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung enthält Angaben zur Art des Vorfalls, den betroffenen Daten, zu den potenziellen Folgen und den ergriffenen Gegenmassnahmen.

24.6 Rückgabe oder Löschungspflicht bei Vertragsbeendigung

Der Auftragnehmer verpflichtet sich, nach Beendigung des Vertrages mit dem Auftraggeber sämtliche Personendaten, vorbehaltlich gesetzlicher Aufbewahrungspflichten, an den Auftraggeber zurückzugeben oder, auf Wunsch des Auftraggebers, zu löschen, ohne eine Kopie aufzubewahren, und die Löschung gegenüber dem Auftraggeber entsprechend zu bestätigen.

24.7 Fristgebundene Löschungs- und Exportmechanismen

Nach Beendigung des Vertrages mit dem Auftraggeber löscht der Auftragnehmer sämtliche Personendaten des Auftraggebers spätestens innerhalb von 30 Tagen oder – auf schriftlichen Wunsch des Auftraggebers – stellt diesem die Personendaten in einem gängigen, maschinenlesbaren Format zur Verfügung. Über die erfolgte Löschung erteilt der Auftragnehmer in Textform Bestätigung; hiervon ausgenommen bleiben Daten, für die gesetzliche Aufbewahrungspflichten bestehen.

24.8 Kontrollrechte des Auftraggebers

Der Auftragnehmer verpflichtet sich, dem Auftraggeber sämtliche Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung dieses Vertrags durch den Auftragnehmer nachzuweisen und Überprüfungen, einschliesslich Inspektionen, durch den Auftraggeber selbst, einen vom Auftraggeber beauftragten Prüfer oder durch die Aufsichtsbehörde zu ermöglichen und aktiv zu unterstützen. Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen im Geschäftsbetrieb zu erfolgen.

25. Ort der Durchführung der Datenverarbeitung

Die Datenverarbeitungen werden nur an den Standorten durchgeführt, welche im Trust Center aufgeführt sind (siehe https://www.devguard.ch/trust/).

Der Auftragnehmer verpflichtet sich, keine Personendaten, auch nicht teilweise, ohne vorgängige schriftliche Zustimmung des Auftraggebers an ein Drittland zu übermitteln.

26. Einsatz von Unterauftragsverarbeitern

Ein aktuelles Verzeichnis aller eingesetzten Unterauftragsverarbeiter steht im Trust Center zur Verfügung (https://www.devguard.ch/trust/). Änderungen an diesem Verzeichnis werden dem Auftraggeber mit einer Frist von mindestens 30 Tagen vor Inkrafttreten angezeigt, entweder per E-Mail oder durch Hinweis in der jeweiligen Applikation. Innerhalb dieser Frist kann der Auftraggeber einer Änderung widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei begründetem Widerspruch bemühen sich die Parteien um eine Lösung; ist dies nicht möglich, kann der Auftraggeber den Vertrag im betroffenen Umfang ausserordentlich kündigen.

27. Ausführung zusätzlicher Vereinbarungen

Der Auftragnehmer stimmt zu, auf Verlangen des Auftraggebers im Rahmen der bestehenden Verträge weiterführende Vereinbarungen mit dem Auftraggeber zur Verarbeitung von Personendaten abzuschliessen, sofern der Auftraggeber dies nach vernünftigem Ermessen für die Einhaltung des geltenden Datenschutzrechts als erforderlich erachtet.

28. Ausserordentliches Kündigungsrecht

Der Auftraggeber kann den Vertrag mit dem Auftragnehmer jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoss des Auftragnehmers gegen Datenschutzvorschriften vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Dabei stellen insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 9 DSG abgeleiteten Pflichten einen schweren Verstoss dar.

29. Datenschutzvorrang und Anwendung europäischer Vorschriften

Im Falle von Widersprüchen zwischen diesem Kapitel B dieser AGB und anderen Vertragsdokumenten gehen die vorliegenden Regelungen in allen datenschutzbezogenen Fragestellungen vor. Sofern der Auftraggeber seinen Sitz im Europäischen Wirtschaftsraum (EWR) hat oder die Datenverarbeitung dem Anwendungsbereich der DSGVO unterliegt, gelten zwingende Datenschutzregelungen der DSGVO vorrangig vor abweichenden Bestimmungen des schweizerischen Rechts.

Die Bestimmungen des vorliegenden Vertrags haben auch nach Beendigung des Hauptvertrags weiterhin Bestand, solange der Auftragnehmer im Besitz Personendaten des Auftraggebers ist.

30. Technische und organisatorische Massnahmen

Im Folgenden werden die auf Art. 7 und 8 DSG und Art. 2 DSV basierenden technischen und organisatorischen Massnahmen beschrieben, die konkret vom Auftragnehmer im Zusammenhang mit der Verarbeitung von Personendaten und der Erfüllung seiner Verpflichtungen als Mindestvorkehrungen zu ergreifen sind, um ein dem Risiko angemessenes Schutzniveau hinsichtlich des Datenschutzes und der Datensicherheit der überlassenen Daten zu gewährleisten.

Der Auftragnehmer gewährleistet ein angemessenes Sicherheitsniveau durch die folgenden Massnahmen:

• Zutrittskontrolle
  Gesicherte Rechenzentren (Schweiz/EU), Zutrittsprotokolle, Zugang nur für autorisiertes Personal
• Zugangskontrolle
  MFA-Login, rollenbasierte Berechtigungen, Passwort-Hashing, Least-Privilege-Prinzip
• Zugriffskontrolle
  Rollen- und Rechteverwaltung, verschlüsselte Übertragung (TLS 1.3), verschlüsselte Datenspeicherung
• Weitergabekontrolle
  Datenübertragungen nur über verschlüsselte Kanäle (HTTPS, SSH), VPN-Absicherung
• Eingabekontrolle
  Protokollierung von Änderungen, revisionssichere Logs
• Verfügbarkeitskontrolle
  Redundante Systeme, tägliche Backups, Disaster-Recovery-Pläne
• Trennungskontrolle
  Mandantenfähige Datenarchitektur, logische Datentrennung pro Kunde
• Integrität / Datenschutz by Design
  Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen, Security-Reviews
• Auftragskontrolle
  Vertragliche Verpflichtungen aller Subverarbeiter, regelmässige Überprüfung

Kapitel C
Weitere Bestimmungen

31. Abschliessende Bestimmungen

Sollten einzelne Bestimmungen dieser AGB ganz oder teilweise nichtig und/oder unwirksam sein, bleibt die Gültigkeit und/oder Wirksamkeit der übrigen Bestimmungen oder Teile solcher Bestimmungen unberührt. Die ungültigen und/oder unwirksamen Bestimmungen werden durch solche ersetzt, die dem Sinn und Zweck der ungültigen und/oder unwirksamen Bestimmungen in rechtswirksamer Weise wirtschaftlich am nächsten kommen. Das Gleiche gilt bei eventuellen Lücken der Regelung.

Im Falle von Streitigkeiten kommt ausschliesslich materielles Schweizer Recht unter Ausschluss von kollisionsrechtlichen Normen zur Anwendung.

Gerichtsstand ist Zürich.

Diese AGB werden in verschiedene Sprachen übersetzt. Juristisch verbindlich ist einzig die deutsche Fassung.

Letzte Aktualisierung: Bülach, 4. Juni 2026