Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der Ringier AG (nachfolgend „Auftragsverarbeiter“) geschlossen und ist ein integraler Bestandteil der AGB.

1. Definitionen

1.1. Die Begriffe „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“ und „Verarbeitung“ werden im Sinne der Datenschutz-Grundverordnung (DSGVO) verstanden.

1.2. „Anwendbares Datenschutzrecht“ bezeichnet das Bundesgesetz über den Datenschutz (DSG) der Schweiz sowie die DSGVO der Europäischen Union in ihrer jeweils geltenden Fassung.

2. Gegenstand der Verarbeitung

2.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen zum Zwecke der Bereitstellung des Dienstes, wie in den AGB beschrieben.

2.2. Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen sind in Anhang I zu diesem AVV abschließend festgelegt.

3. Pflichten des Auftragsverarbeiters

3.1. Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch im Hinblick auf die Übermittlung personenbezogener Daten in ein Drittland, es sei denn, der Auftragsverarbeiter ist durch zwingendes Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet.

3.2. Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.3. Datensicherheit (TOMs): Der Auftragsverarbeiter ergreift alle erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Anhang II, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Auftragsverarbeiter behält sich vor, die TOMs bei technischem Fortschritt anzupassen, sofern das vertraglich vereinbarte Schutzniveau hierdurch nicht unterschritten wird.

3.4. Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter): Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter heranzuziehen. Der Auftragsverarbeiter führt eine aktuelle Liste (siehe Anhang 3) und informiert den Verantwortlichen vorab über jede beabsichtigte Änderung. Der Verantwortliche kann einer solchen Änderung innerhalb von 20 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragsverarbeiter stellt sicher, dass dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden, die in diesem AVV festgelegt sind.

3.5. Wahrung der Betroffenenrechte: Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen.

3.6. Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten. Zur Erfüllung gesetzlicher Fristen erfolgen Meldungen nach dem DSG „so rasch als möglich“ und nach der DSGVO „möglichst binnen 72 Stunden“.

3.7. Löschung und Rückgabe von Daten: Nach Abschluss der Erbringung der Verarbeitungsleistungen wird der Auftragsverarbeiter nach Wahl des Verantwortlichen alle in den Kontodaten enthaltenen personenbezogenen Daten löschen oder zurückgeben sowie vorhandene Kopien vernichten, sofern nicht nach dem Unionsrecht, dem Recht der Mitgliedstaaten oder dem Schweizer Recht eine Verpflichtung zur Speicherung der Daten besteht. Backup-Daten werden im Rahmen der regulären Rotationszyklen überschrieben.

4. Datenübermittlung in Drittstaaten

4.1. Die Verarbeitung durch den Auftragsverarbeiter findet grundsätzlich im Europäischen Wirtschaftsraum (EWR) bzw. in der Schweiz statt. Eine Übermittlung in Drittstaaten erfolgt nur auf dokumentierte Weisung und unter Einhaltung der Voraussetzungen von Kapitel V der DSGVO sowie des DSG.

4.2. Erfolgt eine Übermittlung in ein Drittland ohne Vorliegen eines Angemessenheitsbeschlusses, wird diese auf den Abschluss der von der Europäischen Kommission erlassenen Standardvertragsklauseln (SCCs) in der jeweils gültigen, für die Schweiz angepassten Form gestützt.

5. Nachweise und Kontrollrechte (Audits)

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in diesem AVV niedergelegten Pflichten erforderlich sind. Er ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei. Audits unterliegen einer angemessenen Vorankündigungsfrist, der Wahrung von Geschäftsgeheimnissen und branchenüblichen Häufigkeitsbeschränkungen.

6. Unterstützungspflichten des Auftragsverarbeiters

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldepflichten, Datenschutz-Folgenabschätzung und vorherige Konsultation).

7. Schlussbestimmungen und Gerichtsstand

Dieser AVV wird zwischen dem Kunden (als Verantwortlicher) und der Ringier AG (als Auftragsbearbeiterin) abgeschlossen und ist Bestandteil der AGB.

Dieser AVV gilt ausschließlich für Organisations- oder Geschäftskunden und findet keine Anwendung auf Privatnutzer (Verbraucher).

Dieser Vertrag unterliegt dem materiellen Schweizer Recht unter Ausschluss des internationalen Privatrechts (IPRG).

Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Zofingen, Schweiz.

