Fassung 2026-09-07 · Vorschau, noch nicht abgeschlossen
Der Auftragnehmer stellt der Auftraggeberin die Software «HR Onboarding.ch» in den Modulen Onboarding und Recruiting als Dienstleistung über das Internet zur Verfügung und betreibt sie in ihrem Auftrag. Dieser Vertrag regelt die Bearbeitung von Personendaten im Rahmen dieser Dienstleistung. Er gilt ab dem oben genannten Datum für die Dauer des Hauptvertrags (Abonnement) und endet mit diesem. Massgebend sind das Schweizer Datenschutzgesetz (DSG, insbesondere Art. 9) und, soweit anwendbar, die Verordnung (EU) 2016/679 (DSGVO, insbesondere Art. 28).
2.1 Zweck: Personaladministration und Rekrutierung der Auftraggeberin.
2.2 Art der Bearbeitung: Erheben, Speichern, Anzeigen, Ordnen, Auswerten, Bekanntgeben an berechtigte Benutzerkonten der Auftraggeberin, Übermitteln an von der Auftraggeberin gewählte Stellenportale (Inseratsdaten; das Inserat enthält auf ihren Wunsch auch Name und Kontaktangaben der von ihr benannten Ansprechperson), Versenden von Nachrichten, Löschen.
2.3 Kategorien betroffener Personen: Bewerberinnen und Bewerber, Personen im Talent-Pool, Mitarbeitende der Auftraggeberin, Benutzerinnen und Benutzer der Anwendung.
2.4 Kategorien von Personendaten: Name und Kontaktdaten, Bewerbungsunterlagen und Angaben zum Verfahren, Angaben zum Anstellungsverhältnis und zur Personaladministration, Nachrichtenverkehr, technische Protokolldaten.
2.5 Besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG werden von der Anwendung nicht angefordert; es gibt dafür kein Eingabefeld und keine Dokumentkategorie. Enthalten eingereichte Unterlagen oder Freitexte im Einzelfall solche Angaben — was bei jedem Bewerbungsverfahren vorkommen kann —, gelten für sie dieselben Massnahmen nach Ziffer 5. Die Auftraggeberin entscheidet, welche Unterlagen sie verlangt.
2.6 Eine automatisierte Einzelentscheidung im Sinne von Art. 21 DSG findet nicht statt; soweit die DSGVO anwendbar ist, gilt dasselbe für Art. 22 DSGVO.
2.7 Bucht die Auftraggeberin später weitere Module derselben Anwendung, gilt dieser Vertrag auch dafür; Zweck, Kategorien betroffener Personen und Datenkategorien erweitern sich entsprechend, die Massnahmen nach Ziffer 5 bleiben dieselben.
3.1 Der Auftragnehmer bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung der Auftraggeberin; als Weisung gelten dieser Vertrag, der Hauptvertrag und die Nutzung der Funktionen der Anwendung. Er informiert die Auftraggeberin unverzüglich, wenn er eine Weisung für rechtswidrig hält. Er verwendet die Daten der Auftraggeberin nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht für Auswertungen über die Auftraggeberin hinaus; eine Bearbeitung für eigene Zwecke bedürfte eines eigenen Rechtfertigungsgrundes (Art. 9 Abs. 4 DSG bleibt vorbehalten).
3.2 Weisungen ausserhalb der Anwendung erteilt eine Person mit Administrationsrechten der Auftraggeberin in Textform an die Kontaktadresse des Auftragnehmers. Der Auftragnehmer darf darauf vertrauen, dass eine solche Person zur Weisung befugt ist; die Auftraggeberin hält den Kreis dieser Personen aktuell.
3.3 Gesetzliche Verpflichtung. Ist der Auftragnehmer nach schweizerischem Recht zu einer Bearbeitung oder zur Herausgabe von Daten verpflichtet — etwa aufgrund einer Anordnung einer Schweizer Behörde oder eines Schweizer Gerichts —, so teilt er dies der Auftraggeberin vor der Bearbeitung mit, sofern das Recht die Mitteilung nicht verbietet. Anordnungen ausländischer Behörden befolgt er nicht ohne Rechtshilfeverfahren oder eine andere nach schweizerischem Recht zulässige Grundlage; er informiert die Auftraggeberin unverzüglich über jedes solche Ersuchen.
