Rechtliches

Auftragsverarbeitungsvertrag

der Classtime AG ("Auftragsverarbeiter"), Limmatstrasse 50, 8005 Zürich

1. Grundsatz
   
   1. Der Auftragsverarbeiter verarbeitet im Rahmen der Erfüllung der Vereinbarung mit dem Kunden ("Verantwortlicher") über die Nutzung der Classtime Software ("Lizenzvertrag ") Personendaten in dessen Auftrag. 
   2. Dieser Auftragsverarbeitungsvertrag ("AVV") ist integrierender Bestandteil des Lizenzvertrags. Die Bestimmungen des Lizenzvertrages des Auftragsverarbeiters sind auch im Zusammenhang mit diesem AVV anwendbar und ergänzen diesen, soweit dieser AVV keine abweichende Regelung vorsieht.
2. Definitionen
   
   1. Die im Lizenzvertrag definierten und hier verwendeten Begriffe haben die gleiche Bedeutung.
   2. Zusätzlich zu diesen sowie zu den im Verlauf dieses AVV definierten Begriffen haben die folgenden Begriffe die nachstehend angegebene Bedeutung:
      
      1. "DGSVO" bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung Personendaten und zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung);
      2. "DSG" bezeichnet das Bundesgesetz vom 25. September 2020 über den Datenschutz (DSG);
      3. "SCCs" sind die Standardvertragsklauseln für die Übermittlung von Personendaten in Drittstaaten gemäss der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, nach dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021.
3. Anwendbare Datenschutzgesetze‍

Als "anwendbare Datenschutzgesetze" gelten:

1. für Verarbeitungen von Personendaten, die unter das DSG fallen: das DSG;
2. für Verarbeitungen von Personendaten, die unter die DSGVO fallen: die DSGVO.

4. Konkretisierung der Auftragsverarbeitung
   
   1. Gegenstand der Verarbeitung und damit dieses AVVs sind die Personendaten von Drittpersonen, die der Auftragsverarbeiter zur Erfüllung des Lizenzvertrags in der Software verarbeitet ("Personendaten"). Die Kategorien von Personendaten und betroffenen Personen sind in Anhang 1 näher beschrieben.
   2. Der Zweck der Verarbeitung besteht darin, die Software sowie gegebenenfalls damit verbundene Dienstleistungen gemäss dem Lizenzvertrag bereitzustellen. Dies schliesst die Durchführung von Hilfsfunktionen (z.B. Fehlermonitoring, Support) mit ein. 
   3. Zudem kann der Auftragsverarbeiter in eigener Verantwortung (a) aggregierte technische Daten der Lehrpersonen (ohne Lernende) zur Weiterentwicklung seiner Software auswerten, sowie (b) anonymisierte Daten für nicht personenbezogene wissenschaftliche Forschungszwecke an Hochschulen aus der Schweiz, der EU oder dem EWR weitergeben. Der Auftragsverarbeiter ist in beiden Fällen allein für die Sicherstellung der Gesetzmässigkeit der entsprechenden Datenverarbeitungen verantwortlich. 
   4. Die Art der Verarbeitung umfasst die für diese Zwecke erforderlichen Tätigkeiten, insbesondere das Erheben, das Erfassen, die Organisation, die Speicherung, die Anpassung oder Veränderung, das Abfragen, die Verwendung, die Übermittlung, die Bereitstellung, den Abgleich, die Verknüpfung und das Löschen von Personendaten.
   5. Dieser AVV gilt, solange der Auftragsverarbeiter gemäss den vorstehenden Absätzen Personendaten für den Verantwortlichen verarbeitet. 
5. Verarbeitung nach Weisung
   
   1. Der Auftragsverarbeiter verarbeitet die Personendaten gemäss Lizenzvertrag und allfälligen zusätzlichen dokumentierten Weisungen des Verantwortlichen. 
   2. Weisungen, die über die vertraglichen Vereinbarungen hinausgehen (beispielsweise solche, die Funktionen der Software voraussetzen, die nicht Teil des vereinbarten Lieferumfanges sind), sind kostenpflichtig. Ausgenommen sind Weisungen, die nachweislich erforderlich sind, um einen Verstoss gegen die anwendbaren Datenschutzgesetze im Verantwortungsbereich des Auftragsverarbeiters zu verhindern oder zu beenden. 
   3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die anwendbaren Datenschutzgesetze verstösst.
   4. Ist der Auftragsverarbeiter gesetzlich verpflichtet, die Personendaten in einer von den vertraglichen Vereinbarungen oder von zusätzlichen Weisungen des Verantwortlichen abweichenden Weise zu verarbeiten, so informiert er den Verantwortlichen vor der Verarbeitung über diese gesetzliche Anforderung. Ausgenommen sind Fälle, in denen das anwendbare Recht dies aus wichtigen Gründen des öffentlichen Interesses verbietet.
6. Datensicherheit
   
