1. Gegenstand und Geltungsbereich
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Bearbeitung von Personendaten, welche die Open Sourced GmbH (Auftragsbearbeiterin) im Auftrag des Kunden (Verantwortlicher) vornimmt. Er gilt für Managed Cloudron, Webseiten-Hosting und -Wartung sowie den administrativen Support-Zugriff gemäss Ziffer 2 der AGB. Der AVV ist per Verweis in den AGB integraler Vertragsbestandteil und bedarf keiner separaten Unterschrift. Er setzt die Anforderungen von Art. 9 DSG und Art. 28 DSGVO in einem Dokument um. Coaching und Shop sind keine Auftragsbearbeitung: Dort bearbeitet Open Sourced keine Personendaten im Auftrag des Kunden, sondern ist selbst Verantwortliche.
2. Art, Zweck und Dauer der Bearbeitung
Die Bearbeitung umfasst das Hosten, Speichern, Sichern und Warten der Systeme und Daten des Kunden auf der Infrastruktur von Open Sourced. Zweck ist die Erbringung der vertraglich vereinbarten Hosting- und Wartungsleistungen. Die Bearbeitung dauert so lange wie der zugrunde liegende Leistungsvertrag.
3. Kategorien von Daten und betroffenen Personen
Bearbeitet werden sämtliche Personendaten, die der Kunde auf den gehosteten Systemen speichert oder speichern lässt, einschliesslich besonders schützenswerter Personendaten, sofern der Kunde solche ablegt. Betroffene Personen sind insbesondere Endnutzerinnen und Endnutzer, Mitarbeitende, Kundinnen und Kunden sowie Kontaktpersonen des Kunden. Über Inhalt und Umfang der gespeicherten Daten bestimmt allein der Kunde.
4. Weisungen des Kunden
Open Sourced bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung des Kunden, auch hinsichtlich der Bekanntgabe von Personendaten ins Ausland, es sei denn, eine gesetzliche Pflicht verlangt eine andere Bearbeitung. In diesem Fall informiert Open Sourced den Kunden vor der Bearbeitung, soweit gesetzlich zulässig. Hält Open Sourced eine Weisung für rechtswidrig, informiert sie den Kunden unverzüglich.
5. Vertraulichkeit
Open Sourced stellt sicher, dass alle zur Bearbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterstehen. Der administrative Zugriff auf Kundensysteme erfolgt gemäss Ziffer 2 der AGB nur nach vorgängiger Absprache mit dem Kunden.
6. Technische und organisatorische Massnahmen
Open Sourced trifft angemessene technische und organisatorische Massnahmen zur Gewährleistung der Datensicherheit: verschlüsselte Übertragung (TLS), Zugriffskontrolle nach dem Need-to-know-Prinzip, Zwei-Faktor-Authentifizierung für administrative Zugänge, regelmässige Sicherheitsupdates sowie tägliche Backups. Die gesamte Infrastruktur wird in Schweizer Rechenzentren betrieben. Die Massnahmen werden dem Stand der Technik entsprechend laufend überprüft und angepasst.
7. Unterauftragsbearbeiter
Der Kunde erteilt Open Sourced eine allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern. Die aktuelle Liste findet sich im Anhang dieses AVV. Über beabsichtigte Änderungen informiert Open Sourced die betroffenen Kunden mindestens 30 Tage im Voraus per E-Mail. Der Kunde kann gegen einen neuen Unterauftragsbearbeiter Einspruch erheben. Kommt keine Einigung zustande, kann der Kunde die betroffene Dienstleistung ausserordentlich kündigen. Open Sourced überbindet ihre Datenschutzpflichten vertraglich auf jeden Unterauftragsbearbeiter.
8. Unterstützung bei Betroffenenrechten
Open Sourced unterstützt den Kunden mit angemessenen Mitteln dabei, Anfragen betroffener Personen zu beantworten, insbesondere zu Auskunft, Berichtigung, Löschung und Datenherausgabe. Anfragen betroffener Personen, die direkt bei Open Sourced eingehen, aber die Auftragsbearbeitung für den Kunden betreffen, leitet Open Sourced unverzüglich an den Kunden weiter.
9. Meldung von Verletzungen der Datensicherheit
Open Sourced meldet dem Kunden Verletzungen der Datensicherheit, die Personendaten des Kunden betreffen, ohne unbegründete Verzögerung nach Kenntnisnahme. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Datenkategorien, die voraussichtlichen Folgen und die ergriffenen Massnahmen. Open Sourced unterstützt den Kunden bei dessen gesetzlichen Melde- und Benachrichtigungspflichten sowie bei allfälligen Datenschutz-Folgenabschätzungen.
10. Löschung und Rückgabe von Daten
Nach Beendigung des Leistungsvertrags gibt Open Sourced die Personendaten des Kunden nach dessen Wahl heraus oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Backups werden im Rahmen des ordentlichen Backup-Zyklus gelöscht. Auf Wunsch bestätigt Open Sourced die Löschung schriftlich.
11. Nachweis und Audit
Open Sourced stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind. Der Kunde kann höchstens einmal jährlich sowie bei begründetem Anlass ein Audit durchführen oder durch eine beauftragte Fachperson durchführen lassen. Audits sind mindestens 30 Tage im Voraus anzukündigen und erfolgen auf Kosten des Kunden. Betriebsgeheimnisse und Daten anderer Kunden bleiben geschützt.
12. Versionen und frühere Fassungen
Dieser AVV trägt eine Versionsnummer und ein Gültigkeitsdatum. Beide sind auf dieser Seite ersichtlich. Frühere Fassungen stellt Open Sourced auf Anfrage per E-Mail an info@opensourced.ch zur Verfügung. Wer eine gegengezeichnete Ausfertigung für seine Compliance-Unterlagen benötigt, erhält diese ebenfalls auf Anfrage an info@opensourced.ch.
13. Massgebende Fassung
Dieser AVV wird auf Deutsch verfasst. Englische und französische Übersetzungen dienen ausschliesslich der Lesbarkeit. Bei Widersprüchen geht die deutsche Fassung in allen Fällen vor.
14. Anwendbares Recht und Gerichtsstand
Es gilt Schweizer Recht. Gerichtsstand ist Lostorf, Schweiz, in Übereinstimmung mit Ziffer 11 der AGB.
Anhang: Liste der Unterauftragsbearbeiter
Stand: 2. September 2026. Open Sourced zieht für die Auftragsbearbeitung folgende Unterauftragsbearbeiter bei:
| Anbieter | Zweck | Sitz | Datenstandort |
|---|
| Hosttech GmbH | Rechenzentrum für die eigenen Server von Open Sourced sowie Domains und DNS | Schweiz | Schweiz |
Backups verbleiben auf der eigenen Infrastruktur von Open Sourced bei Hosttech in der Schweiz. Weitere Unterauftragsbearbeiter werden nicht beigezogen.
