Auftragsverarbeitung und Beizug Dritter. SwissSign bearbeitet Personendaten ausschliesslich im Auftrag und unter Weisung des Kunden (im Sinne von Art. 9 DSG resp. Art. 28 DSGVO). Die Tätigkeiten und Leistungsbeschreibungen ergeben sich aus dem vor- liegenden Vertrag inklusive der erwähnten mitgeltenden Unterlagen. Änderungen der Leistungspflichten und Weisungen haben schriftlich zu erfolgen. SwissSign führt für die vorliegende Auftragsverarbeitung ein Verarbeitungsverzeichnis nach Art. 12 DSG resp. Art. 30 DSGVO. SwissSign gewährleistet, dass es den mit der Verarbeitung der Daten befassten Mitarbeitern und weiteren Hilfs- personen untersagt ist, die Daten ausserhalb der Weisung zu verarbeiten. Es wird gewährleistet, dass die vor- genannten Personen einer angemessenen Vertraulichkeits- und Verschwiegenheitspflicht unterliegen, welche auch nach Beendigung des Arbeits-, Auftragsverhältnisses etc. fortbesteht. Zur Leistungserbringung beigezogene Dritte unterliegen in Bezug auf die Verarbeitung von Personendaten den- selben Pflichten wie die Parteien. Die Parteien gewährleisten, ihre Pflichten allfälligen Dritten zu überbinden. Sie bleiben für die Einhaltung der Pflichten verantwortlich. SwissSign verpflichtet sich, alle zumutbaren, erforderlichen, technischen und organisatorischen Massnahmen zum Schutz der Personendaten zu ergreifen, namentlich zur Verhinderung von unbefugten Zugriffen von Dritten, Verlust, Beschädigung, Löschung oder Vernichtung der Daten. Die ergriffenen Schutzmassnahmen haben min- destens den Anforderungen von Art. 7 DSG resp. Art. 32 DSGVO zu genügen. Die technischen und organisatorischen Massnahmen haben die Vertraulichkeit, Integrität, Verfügbarkeit und Be- lastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen. Neben der digitalisierten Informations- und Datensicherheit sind die Räumlichkeiten, in welchen die Daten bearbeitet werden, zutrittsgeschützt. SwissSign setzt hier insbesondere die folgenden Massnahmen ein: • Zugangskontrolle: Räumlichkeiten/IT-Systeme • Weitergabekontrolle • Bekanntgabekontrolle • Speicherkontrolle • Benutzerkontrolle • Zugriffskontrolle • Trennungskontrolle
Auftragsverarbeitung und Beizug Dritter. Der Auftragnehmer verarbeitet Xxxxx lediglich im Auftrag und ausschliesslich gemäss Weisung des Auftraggebers und nur so, wie der Auftraggeber die Personendaten auch selbst verarbeiten dürfte, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet darüber hinaus die ihm zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke oder Zwecke Dritter. Änderungen der Leistungspflichten und Weisungen haben schriftlich zu erfolgen. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Auftraggebers gegen anwendbare Gesetze verstösst. Er darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde. Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeiter und andere für den Auftragnehmer tätigen Personen untersagt ist, die Daten ausserhalb der Weisung des Auftraggebers zu verarbeiten. Der Auftraggeber garantiert, dass der Auftragnehmer die Daten ohne Beschränkung, zur Zurverfügungstellung der Services verarbeiten darf und dass der Auftraggeber berechtigt ist, die Daten an den Auftragnehmer zu Verarbeitung weiterzugeben. Der Auftraggeber bestätigt, dass alle notwendigen Rechtfertigungsgründe für die Datenverarbeitung (Einwilligung der Betroffenen etc.) vorliegen. Der Beizug von Dritten als Subunternehmer für die Leistungserfüllung ist nur zulässig, wenn die andere Partei vorher schriftlich zugestimmt hat. Die Subunternehmer, welche in der auf xxxxx.xxx/xxxxxxxxxxxxxxxxxxxxx/ aufrufbaren Datenschutzerklärung des Auftragnehmers erwähnt sind, gelten hiermit als vom Auftraggeber explizit akzeptiert. Zur Leistungserbringung beigezogene Dritter unterliegen denselben Pflichten wie die Parteien. Der Auftraggeber sowie der Auftragnehmer garantieren ihre Pflichten allfälligen Dritten zu überbinden. Sie bleiben für die Einhaltung der Pflichten verantwortlich. Im Zusammenhang mit der beauftragten Verarbeitung hat der Auftragnehmer den Auftraggeber bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei Durchführung der Datenschutzfolgeabschätzung gemäss EU-DSGVO zu unterstützen. Alle erforderlichen Angaben und D...