   1. Der Auftragsverarbeiter ergreift geeignete technische und organisatorische Massnahmen, um ein angemessenes Mass an Datensicherheit im Sinn der anwendbaren Datenschutzgesetze zu gewährleisten. Er hat zu diesem Zweck insbesondere die in Anhang 2 aufgelisteten technischen und organisatorischen Datensicherheitsmassnahmen ("TOM") getroffen. 
   2. Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter behält sich deshalb vor, die bestehenden Massnahmen anzupassen, aufzuheben oder zu ersetzen, sowie zusätzliche Massnahmen umzusetzen. Er stellt dabei sicher, dass das bei Vertragsschluss festgelegte Sicherheitsniveau nicht unterschritten wird. Der Auftragsverarbeiter teilt dem Verantwortlichen wesentliche Anpassungen der TOM unaufgefordert mit.
   3. Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der Personendaten befugten Mitarbeitenden oder anderen Personen einer angemessenen vertraglichen oder gesetzlichen Geheimhaltungspflicht unterliegen.
7. Unterstützung in Bezug auf die Erfüllung gesetzlicher Verpflichtungen 
   
   1. Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessener Weise bei der Erfüllung von dessen gesetzlichen Verpflichtungen gemäss den anwendbaren Datenschutzgesetzen, insbesondere:
      
      1. gegenüber den zuständigen Datenschutzbehörden;
      2. gegenüber betroffenen Personen, insbesondere wenn sie ihre Rechte (z.B. auf Berichtigung, Löschung oder Auskunft) gemäss den anwendbaren Datenschutzgesetzen ausüben wollen;
      3. bei Datenschutz-Folgenabschätzungen des Verantwortlichen.
         
         Führt die Unterstützung zu erheblichen Mehrkosten beim Auftragsverarbeiter, die über die ordentliche Vertragserfüllung hinausgehen, so entschädigt der Verantwortliche dem Auftragsverarbeiter diese Kosten. Ausgenommen sind Fälle, in denen die Unterstützung nachweislich aufgrund eines Verstosses des Auftragsverarbeiters gegen die anwendbaren Datenschutzgesetze oder gegen dessen vertragliche Verpflichtungen erforderlich ist. 
   2. Wendet sich eine betroffene Person oder eine Behörde mit einer Anfrage in Bezug auf die Personendaten gemäss diesem AVV an den Auftragsverarbeiter, so leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter haftet nicht, wenn die Anfrage vom Verantwortlichen nicht, nicht richtig oder nicht fristgerecht beantwortet wird.

8. Unterauftragsverarbeiter
   
   1. Der Verantwortliche stimmt dem Beizug der Unterauftragsverarbeiter gemäss Anhang 3 für die Verarbeitung der Personendaten nach diesem AVV zu. 
   2. Der Auftragsverarbeiter kann, soweit im Rahmen der Vertragserfüllung notwendig, weitere Unterauftragsverarbeiter beiziehen. Er informiert den Verantwortlichen jeweils 30 Tage im Voraus über einen beabsichtigten Einsatz eines neuen Unterauftragsverarbeiters. 
      