3.4 Die Auftraggeberin bleibt nach Art. 9 Abs. 1 und 2 DSG dafür verantwortlich, den Auftragnehmer sorgfältig auszuwählen, angemessen zu instruieren und soweit nötig zu überwachen; sie muss sich insbesondere vergewissern, dass er die Datensicherheit gewährleisten kann. Der Auftragnehmer unterstützt sie dabei: Er erteilt Auskunft über die Bearbeitung, stellt die Angaben nach Ziffer 5 zur Verfügung und ermöglicht die Überprüfungen nach Ziffer 10.
Die Auftraggeberin prüft in eigener Verantwortung, ob einer Auslagerung gesetzliche Geheimhaltungspflichten entgegenstehen — insbesondere ein Berufs-, Amts- oder Bankgeheimnis. Bestehen solche Pflichten, teilt sie dem Auftragnehmer die daraus folgenden Anforderungen mit; die Parteien vereinbaren die nötigen zusätzlichen Massnahmen, bevor entsprechende Daten bearbeitet werden.
Der Auftragnehmer verpflichtet die zur Bearbeitung befugten Personen zur Vertraulichkeit; die Verpflichtung gilt über die Beendigung der Tätigkeit hinaus. Zugriff auf Produktivdaten hat nur, wer ihn zur Erbringung der Leistung braucht; Zugriffe zu Supportzwecken erfolgen nachvollziehbar und nur auf Anfrage oder Meldung der Auftraggeberin.
5.1 Der Auftragnehmer trifft die Massnahmen nach Art. 8 DSG und Art. 1–6 DSV, insbesondere Art. 3 DSV; soweit die DSGVO anwendbar ist, zusätzlich nach deren Art. 32. Namentlich:
5.2 Die Massnahmen dürfen weiterentwickelt werden; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen teilt der Auftragnehmer mit. Der jeweils aktuelle Stand ist auf Anfrage als Faktenblatt erhältlich; bekannte Grenzen werden darin offen ausgewiesen.
5.3 Verzeichnis. Der Auftragnehmer führt ein Verzeichnis seiner Bearbeitungstätigkeiten nach Art. 12 DSG, soweit er dazu verpflichtet ist, und stellt der Auftraggeberin die sie betreffenden Angaben auf Anfrage zur Verfügung.
Die Auftraggeberin stimmt dem Beizug folgender Unterauftragsbearbeiter zu:
| Unternehmen | Leistung | Sitz |
|---|---|---|
| Infomaniak Network SA | Hosting und Betrieb der Server | Schweiz |
| Infomaniak Network SA (Swiss Backup) | verschlüsselte Auslagerung der Sicherungen | Schweiz |
| Infomaniak Network SA (Mail) | Versand von System- und Benachrichtigungsmails | Schweiz |
Nicht als Unterauftragsbearbeitung gilt die Bearbeitung von Vertrags- und Zahlungsdaten der Auftraggeberin durch Stripe Payments Europe Ltd. (Irland) mit Weitergabe an Stripe, Inc. (USA): Dabei werden keine Daten betroffener Personen nach Ziffer 2.3 bearbeitet, und beide Parteien sind für ihre eigenen Vertragsdaten selbst verantwortlich. Die Vereinigten Staaten stehen für Unternehmen, die sich dem Swiss–U.S. Data Privacy Framework unterstellt haben, auf der Staatenliste nach Art. 16 Abs. 1 DSG in Verbindung mit Anhang 1 DSV; Stripe, Inc. ist dort zertifiziert. Ergänzend gelten die Standardvertragsklauseln aus dem Datenbearbeitungszusatz von Stripe. Die Schriftarten der Oberfläche liefert der Auftragnehmer vom eigenen Server aus; beim Aufruf entsteht dadurch keine Verbindung zu einem Schriftendienst.
