Datenverarbeitungsvereinbarung (DVV)

Fassung vom 10. Juli 2026

1 Rollen, Geltung und Begriffe

1.1 Der Kunde handelt hinsichtlich der Auftragsdaten als Verantwortlicher oder, soweit er Personendaten im Auftrag eines Dritten bearbeitet, als Auftragsbearbeiter. Die Anbieterin handelt insoweit als Auftragsbearbeiterin beziehungsweise weitere Auftragsbearbeiterin. Das Schweizer Datenschutzgesetz («DSG») und die Datenschutzverordnung («DSV») bilden den Grundstandard; die DSGVO gilt nur, soweit sie auf die konkrete Bearbeitung anwendbar ist.

1.2 Diese DVV gilt ausschliesslich für Personendaten, welche die Anbieterin im Auftrag des Kunden zur Verarbeitung seiner Inhalte bearbeitet («Auftragsdaten»). Dazu gehören insbesondere vom Kunden oder seinen Nutzern eingegebene oder übermittelte Prompts, Dateien, Wissensdatenbanken, Aufzeichnungen und Transkripte, die daraus erzeugten Ausgaben sowie technisch mit diesen Inhalten verknüpfte Metadaten, soweit sie Personendaten enthalten («Kundeninhalte»).

1.3 Nicht Gegenstand dieser DVV sind Personendaten, welche die Anbieterin für eigene Zwecke bearbeitet, insbesondere zur Vertragsanbahnung und -verwaltung, Bereitstellung und Verwaltung von Nutzerkonten und Zugängen, Berechtigungsverwaltung, Verbrauchserfassung und Abrechnung, Buchhaltung, Forderungsbewirtschaftung, eigener Kundenkommunikation, Systemsicherheit, Missbrauchsabwehr und Erfüllung eigener gesetzlicher Pflichten («Geschäftsdaten»). Dazu gehören insbesondere Namen, geschäftliche E-Mail-Adressen, Nutzerkonten, Rollen, Login-, Zugriffs-, Nutzungs-, Abrechnungs- und Sicherheitsdaten. Für diese Bearbeitungen ist die Anbieterin Verantwortliche; es gilt ihre Datenschutzerklärung (https://peakprivacy.ch/datenschutzerklarung/).

2 Gegenstand, Dauer und Bearbeitungsdetails

2.1 Gegenstand und Dauer der Auftragsbearbeitung entsprechen der Bereitstellung der im Bestellformular bezeichneten Plattformleistungen und enden nach Rückgabe oder Löschung der Auftragsdaten gemäss Ziff. 4.7.

2.2 Der Kunde entscheidet, welche rechtmässig bearbeitbaren Personendaten er übermittelt. Besondere gesetzliche, regulatorische oder berufsrechtliche Anforderungen gelten nur, wenn sie der Anbieterin vorab mitgeteilt und ausdrücklich vereinbart wurden.

2.3 Einzelheiten zu Art, Zweck, Datenkategorien, betroffenen Personen und den regulären Aufbewahrungsfristen ergeben sich aus Anhang 1. Die jeweils aktivierten Subprozessoren und Datenorte ergeben sich aus der versionierten Subprozessorenübersicht.

3 Weisungen

3.1 Die Anbieterin bearbeitet Auftragsdaten ausschliesslich gemäss dem Vertrag, der vom Kunden vorgenommenen Konfiguration und dokumentierten Weisungen des Kunden, einschliesslich Weisungen zu Auslandbekanntgaben. Weisungen erfolgen grundsätzlich über die Plattform oder in Textform.

3.2 Ist die Anbieterin der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstösst, weist sie den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen. Soweit eine gesetzliche Verpflichtung eine Bearbeitung ohne Weisung verlangt, informiert die Anbieterin den Kunden vorab, sofern dies nicht gesetzlich untersagt ist.

3.3 Weisungen ausserhalb des vereinbarten Leistungsumfangs gelten als Änderungsbegehren. Die Parteien stimmen Machbarkeit, Aufwand und Entgelt vor der Umsetzung ab.

