Cloud Solution GmbH · Version 3.0 · 13. September 2026
1. Parteien und Einbeziehung
Diese Vereinbarung gilt zwischen dem im Auftrag bezeichneten Kunden («Kunde») und Cloud Solution GmbH, Engelgasse 10a, 9000 St. Gallen («Cloud Solution»), wenn sie im Auftrag oder separat vereinbart wird. Der Kunde handelt als Verantwortlicher oder als hierzu befugter Auftragsbearbeiter eines benannten Verantwortlichen. Die Rolle wird in Anlage A festgehalten. Anlage A (Bearbeitungsbeschreibung), Anlage B (TOM) und Anlage C (Unterauftragsbearbeiter und Länder) bilden Bestandteile. Sie müssen vor Beginn der betreffenden Bearbeitung vollständig vereinbart sein. Die Parteien können denselben AVV für mehrere ausdrücklich bezeichnete Aufträge verwenden und die Anlagen entsprechend ergänzen.
2. Gegenstand, Dauer und Rollen
Cloud Solution bearbeitet Personendaten nur zur Erfüllung der in Anlage A beschriebenen Leistungen und dokumentierten Weisungen. Dazu können Administration und Support in Kunden-Tenants, personenbezogene Protokolle sowie Sicherung und Wiederherstellung auf der vereinbarten Backup-Infrastruktur gehören. Hosting ist keine Voraussetzung für die Anwendbarkeit dieser Vereinbarung. Die Vereinbarung gilt ab Beginn der Bearbeitung bis zur vereinbarten Rückgabe und Löschung. Art und Zweck, Kategorien von Daten und betroffenen Personen, Schutzbedarf und Aufbewahrung sind in Anlage A beschrieben. Besondere Geheimhaltungspflichten und besonders schützenswerte Daten sind vor Aufnahme zu beurteilen. Microsoft und andere vom Kunden direkt beauftragte Plattformanbieter stehen im jeweils eigenen Vertragsverhältnis zum Kunden. Sie sind nicht allein wegen der Administration durch Cloud Solution deren Unterauftragsbearbeiter. Beauftragt Cloud Solution selbst einen Anbieter mit der Bearbeitung im Rahmen ihrer Leistung, wird dieser entsprechend seiner tatsächlichen Rolle in Anlage C erfasst. Eigene Geschäftsdaten von Cloud Solution sind nicht Gegenstand dieser Auftragsbearbeitung.
3. Recht und Weisungen
Es gilt das Schweizer DSG mit DSV. Soweit die betreffende Bearbeitung zusätzlich der DSGVO unterliegt, gelten insbesondere deren Anforderungen an Auftragsverarbeitung; dieser AVV ist auch in diesem Umfang auszulegen. Ein Kunde in der Schweiz oder die Nutzung von Microsoft allein begründet nicht automatisch die Anwendbarkeit der DSGVO. Weisungsberechtigte Kontakte und zulässige Kanäle stehen in Anlage A. Der Auftrag enthält die anfänglichen Weisungen. Weitere Weisungen werden dokumentiert; mündliche Notfallweisungen werden nachträglich bestätigt. Cloud Solution informiert unverzüglich über eine nach ihrer Einschätzung rechtswidrige Weisung und setzt den betroffenen Vorgang bis zur Klärung aus, soweit rechtlich zulässig. Gesetzlich angeordnete Bearbeitungen werden dem Kunden vorab mitgeteilt, soweit kein gesetzliches Verbot entgegensteht. Cloud Solution entscheidet nicht eigenmächtig über neue Zwecke, Profiling, Werbung oder Modelltraining mit Kundendaten. Weisungsänderungen mit Mehrkosten werden vorab abgestimmt; dringende gesetzliche Schutzpflichten bleiben gewahrt.
4. Vertraulichkeit und Zugänge
Nur erforderliche und zur Vertraulichkeit verpflichtete Personen erhalten Zugriff. Berechtigungen werden auf Aufgaben begrenzt und bei Wegfall des Bedarfs entzogen. Cloud Solution schult befugte Personen angemessen und stellt die Einhaltung dieser Vereinbarung sicher. Zugänge, Supportexporte und Diagnoseinformationen dürfen nur im erforderlichen Umfang verwendet werden.
