Wir uebernehmen die Funktion des Datenschutzbeauftragten auf Grundlage eines Dienstleistungsvertrags nach Art. 37 Abs. 6 DSGVO – und in der Schweiz die Funktion des Datenschutzberaters nach Art. 10 revDSG. Nicht als Zertifikat an der Wand, sondern als belastbare Dokumentation: Verzeichnis, Vertraege, Loeschkonzept, Meldewege, Schulungsnachweise.
Die Pflicht zur Benennung folgt aus Art. 37 Abs. 1 DSGVO und der Erweiterung durch den deutschen Gesetzgeber in § 38 Abs. 1 BDSG, gestuetzt auf die Oeffnungsklausel des Art. 37 Abs. 4 DSGVO. Geprueft wird jeder Tatbestand einzeln; sie stehen nebeneinander, nicht in einer Rangfolge.
Ausgenommen sind Gerichte, soweit sie im Rahmen ihrer justiziellen Taetigkeit handeln. Die Benennung ist unabhaengig von Groesse und Datenumfang zwingend.
Wenn die Kerntaetigkeit in Verarbeitungen besteht, die eine umfangreiche regelmaessige und systematische Ueberwachung betroffener Personen erforderlich machen – etwa Tracking, Scoring, Standort- oder Verhaltensauswertung.
Wenn die Kerntaetigkeit in der umfangreichen Verarbeitung besonderer Kategorien nach Art. 9 DSGVO oder von Daten ueber strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO besteht.
Wenn staendig in der Regel mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschaeftigt sind. Gezaehlt werden Koepfe, nicht Vollzeitaequivalente – einschliesslich Teilzeit, Aushilfen und regelmaessig eingesetzter Externer.
Unabhaengig von der Personenzahl bei Verarbeitungen, die einer Datenschutz-Folgenabschaetzung nach Art. 35 DSGVO unterliegen, sowie bei geschaeftsmaessiger Verarbeitung zum Zweck der Uebermittlung, der anonymisierten Uebermittlung oder der Markt- und Meinungsforschung.
Private Verantwortliche in der Schweiz koennen einen Datenschutzberater ernennen. Die Ernennung ist freiwillig, eroeffnet aber die Erleichterung des Art. 23 Abs. 4 revDSG bei der Datenschutz-Folgenabschaetzung. Voraussetzung sind Fachkenntnis, Weisungsfreiheit in dieser Funktion und Freiheit von Interessenkonflikten.
Konzern- und Gruppenstrukturen: Nach Art. 37 Abs. 2 DSGVO kann eine Unternehmensgruppe einen gemeinsamen Datenschutzbeauftragten benennen, sofern er von jeder Niederlassung aus leicht erreichbar ist. Die Pflichtenlage ist dennoch je Verantwortlichem gesondert zu bestimmen – die gemeinsame Benennung ersetzt nicht die getrennte Prueflast.
Art. 37 Abs. 6 DSGVO stellt beide Wege ausdruecklich gleich: Der Datenschutzbeauftragte kann Beschaeftigter des Verantwortlichen sein oder seine Aufgaben auf der Grundlage eines Dienstleistungsvertrags erfuellen. Die Unterschiede liegen nicht in der Zulaessigkeit, sondern in drei praktischen Punkten.
Nach Art. 38 Abs. 6 Satz 2 DSGVO duerfen andere Aufgaben nicht zu einem Interessenkonflikt fuehren. Der Gerichtshof hat entschieden, dass ein Datenschutzbeauftragter keine Aufgaben wahrnehmen darf, bei denen er die Zwecke und Mittel der Verarbeitung festlegt.
Damit scheiden in der Praxis regelmaessig Geschaeftsfuehrung, IT-Leitung, Personalleitung und Marketingleitung als Traeger der Funktion aus.
EuGH, Urt. v. 09.02.2023 – C-453/21 (X-FAB Dresden)Der Datenschutzbeauftragte darf wegen der Erfuellung seiner Aufgaben nicht abberufen oder benachteiligt werden (Art. 38 Abs. 3 Satz 2 DSGVO). Fuer intern benannte Beschaeftigte tritt in Deutschland der verschaerfte Schutz aus § 38 Abs. 2 i. V. m. § 6 Abs. 4 BDSG hinzu.
Eine interne Benennung erzeugt damit eine dauerhafte arbeitsrechtliche Bindung, die eine externe Benennung nicht ausloest.
EuGH, Urt. v. 22.06.2022 – C-534/20 (Leistritz)Art. 37 Abs. 5 DSGVO verlangt Benennung auf Grundlage beruflicher Qualifikation und Fachwissen, gemessen an der Komplexitaet der Verarbeitung. Art. 38 Abs. 2 DSGVO verpflichtet zur Bereitstellung der erforderlichen Ressourcen und zur Erhaltung des Fachwissens.
Extern bedeutet: laufende Fortbildung, dokumentierte Vertretung im Ausfall und keine Abhaengigkeit von einer einzelnen internen Person.
Art. 37 Abs. 5, Art. 38 Abs. 2 DSGVODer Aufgabenkatalog ist gesetzlich abschliessend vorgegeben. Er beschreibt eine Ueberwachungs- und Beratungsfunktion – nicht die Uebernahme der Verantwortung. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO bleibt das Unternehmen.
Unterrichtung und Beratung des Verantwortlichen, der Auftragsverarbeiter und der Beschaeftigten hinsichtlich ihrer Pflichten nach der Verordnung und nach sonstigen Datenschutzvorschriften (Art. 39 Abs. 1 lit. a DSGVO).