4 Pflichten der Anbieterin

4.1 Vertraulichkeit und Zweckbindung: Zugriff auf Auftragsdaten erhalten nur Mitarbeitende und andere Personen, die unter der unmittelbaren Weisungsgewalt der Anbieterin handeln, den Zugriff zur Vertragserfüllung benötigen und zur Vertraulichkeit verpflichtet sind. Die Anbieterin bearbeitet Auftragsdaten nicht für eigene Zwecke.

4.2 Datensicherheit: Die Anbieterin trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Bearbeitung sowie des Risikos angemessene technische und organisatorische Massnahmen gemäss Anhang 2. Sie darf diese Massnahmen risikobasiert weiterentwickeln, sofern das Schutzniveau insgesamt nicht wesentlich vermindert wird.

4.3 Kein Modelltraining: Die Anbieterin verwendet Auftragsdaten nicht zum Training allgemeiner generativer KI-Modelle. Für eingesetzte Modelldienste verwendet sie die verfügbaren Geschäfts- beziehungsweise API-Bedingungen ohne Training mit Kundendaten. Gesetzlich erforderliche Bearbeitungen und Sicherheits- oder Missbrauchsprüfungen der Anbieter bleiben vorbehalten.

4.4 Verletzungen der Datensicherheit: Die Anbieterin meldet dem Kunden jede Verletzung der Datensicherheit beziehungsweise des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, so rasch wie möglich und ohne unangemessene Verzögerung nach Kenntnis, in der Regel innert 72 Stunden. Sie übermittelt, soweit verfügbar, Angaben zur Art der Verletzung, zu betroffenen Daten- und Personenkategorien, voraussichtlichen Folgen, ergriffenen oder vorgesehenen Massnahmen und einer Kontaktstelle. Fehlende Angaben dürfen gestaffelt nachgereicht werden.

4.5 Unterstützung: Unter Berücksichtigung der Art der Bearbeitung und der ihr verfügbaren Informationen unterstützt die Anbieterin den Kunden durch angemessene technische und organisatorische Massnahmen bei Betroffenenrechten sowie bei Pflichten betreffend Datensicherheit, Vorfallsmeldungen, Datenschutz-Folgenabschätzungen und vorgängige Konsultationen. Direktanfragen betroffener Personen leitet sie ohne unangemessene Verzögerung weiter und beantwortet sie nur auf Weisung oder soweit gesetzlich erforderlich.

4.6 Nachweise und Audits: Die Anbieterin stellt die zur Beurteilung der Einhaltung dieser DVV erforderlichen Informationen bereit. Bestehende Sicherheitsunterlagen, unabhängige Prüfberichte und geeignete Fragebogenantworten dienen vorrangig als Nachweis. Soweit diese nicht ausreichen, ermöglicht sie erforderliche Prüfungen durch den Kunden oder einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer. Prüfungen erfolgen grundsätzlich höchstens einmal jährlich, mit angemessener Vorankündigung, während der Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden oder Gefährdung der Plattform. Diese Beschränkungen gelten nicht bei begründetem Verdacht einer wesentlichen Pflichtverletzung, nach einem erheblichen Vorfall oder auf behördliche Anordnung. Der Kunde trägt die Kosten, sofern keine wesentliche Pflichtverletzung festgestellt wird. Tests gegen Produktivsysteme bedürfen der vorgängigen Zustimmung.

4.7 Rückgabe und Löschung: Nach Vertragsende kann der Kunde während 30 Tagen die über die Standard-Exportfunktionen verfügbaren Kundeninhalte und Daten seines Kundenbereichs exportieren oder deren Löschung verlangen. Danach löscht die Anbieterin verbleibende Auftragsdaten innert 30 Tagen; Sicherungskopien werden im regulären 30-Tage-Zyklus überschrieben. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten. Auf Verlangen bestätigt die Anbieterin die erfolgte Löschung in Textform. Technische Protokolle, Sicherheitsdaten und Sicherungskopien sind nicht Bestandteil des Exports. Soweit die DSGVO anwendbar ist, erfüllt die Anbieterin weitergehende zwingende Rückgabe- oder Löschpflichten.

