Vereinbarung zur Auftragsverarbeitung

Version 1.1 — Gültig ab 2026-05-26

zwischen

dem Kunden (im Folgenden „Verantwortlicher")

— vertreten durch die im Bestellprozess hinterlegten Kontaktdaten —

und

Aiara Privacy Suite Sulzerallee 70 8404 Winterthur Schweiz

E-Mail: support@aiara.ch

(im Folgenden „Auftragsverarbeiter" oder „Aiara")

— gemeinsam die „Parteien" —

Präambel

Aiara stellt dem Verantwortlichen unter der Bezeichnung „Aiara Privacy Suite" eine Software-as-a-Service-Lösung für Cookie-Consent-Management, automatisierte Datenschutzerklärungen und Compliance-Berichte zur Verfügung. Im Rahmen dieser Leistung verarbeitet Aiara im Auftrag des Verantwortlichen personenbezogene Daten der Website-Besucher des Verantwortlichen. „Aiara Privacy Suite" ist ein Produkt der Sidora AG (Sitz: Winterthur, Schweiz); diese ist Rechtsträgerin des Dienstes und Vertragspartei dieser Vereinbarung.

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien und ist Bestandteil des Hauptvertrags. Sie erfüllt die Anforderungen von:

• Art. 28 DSGVO (EU-Datenschutz-Grundverordnung), und
• Art. 9 DSG (revidiertes Schweizer Datenschutzgesetz, in Kraft seit 1. September 2023).

1. Gegenstand und Dauer

1.1 Gegenstand

Aiara verarbeitet personenbezogene Daten ausschliesslich zum Zweck der Erbringung folgender Leistungen:

• Auslieferung und Verwaltung des Cookie-Consent-Banners auf den Domains des Verantwortlichen
• Speicherung des Consent-Nachweises (Beweissicherung gemäss Art. 7 Abs. 1 DSGVO)
• Generierung und Aktualisierung von Datenschutzerklärung und Impressum
• Cookie-Scan der Domains des Verantwortlichen
• Risiko-Bewertung nach EDÖB Anhang A
• Versand von System-E-Mails an den Verantwortlichen (z. B. Scan-Reports, Compliance-Warnungen)

1.2 Dauer

Die Vereinbarung beginnt mit Aktivierung des Aiara-Kontos und endet mit der vollständigen Beendigung des Hauptvertrags. Die Pflichten aus Ziffer 9 (Löschung / Rückgabe) bestehen darüber hinaus fort.

2. Art und Zweck der Verarbeitung

3. Kategorien betroffener Personen und Daten

3.1 Betroffene Personen

• Website-Besucher der vom Verantwortlichen registrierten Domains
• Mitarbeitende des Verantwortlichen mit Aiara-Login

3.2 Verarbeitete Datenkategorien

Website-Besucher (vor Consent):

• Lokal im Browser des Besuchers gespeichert (kein Server-Empfang): Banner-Konfigurations-Cache (aiara_banner_config), pseudonyme Visitor-ID (aiara_vid, UUID v4), Ablaufzeitstempel (aiara_vid_exp)

Website-Besucher (nach Klick auf Akzeptieren / Ablehnen / Speichern): Übermittelt an Aiara-Server und in der Aiara-Datenbank gespeichert:

• Pseudonyme Visitor-ID (UUID v4, lokal im Browser generiert)
• Consent-Entscheidung (Auswahl der Cookie-Kategorien als Boolean)
• Aktion (accept_all / reject_all / custom / withdraw)
• URL der Seite, auf der die Entscheidung erfolgte
• IP-Hash: SHA-256(IP-Adresse + Server-Secret) — die rohe IP-Adresse wird NICHT gespeichert
• User-Agent-String (auf 500 Zeichen gekürzt)
• Zeitstempel
• Optional bei aktiven A/B-Tests: zugewiesene Variante (a / b) und Test-ID

Mitarbeitende des Verantwortlichen:

• Name, E-Mail-Adresse
• Passwort-Hash (bcrypt, niemals im Klartext)
• Login-Aktivität (Zeitstempel, IP, User-Agent)
• Sprach-Präferenz, Rollen-Zuweisung

3.3 Besondere Kategorien personenbezogener Daten

Aiara verarbeitet keine besonderen Kategorien personenbezogener Daten gemäss Art. 9 DSGVO bzw. Art. 5 lit. c DSG. Der Verantwortliche stellt sicher, dass über Aiara keine derartigen Daten geleitet werden.