Stand: Juli 2026

Anhang I: Einzelheiten der Verarbeitung

• Gegenstand der Verarbeitung: Verarbeitung personenbezogener Daten zur Bereitstellung des KI-gestützten Textgenerierungsdienstes.
• Dauer: Entspricht der Laufzeit des Hauptvertrages (AGB) zwischen den Parteien.
• Art und Zweck der Verarbeitung: Erfassung von Nutzereingaben, Generierung von KI-Ergebnissen, Verwaltung von Nutzerkonten sowie Sicherstellung der IT-Sicherheit und Systemstabilität.
• Kategorien betroffener Personen: Vom Verantwortlichen zur Nutzung des Dienstes autorisierte Mitarbeiter/Nutzer.
• Kategorien personenbezogener Daten: Kontodaten (E-Mail, Vor- und Nachname, ggf. Firmenname), Inhaltsdaten (vom Nutzer in Form von Texten/Prompts übermittelt). Der Dienst ist ausdrücklich nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten konzipiert.

Anhang II: Technische und organisatorische Maßnahmen (TOMs)

Dieser Anhang beschreibt die von der Ringier AG implementierten Sicherheitsmaßnahmen zum Schutz der verarbeiteten Daten.

1. Vertraulichkeit

1. Zugangskontrolle: Der Systemzugriff wird nach dem Prinzip der geringsten Rechte (Least Privilege) über strenge Rollen- und Berechtigungskonzepte gesteuert. Die Authentifizierung erfolgt zwingend über Single Sign-On (SSO), Multi-Faktor-Authentifizierung (MFA) und Passkeys.
2. Verschlüsselung: Datenübertragungen werden durchgehend mittels TLS 1.2 (oder höher) verschlüsselt. Ruhende Daten (Data at Rest) werden mittels AES-256 über verwaltete AWS-Dienste (z. B. AWS KMS) verschlüsselt.
3. Secrets Management: Anwendungsgeheimnisse und kryptografische Schlüssel werden isoliert über den AWS Secrets Manager verwaltet.

2. Integrität

1. Zur Gewährleistung der Datenintegrität werden automatisierte Mechanismen zur Validierung von Systemeingaben und -ausgaben eingesetzt.

3. Verfügbarkeit und Belastbarkeit

1. Infrastruktur: Der Dienst wird hochverfügbar auf den Servern der Amazon Web Services (AWS) in der Region EU (Frankfurt) gehostet.
2. Backups: Es werden regelmäßige, verschlüsselte Datensicherungen durchgeführt. Die Aufbewahrungsfrist beträgt 35 Tage (Rolling Purge) nach den Rotationsvorgaben von AWS. Wiederherstellungstests erfolgen periodisch.
3. Notfallwiederherstellung (Disaster Recovery): Das Ziel für die Wiederherstellungszeit (RTO) liegt bei 48 Stunden, das Ziel für den maximalen Datenverlust (RPO) bei 24 Stunden.

4. Verfahren zur regelmäßigen Überprüfung und Bewertung

Sicherheitsprüfungen sind fester Bestandteil unseres Software-Lebenszyklus:

1. Schwachstellen-Scans: Fortlaufende und phasenbasierte Scans mittels spezialisierter Tools (z.B. JFrog Xray, Amazon Inspector). Kritische Schwachstellen werden fortlaufend behoben.
2. Penetrationstests: Unabhängige Audits zur Validierung der Systemresistenz werden in regelmäßigen Abständen sowie nach maßgeblichen Architekturänderungen durchgeführt.

5. Protokollierung und Überwachung

1. Administrative Aktionen und Systemereignisse werden manipulationssicher protokolliert, um die Nachvollziehbarkeit zu gewährleisten und Sicherheitsuntersuchungen zu unterstützen.

6. Vorfallmanagement (Incident Management)

1. Wir verfügen über einen Reaktionsplan (Incident Response Plan) zur Bewältigung von Sicherheitsvorfällen, einschließlich Verletzungen des Schutzes personenbezogener Daten. Die Meldefristen an den Verantwortlichen betragen gemäß dem Schweizer DSG „so rasch als möglich“ und gemäß der DSGVO „möglichst binnen 72 Stunden“.

Anhang III: Liste der Unterauftragsverarbeiter

Letzte Aktualisierung: Juli 2026

Die Ringier AG setzt zur Leistungserbringung folgende Unterauftragsverarbeiter ein:

Hinweis: Zahlungsdienstleister agieren als datenschutzrechtlich eigenständig Verantwortliche und sind daher in dieser Liste nicht erfasst. Details hierzu finden sich in der Datenschutzerklärung.