5. Datensicherheit
Cloud Solution setzt die in Anlage B vereinbarten technischen und organisatorischen Massnahmen um und gewährleistet ein dem Risiko angemessenes Schutzniveau nach DSG und DSV bzw. Art. 32 DSGVO, soweit anwendbar. Sie dokumentiert die Umsetzung und überprüft die Wirksamkeit risikogerecht. Technische Weiterentwicklungen dürfen das vereinbarte Schutzniveau nicht mindern. Wesentliche Änderungen werden dokumentiert und dem Kunden mitgeteilt. Kundenseitig betriebene Systeme und direkt bezogene Plattformen bleiben im vereinbarten Zuständigkeitsbereich des Kunden bzw. Anbieters; Cloud Solution erfüllt die ausdrücklich übernommene Konfigurations- und Kontrollverantwortung.
6. Unterauftragsbearbeiter
Der Kunde genehmigt die in Anlage C ausdrücklich genannten Unterauftragsbearbeiter. Cloud Solution informiert über geplante Ergänzungen oder Ersetzungen mit Tätigkeit, Ländern und Schutzgrundlage mindestens 30 Kalendertage vor deren Einsatz. Der Kunde kann innert dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Vorher wird dem neuen Anbieter kein Zugang zu den betroffenen Daten gewährt. Die Parteien suchen eine zumutbare Alternative. Ist keine rechtmässige Lösung möglich, kann der betroffene Leistungsteil vor dem vorgesehenen Einsatz ohne zusätzliche Beendigungsgebühr beendet werden; unbetroffene Leistungen bleiben bestehen. Dringende Schutzmassnahmen erteilen keine pauschale Genehmigung neuer Empfänger. Cloud Solution verpflichtet Unterauftragsbearbeiter vertraglich zu gleichwertigen Datenschutzpflichten und bleibt gegenüber dem Kunden für deren Erfüllung im vereinbarten Verantwortungsbereich verantwortlich. Reine Lieferanten ohne Bearbeitung von Kundendaten sind keine Unterauftragsbearbeiter. Ein Fernzugriff oder Supportzugriff kann jedoch eine Bearbeitung sein.
7. Ausland und Behördenzugriffe
Bearbeitungs-, Speicher- und relevante Fernzugriffsländer werden in Anlage C bezeichnet. Übermittlungen ins Ausland erfolgen nur auf dokumentierte Weisung und unter Einhaltung von Art. 16 ff. DSG sowie gegebenenfalls Kapitel V DSGVO. Eine Schweizer Speicherregion schliesst ausländische Supportzugriffe nicht automatisch aus. Als Schutzgrundlage kommen insbesondere eine anwendbare Angemessenheitsanerkennung oder anerkannte Standarddatenschutzklauseln mit den nötigen Schweizer Anpassungen und ergänzenden Massnahmen in Betracht. Bei einer Berufung auf das Swiss-U.S. Data Privacy Framework werden die aktuelle Zertifizierung des konkreten Empfängers und die Abdeckung der Daten geprüft. Diese Vereinbarung allein ersetzt keine erforderlichen Übermittlungsgarantien. Cloud Solution informiert über rechtlich bindende Offenlegungsbegehren, soweit zulässig, prüft deren Rechtmässigkeit und beschränkt die Offenlegung auf das rechtlich erforderliche Mass.
8. Datensicherheitsverletzungen
Cloud Solution meldet dem benannten Kundenkontakt eine Verletzung der Datensicherheit so rasch als möglich nach Kenntnisnahme. Sie wartet weder eine vollständige Untersuchung noch den Ablauf einer 72-Stunden-Frist ab. Ein begründeter Verdacht mit möglichem Bezug zu Kundendaten wird ebenfalls rasch zur gemeinsamen Abklärung mitgeteilt. Die Erstmeldung enthält die verfügbaren Angaben zu Art und Zeitpunkt, betroffenen Daten und Personen, wahrscheinlichen Folgen, ergriffenen Massnahmen und Kontaktstelle. Fehlende Angaben werden schrittweise nachgeliefert. Cloud Solution sichert relevante Nachweise, begrenzt Auswirkungen und unterstützt die Aufklärung. Gesetzliche Meldepflichten des Kunden und eigene zwingende Pflichten bleiben unberührt. Eine Meldung an Behörden oder Betroffene im Namen des Kunden erfolgt nur auf Weisung oder aufgrund gesetzlicher Pflicht.