4. Pflichten des Auftragsverarbeiters

Aiara verpflichtet sich:

1. Personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten. Diese Vereinbarung gilt als solche Weisung.
2. Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Alle technischen und organisatorischen Massnahmen gemäss Anhang B (TOMs) einzuhalten.
4. Den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung gegen geltendes Datenschutzrecht verstösst.
5. Den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen.
6. Den Verantwortlichen unverzüglich (spätestens innerhalb von 72 Stunden nach Kenntnisnahme) über jede Verletzung des Schutzes personenbezogener Daten zu informieren.
7. Auf Verlangen alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereitzustellen.

5. Pflichten des Verantwortlichen

Der Verantwortliche:

1. Ist allein verantwortlich für die Rechtmässigkeit der Datenverarbeitung gegenüber den Betroffenen.
2. Stellt die Korrektheit und Aktualität der von ihm in Aiara hinterlegten Domain- und Firmendaten sicher.
3. Informiert die Website-Besucher in seiner Datenschutzerklärung über den Einsatz von Aiara als Cookie-Consent-Lösung.
4. Schützt seine Aiara-Login-Zugangsdaten und meldet einen Verdacht auf Missbrauch unverzüglich an support@aiara.ch.

6. Subprozessoren

6.1 Allgemeine Genehmigung

Der Verantwortliche genehmigt allgemein den Einsatz der in Anhang A aufgeführten Subprozessoren. Aiara informiert den Verantwortlichen über jede beabsichtigte Änderung mit einer Vorlaufzeit von mindestens 30 Tagen. Der Verantwortliche kann dem Wechsel innerhalb von 14 Tagen widersprechen; Aiara behält sich in diesem Fall ein Sonderkündigungsrecht vor.

6.2 Pflichten gegenüber Subprozessoren

Aiara verpflichtet jeden Subprozessor schriftlich zu denselben Pflichten, die in dieser Vereinbarung festgelegt sind, insbesondere zu den TOMs nach Anhang B.

6.3 Drittlandstransfer

Findet eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss statt, schliesst Aiara mit dem betreffenden Subprozessor die EU-Standardvertragsklauseln (SCC) gemäss Durchführungsbeschluss (EU) 2021/914 ab und führt — soweit erforderlich — ein Transfer Impact Assessment (TIA) durch.

7. Rechte der betroffenen Personen

Aiara unterstützt den Verantwortlichen mit angemessenen technischen und organisatorischen Massnahmen bei der Erfüllung der Anträge betroffener Personen, insbesondere:

• Auskunft (Art. 15 DSGVO / Art. 25 DSG): über das Aiara-Dashboard exportierbar
• Berichtigung (Art. 16 DSGVO / Art. 32 DSG): nicht anwendbar — die gespeicherten Consent-Daten sind durch ihre Natur Beweissicherung
• Löschung (Art. 17 DSGVO): wird auf schriftliche Anfrage an support@aiara.ch innerhalb von 30 Tagen umgesetzt; ausgenommen Daten, die zur Erfüllung gesetzlicher Aufbewahrungspflichten benötigt werden
• Einschränkung (Art. 18 DSGVO): wird auf Anfrage umgesetzt
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): über die im Banner integrierte Wieder-Öffnen-Funktion jederzeit möglich

Direktanfragen betroffener Personen leitet Aiara unverzüglich an den Verantwortlichen weiter.

