Auftragsbearbeitungs­vereinbarung (ABV)

Zwischen der Manoberg KLG, Oholten 11, 5703 Seon, Schweiz (UID CHE-174.798.495), handelnd unter den Marken «Manoberg» (manoberg.ch) und «Dein Entwurf» (dein-entwurf.ch), nachfolgend «Auftragsbearbeiterin», und dem Kunden gemäss Offerte, Auftragsbestätigung oder Online-Bestellung, nachfolgend «Kunde» oder «Verantwortlicher».

1. Präambel und Geltungsbereich

1.1 Die Auftragsbearbeiterin erbringt für den Kunden Leistungen im Bereich Webdesign, Webentwicklung, Online-Shops, Hosting, E-Mail-Dienste, Wartung, Support und IT-Dienstleistungen (nachfolgend «Hauptvertrag»). Der Hauptvertrag besteht aus der Offerte bzw. Bestellung, den Allgemeinen Geschäftsbedingungen (AGB) und allfälligen Leistungsbeschreibungen.

1.2 Soweit die Auftragsbearbeiterin bei der Erbringung dieser Leistungen Personendaten im Auftrag des Kunden bearbeitet, regelt diese Auftragsbearbeitungsvereinbarung («ABV») die datenschutzrechtlichen Rechte und Pflichten der Parteien.

1.3 Die ABV ist integrierender Bestandteil der AGB. Sie gilt mit der Annahme der AGB als vereinbart, ohne dass es einer separaten Unterzeichnung bedarf. Die jeweils gültige Fassung ist auf manoberg.ch und dein-entwurf.ch abrufbar.

1.4 Die ABV gilt nicht für Leistungen, bei denen die Auftragsbearbeiterin keinen Zugriff auf Personendaten des Kunden hat, etwa die reine Gestaltung und Übergabe einer Website ohne anschliessendes Hosting, Wartung oder Support.

1.5 Die ABV gilt nicht für Personendaten, welche die Auftragsbearbeiterin als eigene Verantwortliche bearbeitet (z. B. Vertrags-, Rechnungs- und Kontaktdaten des Kunden selbst). Dafür gilt die Datenschutzerklärung der Auftragsbearbeiterin.

1.6 Bei Widersprüchen geht diese ABV in datenschutzrechtlichen Fragen den AGB und dem übrigen Hauptvertrag vor.

2. Begriffe und anwendbares Recht

2.1 Massgebend ist das Bundesgesetz über den Datenschutz (DSG, SR 235.1) samt Datenschutzverordnung (DSV, SR 235.11). Soweit die Bearbeitung in den Anwendungsbereich der Datenschutz-Grundverordnung der EU (DSGVO) fällt, etwa weil der Kunde in der EU niedergelassen ist oder seine Website sich an Personen in der EU richtet, gilt diese ABV zugleich als Vertrag nach Art. 28 Abs. 3 DSGVO.

2.2 Die Begriffe dieser ABV richten sich nach dem DSG. Es entsprechen sich insbesondere:

2.3 Unterauftragsbearbeiter ist jeder Dritte, den die Auftragsbearbeiterin beizieht und der dabei Personendaten des Kunden bearbeitet oder darauf zugreifen kann (z. B. Hosting- oder E-Mail-Anbieter).

2.4 Weisung ist jede dokumentierte Anordnung des Kunden zum Umgang mit Personendaten, namentlich per E-Mail, im Kundenportal oder durch Einstellungen, die der Kunde selbst im CMS oder Shop vornimmt.

3. Gegenstand, Dauer, Art der Daten

3.1 Gegenstand. Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich, um die im Hauptvertrag vereinbarten Leistungen zu erbringen. Welche Leistung welche Bearbeitung umfasst, ergibt sich aus Anhang 1.

3.2 Zweck. Die Bearbeitung dient dem Betrieb, der Bereitstellung, Wartung, Sicherung und Weiterentwicklung der Website, des Online-Shops, der E-Mail-Dienste und der IT-Systeme des Kunden sowie dem Support. Eine Bearbeitung zu eigenen Zwecken der Auftragsbearbeiterin ist ausgeschlossen.

3.3 Art der Bearbeitung. Speichern, Hosten, Sichern (Backup), Wiederherstellen, Übermitteln, Einsehen im Rahmen von Wartung und Support, Migrieren, Exportieren und Löschen.