      1. Lehnt der Verantwortliche den neuen Unterauftragsverarbeiter aus sachlichen Gründen ab und kann der Auftragsverarbeiter keine angemessene Alternative anbieten, so kann der Verantwortliche den Lizenzvertrag ausserordentlich kündigen. Geht mit dem Einsatz eines neuen Unterauftragsverarbeiters eine Übermittlung in ein Drittland ausserhalb der Schweiz, der EU, des EWR, oder des Vereinigten Königreichs einher, so stellt dies einen sachlichen Grund dar. 
      2. Erfolgt keine Ablehnung innerhalb der genannten Frist, gilt der neue Unterauftragsverarbeiter als genehmigt.
   3. Ein Zugriff auf die Personendaten durch einen Unterauftragsverarbeiter darf erst erfolgen, wenn dem entsprechenden Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auferlegt wurden, die in diesem AVV festgelegt sind. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Verlangen eine Kopie des entsprechenden Vertrags zur Verfügung.
9. Übermittlung von Personendaten ins Ausland
   1. Der Auftraggeber erbringt die Auftragsverarbeitung innerhalb der Schweiz, der EU, des EWR, oder des Vereinigten Königreichs. Die Übermittlung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn dabei die Bestimmungen der anwendbaren Datenschutzgesetze zum internationalen Datentransfer eingehalten sind.
   2. Übermittlungen an in Anhang 3 gelistete oder gemäss Ziff. 8.2 nachträglich genehmigte Dienstleister gelten als genehmigt.

10. Kontrollrechte
    
    1. Der Auftragsverarbeiter weist dem Verantwortlichen die Einhaltung der Pflichten nach diesem AVV auf Anfrage in geeigneter Weise nach. 
    2. Sollte eine Inspektion durch den Verantwortlichen oder einen von diesem beauftragten externen Prüfer erforderlich sein, wird diese zu den üblichen Geschäftszeiten ohne übermässige Störung des Betriebsablaufs, in der Regel nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. 
    3. Der Verantwortliche trägt die auf seiner Seite entstehenden Kosten der Inspektion (inkl. allfälliger externer Prüfer), es sei denn, dass diese nachweislich aufgrund eines Verstosses des Auftragsverarbeiters gegen die anwendbaren Datenschutzgesetze oder gegen dessen vertragliche Verpflichtungen erforderlich ist. Der Auftragsverarbeiter trägt die Kosten der Inspektion (im angemessenen Rahmen) auf seiner Seite, die sich insbesondere aus der Zuarbeit für die Prüfung ergeben.
    4. Der Auftragsverarbeiter kann die Auditierung durch einen externen Prüfer ablehnen, wenn dieser nicht angemessen qualifiziert oder unabhängig ist, in einem unmittelbaren Wettbewerbsverhältnis zum Auftragsverarbeiter steht oder anderweitig offensichtlich ungeeignet ist.
    5. Der Auftragsverarbeiter ist nicht verpflichtet, dem Verantwortlichen oder seinem externen Prüfer folgende Daten offenzulegen:
       
       1. Daten von anderen Kunden des Auftragsverarbeiters;
       2. interne Buchhaltungs- oder Finanzdaten des Auftragsverarbeiters;
       3. Geschäftsgeheimnisse des Auftragsverarbeiters;
       4. Daten, deren Offenlegung aus gesetzlichen Gründen nicht zulässig ist;
       5. Daten, deren Offenlegung für die Ausübung der in dieser Ziffer festgehaltenen Rechte nicht notwendig ist.
11. Mitteilung bei Verletzungen des Schutzes der Personendaten 
    