8. Audit-Rechte

Der Verantwortliche hat das Recht, sich von der Einhaltung dieser Vereinbarung durch Aiara zu überzeugen:

1. Zunächst durch Einsichtnahme in die TOMs (Anhang B) und ggf. Zertifizierungen.
2. Bei begründetem Anlass durch Audits vor Ort, mit Vorlaufzeit von 30 Tagen, während normaler Geschäftszeiten, ohne Beeinträchtigung anderer Kunden. Die Kosten trägt der Verantwortliche, ausser bei nachgewiesenen wesentlichen Verstössen.

9. Beendigung — Löschung und Rückgabe

Nach Abschluss der Verarbeitung — spätestens 30 Tage nach Kündigung des Hauptvertrags — gibt Aiara nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück oder löscht sie unwiederbringlich. Eine Bestätigung der Löschung wird auf Anfrage schriftlich bestätigt.

Gesetzliche Aufbewahrungspflichten (z. B. Art. 958f OR / handelsrechtliche Belege) bleiben hiervon unberührt.

Backups, die der gespeicherten Daten enthalten, werden innerhalb des regulären Backup-Rotationszyklus (siehe Anhang B) automatisch überschrieben.

10. Haftung

Die Haftung der Parteien richtet sich nach dem Hauptvertrag und ergänzend nach Art. 82 DSGVO bzw. Art. 39 DSG.

11. Schlussbestimmungen

11.1 Vorrang

Im Falle von Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag oder anderen Anhängen geht diese Vereinbarung in datenschutzrechtlichen Fragen vor.

11.2 Schriftform

Änderungen und Ergänzungen bedürfen der Textform (E-Mail genügt).

11.3 Anwendbares Recht / Gerichtsstand

Es gilt Schweizer Recht unter Ausschluss kollisionsrechtlicher Bestimmungen. Gerichtsstand ist Winterthur. Soweit zwingendes EU-Datenschutzrecht zur Anwendung kommt, gehen dessen Vorschriften vor.

11.4 Salvatorische Klausel

Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt. An die Stelle der unwirksamen Bestimmung tritt eine dem Sinn und Zweck am nächsten kommende wirksame Regelung.

11.5 Vorrang der online publizierten Fassung

Die jeweils unter https://www.aiara.ch/de/legal/avv publizierte Fassung dieser Vereinbarung ist die verbindliche Referenz. Im Falle einer Abweichung zwischen einer ausgedruckten Kopie und der online publizierten Fassung gilt ausschliesslich die online publizierte Fassung. Auf jeder Druckseite wird ein SHA-256-Hash des Quelltextes eingebrannt; Aiara verifiziert vor jeder Gegenzeichnung die Übereinstimmung dieses Hashs mit der aktuellen Online-Version.

11.6 Keine einseitigen Modifikationen

Inhaltliche Änderungen am Wortlaut dieser Vereinbarung — gleich welcher Art — durch den Verantwortlichen sind nicht zulässig und werden nicht akzeptiert. Eine Vereinbarung mit modifiziertem Wortlaut kommt nicht zustande, auch wenn sie unterschrieben zurückgesandt wird. Im Falle einer vorsätzlichen Manipulation des Dokuments behält sich Aiara rechtliche Schritte vor. Anpassungswünsche oder ergänzende Vereinbarungen sind ausschliesslich durch separate, von beiden Parteien unterzeichnete Zusatzvereinbarungen zu regeln.

Anhang A — Subprozessoren

Aktualität dieser Liste: 2026-01-01. Die jeweils aktuelle Fassung ist unter https://www.aiara.ch/vertrauen abrufbar.

Anhang B — Technische und organisatorische Massnahmen (TOMs)

Stand: 2026-01-01. Aiara erfüllt die Anforderungen von Art. 32 DSGVO und Art. 8 DSG durch folgende Massnahmen:

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Server stehen in einem Schweizer Rechenzentrum mit physischer Zutrittskontrolle (24/7-Bewachung, biometrische Zugangskontrolle, Videoüberwachung).
• Zugang zum Rechenzentrum nur durch autorisiertes Personal des Hosting-Providers.