3.4 Kategorien von Personendaten. Je nach Leistung insbesondere:

• Kontakt- und Stammdaten (Name, Adresse, E-Mail, Telefon, Firma)
• Inhalte von Kontaktformularen, Anfragen und E-Mails
• Kundenkonten, Bestell-, Liefer- und Rechnungsdaten aus Online-Shops (ohne vollständige Zahlungskartendaten, die direkt beim Zahlungsanbieter verarbeitet werden)
• Newsletter-Abonnenten und Einwilligungsnachweise
• Benutzerkonten für CMS, Shop und E-Mail (Benutzername, Rollen, Passwort-Hashes)
• Technische Daten (IP-Adressen, Server-Logfiles, Zeitstempel, Geräte- und Browserinformationen, Cookie-IDs)
• In E-Mail-Postfächern und Dateien gespeicherte Inhalte

3.5 Besonders schützenswerte Personendaten (z. B. Gesundheitsdaten) bearbeitet die Auftragsbearbeiterin nur, wenn der Kunde dies vorgängig schriftlich mitteilt. Die Parteien vereinbaren in diesem Fall zusätzliche Schutzmassnahmen.

3.6 Betroffene Personen. Website-Besucher, Interessenten, Kunden und Endkunden des Kunden, Newsletter-Empfänger, Mitarbeitende und Beauftragte des Kunden sowie Absender und Empfänger von E-Mails.

3.7 Dauer. Die ABV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange die Auftragsbearbeiterin noch Personendaten des Kunden bearbeitet (z. B. in Backups bis zu deren Löschung).

4. Pflichten der Auftragsbearbeiterin

4.1 Bearbeitung nur auf Weisung. Die Auftragsbearbeiterin bearbeitet Personendaten nur so, wie es der Kunde selbst tun dürfte, und nur im Rahmen des Hauptvertrags und der Weisungen des Kunden. Davon ausgenommen sind Bearbeitungen, zu denen sie gesetzlich verpflichtet ist. In diesem Fall informiert sie den Kunden vorgängig, sofern das Gesetz dies nicht verbietet.

4.2 Rechtswidrige Weisungen. Ist die Auftragsbearbeiterin der Ansicht, eine Weisung verstosse gegen Datenschutzrecht, teilt sie dies dem Kunden unverzüglich mit. Sie darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

4.3 Zusätzliche Weisungen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Antrag auf Leistungsänderung und können nach Aufwand verrechnet werden.

4.4 Vertraulichkeit. Die Auftragsbearbeiterin gewährt nur Personen Zugriff auf Personendaten, die diesen für die Leistungserbringung benötigen (Need-to-know). Diese Personen sind zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus, und werden auf die Einhaltung des Datenschutzes sowie auf die Strafbarkeit der Verletzung der beruflichen Schweigepflicht (Art. 62 DSG) hingewiesen.

4.5 Datensicherheit. Die Auftragsbearbeiterin trifft die technischen und organisatorischen Massnahmen (TOMs) gemäss Anhang 2, die eine dem Risiko angemessene Datensicherheit gewährleisten (Art. 8 DSG, Art. 1–3 DSV, Art. 32 DSGVO). Sie darf die Massnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.

4.6 Keine eigene Nutzung. Die Auftragsbearbeiterin verwendet die Personendaten nicht zu eigenen Zwecken, gibt sie nicht an Dritte weiter (ausser an Unterauftragsbearbeiter nach Ziffer 6) und erstellt keine Kopien, die über Backups und die Leistungserbringung hinausgehen.

4.7 Ansprechperson. Ansprechperson für Datenschutzfragen ist Manuel Murciano, info@manoberg.ch. Ein Wechsel wird dem Kunden mitgeteilt.

4.8 Verzeichnis. Soweit gesetzlich erforderlich, führt die Auftragsbearbeiterin ein Verzeichnis der Bearbeitungstätigkeiten, die sie im Auftrag vornimmt (Art. 12 DSG, Art. 30 Abs. 2 DSGVO).

5. Pflichten des Kunden

5.1 Der Kunde ist Verantwortlicher im Sinne des Datenschutzrechts. Er ist allein dafür verantwortlich, dass die Bearbeitung der Personendaten rechtmässig ist, namentlich für:

• die Datenschutzerklärung und das Impressum seiner Website
• allfällig nötige Einwilligungen (z. B. für Newsletter, Cookies, Analyse- und Marketing-Tools)
• die Wahrung der Rechte betroffener Personen
• Meldungen an den EDÖB oder eine andere Aufsichtsbehörde und Informationen an betroffene Personen
• die Inhalte, die er selbst oder seine Beauftragten in Website, Shop oder Postfächer einpflegen

5.2 Der Kunde erteilt Weisungen in dokumentierter Form. Mündliche Weisungen bestätigt er unverzüglich per E-Mail.

5.3 Der Kunde informiert die Auftragsbearbeiterin unverzüglich, wenn er Fehler oder Unregelmässigkeiten bei der Bearbeitung feststellt.

