AVV

Auftragsverarbeitungsvertrag (AVV) nach Art. 9 revDSG zwischen dem Werbekunden (Werbetreibender oder Agentur) als verantwortlicher Stelle und dem Betreiber der gebuchten Bildschirme, der diesen Vertrag herausgibt (nachfolgend „Betreiber"), als Auftragsbearbeiter. Name und Adresse des Betreibers nennt der Marktplatz bei der Buchung. Dieser Vertrag gilt zusammen mit den AGB und geht bei Widersprüchen in Datenschutzfragen vor.

1. Gegenstand und Dauer

1.1 Gegenstand

Der Betreiber spielt die Kampagnen des Werbekunden auf seinen Bildschirmen aus, prüft die Sujets und rechnet die gelaufenen Tage ab. Angelegt und gebucht werden die Kampagnen über das Werbeportal eines Werbe-Marktplatzes (nachfolgend „Marktplatz"), etwa regiowerber.ch, den die Betreiberin der technischen Plattform (nachfolgend „Plattform") bereitstellt. Dabei bearbeitet der Betreiber Personendaten ausschliesslich im Auftrag und nach Weisung des Werbekunden.

1.2 Dauer

Die Bearbeitung im Auftrag dauert so lange wie der Hauptvertrag und endet mit dessen Beendigung.

2. Art und Zweck der Bearbeitung

Der Betreiber bearbeitet die Daten, um:

• das Werbeportal bereitzustellen und zu betreiben
• das Werbekonto zu verwalten
• die Sujets und die gewählten Standorte zu speichern und die Sujets für die Bildschirme aufzubereiten, etwa ein Video umzuwandeln
• die Sujets zu prüfen und freizugeben
• die Sujets an die gewählten Bildschirme auszuliefern
• die gelaufenen Tage auf seinen Bildschirmen abzurechnen
• den technischen Betrieb sicherzustellen und Fehler zu finden

Die anonymen Zählwerte der Bildschirme (Bewegung und Berührung ohne Personenbezug) sind keine Personendaten und fallen nicht unter diesen Vertrag. Siehe dazu die Datenschutzerklärung.

3. Art der Personendaten

• Kontodaten der Nutzenden des Werbeportals, etwa Name und E-Mail-Adresse
• Rechnungs- und Kontaktangaben des Werbekunden
• die vom Werbekunden gelieferten Sujets samt den darin vorkommenden Angaben, etwa ein abgebildeter Name, eine Kontaktangabe oder Personen auf einem Bild oder Video
• technische Protokolldaten aus dem Betrieb, etwa IP-Adresse und Zeitpunkt eines Zugriffs

4. Kategorien betroffener Personen

• Mitarbeitende des Werbekunden, die das Werbeportal nutzen
• Personen, deren Angaben in den Sujets vorkommen
• Personen, welche die Website des Marktplatzes aufrufen

5. Pflichten des Betreibers als Auftragsbearbeiter

Der Betreiber verpflichtet sich:

• die Daten nur auf dokumentierte Weisung des Werbekunden und zu den vereinbarten Zwecken zu bearbeiten. Weisungen erteilt der Werbekunde im Regelfall über die Nutzung des Werbeportals und dessen Einstellungen, im Übrigen in Textform an die unten genannte Kontaktstelle
• den Werbekunden zu informieren, wenn er eine Weisung für rechtswidrig hält, und die Ausführung bis zur Klärung auszusetzen
• die mit der Bearbeitung betrauten Personen zur Vertraulichkeit zu verpflichten
• die technischen und organisatorischen Massnahmen nach Abschnitt 6 umzusetzen und dem Stand der Technik anzupassen
• den Werbekunden bei Auskunfts-, Berichtigungs- und Löschbegehren betroffener Personen zu unterstützen, soweit dies mit den Mitteln des Werbeportals möglich ist
• den Werbekunden bei der Erfüllung seiner eigenen Pflichten zu unterstützen, etwa bei der Meldung einer Verletzung der Datensicherheit
• dem Werbekunden auf Anfrage die Auskünfte und Nachweise zur Verfügung zu stellen, die er zur Prüfung dieses Vertrags braucht

6. Technische und organisatorische Massnahmen

• Speicherung ausschliesslich in der Schweiz: Datenbank, Sujets, Medien, Rechnungen und Sicherungskopien liegen in Rechenzentren von Amazon Web Services in Zürich.
• Verschlüsselung: gespeicherte Daten mit einem eigenen Schlüssel der Plattform im AWS Key Management Service (KMS), der in Zürich liegt; übertragene Daten mit TLS.
• Zugriff: Anmeldung über Amazon Cognito mit Zwei-Faktor-Anmeldung, Berechtigungen je Rolle und Werbekunde, Trennung der Daten je Werbekunde (Mandantentrennung).
• Bildschirme: jeder Bildschirm weist sich mit einem eigenen kryptografischen Schlüssel aus und erhält nur die Inhalte, die für ihn bestimmt sind.
• Sicherungen: laufende Sicherung der Datenbank mit der Möglichkeit, auf einen früheren Zeitpunkt zurückzugehen.
• Nachvollziehbarkeit: sicherheitsrelevante Ereignisse werden protokolliert.
• Datensparsamkeit: die Sensoren der Bildschirme zählen anonym, ohne Kamera und ohne Personenbezug.
• Infrastruktur: die Rechenzentren von Amazon Web Services sind unter anderem nach ISO 27001 und SOC 2 zertifiziert.

7. Unterauftragsbearbeiter

Für den Betrieb von Werbeportal und Ausspielung setzt der Betreiber bis zu drei Dienstleister ein (Unterauftragsbearbeiter).

