Auftragsbearbeitungsvertrag (AVV) TWS Studio

gemäss Art. 9 des Bundesgesetzes über den Datenschutz (DSG) und, soweit anwendbar, Art. 28 DSGVO · Version 1.0 vom 28.09.2026

Parteien

Auftragsbearbeiterin: TW Projects GmbH, handelnd unter der Marke TW Services, Breitenmattstrasse 69, 8635 Dürnten, Schweiz, UID CHE-440.628.856, kontakt@tw-p.ch (nachfolgend «Auftragsbearbeiterin»).

Verantwortlicher: der Kunde, der über das Kundenportal TWS Studio einen Auftrag erteilt (nachfolgend «Verantwortlicher»).

Dieser Vertrag ist Bestandteil jedes Auftrags über das Kundenportal (nachfolgend «Hauptvertrag», zusammen mit den AGB TWS Studio). Der Verantwortliche akzeptiert ihn mit dem Start des Auftrags.

1. Gegenstand und Rollen

Die Auftragsbearbeiterin erstellt für den Verantwortlichen Vermarktungsmaterial für ein Immobilienprojekt, betreibt je nach Paket eine Landingpage und eine Werbekampagne und leitet die eingehenden Anfragen von Interessenten an den Verantwortlichen weiter. Dabei bearbeitet sie Personendaten im Auftrag des Verantwortlichen.

Der Verantwortliche entscheidet über Zweck und Mittel der Bearbeitung der Daten von Interessenten und ist gegenüber diesen verantwortlich. Die Landingpage wird im Namen des Verantwortlichen betrieben; ihre Datenschutzerklärung nennt ihn als Verantwortlichen und die Auftragsbearbeiterin als Betreiberin im Auftrag.

Nicht Gegenstand dieses Vertrags sind die Daten der Nutzerinnen und Nutzer des Kundenportals und die Rechnungsdaten des Verantwortlichen. Diese bearbeitet die Auftragsbearbeiterin als eigene Verantwortliche gemäss der Datenschutzerklärung des Kundenportals.

2. Art, Zweck und Umfang der Bearbeitung

2.1 Betroffene Personen

• Interessentinnen und Interessenten, die über die Landingpage oder die Werbeanzeigen eine Anfrage stellen;
• Besucherinnen und Besucher der Landingpage;
• Mitarbeitende und Ansprechpersonen des Verantwortlichen, soweit sie in den gelieferten Unterlagen genannt sind (z. B. Kontaktperson, Datenschutz-Kontakt).

2.2 Datenkategorien

• Kontaktdaten: Vorname, Name, E-Mail-Adresse, Telefonnummer;
• Angaben aus dem Anfrageformular: gewünschte Einheit, Nutzung, Zeitpunkt, Anteil Eigenmittel, Einwilligungen;
• technische Daten: IP-Adresse, Browserangaben, Herkunftsseite, Kampagnenparameter, pseudonyme Kennungen für die Messung der Werbung (z. B. Meta-Cookie-Kennungen);
• Personendaten in Unterlagen, die der Verantwortliche zur Bearbeitung übergibt.

Besonders schützenswerte Personendaten werden nicht bearbeitet. Der Verantwortliche übermittelt solche Daten nur nach vorgängiger schriftlicher Vereinbarung.

2.3 Zwecke und Tätigkeiten

• Entgegennahme der Anfragen über die Landingpage und Versand der Projektunterlagen an die Interessenten;
• Weiterleitung der Anfragen an die vom Verantwortlichen gewählten Ziele (E-Mail, Google Sheet, CRM, Webhook) sowie Kopie im Kundenportal, damit der Verantwortliche sie dort einsehen kann;
• Schaltung und Messung der Werbekampagne, Qualifizierung der Anfragen und Berichterstattung;
• Erstellung von Video, Texten und Landingpage aus den Unterlagen des Verantwortlichen.

2.4 Dauer

Die Bearbeitung dauert so lange wie der Hauptvertrag, einschliesslich des Betriebs der Landingpage. Danach gilt Ziffer 10.