5.4 Der Kunde schützt die ihm zugeteilten Zugänge (CMS, Shop, E-Mail, Kundenportal) mit sicheren Passwörtern und, wo angeboten, mit Zwei-Faktor-Authentifizierung. Er ist für Handlungen verantwortlich, die über seine Zugänge erfolgen.

5.5 Bindet der Kunde selbst Dritt-Dienste ein oder lässt er sie auf eigenen Wunsch einbinden (z. B. Google Analytics, Google Fonts, Stripe, Social-Media-Plugins, Newsletter-Tools), schliesst er die nötigen Verträge mit diesen Anbietern direkt ab. Diese Anbieter sind keine Unterauftragsbearbeiter der Auftragsbearbeiterin.

6. Unterauftragsbearbeiter

6.1 Generelle Genehmigung. Der Kunde genehmigt den Beizug der in Anhang 3 aufgeführten Unterauftragsbearbeiter (Art. 9 Abs. 3 DSG, Art. 28 Abs. 2 DSGVO). Die aktuelle Liste ist auf manoberg.ch und dein-entwurf.ch abrufbar.

6.2 Änderungen. Will die Auftragsbearbeiterin einen Unterauftragsbearbeiter hinzufügen oder ersetzen, informiert sie den Kunden mindestens 30 Tage im Voraus per E-Mail. Der Kunde kann innert dieser Frist aus wichtigem datenschutzrechtlichem Grund schriftlich widersprechen. Erhebt er keinen Widerspruch, gilt die Änderung als genehmigt.

6.3 Widerspruch. Bei einem begründeten Widerspruch suchen die Parteien eine einvernehmliche Lösung. Gelingt dies nicht, kann jede Partei die betroffene Leistung auf den Zeitpunkt des Wechsels kündigen, auch während einer Mindestlaufzeit. Bereits bezahlte Entgelte für die Zeit nach der Kündigung werden anteilig zurückerstattet.

6.4 Notfall. Muss ein Unterauftragsbearbeiter aus Sicherheitsgründen oder wegen eines Ausfalls kurzfristig ersetzt werden, darf die Auftragsbearbeiterin dies sofort tun und informiert den Kunden nachträglich. Ziffer 6.3 gilt sinngemäss.

6.5 Vertragliche Weitergabe. Die Auftragsbearbeiterin überbindet jedem Unterauftragsbearbeiter vertraglich mindestens gleichwertige Datenschutzpflichten wie in dieser ABV. Sie wählt Unterauftragsbearbeiter sorgfältig aus und haftet gegenüber dem Kunden für deren Einhaltung.

6.6 Keine Unterauftragsbearbeitung sind Nebenleistungen ohne Zugriff auf Personendaten (z. B. Telekommunikation, Post, Reinigung) sowie Dienste, die der Kunde selbst beauftragt (Ziffer 5.5).

7. Bekanntgabe ins Ausland

7.1 Die Personendaten des Kunden werden grundsätzlich in der Schweiz gehostet und gespeichert.

7.2 Eine Bekanntgabe ins Ausland, einschliesslich eines Fernzugriffs aus dem Ausland, erfolgt nur:

• in Staaten, deren Datenschutz der Bundesrat als angemessen anerkannt hat (Anhang 1 DSV; dazu gehören die EU- und EWR-Staaten), oder
• unter geeigneten Garantien nach Art. 16 Abs. 2 DSG, namentlich den vom EDÖB anerkannten Standardvertragsklauseln der EU-Kommission mit Anpassungen für die Schweiz, oder
• in die USA an Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind.

7.3 In Anhang 3 ist für jeden Unterauftragsbearbeiter angegeben, in welchen Ländern Daten bearbeitet werden und auf welcher Grundlage.

7.4 Die Auftragsbearbeiterin unterstützt den Kunden mit den Angaben, die er für seine Datenschutzerklärung zur Auslandbekanntgabe benötigt (Art. 19 Abs. 4 DSG).