    1. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, wenn er von einem Datenleck oder einer anderen Verletzung des Schutzes der Personendaten Kenntnis erlangt. Der Auftragsverarbeiter stellt dem Verantwortlichen ausreichende Informationen zur Verfügung, damit dieser seinen Meldepflichten und Verpflichtungen zur Unterrichtung der betroffenen Personen nachkommen kann.
    2. Der Auftragsverarbeiter ergreift in Zusammenarbeit und Absprache mit dem Verantwortlichen angemessene Massnahmen zur Untersuchung und Behebung der Verletzung.
12. Umgang mit den Personendaten bei Vertragsende
    1. Bei Beendigung des Lizenzvertrags werden die damit verbundenen Nutzerkonten (Lehrpersonenkonten) in kostenlose Konten umgewandelt. Die darin gespeicherten Personendaten sowie ggf. damit verknüpfte Lernendenkonten werden entsprechend übertragen. 
    2. Alternativ kann der Verantwortliche schriftlich verlangen (Textform genügt), dass der Auftragsverarbeiter die Nutzerkonten oder die darin gespeicherten Personendaten löscht, soweit gesetzlich zulässig. Sofern der Verantwortliche nichts anderes verlangt, erfolgt die Löschung gemäss folgendem Prozess:
       1. Gelöschte Nutzerkonten werden deaktiviert und gelöschte Personendaten in einen einsehbaren Papierkorb verschoben. Eine Reaktivierung bzw. Wiederherstellung ist während 30 Tagen möglich, anschliessend werden die Daten automatisch aus den aktiven Systemen entfernt.
       2. Als Datensicherheitsmassnahme zur Vermeidung von Datenverlusten bei technischen Ausfällen oder unvorhergesehenen Ereignissen erstellt der Auftragsverarbeiter regelmässige Backups. Darin können Daten bis zu 8 Monate lang gespeichert bleiben, bevor sie automatisch endgültig gelöscht werden.
    3. Werden in kostenlose Konten umgewandelte Nutzerkonten 3 Jahre lang nicht verwendet, so werden sie gemäss dem Prozess in der vorstehenden Ziffer gelöscht.
    4. Bis zum Zeitpunkt der Entfernung aus den aktiven Systemen (Ziff. 12.2 (a)) kann der Verantwortliche jederzeit schriftlich (Textform genügt) verlangen, dass der Auftragsverarbeiter dem Verantwortlichen eine vollständige Kopie der vorhandenen Personendaten übergibt. 
    5. Die Übergabe der Personendaten erfolgt in einem üblichen Format nach Wahl des Auftragsverarbeiters. Wünscht der Verantwortliche ein anderes Format und entsteht dem Auftragsverarbeiter dadurch ein erheblicher Zusatzaufwand, so entschädigt der Verantwortliche dem Auftragsverarbeiter diesen Zusatzaufwand. 

13. Dauer und Beendigung 
    
    1. Die Laufzeit dieses AVVs richtet sich nach derjenigen des Lizenzvertrags.
    2. Nichtsdestotrotz finden die Bestimmungen dieses AVVs auf allfällige nach Vertragsende stattfindende Datenverarbeitungen im Sinn dieses AVVs Anwendung, solange diese andauern.
14. Anwendbares Recht, Gerichtstand 
    
    1. Das anwendbare Recht und der Gerichtstand richten sich nach dem Lizenzvertrag.

Anhänge: 

1. Kategorien der Personendaten und betroffenen Personen
2. Technische und organisatorische Massnahmen (TOM)
3. Unterauftragsverarbeiter
   ‍

Anhang 1: Kategorien der Personendaten und betroffenen Personen

‍

Betroffene Personen:

• Lehrpersonen
• Lernende

‍

Personendaten:

• Lehrpersonen
  
  • Identifikations- und Kontaktdaten (Vorname, Nachname, E-Mail-Adresse, Nutzername, ggf. Profilbild)
  • Organisationsdaten (Schule /Institution, Klassen) 
  • Erstellte Inhalte (Fragen, Sessions, Korrekturen, Kommunikation mit Lernenden)
  • Kommunikationsinhalte zwischen dem Nutzer der Software und dem Auftragsverarbeiter (z.B. bei Supportanfragen)
  • Technische Daten (IP-Adresse, allgemeine technische Besuchsdaten, Nutzungsdaten wie bspw. Login-Zeiten, Änderungen an Inhalten, durchgeführte Sessions) 
• Lernende mit authentifiziertem Login
  
  • Identifikations- und Kontaktdaten (Vorname, Nachname, E-Mail-Adresse, Nutzername, ggf. Profilbild)
  • Organisationsdaten (Schule /Institution, Klassen)
  • Erstellte Inhalte (Teilgenommene Aktivitäten, Leistungsergebnisse wie bspw. abgegebene Antworten, Auswertungen, Kommentare, Kommunikation mit Lehrpersonen)
  • Technische Daten (IP-Adresse, allgemeine technische Besuchsdaten, Nutzungsdaten wie bspw. Login-Zeiten, Start und Endzeiten der Session-Teilnahme, Antwortzeiten)
• Lernende mit pseudonymisiertem Login
  
  • Pseudonym
  • Erstellte Inhalte (Teilgenommene Aktivitäten, Leistungsergebnisse wie bspw. abgegebene Antworten, Auswertungen, Kommentare, Kommunikation mit Lehrpersonen)
  • Technische Daten (IP-Adresse, allgemeine technische Besuchsdaten, Nutzungsdaten wie bspw. Login-Zeiten, Start und Endzeiten der Session-Teilnahme, Antwortzeiten)

‍

Anhang 2: Technische und organisatorische Massnahmen (TOM)

Zum Zeitpunkt des Vertragsschlusses hat der Auftragsverarbeiter mindestens die folgenden technischen und organisatorischen Datensicherheitsmassnahmen umgesetzt:

1. Transparenz

Massnahmen zur Gewährleistung, dass die Verarbeitung von Personendaten für die betroffenen Personen nachvollziehbar ist.