3. Pflichten der Auftragsbearbeiterin

Die Auftragsbearbeiterin verpflichtet sich:

1. Personendaten nur im Rahmen des Hauptvertrags und der dokumentierten Weisungen des Verantwortlichen zu bearbeiten, sofern sie nicht gesetzlich zu einer anderen Bearbeitung verpflichtet ist;
2. die Daten nicht für eigene Zwecke zu verwenden, insbesondere nicht für eigene Werbung;
3. sicherzustellen, dass alle Personen mit Zugriff auf die Daten zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Schweigepflicht unterliegen;
4. die technischen und organisatorischen Massnahmen gemäss Anhang 1 zu treffen und aufrechtzuerhalten;
5. Unterauftragsbearbeiter nur gemäss Ziffer 6 beizuziehen;
6. den Verantwortlichen bei Anfragen betroffener Personen und bei seinen gesetzlichen Pflichten zu unterstützen (Ziffer 7);
7. Verletzungen der Datensicherheit gemäss Ziffer 8 zu melden;
8. den Verantwortlichen umgehend zu informieren, wenn eine Weisung nach ihrer Auffassung gegen Datenschutzrecht verstösst.

4. Pflichten des Verantwortlichen

Der Verantwortliche bleibt für die Rechtmässigkeit der Bearbeitung verantwortlich. Er stellt insbesondere sicher, dass:

1. für die Bearbeitung eine Rechtsgrundlage besteht, soweit eine solche erforderlich ist;
2. die Angaben zu seiner Person in der Datenschutzerklärung der Landingpage (insbesondere der Datenschutz-Kontakt im Faktenblatt) korrekt sind und die betroffenen Personen damit informiert werden;
3. er Anfragen betroffener Personen beantwortet und die Auftragsbearbeiterin beizieht, soweit nötig;
4. die Ziele, an die Anfragen weitergeleitet werden, seinen eigenen Datenschutzanforderungen genügen.

5. Technische und organisatorische Massnahmen

Die Auftragsbearbeiterin trifft die in Anhang 1 beschriebenen Massnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Sie darf die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht sinkt.

6. Unterauftragsbearbeiter

Der Verantwortliche genehmigt die in Anhang 2 aufgeführten Unterauftragsbearbeiter. Über die Hinzunahme oder den Ersatz eines Unterauftragsbearbeiters informiert die Auftragsbearbeiterin mindestens 30 Tage im Voraus per E-Mail oder im Kundenportal. Der Verantwortliche kann innert dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Lösung möglich, können beide Parteien den Hauptvertrag auf das Wirksamwerden der Änderung auflösen.

Die Auftragsbearbeiterin verpflichtet ihre Unterauftragsbearbeiter vertraglich auf mindestens gleichwertige Datenschutzpflichten. Bei Bekanntgabe ins Ausland stellt sie sicher, dass der Empfängerstaat einen angemessenen Schutz bietet oder geeignete Garantien bestehen (insbesondere Standardvertragsklauseln oder das Swiss-U.S. bzw. EU-U.S. Data Privacy Framework). Sie haftet für ihre Unterauftragsbearbeiter wie für eigenes Handeln.

Die vom Verantwortlichen selbst gewählten Ziele für die Weiterleitung von Anfragen (z. B. sein CRM oder sein Webhook) sind keine Unterauftragsbearbeiter der Auftragsbearbeiterin; die Übermittlung dorthin erfolgt auf Weisung des Verantwortlichen.

7. Unterstützung des Verantwortlichen

Die Auftragsbearbeiterin unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei Auskunfts-, Berichtigungs- und Löschbegehren sowie weiteren Rechten betroffener Personen, bei der Datensicherheit, bei Meldungen von Datensicherheitsverletzungen und bei Datenschutz-Folgenabschätzungen. Begehren, die direkt bei ihr eingehen, leitet sie umgehend an den Verantwortlichen weiter.

8. Verletzungen der Datensicherheit

Die Auftragsbearbeiterin meldet dem Verantwortlichen eine Verletzung der Datensicherheit so rasch als möglich, spätestens innert 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen. Sie unterstützt den Verantwortlichen bei Meldungen an den EDÖB, an EU-Aufsichtsbehörden und an betroffene Personen.