4.8 Behördenanfragen: Die Anbieterin informiert den Kunden ohne unangemessene Verzögerung über rechtlich bindende behördliche Herausgabeverlangen betreffend Auftragsdaten, soweit dies gesetzlich zulässig ist, und legt nur das rechtlich Erforderliche offen.

5 Pflichten des Kunden und Aufwand

5.1 Der Kunde verantwortet die Rechtmässigkeit der Bearbeitung, die Wahrung der Rechte betroffener Personen, erforderliche Informationen, Datenklassifikation und Konfiguration sowie die Zulässigkeit seiner Weisungen und Auslandbekanntgaben.

5.2 Der Kunde informiert die Anbieterin, soweit für die Bearbeitung besondere gesetzliche, behördliche oder berufsrechtliche Anforderungen gelten, die nicht aus dem Bestellformular ersichtlich sind.

5.3 Angemessene Standardunterstützung nach dieser DVV ist im Entgelt enthalten. Ausserordentlicher, kundenspezifischer Aufwand kann nach vorgängiger Abstimmung verrechnet werden, soweit er nicht durch eine Pflichtverletzung der Anbieterin verursacht wurde.

6 Subprozessoren

6.1 Der Kunde erteilt eine allgemeine Genehmigung für die in der jeweils aktuellen, versionierten Subprozessorenübersicht (https://peakprivacy.ch/subprozessoren/) genannten Subprozessoren. Die Anbieterin verpflichtet jeden Subprozessor durch schriftliche Vereinbarung auf im Wesentlichen dieselben Datenschutzpflichten und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich.

6.2 Über beabsichtigte Ergänzungen oder Ersetzungen informiert die Anbieterin mindestens 30 Tage im Voraus in Textform. Der Kunde kann aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen eine zumutbare Lösung; ist dies nicht möglich, kann die Anbieterin die betroffene Funktion einstellen oder den Vertrag beziehungsweise der Kunde die betroffene abtrennbare Leistung kündigen.

6.3 Aktiviert ein Kunden-Admin einen optionalen Modell- oder Integrationsanbieter, gilt dies als Genehmigung des dafür ausgewiesenen Subprozessors und als dokumentierte Weisung des Kunden.

6.4 Bei einem dringenden Ersatz aus Sicherheits-, Rechts- oder Verfügbarkeitsgründen kann die Information ausnahmsweise nachträglich erfolgen.

7 Datenorte, Auslandbekanntgaben und Modell-Stufen

7.1 Die eingesetzten Datenorte und Empfänger richten sich nach den vom Kunden gewählten Funktionen und der jeweils aktuellen Subprozessorenübersicht. Ein bestimmter Datenort ist nur verbindlich, wenn er im Bestellformular ausdrücklich vereinbart ist.

7.2 Die Anbieterin stellt Auslandbekanntgaben nach anwendbarem Recht sicher. Unter dem DSG stützt sie sich, soweit erforderlich, auf einen Angemessenheitsentscheid, bei zertifizierten US-Empfängern auf das Swiss–U.S. Data Privacy Framework oder auf anerkannte Standarddatenschutzklauseln mit den für die Schweiz erforderlichen Anpassungen und gegebenenfalls ergänzenden Massnahmen. Soweit die DSGVO anwendbar ist, verwendet sie einen Mechanismus nach deren Kapitel V, insbesondere einen Angemessenheitsbeschluss einschliesslich des EU–U.S. Data Privacy Framework für den zertifizierten Empfänger oder die EU-Standardvertragsklauseln mit gegebenenfalls ergänzenden Massnahmen.

