Auftragsverarbeitungsvertrag
Stand: 27. Oktober 2026
Dieser Vertrag regelt die Bearbeitung von Personendaten durch die Somnia Intelligence GmbH («Auftragsverarbeiterin», «wir») im Auftrag der Kundin von ScreenLink («Kundin») nach Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er ist Bestandteil der AGB und gilt mit deren Annahme bei der Registrierung. Wer einen unterzeichneten Vertrag braucht, erhält ihn auf Anfrage an info@screenlink.ch.
1. Gegenstand und Dauer
1.1 Wir betreiben für die Kundin den Cloud-Dienst ScreenLink nach den AGB. Dabei bearbeiten wir Personendaten, für welche die Kundin verantwortlich ist.
1.2 Der Vertrag gilt, solange wir solche Daten für die Kundin bearbeiten.
2. Art, Zweck und Daten
| Zweck | Speichern, Verwalten und Abspielen von Inhalten auf den Bildschirmen der Kundin; Verwaltung ihrer Benutzer; Überwachung der Bildschirme. |
|---|---|
| Art der Bearbeitung | Speichern, Ordnen, Anzeigen, Übermitteln an die Player der Kundin, Sichern, Löschen. |
| Betroffene Personen | Benutzer der Kundin; Personen, die in den Inhalten der Kundin erscheinen, etwa Mitarbeitende, Gäste oder Kundschaft der Kundin. |
| Datenkategorien | Namen, E-Mail-Adressen, Rollen und Sitzungsdaten der Benutzer; Bilder, Videos, Texte und Webseiten-Adressen in den Inhalten; Geräte- und Verbindungsdaten der Player. |
| Besondere Kategorien | Sind nicht vorgesehen. Lädt die Kundin solche Daten hoch, ist sie für deren Zulässigkeit verantwortlich. |
| Ort | Schweiz. |
3. Weisungen
3.1 Wir bearbeiten die Daten nur nach den Weisungen der Kundin. Die Weisungen sind in den AGB und in den Einstellungen festgelegt, die die Kundin im Studio vornimmt. Weitere Weisungen erteilt die Kundin per E-Mail.
3.2 Halten wir eine Weisung für rechtswidrig, teilen wir dies der Kundin mit.
3.3 Wir bearbeiten die Daten nicht für eigene Zwecke, ausser wir sind gesetzlich dazu verpflichtet; dann informieren wir die Kundin, soweit das Gesetz es erlaubt.
4. Vertraulichkeit
Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugang erhalten nur Personen, die ihn für Betrieb und Support brauchen.
5. Technische und organisatorische Massnahmen
Wir treffen dem Risiko angemessene Massnahmen und passen sie dem Stand der Technik an. Derzeit sind dies insbesondere:
- Verschlüsselung: alle Verbindungen zwischen Browser, Player und Server über TLS.
- Trennung: die Daten jeder Kundin sind in der Datenbank durch Row Level Security von allen anderen getrennt; jede Abfrage ist an eine Kundin gebunden.
- Zugriff: Rollen und Berechtigungen im Studio; Passwörter als scrypt-Hashwerte; Sitzungen als gehashte Tokens in HttpOnly-Cookies; Bremse gegen wiederholte Fehlanmeldungen; Schutz gegen Anfragen von fremden Websites.
- Administration: Server-Zugang nur mit persönlichem Schlüssel für wenige berechtigte Personen; Verwaltungsportal mit Zwei-Faktor-Anmeldung und Protokoll jeder Handlung.
- Verfügbarkeit: nächtliche Sicherung von Datenbank und Inhalten, 14 Tage aufbewahrt; Rechenzentrum mit Zutrittskontrolle, Brandschutz und redundanter Stromversorgung beim Hosting-Anbieter.
- Datensparsamkeit: keine Analyse- oder Tracking-Werkzeuge im Dienst.
6. Unterauftragsverarbeiter
6.1 Die Kundin ist einverstanden, dass wir folgende Unterauftragsverarbeiter beiziehen:
| Unternehmen | Leistung | Ort |
|---|---|---|
| Infomaniak Network SA, Genf | Server und Speicher (Hosting) | Schweiz |
| Hostpoint AG, Rapperswil-Jona | Versand von E-Mails des Dienstes (Einladungen, Warnungen) | Schweiz |
6.2 Wir verpflichten Unterauftragsverarbeiter auf einen Datenschutz, der diesem Vertrag entspricht. Einen neuen Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus per E-Mail an. Die Kundin kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Lösung zustande, kann sie den Vertrag auf den Zeitpunkt des Wechsels kündigen.
6.3 Stripe bearbeitet Zahlungsdaten der Kundin als eigene Verantwortliche und ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags.
7. Unterstützung der Kundin
7.1 Wir unterstützen die Kundin, damit sie Anfragen betroffener Personen beantworten kann, etwa zu Auskunft, Berichtigung oder Löschung. Erreicht eine solche Anfrage uns direkt, leiten wir sie an die Kundin weiter.
7.2 Wir unterstützen die Kundin im zumutbaren Rahmen bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden.
8. Verletzungen der Datensicherheit
Stellen wir eine Verletzung der Datensicherheit fest, die Daten der Kundin betrifft, informieren wir sie unverzüglich, wenn möglich innert 48 Stunden, mit den Angaben, die sie für eine allfällige Meldung an die Behörden und an betroffene Personen braucht. Wir ergreifen sofort die nötigen Massnahmen, um den Schaden zu begrenzen.
9. Löschung und Rückgabe
Nach Vertragsende löschen wir die Daten der Kundin innert 30 Tagen; aus den Sicherungen verschwinden sie nach spätestens 14 weiteren Tagen. Auf Anfrage vor der Löschung stellen wir der Kundin ihre hochgeladenen Dateien zur Verfügung. Vorbehalten bleiben gesetzliche Aufbewahrungspflichten.
10. Nachweise und Kontrollen
Wir stellen der Kundin auf Anfrage die Informationen zur Verfügung, die sie zum Nachweis der Einhaltung dieses Vertrags braucht. Kontrollen vor Ort sind nach vorheriger Absprache, zu üblichen Geschäftszeiten und ohne Gefährdung der Daten anderer Kundinnen möglich; den Aufwand trägt die Kundin, sofern keine Verletzung dieses Vertrags festgestellt wird.
11. Schlussbestimmungen
Für die Haftung gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Es gilt schweizerisches Recht; Gerichtsstand ist der Sitz der Auftragsverarbeiterin.