Eine Übertragung der Bearbeitung an weitere Dritte ist nach Art. 9 Abs. 3 DSG nur mit vorgängiger Genehmigung der Auftraggeberin zulässig. Der Auftragnehmer zeigt einen beabsichtigten Wechsel oder Beizug mindestens 30 Tage im Voraus schriftlich an; widerspricht die Auftraggeberin nicht innert dieser Frist, gilt die Genehmigung als erteilt. Widerspricht sie aus wichtigem Grund und kommt keine Einigung zustande, kann sie den Hauptvertrag auf den Zeitpunkt der Änderung kündigen. Unterauftragsbearbeiter werden vertraglich auf ein Schutzniveau verpflichtet, das diesem Vertrag entspricht. Für ihre Leistungen und für Verstösse gegen den Datenschutz haftet der Auftragnehmer gegenüber der Auftraggeberin wie für eigenes Handeln.
7.1 Speicherung, Sicherung und Bearbeitung in der Infrastruktur des Auftragnehmers erfolgen ausschliesslich in der Schweiz. Ausgenommen ist allein der in Ziffer 6 genannte Fall: die Abrechnung des Abonnements, bei der keine Daten betroffener Personen nach Ziffer 2.3 bearbeitet werden. Beim Aufruf der Oberfläche entsteht keine Verbindung ins Ausland; auch die Schriftarten liefert der Auftragnehmer vom eigenen Server aus.
7.2 Eine darüber hinausgehende Bekanntgabe ins Ausland erfolgt nur mit vorgängiger Zustimmung der Auftraggeberin und nur auf einer Grundlage nach Art. 16 f. DSG. Die Information der betroffenen Personen über eine Bekanntgabe ins Ausland (Art. 19 Abs. 4 DSG) obliegt der Auftraggeberin; der Auftragnehmer liefert ihr dafür die nötigen Angaben.
8.1 Der Auftragnehmer unterstützt die Auftraggeberin bei Begehren um Auskunft (Art. 25 DSG), Berichtigung, Löschung und Datenherausgabe (Art. 28 und 32 DSG); die Anwendung enthält dafür Funktionen: Auskunftsexport je Person, vollständiger Export der Organisation, Löschung einzelner Dossiers.
8.2 Braucht die Auftraggeberin darüber hinaus Unterstützung, leistet der Auftragnehmer sie innert zehn Arbeitstagen ab Eingang des Ersuchens, bei Dringlichkeit früher. Damit bleibt der Auftraggeberin genügend Zeit für die Frist von 30 Tagen nach Art. 25 Abs. 7 DSG.
8.3 Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Begehren unverzüglich an die Auftraggeberin weiter und beantwortet es nicht selbst.
8.4 Bewerbende können ihre Daten über das Statusportal selbst löschen; die Löschung wirkt sofort und ist unwiderruflich. Die Auftraggeberin wird über jede solche Löschung benachrichtigt. Bestehen bei ihr Aufbewahrungspflichten, die einer sofortigen Löschung entgegenstehen, teilt sie dies dem Auftragnehmer mit; die Parteien vereinbaren das weitere Vorgehen.
Der Auftragnehmer meldet der Auftraggeberin jede Verletzung der Datensicherheit, die ihre Daten betrifft, unverzüglich nach Kenntnis, spätestens innert 48 Stunden. Die Meldung geht an die Kontaktadresse des Kontos; benennt die Auftraggeberin eine eigene Meldestelle, an diese. Die Meldung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenkategorien und ungefähre Zahl betroffener Personen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen sowie eine Kontaktstelle; fehlende Angaben werden nachgereicht. Er unterstützt die Auftraggeberin bei einer Meldung an den EDÖB (Art. 24 DSG) und bei der Information betroffener Personen.
10.1 Der Auftragnehmer unterstützt die Auftraggeberin bei einer Datenschutz-Folgenabschätzung (Art. 22 DSG) und bei einer Konsultation des EDÖB (Art. 23 DSG).