9. Unterstützung und Nachweise
Cloud Solution leitet Betroffenenanfragen unverzüglich weiter und beantwortet sie nur auf Weisung, soweit keine eigene Pflicht besteht. Sie unterstützt den Kunden angemessen bei Auskunft, Berichtigung, Löschung, Datensicherheit, Datenschutz-Folgenabschätzungen und gegebenenfalls Behördenkonsultation, unter Berücksichtigung der Art der Bearbeitung und verfügbarer Informationen. Nachweise über die eigenen vereinbarten Massnahmen, die Erstmeldung eines Vorfalls und die Behebung eigener Pflichtverletzungen werden nicht gesondert berechnet. Weitergehende kundenspezifische Unterstützung darf nach vorgängiger Aufwandinformation zu vereinbarten Sätzen abgerechnet werden. Zwingende Mitwirkung und dringliche Schutzmassnahmen werden nicht von einer vorgängigen Kostenfreigabe abhängig gemacht. Cloud Solution stellt erforderliche Informationen zur Verfügung und ermöglicht angemessene Kontrollen durch den Kunden oder einen zur Vertraulichkeit verpflichteten, unabhängigen Prüfer. Vorhandene geeignete Nachweise werden zuerst genutzt. Vor-Ort-Prüfungen werden mit angemessener Vorankündigung und unter Schutz anderer Kundendaten organisiert; bei Vorfällen oder behördlicher Anordnung sind kurzfristige Kontrollen möglich. Eigene Verstösse sind auf eigene Kosten zu beheben. Zusätzlicher Prüfaufwand wird nur nach vorheriger Vereinbarung verrechnet und darf das Kontrollrecht nicht vereiteln.
10. Rückgabe und Löschung
Nach Ende der Leistung gibt Cloud Solution die Daten nach Wahl des Kunden in der vereinbarten Form zurück oder löscht sie einschliesslich vorhandener Kopien. Anlage A bestimmt Übergabezeitraum und technisch bedingte Löschzyklen für Sicherungen. Daten in unveränderbaren Sicherungen werden bis zum vereinbarten Ablauf gesperrt und nur für rechtlich zulässige Wiederherstellung genutzt; bei einer Wiederherstellung werden bereits veranlasste Löschungen erneut umgesetzt. Gesetzlich aufzubewahrende Daten werden getrennt, zugriffsbeschränkt und nur für diesen Zweck aufbewahrt; Rechtsgrundlage und Dauer werden mitgeteilt. Eine allgemeine Aufbewahrung aller Kundendaten zur eigenen Absicherung ist nicht zulässig. Cloud Solution bestätigt die Löschung bzw. verbleibende gesetzliche oder technische Restfristen. Offene Rechnungen rechtfertigen keine Zurückhaltung von Kundendaten oder Administrationszugängen.
11. Verantwortlichkeit und Änderungen
Es gilt die im Auftrag vereinbarte Haftung, andernfalls Ziffer 11 der ausdrücklich einbezogenen AGB Version 3.0. Gesetzlich zwingende Haftung und Rechte betroffener Personen bleiben unberührt. Besteht keine wirksam vereinbarte Begrenzung, gelten die gesetzlichen Regeln. Änderungen dieses AVV bedürfen einer dokumentierten Vereinbarung. Eine neue Website-Fassung ändert ihn nicht automatisch. Die speziell geregelten Verfahren für technische Weiterentwicklungen und Unterauftragsbearbeiter bleiben anwendbar. Es gilt Schweizer Recht; zwingendes zusätzlich anwendbares Datenschutzrecht bleibt vorbehalten.