8. Verletzungen der Datensicherheit, Unterstützung, Kontrollen

8.1 Meldung an den Kunden. Die Auftragsbearbeiterin meldet dem Kunden eine Verletzung der Datensicherheit, die Personendaten des Kunden betrifft, so rasch als möglich, spätestens innert 48 Stunden nach Kenntnis (Art. 24 Abs. 3 DSG, Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt per E-Mail an die hinterlegte Kontaktadresse und, soweit bekannt, mit folgenden Angaben:

• Art der Verletzung und Zeitpunkt
• betroffene Datenkategorien und ungefähre Zahl betroffener Personen
• mögliche Folgen
• ergriffene und vorgeschlagene Massnahmen
• Ansprechperson

Noch fehlende Angaben werden laufend nachgereicht.

8.2 Sofortmassnahmen. Die Auftragsbearbeiterin trifft unverzüglich die zumutbaren Massnahmen, um die Verletzung zu beheben und Folgen zu mindern. Sie dokumentiert den Vorfall.

8.3 Meldungen an Behörden und Betroffene erstattet der Kunde als Verantwortlicher (Art. 24 Abs. 1 und 4 DSG; in der EU innert 72 Stunden, Art. 33 DSGVO). Die Auftragsbearbeiterin unterstützt ihn dabei und meldet nicht selbst, ausser der Kunde weist sie dazu an oder das Gesetz verlangt es.

8.4 Rechte betroffener Personen. Die Auftragsbearbeiterin unterstützt den Kunden mit geeigneten Massnahmen bei Auskunfts-, Berichtigungs-, Löschungs-, Herausgabe- und Widerspruchsbegehren (Art. 25–28 und 32 DSG, Art. 15–22 DSGVO). Richtet sich eine betroffene Person direkt an die Auftragsbearbeiterin, leitet diese das Begehren unverzüglich an den Kunden weiter und antwortet nicht selbst.

8.5 Weitere Unterstützung. Die Auftragsbearbeiterin unterstützt den Kunden bei Datenschutz-Folgenabschätzungen (Art. 22–23 DSG, Art. 35–36 DSGVO) und bei Anfragen von Aufsichtsbehörden, soweit diese ihre Leistungen betreffen.

8.6 Nachweis und Kontrollen. Die Auftragsbearbeiterin stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die er zum Nachweis der Einhaltung dieser ABV benötigt. In erster Linie erfolgt dies durch Selbstauskünfte, die TOM-Übersicht und Nachweise der Unterauftragsbearbeiter (z. B. Zertifikate, Prüfberichte). Vor-Ort-Kontrollen sind nach Voranmeldung von mindestens 14 Tagen während der Geschäftszeiten zulässig, höchstens einmal pro Jahr, ausser bei einem begründeten Verdacht auf eine Verletzung. Kontrollen dürfen die Geschäftsgeheimnisse und die Daten anderer Kunden nicht gefährden.

8.7 Kosten. Die Unterstützung nach Ziffern 8.4 bis 8.6 erfolgt zum jeweils gültigen Stundensatz, sofern sie mehr als geringfügig ist. Kostenlos sind Meldungen nach Ziffer 8.1 sowie Unterstützung bei Verletzungen, welche die Auftragsbearbeiterin oder ihre Unterauftragsbearbeiter verursacht haben.

9. Vertragsende: Rückgabe und Löschung

9.1 Nach Ende der Leistung gibt die Auftragsbearbeiterin dem Kunden auf Verlangen die Personendaten in einem gängigen, maschinenlesbaren Format heraus (z. B. Datenbank-Export, CSV, Mailbox-Export) und löscht sie anschliessend. Verlangt der Kunde innert 30 Tagen nach Vertragsende keine Herausgabe, werden die Daten gelöscht.

9.2 Beim Abonnement-Modell (Dein Entwurf) erhalten Kunden bei Vertragsende ihre Inhalte (Texte, Bilder) sowie die Personendaten aus Formularen und Shop gemäss Ziffer 9.1. Design und Code verbleiben gemäss AGB bei der Auftragsbearbeiterin. Dies berührt die Herausgabe der Personendaten nicht.

9.3 Daten in Backups werden im Rahmen des regulären Backup-Zyklus überschrieben, spätestens 30 Tage nach der Löschung gemäss Ziffer 9.1. Bis dahin bleiben sie geschützt und werden nicht mehr aktiv bearbeitet.