9. Nachweis und Kontrolle

Die Auftragsbearbeiterin stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Überprüfungen vor Ort sind nach schriftlicher Ankündigung von mindestens 30 Tagen während der Geschäftszeiten möglich. Unverhältnismässigen Aufwand kann die Auftragsbearbeiterin angemessen in Rechnung stellen.

10. Rückgabe und Löschung

Am Ende der Kampagne erhält der Verantwortliche einen Export aller Anfragen. Nach Beendigung des Hauptvertrags, einschliesslich der Abschaltung der Landingpage, löscht die Auftragsbearbeiterin die im Auftrag bearbeiteten Personendaten innert 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht, oder gibt sie auf Wunsch zuvor in einem gängigen elektronischen Format heraus. Kopien in Datensicherungen werden im Rahmen der ordentlichen Zyklen überschrieben. Die Löschung wird auf Verlangen bestätigt.

11. Vertraulichkeit

Die Auftragsbearbeiterin und alle für sie tätigen Personen behandeln die Daten vertraulich, auch nach Ende des Vertrags.

12. Haftung

Die Haftung richtet sich nach dem Hauptvertrag, soweit zwingendes Datenschutzrecht nichts anderes vorsieht. Jede Partei stellt die andere von Ansprüchen betroffener Personen frei, soweit diese auf ihrer eigenen Pflichtverletzung beruhen.

13. Dauer, Änderungen und Schlussbestimmungen

Dieser Vertrag gilt ab dem Start des Auftrags und endet mit dem Hauptvertrag; Vertraulichkeit, Löschung und Auskunft gelten darüber hinaus. Für einen Auftrag gilt die Fassung, die beim Start akzeptiert wurde; wesentliche Änderungen für laufende Aufträge teilt die Auftragsbearbeiterin 30 Tage im Voraus mit. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Datenschutzfragen vor.

Es gilt schweizerisches Recht; zwingende Bestimmungen der DSGVO bleiben vorbehalten, soweit sie anwendbar sind. Gerichtsstand ist der Sitz der Auftragsbearbeiterin in Dürnten. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anhang 1: Technische und organisatorische Massnahmen

• Zugang: Anmeldung am Kundenportal nur mit persönlichem Einmal-Link per E-Mail, keine Selbstregistrierung; administrative Zugänge mit Zwei-Faktor-Authentifizierung und Passwort-Manager.
• Zugriff: Berechtigungen nach dem Need-to-know-Prinzip; Zugriffsregeln auf Datenbankebene (Row Level Security), sodass jeder Kunde nur seine eigenen Aufträge sieht; Prüfung von Anmeldung und Berechtigung bei jedem Serverzugriff.
• Trennung: Daten verschiedener Verantwortlicher sind logisch getrennt; Dateien liegen in privaten Speicherbereichen und sind nur über zeitlich begrenzte Links abrufbar.
• Verschlüsselung: Übertragung ausschliesslich verschlüsselt (TLS 1.2 oder höher); Zugangsdaten zu CRM-Systemen des Verantwortlichen werden zusätzlich verschlüsselt gespeichert; Kontaktdaten an Meta nur gehasht.
• Datensparsamkeit: Keine Personendaten in Protokollen, soweit technisch vermeidbar; Testanfragen werden vor der Aufschaltung einer Landingpage gelöscht.
• Speicherort: Datenbank und Dateien in der Schweiz (Zürich); weitere Dienste gemäss Anhang 2.
• Verfügbarkeit: Cloud-Dienste mit Service-Level-Vereinbarungen und täglichen automatischen Datensicherungen.
• KI-Dienste: Personendaten gehen nur an KI-Dienste, deren Bedingungen eine Verwendung zum Modelltraining ausschliessen. Dienste zur Erzeugung von Bildern, Videos, Stimmen und Übersetzungen erhalten nur Projektunterlagen und Texte ohne Personendaten.
• Organisation: Verzeichnis der Bearbeitungstätigkeiten, dokumentiertes Vorgehen bei Sicherheitsvorfällen, schriftliche Verträge mit allen Unterauftragsbearbeitern.

Anhang 2: Unterauftragsbearbeiter

Stand 28.09.2026