Version 1.2 | 10. September 2026 | Deutsche Vertragsfassung | Prüfentwurf, noch nicht in Kraft
1. Parteien, Rollen und Geltung
Dieser Anhang gilt zwischen Acunomic GmbH, Leutschenbachstrasse 95, 8050 Zürich, Schweiz, UID CHE-274.507.729, und dem Kunden des Angebots, soweit Acunomic Personendaten für ihn bearbeitet. Es gelten das Schweizer Datenschutzgesetz (DSG), die Datenschutzverordnung (DSV) und, soweit anwendbar, die DSGVO. Der Kunde handelt als Verantwortlicher oder als Auftragsbearbeiter eines benannten Verantwortlichen; die jeweilige Weisungskette ist in Anhang 1 festzuhalten. Acunomic handelt entsprechend als Auftrags- oder Unterauftragsbearbeiterin.
Die tatsächlichen Zwecke und Entscheidungsbefugnisse bestimmen die Rollen. Erforderliche Vertragsverwaltung und eigene gesetzliche Buchhaltung können in eigener Verantwortung erfolgen. Betriebs-, Telemetrie- oder Supportdaten werden nicht pauschal aus der Auftragsbearbeitung ausgenommen. Eigenverantwortliche Zwecke bedürfen einer dokumentierten Rechtsgrundlage und transparenter Information.
2. Weisungen
Acunomic bearbeitet Daten nur nach dokumentierten rechtmässigen Weisungen zur vereinbarten Leistung. Für anderweitig gesetzlich erzwungene Bearbeitungen informiert sie vorgängig, soweit zulässig. Bei mutmasslich rechtswidrigen Weisungen informiert sie unverzüglich und setzt die betroffene Handlung bis zur rechtmässigen Klärung aus; eine blosse Bestätigung macht eine rechtswidrige Weisung nicht rechtmässig. Der Kunde verantwortet Zulässigkeit und erforderliche Information seiner Bearbeitung. Besonders schützenswerte Daten, Daten über strafrechtliche Verurteilungen und andere erhöhte Risiken werden vor Zugriff erfasst und mit geeigneten Schutzmassnahmen vereinbart. Eine Vertragsklausel allein ersetzt diese Prüfung nicht.
3. Personal und Kontakt
Nur zur Vertraulichkeit verpflichtete und instruierte Personen erhalten erforderliche Zugriffe. Berechtigungen werden rollenbezogen erteilt, regelmässig geprüft und bei Wegfall entzogen. Zuständige Datenschutz- und Notfallkontakte werden im Angebot und Anhang 1 benannt. Bis zur Benennung steht Acunomics Geschäftsadresse zur Verfügung; die Website-Kontaktseite dient der Kontaktaufnahme. Ein EU-Vertreter oder Datenschutzbeauftragter wird nur bezeichnet, wenn bestellt beziehungsweise erforderlich. Namen oder E-Mail-Adressen werden nicht fingiert.
4. Sicherheit
Acunomic setzt die in Anhang 3 konkret beschriebenen, dem Risiko angemessenen technischen und organisatorischen Massnahmen um. Dazu gehören der tatsächlichen Leistung entsprechende Zugangskontrollen, Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellbarkeit und Überprüfung. Änderungen dürfen das vereinbarte Schutzniveau nicht senken. Wesentliche Änderungen werden rechtzeitig mitgeteilt; dringende Verbesserungen dürfen sofort umgesetzt und anschliessend erläutert werden. Zertifizierungen werden nur angegeben, wenn sie tatsächlich vorliegen und den beschriebenen Bereich abdecken.
5. Unterauftragsbearbeiter
Der Kunde erteilt eine allgemeine Genehmigung für die in Anhang 2 benannten Unterauftragsbearbeiter. Acunomic verpflichtet sie vertraglich zu einem gleichwertigen Datenschutz und bleibt für ihre vertraglichen Pflichten verantwortlich. Neue oder ersetzte Anbieter werden mindestens 30 Tage vorher mit Zweck, Gesellschaft, Orten und Transfergrundlage mitgeteilt. Der Kunde kann innert 20 Tagen aus begründeten Datenschutzgründen widersprechen. Während der Klärung wird der neue Anbieter nicht für seine Daten eingesetzt. Findet sich keine rechtmässige zumutbare Lösung, kann die betroffene Leistung gegen Erstattung nicht verdienter Vorauszahlungen beendet werden. Eine dringende Ersetzung benötigt ebenfalls eine gültige Genehmigungsgrundlage; kürzere Information allein ersetzt diese nicht.