7.3 Die verfügbaren Modell-Stufen und die zugehörigen Datenorte werden in der Plattform oder Subprozessorenübersicht ausgewiesen. Die Auswahl oder Aktivierung durch einen Kunden-Admin ist für den Kunden verbindlich. Die Anbieterin gewährleistet keine Eigenschaften eines Drittmodells, die nicht ausdrücklich vereinbart sind.

8 Schlussbestimmungen

8.1 Diese DVV gilt während der Auftragsbearbeitung. Bestimmungen, die ihrer Natur nach fortwirken, insbesondere Vertraulichkeit, Nachweise sowie Rückgabe und Löschung, gelten darüber hinaus.

8.2 Die DVV geht den AGB in Datenschutzfragen vor. Die Haftungsbeschränkungen der AGB gelten auch für diese DVV, soweit zwingendes Recht oder anwendbare Standarddatenschutzklauseln nichts anderes vorsehen.

8.3 Es gilt Schweizer Recht; Gerichtsstand gemäss AGB. Zwingende Rechte betroffener Personen, Zuständigkeiten von Aufsichtsbehörden und zwingende Gerichtsstände aus Standarddatenschutzklauseln bleiben unberührt.

Anhang 1 · Beschreibung der Bearbeitung

Anhang 2 · Technische und organisatorische Massnahmen

Die Massnahmen gelten risikobasiert und dürfen technisch weiterentwickelt werden, sofern das Schutzniveau insgesamt nicht wesentlich vermindert wird.

• Governance und Vertraulichkeit: definierte Verantwortlichkeiten; Vertraulichkeitsverpflichtung; Datenschutz- und Sicherheitsvorgaben; risikobasiertes Subprozessorenmanagement.
• Physischer Schutz: Rechenzentrums- und Infrastrukturpartner mit Zutritts-, Umgebungs- und Betriebsschutz entsprechend dem jeweiligen Risiko.
• Zugriffskontrolle: rollen- und bedarfsgerechte Berechtigungen, angemessene Authentisierung und Schutz privilegierter Zugriffe. Zugriff des Supports auf Kundeninhalte erfolgt nur zur Störungsbehebung und grundsätzlich mit Zustimmung des Kunden; solche Zugriffe werden protokolliert.
• Mandanten- und Umgebungstrennung: angemessene logische Trennung von Kundenbereichen sowie von Produktions- und Testumgebungen.
• Verschlüsselung: angemessene Verschlüsselung bei Übertragung und Speicherung unter Berücksichtigung des Risikos und der technischen Ausgestaltung. Offsite-Sicherungen werden vor der Übertragung verschlüsselt; die Schlüssel verbleiben bei der Anbieterin in der Schweiz.
• Protokollierung und Überwachung: risikobasierte Protokollierung relevanter Betriebs- und Sicherheitsereignisse.
• Verfügbarkeit und Wiederherstellung: angemessene Sicherungs- und Wiederherstellungsmassnahmen entsprechend der jeweiligen Funktion; konkrete RPO/RTO gelten nur bei ausdrücklicher Vereinbarung.
• Schwachstellen- und Patchmanagement: risikobasierte Prüfung, Priorisierung und Behebung von Schwachstellen.
• Sichere Entwicklung und Änderungen: Review- und Freigabeverfahren entsprechend dem Änderungsrisiko, Abhängigkeits- und Geheimnismanagement sowie kontrollierte Bereitstellung in Produktionsumgebungen.
• Vorfallmanagement: dokumentierte Erkennung, Bewertung, Eindämmung, Behebung und Nachbearbeitung von Sicherheitsvorfällen sowie Kundeninformation gemäss DVV.
• Löschung und Datenminimierung: zweckbezogene Zugriffs- und Aufbewahrungskonzepte, Standardexport, kontrollierte Löschung aktiver Daten und geschützte Ausphasung von Sicherungskopien.
• Risikofinanzierung: Die Anbieterin unterhält eine branchenübliche Cyber-Versicherung.
• Wirksamkeitsprüfung: risikobasierte Überprüfung der technischen und organisatorischen Massnahmen und Anpassung an wesentliche Änderungen der Risiken, Systeme oder Rechtslage.