9.4 Gesetzliche Aufbewahrungspflichten der Auftragsbearbeiterin bleiben vorbehalten. Die betroffenen Daten werden bis zum Ablauf der Frist gesperrt.

9.5 Die Löschung wird dem Kunden auf Verlangen schriftlich bestätigt.

10. Haftung

10.1 Die Haftung der Parteien richtet sich nach den AGB, soweit diese ABV nichts anderes regelt.

10.2 Jede Partei haftet für Schäden, die sie durch eine schuldhafte Verletzung dieser ABV oder des Datenschutzrechts verursacht. Die Haftung für Absicht und grobe Fahrlässigkeit ist nicht beschränkt (Art. 100 Abs. 1 OR).

10.3 Der Kunde stellt die Auftragsbearbeiterin von Ansprüchen Dritter und von Bussen frei, die darauf beruhen, dass er seine Pflichten als Verantwortlicher verletzt hat (Ziffer 5) oder dass die Bearbeitung auf seine Weisung hin rechtswidrig war.

10.4 Die Auftragsbearbeiterin stellt den Kunden von Ansprüchen Dritter frei, die darauf beruhen, dass sie oder ein Unterauftragsbearbeiter gegen diese ABV oder Weisungen des Kunden verstossen hat, im Rahmen der Haftungsregelung der AGB.

11. Schlussbestimmungen

11.1 Änderungen. Die Auftragsbearbeiterin kann diese ABV anpassen, insbesondere bei Änderungen der Rechtslage oder der Leistungen. Änderungen werden dem Kunden mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt. Widerspricht der Kunde nicht innert dieser Frist, gelten sie als genehmigt. Bei einem Widerspruch gilt Ziffer 6.3 sinngemäss.

11.2 Individuelle Vereinbarungen. Schliessen die Parteien eine separate, unterzeichnete Auftragsbearbeitungsvereinbarung ab, geht diese der vorliegenden ABV vor.

11.3 Teilnichtigkeit. Ist eine Bestimmung dieser ABV unwirksam, bleibt der Rest gültig. Die unwirksame Bestimmung wird durch eine Regelung ersetzt, die dem Gewollten und den gesetzlichen Anforderungen am nächsten kommt.

11.4 Recht und Gerichtsstand. Es gilt Schweizer Recht. Der Gerichtsstand richtet sich nach den AGB; für Konsumenten bleiben die zwingenden Gerichtsstände der Zivilprozessordnung vorbehalten. Soweit die DSGVO anwendbar ist, bleiben deren zwingende Bestimmungen vorbehalten.

Anhang 1: Leistungen und Bearbeitungen

Anhang 2: Technische und organisatorische Massnahmen (TOMs)

Vertraulichkeit

• Hosting in Rechenzentren in der Schweiz mit physischer Zutrittskontrolle
• Individuelle Benutzerkonten, starke Passwörter, Zwei-Faktor-Authentifizierung für Administrationszugänge
• Rollen- und Berechtigungskonzept nach dem Need-to-know-Prinzip
• Passwortmanager für Zugangsdaten, keine Weitergabe per unverschlüsselter E-Mail
• Vertraulichkeitsverpflichtung aller Mitarbeitenden und Beauftragten

Integrität

• Verschlüsselte Übertragung (TLS/HTTPS) für Websites, Shops, E-Mail und Administrationszugänge
• Zeitnahe Sicherheitsupdates von CMS, Plugins, Themes und Server-Software
• Protokollierung administrativer Zugriffe, soweit technisch möglich (Art. 4 DSV)

Verfügbarkeit und Belastbarkeit

• Tägliche automatische Backups mit einer Aufbewahrung von bis zu 30 Tagen
• Backups räumlich getrennt vom Produktivsystem
• Firewall, Malware- und Spam-Schutz
• Dokumentiertes Vorgehen zur Wiederherstellung

Organisation und Überprüfung

• Sorgfältige Auswahl und vertragliche Bindung der Unterauftragsbearbeiter
• Dokumentiertes Vorgehen bei Sicherheitsvorfällen (Ziffer 8)
• Jährliche Überprüfung und Aktualisierung dieser Massnahmen
• Sichere Löschung von Daten und Datenträgern

Anhang 3: Unterauftragsbearbeiter

Stand: 5. November 2026

Gesetzliche Grundlagen

• Bundesgesetz über den Datenschutz (DSG), SR 235.1
• Datenschutzverordnung (DSV), SR 235.11
• Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679