• Dokumentation der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung
• Dokumentation von Datenempfängern und Auftragsverarbeitern
• Dokumentation verbindlicher Löschfristen
• Veröffentlichung der Datenschutzdokumentation (online)
• Bereitstellung der Datenschutzdokumentation auf Antrag der betroffenen Person
• Veröffentlichung der Informationen über die Verarbeitung von Personendaten als Datenschutzerklärung (online)

2. Zweckbindung

Massnahmen zur Gewährleistung, dass Personendaten nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden.

• Darstellung der Verarbeitungszwecke in der Datenschutzdokumentation
• Verpflichtung der Mitarbeiter auf die Beachtung der Datenschutzanforderungen
• Trennung von Produktiv- und Testsystemen

3. Datenminimierung und Speicherbegrenzung

Massnahmen zur Gewährleistung, dass Datenverarbeitungen dem Zweck angemessen, erheblich und auf das notwendige Mass beschränkt sind.

• Datenschutz durch Technikgestaltung (data protection by design), z.B. Möglichkeit zur pseudonymisierten Nutzung der Software durch Lernende
• Vornahme datenschutzfreundlicher Voreinstellungen (data protection by default)
• Beschränkung der Datenerhebung auf das für den jeweiligen Zweck Erforderliche
• Festlegung verbindlicher Löschfristen
• Festlegung automatisierter Löschzyklen
• Regelmässiges manuelles Auslösen der Löschung nicht benötigter Daten.
• Pseudonymisierung der Daten insbesondere bei Weiterverarbeitung oder Übermittlung soweit mit dem Verarbeitungszweck vereinbar und sinnvoll
• Anonymisierung von Daten, wenn Identifikation nicht (mehr) notwendig

4. Richtigkeit

Massnahmen zur Gewährleistung, dass die verarbeiteten Personendaten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind.

• Unverzügliche Löschung oder Berichtigung unrichtiger Daten
• Möglichkeit der elektronischen Beantragung einer Berichtigung
• Eigenständige elektronische Berichtigung der Daten durch die betroffene Person

5. Vertraulichkeit

Massnahmen zum Schutz der verarbeiteten Personendaten vor unbefugter oder unrechtmässiger Verarbeitung.

Die in diesem Abschnitt aufgeführten Massnahmen werden z.T. durch den Cloud-Anbieter umgesetzt, der den Applikationsserver und die Datenbank für Classtime hostet. 

• Alarmanlage
• Wachpersonal
• Zugangskontrollsystem
• Unterteilung in Sicherheitszonen
• Sicherheitsschlösser
• Schlüsselregelung
• Schliesssystem mit Chipkarte
• Manuelles Schliesssystem
• Festlegung befugter Personen
• Ausweispflicht
• Personenkontrolle
• Absicherung des Gebäudes, einbruchhemmende Fenster und Türen
• Geräte- und Gehäuseversiegelung
• Auf Datenschutz verpflichtetes Reinigungs- und Wartungspersonal
• Zeitliche Zugangsbeschränkung
• Implementierung eines Rollen- und Berechtigungskonzepts
• Nutzerkonto für jeden Mitarbeiter
• Arbeiten mit individuellen Nutzerkennungen
• Authentifikation mit Passwort
• Authentifikation mit SmartCard
• Authentifikation über Verzeichnisdienste
• Single Sign-on
• Angemessene Passwortrichtlinien
• Kontensperrung nach mehrmaliger Falscheingabe des Passworts
• Automatische Abmeldevorgänge
• Regelungen beim Ausscheiden von Mitarbeitern
• Vergabe von Administratorrechten an minimale Anzahl Personen
• Physikalisch getrennte Speicherung und Verarbeitung
• Trennung von Produktiv- und Testsystemen
• Sicheres Löschen von Datenträgern
• Sicheres Löschen einzelner Dateien
• Datenträgervernichtung nach DIN 66399
• Datenträgerverschlüsselung
• Dateiverschlüsselung
• Verschlüsselung von Datenbanken
• Transportverschlüsselte Datenübertragung
• Durchgängige Transportverschlüsselung bei der E-Mail-Übertragung
• Verhinderung nicht-autorisierter Cloud-Synchronisation durch Drittanbietersoftware
• Übermittlung von Daten in pseudonymisierter Form
• Übermittlung von Daten in anonymisierter Form
• Einsatz von Virenschutzlösungen
• Intrusion Detection Systeme
• Application Layer Firewall
• Packet Filter Firewall
• Automatisierte Updateprozesse für Betriebssysteme, Anwendungen und Dienste
• Protokollierung der Datenzugriffe