6. Zweckbindung und KI
Kundendaten werden nicht verkauft und nicht für allgemeines Training, Feinabstimmung, Evaluation oder Verbesserung von KI-Modellen Acunomics oder Dritter verwendet. Diese Regel enthält keine allgemeine Einwilligungsausnahme. Auftragsbezogene KI-Verarbeitung bedarf vorher dokumentierter Weisung, Zweckbeschreibung und geeigneter Schutzmassnahmen; externe Modellanbieter werden als tatsächliche Empfänger erfasst und vertraglich an eine Nutzung nur für die Leistung gebunden. Buchhaltungs-, Lohn- und HR-Daten werden nicht für Modelltraining oder Modellevaluation verwendet. Tatsächlich anonymisierte Statistiken dürfen keine Reidentifikation oder Rückschlüsse auf vertrauliche Kundendaten ermöglichen; auch die Herstellung solcher Statistiken benötigt eine zulässige Grundlage.
7. Bearbeitungsorte und Ausland
Anhang 2 nennt tatsächliche Speicherorte und Fernzugriffsländer. Eine ausschliessliche Bearbeitung in der Schweiz oder im EWR wird nicht ohne entsprechende technische und vertragliche Grundlage zugesagt. Auslandbekanntgaben benötigen die jeweils einschlägige Angemessenheit oder geeignete Garantien. Bei Standarddatenschutzklauseln werden vor Transfer die vollständigen Klauseln, zutreffenden Module, Parteien, Optionen, Anhänge und erforderlichen Schweizer Ergänzungen vereinbart. Eine Zusammenfassung oder dieser Verweis ersetzt sie nicht. Bei gleichzeitig anwendbarem EU-Recht werden dessen Aufsicht, Betroffenenrechte, Recht und Gerichtsstand nicht pauschal durch Schweizer Begriffe ersetzt. Transferprüfung und ergänzende Massnahmen werden soweit erforderlich dokumentiert. Behördenanfragen werden auf Rechtmässigkeit geprüft, auf das erforderliche Mass begrenzt und soweit zulässig mitgeteilt.
8. Unterstützung
Acunomic unterstützt den Kunden mit verfügbaren Informationen und geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Datenübertragung, Datenschutz-Folgenabschätzung und Behördenverfahren. Betroffenenanfragen werden unverzüglich weitergeleitet, ohne eigenmächtige Sachentscheidung für den Kunden. Gesetzlich erforderliche Verzeichnisse werden geführt. Übliche auftragsbezogene Unterstützung ist enthalten; ausserordentlicher Zusatzaufwand bedarf vorgängiger Vereinbarung, soweit zulässig. Abhilfe für eigene Verstösse wird nicht berechnet.
9. Sicherheitsverletzungen
Acunomic meldet Verletzungen der Datensicherheit unverzüglich nach Bekanntwerden, ohne vermeidbare Verzögerung und jedenfalls spätestens innert 48 Stunden. Diese Höchstfrist erlaubt kein Abwarten bei früher möglicher Meldung. Erste Meldungen dürfen unvollständig sein und werden laufend ergänzt. Mitgeteilt werden bekannte Art, betroffene Daten und Personen, Umfang, mögliche Folgen, ergriffene Massnahmen und Kontakt. Acunomic dokumentiert den Vorfall und unterstützt gesetzliche Meldepflichten. Eigene gesetzliche Pflichten bleiben bestehen; im Namen des Kunden erfolgt eine Behörden- oder Betroffenenmeldung nur auf Weisung oder gesetzliche Anordnung.
10. Nachweise und Prüfungen
Acunomic stellt erforderliche Nachweise, Massnahmenbeschreibungen und tatsächlich vorhandene Prüfberichte bereit. Der Kunde oder ein geeigneter unabhängiger zur Vertraulichkeit verpflichteter Prüfer darf erforderliche Audits durchführen. Routinemässig erfolgen diese höchstens jährlich mit 30 Tagen Vorankündigung; bei konkreten Anhaltspunkten, Vorfällen oder behördlicher Anforderung sind zusätzliche und kurzfristige Prüfungen möglich. Diese Organisation darf gesetzliche Prüfungsrechte nicht vereiteln. Andere Kundendaten und berechtigte Sicherheitsinteressen werden geschützt. Übliche eigene Unterstützung eines jährlichen Audits und Prüfungen wegen eigener Verstösse sind enthalten; anderer erheblicher Aufwand wird vorgängig vereinbart, soweit zulässig.
