1. Gegenstand und Rollen
Dieser Auftragsbearbeitungsvertrag (nachfolgend „ADV") bildet Anhang A zu den Allgemeinen Geschäftsbedingungen von finra.ch und kommt mit der Nutzung des Portals zustande. Er regelt die Bearbeitung von Personendaten, die der Kunde (Broker beziehungsweise Treuhänder) über finra von seinen eigenen End-Kunden entgegennimmt.
- Der Kunde ist bezüglich dieser End-Kunden-Daten die verantwortliche Person; er bestimmt Zweck und Mittel der Bearbeitung.
- finra (R. Selimi, 9470 Buchs SG) ist die Auftragsbearbeiterin und bearbeitet diese Daten ausschliesslich im Auftrag und nach Weisung des Kunden.
Für die Konto- und Vertragsdaten des Kunden selbst sowie für den technischen Betrieb der Plattform ist finra hingegen eigenständig verantwortlich; hierfür gilt die Datenschutzerklärung.
2. Art, Zweck und Dauer der Bearbeitung
Art der Bearbeitung: Speicherung, Bereitstellung, Anzeige, Organisation und Statusverwaltung der von den End-Kunden hochgeladenen Dokumente und Angaben über das Portal.
Zweck: Bereitstellung des Kundenportals, damit der Kunde von seinen End-Kunden Unterlagen entgegennehmen, verwalten und deren Bearbeitungsstand nachvollziehen kann.
Dauer: Die Bearbeitung erfolgt für die Dauer des Nutzungsverhältnisses zwischen dem Kunden und finra. Nach dessen Beendigung gilt Ziffer 11 (Rückgabe und Löschung).
3. Kategorien betroffener Personen und Daten
Betroffene Personen: die End-Kunden des Kunden sowie weitere von ihm in das Portal eingeladene Personen.
Datenkategorien: Kontakt- und Stammdaten sowie steuer-, versicherungs- und finanzrelevante Dokumente. Diese können besonders schützenswerte Personendaten nach Art. 5 lit. c revDSG enthalten (etwa Angaben zu Gesundheit, Vermögen oder Sozialversicherungen). finra trägt diesem erhöhten Schutzbedarf durch die Massnahmen nach Ziffer 6 Rechnung.
4. Weisungsgebundenheit und Zweckbindung
finra bearbeitet die im Auftrag überlassenen Daten ausschliesslich zu den in Ziffer 2 genannten Zwecken und nur im Rahmen der Weisungen des Kunden. Die Nutzung der Plattform gilt als dokumentierte Weisung; darüber hinausgehende Weisungen erteilt der Kunde per E-Mail an info@finra.ch.
finra verkauft diese Daten nicht, gibt sie nicht zu eigenen Zwecken weiter und verwendet sie insbesondere nicht zum Training von KI-Modellen oder für Werbung. Hält finra eine Weisung für rechtswidrig, informiert finra den Kunden unverzüglich.
5. Vertraulichkeit
finra behandelt sämtliche im Auftrag bearbeiteten Daten vertraulich. Personen, die diese Daten bearbeiten dürfen, sind zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer gesetzlichen Geheimhaltungspflicht unterstehen (Art. 9 Abs. 1 revDSG).
6. Technische und organisatorische Massnahmen
finra gewährleistet eine dem Risiko angemessene Datensicherheit (Art. 8 revDSG, Art. 1–6 VDSG), insbesondere:
- durchgehende TLS-Verschlüsselung sämtlicher Verbindungen,
- rollenbasierte Zugriffskontrolle — Dokumente sind nur nach persönlicher Anmeldung und nur den berechtigten Personen zugänglich,
- strikte Mandantentrennung (jeder Kunde mit eigener Subdomain und getrennter Datensicht),
- Protokollierung sicherheitsrelevanter Vorgänge (Audit-Trail),
- regelmässige, gesicherte Datensicherungen,
- Speicherung ausschliesslich in Rechenzentren in der Schweiz.
7. Beizug von Unter-Auftragsbearbeitern
Der Kunde genehmigt den Beizug der nachstehenden Unter-Auftragsbearbeiterin für Hosting, Datenspeicherung und E-Mail-Versand:
- Infomaniak SA, Genf, Schweiz — Hosting, Speicherung und E-Mail. Datenstandort ausschliesslich Schweiz.
Beabsichtigt finra den Beizug einer weiteren Unter-Auftragsbearbeiterin oder deren Wechsel, informiert finra den Kunden vorgängig und räumt ihm die Möglichkeit ein, aus wichtigem datenschutzrechtlichem Grund zu widersprechen. finra verpflichtet jede Unter-Auftragsbearbeiterin auf einen gleichwertigen Datenschutz (Art. 9 Abs. 3 revDSG).
8. Keine Bekanntgabe ins Ausland
Sämtliche im Auftrag bearbeiteten Daten verbleiben in der Schweiz. Es findet keine Bekanntgabe ins Ausland statt. Sollte künftig eine Auslandsbekanntgabe erforderlich werden (etwa durch einen Zahlungsdienstleister), erfolgt diese nur unter den Voraussetzungen von Art. 16 f. revDSG und nach vorgängiger Information des Kunden.
9. Unterstützung der verantwortlichen Person
finra unterstützt den Kunden mit geeigneten technischen und organisatorischen Massnahmen dabei, seinen Pflichten als verantwortliche Person nachzukommen — insbesondere bei der Beantwortung von Gesuchen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe/Portabilität nach Art. 25–28 revDSG). Wenden sich End-Kunden direkt an finra, leitet finra deren Anliegen an den zuständigen Kunden weiter und beantwortet sie nicht eigenständig.
10. Meldung von Verletzungen der Datensicherheit
Wird finra eine Verletzung der Datensicherheit bekannt, die im Auftrag bearbeitete Daten betrifft, meldet finra dies dem Kunden unverzüglich mit den verfügbaren Angaben. Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sowie gegebenenfalls an die betroffenen Personen obliegt dem Kunden als verantwortliche Person (Art. 24 revDSG); finra unterstützt ihn dabei.
11. Rückgabe und Löschung nach Vertragsende
Nach Beendigung des Nutzungsverhältnisses stellt finra dem Kunden die im Auftrag bearbeiteten Daten während 30 Tagen zum Export in einem gängigen Format zur Verfügung. Nach Ablauf dieser Frist werden die Daten und allfällige Kopien gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung eigener Geschäftsunterlagen von finra (z. B. Rechnungen) richtet sich nach den gesetzlichen Fristen.
12. Nachweis und Kontrolle
finra stellt dem Kunden auf begründete Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses ADV erforderlich sind. finra führt für die im Auftrag erfolgten Bearbeitungen ein Verzeichnis nach Art. 12 revDSG.