6. Integrität

Massnahmen zum Schutz der verarbeiteten Personendaten vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.

Die in diesem Abschnitt aufgeführten Massnahmen werden z.T. durch den Cloud-Anbieter umgesetzt, der den Applikationsserver und die Datenbank für Classtime hostet.

• Intrusion Detection Systeme
• Einsatz von Virenschutzlösungen
• Application Layer Firewall
• Packet Filter Firewall
• Überwachung von Fernwartungsaktivitäten
• Anwendung von Prüfsummenverfahren
• Verschlüsselung der Internetpräsenz
• Verschlüsselung von mobilen Datenträgern
• Inhaltsverschlüsselte Datenübertragung
• Automatisierte Updateprozesse für Betriebssysteme, Anwendungen und Dienste
• Differenzierte Berechtigungen für Datenobjekte
• Protokollierung der Datenzugriffe
• Plausibilitätskontrollen bei der Datenverarbeitung
• Signieren elektronischer Dokumente

7. Verfügbarkeit und Belastbarkeit

Massnahmen zur Gewährleistung, dass die verarbeiteten Personendaten ihrem Zweck nach jederzeit nutzbar sind bzw. dass die Verfügbarkeit und der Zugang zu den Daten bei einem physischen oder technischen Zwischenfall rasch wiederhergestellt werden kann.

Die in diesem Abschnitt aufgeführten Massnahmen werden z.T. durch den Cloud-Anbieter umgesetzt, der den Applikationsserver und die Datenbank für Classtime hostet.

• Automatisiertes Anfertigen von Datensicherungen (Backup)
• Datenträgerspiegelung (RAID)
• Datenreplikation
• Festgelegte Zuständigkeiten für die Datensicherung
• Aufbewahrung der Datensicherung in einem anderen Brandabschnitt
• Redundante IT-Systeme
• Automatisches Benachrichtigungssystem bei Ausfall
• Notfallplan zur Wiederinbetriebnahme von Servern und Diensten
• Virtualisierte Infrastruktur
• Vermeidung lokaler Datenspeicherung
• IT-Komponenten verfügen über erforderliche Leistungsfähigkeit
• Lastausgleich (load balancing) der Netzwerkkomponenten, Server und Dienste
• Automatisches Benachrichtigungssystem bei Erreichung der max. Auslastung
• Unterbrechungsfreie Stromversorgung
• Überspannungsschutz
• Eignung der Räumlichkeiten / des Baus
• Sicherung von Datenträgern gegen Elementarschäden
• Klimaüberwachung (Raumtemperatur, Feuchtigkeit) in Serverräumen
• Klimaanlage in Serverräumen
• Feuer- und Rauchmeldeanlagen
• Feuerlöscher / automatisches Löschsystem
• Schutz vor Wassereinbruch und Hochwasser

8. Rechenschaftspflicht und Wirksamkeitsnachweis

Massnahmen, um die Einhaltung der Verarbeitungsgrundsätze nachzuweisen und die Wirksamkeit der technischen und organisatorischen Sicherheitsmassnahmen zu überwachen.

• Bestellung einer für den Datenschutz verantwortlichen internen Stelle
• Führen eines Verzeichnisses von Verarbeitungstätigkeiten
• Dokumentation über vorhandene IT-Infrastruktur, eingesetzte Programme und Anwendungen
• Dokumentation der getroffenen Sicherheitsmassnahmen
• Zentrale Dokumentation der Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für die Mitarbeiter
• Mitarbeiterschulungen
• Protokollierung der Anmeldevorgänge
• Protokollierung der Datenzugriffe
• Protokollierung gescheiterter Zugriffsversuche
• Protokollierung aller Administratorenaktivitäten

Anhang 3: Dienstleister