10.2 Er stellt die zum Nachweis nötigen Angaben zur Verfügung; in erster Linie geschieht das über das Faktenblatt nach Ziffer 5.2. Genügt das nicht, ermöglicht er eine Überprüfung durch die Auftraggeberin oder eine von ihr beauftragte, zur Verschwiegenheit verpflichtete Person: einmal jährlich, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten und ohne unangemessene Beeinträchtigung des Betriebs. Weitere Überprüfungen erfolgen auf Kosten der Auftraggeberin; bei einem konkreten Verdacht auf eine Verletzung der Datensicherheit trägt der Auftragnehmer die Kosten und die Fristen entfallen.
Die Auftraggeberin kann jederzeit selbst und ohne Mitwirkung des Auftragnehmers eine vollständige, maschinenlesbare Ausleitung ihrer Stammdaten, Akten, Nachrichten und Verfahrensdaten erzeugen. Die hochgeladenen Dokumente (Lebensläufe, Zeugnisse, Diplome und weitere Dateien) werden über die Anwendung einzeln oder auf Anforderung als Gesamtarchiv herausgegeben.
Nach Beendigung des Hauptvertrags gibt der Auftragnehmer die Daten nach Wahl der Auftraggeberin heraus oder löscht sie, in beiden Fällen innert 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht; auf Wunsch bestätigt er die Löschung schriftlich. Sicherungskopien werden mit Ablauf ihres Aufbewahrungszyklus gelöscht, spätestens nach 13 Monaten.
Kann der Auftragnehmer die Leistung dauerhaft nicht mehr erbringen, gilt Ziffer 11 sinngemäss; er unterstützt zusätzlich einen geordneten Übergang auf eine andere Lösung, soweit ihm das möglich ist.
13.1 Für Schäden aus der Verletzung der Pflichten dieses Vertrags haftet der Auftragnehmer nach den gesetzlichen Bestimmungen; die Haftungsbegrenzung des Hauptvertrags gilt dafür nicht. Für alles Übrige — insbesondere Verfügbarkeit und Betrieb — bleibt sie bestehen.
13.2 Die Haftung für Absicht und grobe Fahrlässigkeit kann nach Art. 100 OR nicht zum Voraus wegbedungen werden.
14.1 Dieser Vertrag trägt eine Fassungsnummer. Der abgeschlossene Vertrag bleibt in seiner Fassung unverändert bestehen; er wird als Dokument aufbewahrt und ist jederzeit abrufbar.
14.2 Muss der Vertrag angepasst werden, legt der Auftragnehmer eine neue Fassung vor und teilt dies der Auftraggeberin in Textform mit, mindestens 30 Tage im Voraus. Bis zum Abschluss der neuen Fassung gilt die bisherige weiter. Schliesst die Auftraggeberin die neue Fassung nicht ab und ist ihr die Fortführung unter der bisherigen nicht zumutbar, kann jede Partei den Hauptvertrag auf den Zeitpunkt der Änderung kündigen.
15.1 Änderungen bedürfen der Textform.
15.2 Bei Widerspruch zwischen Hauptvertrag und diesem Vertrag geht dieser Vertrag in Fragen der Datenbearbeitung vor.
15.3 Datenschutzanfragen der Auftraggeberin richten sich an info@hr-onboarding.ch, Stichwort «Datenschutz».
15.4 Es gilt schweizerisches Recht unter Ausschluss der Kollisionsnormen; die Bestimmungen der DSGVO gelten nur, soweit sie auf die Bearbeitung anwendbar sind. Gerichtsstand ist der Sitz des Auftragnehmers, soweit nicht zwingende Bestimmungen entgegenstehen.
Dieser Vertrag wird elektronisch abgeschlossen — bei der Registrierung oder nachträglich in der Anwendung. Art. 28 DSGVO und das DSG verlangen dafür keine handschriftliche Unterschrift; die Textform genügt. Nach dem Abschluss wird das Dokument unverändert aufbewahrt und ist für beide Parteien jederzeit abrufbar.