11. Rückgabe und Löschung
Nach Ende oder rechtmässiger früherer Weisung gibt Acunomic die Daten nach Wahl des Kunden zurück oder löscht sie und vorhandene Kopien. Die organisatorischen Export- und Abruffristen der AGB Ziffer 8.3 gelten nur soweit mit dieser Wahl und zwingendem Recht vereinbar; ein früheres wirksames Löschverlangen geht vor. Gesetzlich gebotene Aufbewahrung wird auf die erforderlichen Daten beschränkt, gesperrt und danach beendet. Eine allgemeine mögliche Rechtsverteidigung rechtfertigt keine unbegrenzte Aufbewahrung aller Auftragsdaten. Backup-Rotation, spätester Löschzeitpunkt und technische Restaufbewahrung werden vor Bearbeitungsbeginn in Anhang 3 konkret festgelegt. Nach Wiederherstellung werden bereits angeordnete Löschungen erneut angewendet. Löschung wird auf Anfrage bestätigt.
12. Haftung und Vorrang
Für vertragliche Ersatzansprüche gilt AGB Ziffer 13 einschliesslich der festen erhöhten und gemeinsamen Gesamthaftungsobergrenze. Diese Bestimmung schafft keine eigene zusätzliche Obergrenze. Rechte betroffener Personen, Behörden und zwingende Standarddatenschutzklauseln bleiben unberührt. Der Anhang geht anderen allgemeinen Vertragsbedingungen bei Datenschutzfragen vor; zwingende Klauseln gehen in ihrem Regelungsbereich vor. Eine gesonderte Kunden-Datenschutzvereinbarung gilt nur nach ausdrücklicher Annahme und Prüfung ihrer Haftungs- und Rangfolgeregeln.
13. Dauer und Sprache
Der Anhang gilt solange Acunomic Auftragsdaten bearbeitet. Vertraulichkeit, rechtmässige Restaufbewahrung, Betroffenenrechte und Haftungsregeln gelten ihrem Zweck entsprechend fort. Massgeblich ist die deutsche Vertragsfassung; zwingende Vorgaben vereinbarter Standarddatenschutzklauseln bleiben vorbehalten.
Anhang 1: Bearbeitungsbeschreibung
Vor Aufnahme der Bearbeitung müssen im beidseitig angenommenen Auftragsblatt konkret angegeben sein:
- Kunde, Verantwortlicher und gegebenenfalls weitere Weisungskette.
- Anwendung und Leistung, Gegenstand, Art, Zweck, Häufigkeit und Dauer der Bearbeitung.
- Betroffenenkategorien und konkrete Datenkategorien, einschliesslich erhöhter Risiken.
- Weisungsberechtigte Personen, Datenschutz- und Notfallkontakte.
- Zugriffsumfang, Exportformat, Rückgabe, Löschvorgaben und gesetzliche Restaufbewahrung.
Diese öffentliche Prüffassung enthält keine kundenspezifische Bearbeitungsbeschreibung. Sie allein genehmigt keine unbekannte Bearbeitung.
Anhang 2: Empfänger und Länder
Vor Bearbeitungsbeginn werden je tatsächlichem Unterauftragsbearbeiter die vollständige juristische Person, Leistung, Speicher- und Fernzugriffsländer, Transfergrundlage sowie anwendbare Vertragsfassung dokumentiert. Hosting, Supportsystem, Überwachung, Backups und KI-Anbieter sind einzeln zu prüfen. Oracle oder Odoo sind bei einem direkten Kundenvertrag nicht automatisch Acunomics Unterauftragsbearbeiter; bei einer durch Acunomic eingekauften Leistung kann die Rolle anders sein. Eine leere Liste bedeutet nicht, dass keine Empfänger bestehen.
Anhang 3: Technische und organisatorische Massnahmen
Vor Bearbeitungsbeginn ist ein tatsächlich umgesetztes Massnahmenblatt zu vereinbaren: physischer Schutz; individuelle Zugänge und MFA; Berechtigungsprüfung; Verschlüsselung und Schlüsselverwaltung; Kundentrennung; sichere Entwicklung und Änderungen; Protokollierung und Aufbewahrungszeiten; Sicherung, Wiederherstellungstests und RPO/RTO; Schwachstellenmanagement; Mitarbeiterschulung; Vorfallreaktion; Lieferantenprüfung; Löschverfahren und späteste Backup-Löschung. Nicht vorhandene Zertifikate, Testfrequenzen oder Verschlüsselungsverfahren dürfen nicht als umgesetzt angegeben werden.
Änderungsvermerk
Version 1.2: tatsächliche Rollen, konsistente KI-Regeln, konkrete Transfers, wirksame Audit- und Löschrechte; Anlagen ausdrücklich vor Leistungsbeginn auszufüllen.