1.2 Zugangskontrolle (System)

• SSH-Zugriff ausschliesslich über kryptographische Schlüssel (ed25519 / RSA-4096), keine Passwort-Authentifizierung.
• Multi-Faktor-Authentifizierung für administrative Zugänge.
• Eindeutige, personengebundene Benutzerkennungen für jeden Mitarbeiter.

1.3 Zugriffskontrolle (Daten)

• Rollenbasiertes Berechtigungskonzept (Spatie Permission): Trennung zwischen admin (Aiara-Team) und client (Endkunden).
• Mandantentrennung auf Datenbankebene über organization_id und Domain-Authorization-Middleware (VerifyDomain).
• Passwörter werden ausschliesslich als bcrypt-Hash gespeichert.
• Login-Sitzungen mit Inaktivitäts-Timeout.

1.4 Pseudonymisierung

• IP-Adressen werden ausschliesslich als nicht zurückrechenbarer SHA-256-Hash mit anwendungsspezifischem Salt gespeichert. Die rohe IP wird zu keinem Zeitpunkt persistiert.
• Visitor-IDs sind kryptographisch zufällige UUIDs (RFC 4122 v4), browserlokal generiert und nicht über Domains hinweg verknüpfbar.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle (Übertragung)

• Alle Verbindungen zwischen Browser, Aiara-Server und Subprozessoren erfolgen ausschliesslich verschlüsselt über TLS 1.2 oder höher.
• HSTS-Header erzwingen HTTPS.
• Keine Übertragung personenbezogener Daten über unverschlüsselte Kanäle.

2.2 Eingabekontrolle

• Alle Datenänderungen werden mit Zeitstempel und ggf. Benutzer-Referenz protokolliert.
• Consent-Logs sind unveränderbar (append-only) und enthalten keine Felder für nachträgliche Bearbeitung.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Backup-Konzept

• Tägliche Backups, doppelt gesichert.
• Aufbewahrung 7 Tage, Wiederherstellung jedes Tages innerhalb dieses Fensters möglich.
• Backups werden verschlüsselt gespeichert.

3.2 Wiederherstellbarkeit

• Recovery Time Objective (RTO): unter 24 Stunden.
• Recovery Point Objective (RPO): max. 24 Stunden.
• Wiederherstellungstests werden regelmässig durchgeführt.

4. Verfahren regelmässiger Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Sicherheitsupdates der eingesetzten Software (Laravel, PHP, PostgreSQL, Node, Playwright, alle Composer-/NPM-Abhängigkeiten) werden regelmässig eingespielt.
• Automatische Abhängigkeits-Audits über die jeweiligen Paket-Manager.
• Code-Reviews vor produktivem Deployment.

5. Auftragskontrolle (Art. 28 DSGVO)

• Subprozessoren sind in Anhang A vollständig aufgeführt.
• Mit jedem Subprozessor ist ein Auftragsverarbeitungsvertrag geschlossen, der mindestens dem Schutzniveau dieses AVV entspricht.

6. Datentrennung (Art. 32 DSGVO)

• Strenge mandantenbezogene Datentrennung auf Anwendungsebene (organization_id).
• Server-seitige Domain-Lock-Middleware verhindert Cross-Domain-Datenzugriffe.
• Banner-Skript prüft clientseitig zusätzlich window.location.hostname gegen die in Aiara registrierte Domain (Defense-in-Depth, drei Schichten).

7. Mitarbeiterverpflichtung

• Alle Mitarbeitenden mit Datenzugriff sind schriftlich auf das Datengeheimnis und die Vertraulichkeitsverpflichtung verpflichtet.
• Datenschutz-Schulungen finden regelmässig statt.

Ort, Datum

Für den Verantwortlichen (Unterschrift, Name, Funktion)

Für Aiara Privacy Suite (Sidora AG) (Unterschrift, Name, Funktion)