Das Wichtigste vorweg: Ihr Konto, Ihre Sujets, die gewählten Standorte und Ihre Rechnungen werden ausschliesslich in der Schweiz gespeichert, in Rechenzentren von Amazon Web Services (AWS) in Zürich, ebenso die Sicherungskopien. Verschlüsselt sind sie mit einem eigenen Schlüssel der Plattform, der ebenfalls in Zürich liegt.

Wo Daten nur durchlaufen oder bearbeitet werden, ohne dort zu bleiben. Bei einigen technischen Abläufen laufen Daten verschlüsselt über Standorte ausserhalb der Schweiz:

• Zugang zu Website, Werbeportal und Medien: Ihr Browser und die Bildschirme verbinden sich mit dem nächstgelegenen Zugangspunkt des weltweiten Netzes von AWS (Amazon CloudFront), in Europa in der Regel einem in der EU. Der Zugangspunkt leitet Anfragen verschlüsselt nach Zürich weiter. Sujets und Bilder, die auf den Bildschirmen und im Werbeportal gezeigt werden, hält er für eine begrenzte Zeit im Zwischenspeicher, damit sie schnell laden; abgelegt bleiben sie nur in Zürich. Am Zugangspunkt prüft zudem eine kleine Funktion die Anmeldung. Ihre technischen Fehlerprotokolle entstehen in der Region des Zugangspunkts und werden nach 30 Tagen gelöscht.
• Zugriffsprotokolle: CloudFront hält fest, welche Seite wann von welcher IP-Adresse abgerufen wurde, und liefert diese Protokolle nach Zürich. Dort bleiben sie 180 Tage, und die K-I-Soft wertet sie im Auftrag des Betreibers ohne Cookies aus (Munot).
• Echtzeit-Verbindung: Die Bildschirme und das geöffnete Werbeportal sind über ein Rechenzentrum von AWS in Frankfurt (Deutschland) verbunden. Darüber laufen Statusmeldungen, Steuerbefehle und Hinweise, dass sich etwas geändert hat, aber keine Sujets. Technische Verbindungsprotokolle mit Gerätekennungen bleiben dort 30 Tage.
• Umwandlung von Videos: Ein hochgeladenes Video wird in Frankfurt für die Bildschirme umgewandelt, weil AWS diesen Dienst in Zürich nicht anbietet. Das Video wird dafür aus Zürich gelesen und das Ergebnis dorthin zurückgeschrieben; in Frankfurt bleibt es nicht liegen.

Deutschland und die EU bieten nach dem Entscheid des Bundesrates einen Datenschutz, der dem schweizerischen gleichwertig ist.

Wie Daten geschützt sind, falls sie in die USA gelangen. Das kann geschehen, wenn eine Anfrage über einen Zugangspunkt in den USA läuft. Amazon Web Services ist zudem ein Unternehmen mit Sitz in den USA. Für diese Fälle verpflichtet der Datenverarbeitungsvertrag von AWS das Unternehmen auf den Schutz, den das Schweizer Datenschutzgesetz verlangt: mit den Standardvertragsklauseln der EU (Beschluss 2021/914) und dem Swiss-U.S. Data Privacy Framework, dem AWS angeschlossen ist.

Dienste ohne Personendaten. Für die Karte der Standorte und die Kacheln fragt die Plattform öffentliche Dienste in der Schweiz ab: swisstopo für die Lage eines Bildschirms, MeteoSchweiz für das Wetter und opentransportdata.swiss für die Abfahrten. Sie erhalten nur Adresse oder Lage des Bildschirms, keine Personendaten, und sind darum keine Unterauftragsbearbeiter.

Ihr Einverständnis und Ihr Mitspracherecht. Mit diesem Vertrag ist der Werbekunde mit dem Einsatz dieser Dienstleister einverstanden. Der Betreiber verpflichtet jeden von ihnen auf einen gleichwertigen Datenschutz. Will er einen Dienstleister hinzufügen oder ersetzen, informiert er den Werbekunden vorher per E-Mail an die Inhaberinnen, Inhaber und Administratoren seiner Organisation, und er kann widersprechen.

8. Rechte des Werbekunden

Der Werbekunde hat das Recht:

• Weisungen zur Bearbeitung zu erteilen
• die Einhaltung dieses Vertrags zu überprüfen. Der Betreiber stellt dafür auf Anfrage die nötigen Auskünfte und Nachweise zur Verfügung. Eine Überprüfung vor Ort ist nach vorheriger Absprache und ohne Störung des Betriebs möglich; die Kosten einer vom Werbekunden veranlassten Prüfung trägt der Werbekunde
• nach Vertragsende die Löschung oder Rückgabe der im Auftrag bearbeiteten Daten zu verlangen

9. Verletzung der Datensicherheit

Wird dem Betreiber eine Verletzung der Datensicherheit bekannt, die im Auftrag bearbeitete Daten betrifft, meldet er diese dem Werbekunden ohne Verzug, spätestens innerhalb von 72 Stunden nach Bekanntwerden, und unterstützt ihn mit den verfügbaren Angaben, damit er seine eigenen Meldepflichten erfüllen kann.

10. Rückgabe und Löschung

Nach Beendigung des Vertrags löscht der Betreiber die im Auftrag bearbeiteten Daten oder gibt sie auf Wunsch des Werbekunden in einem gängigen Format zurück. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten, insbesondere die zehnjährige Frist für Rechnungen und Buchungsbelege (Art. 958f OR).

11. Kontakt

Fragen und Weisungen zum Datenschutz richtet der Werbekunde an den Betreiber, an die Adresse, die auf dessen Rechnungen steht und die der Marktplatz bei der Buchung nennt.