Ueberwachung der Einhaltung der Verordnung und der internen Strategien, einschliesslich der Zuweisung von Zustaendigkeiten, der Sensibilisierung und Schulung der Beschaeftigten sowie der damit verbundenen Ueberpruefungen (Art. 39 Abs. 1 lit. b DSGVO).
Beratung im Zusammenhang mit der Datenschutz-Folgenabschaetzung und Ueberwachung ihrer Durchfuehrung nach Art. 35 DSGVO (Art. 39 Abs. 1 lit. c DSGVO).
Zusammenarbeit mit der Aufsichtsbehoerde und Taetigkeit als deren Anlaufstelle, auch bei der vorherigen Konsultation nach Art. 36 DSGVO (Art. 39 Abs. 1 lit. d, lit. e DSGVO).
Fruehzeitige Einbindung in alle Fragen des Schutzes personenbezogener Daten (Art. 38 Abs. 1 DSGVO) – nicht erst, wenn das System bereits eingekauft ist.
Weisungsfreiheit und direkte Berichtslinie zur hoechsten Managementebene (Art. 38 Abs. 3 DSGVO).
Verschwiegenheit und Geheimhaltung bei der Erfuellung der Aufgaben (Art. 38 Abs. 5 DSGVO); betroffene Personen koennen sich unmittelbar an den Datenschutzbeauftragten wenden (Art. 38 Abs. 4 DSGVO).
Der Umfang wird nach Branche, Beschaeftigtenzahl, Standorten, Systemlandschaft und Risikoprofil festgelegt. Ein Angebot erhalten Sie nach dem Erstgespraech.
Erhebung der Verarbeitungen, Systeme, Dienstleister und Datenfluesse. Bewertung des Ist-Zustands gegen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO mit priorisierter Massnahmenliste.
Aufbau und Pflege nach Art. 30 Abs. 1 bzw. Abs. 2 DSGVO, einschliesslich Rechtsgrundlagen, Empfaengern, Fristen und Uebermittlungen. Die Ausnahme des Art. 30 Abs. 5 DSGVO greift in der Praxis selten.
Bewertung und Dokumentation nach Art. 32 DSGVO sowie Datenschutz durch Technikgestaltung und Voreinstellungen nach Art. 25 DSGVO. Abstimmung mit einem bestehenden Informationssicherheitsmanagement.
Pruefung und Gestaltung der Vertraege nach Art. 28 DSGVO, Auswahl und Kontrolle der Dienstleister, Vereinbarungen bei gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO.
Pruefung der Uebermittlungen nach Kapitel V, Angemessenheitsbeschluss nach Art. 45 DSGVO, Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und Transfer Impact Assessment im Nachgang zur Entscheidung des Gerichtshofs.
EuGH, Urt. v. 16.07.2020 – C-311/18 (Schrems II)Schwellwertpruefung, Durchfuehrung und Dokumentation der Datenschutz-Folgenabschaetzung nach Art. 35 DSGVO, erforderlichenfalls vorherige Konsultation der Aufsichtsbehoerde nach Art. 36 DSGVO.
Verfahren fuer Auskunft, Berichtigung, Loeschung, Einschraenkung, Datenuebertragbarkeit und Widerspruch nach Art. 12 bis 22 DSGVO sowie ein Loeschkonzept, das Aufbewahrungspflichten und Loeschpflichten zusammenfuehrt.
BGH, Urt. v. 15.06.2021 – VI ZR 576/19 · EuGH, Urt. v. 04.05.2023 – C-487/21Verarbeitung im Beschaeftigungskontext nach § 26 BDSG i. V. m. Art. 88 DSGVO, Betriebsvereinbarungen als Rechtsgrundlage, Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Fuer Websites und Apps: Einwilligung fuer Zugriffe auf Endeinrichtungen nach § 25 Abs. 1 TDDDG.
EuGH, Urt. v. 01.10.2019 – C-673/17 (Planet49) · BGH, Urt. v. 28.05.2020 – I ZR 7/16Sensibilisierung und Schulung der Beschaeftigten mit Nachweis, interne Kontrollen sowie ein jaehrlicher Taetigkeitsbericht an die Geschaeftsleitung als Beleg der Rechenschaftspflicht.
Nach Art. 33 Abs. 1 DSGVO ist eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehoerde unverzueglich und moeglichst binnen 72 Stunden zu melden, nachdem sie bekannt wurde. Die Frist laeuft nicht erst, wenn der Sachverhalt vollstaendig aufgeklaert ist – Art. 33 Abs. 4 DSGVO erlaubt ausdruecklich die schrittweise Nachmeldung. Wer auf Vollstaendigkeit wartet, versaeumt die Frist.
Der Auftragsverarbeiter meldet nicht selbst an die Behoerde, sondern unverzueglich an den Verantwortlichen (Art. 33 Abs. 2 DSGVO). Diese Kette muss vertraglich und organisatorisch vorher stehen – im Ereignisfall ist keine Zeit, sie zu bauen.
Die Bussgeldhoehe bemisst sich nach Art. 83 Abs. 1 und Abs. 2 DSGVO; massgeblich sind unter anderem Art, Schwere und Dauer des Verstosses, Grad des Verschuldens, getroffene Massnahmen zur Minderung und der Grad der Zusammenarbeit mit der Aufsichtsbehoerde.
Unter anderem bei Verstoessen gegen die Pflichten aus Art. 25, 28, 30, 32, 33 und 34 sowie gegen Art. 37 bis 39 – also gerade bei unterlassener oder fehlerhafter Benennung des Datenschutzbeauftragten. Massgeblich ist der hoehere Betrag, bezogen auf den weltweiten Jahresumsatz des vorangegangenen Geschaeftsjahrs.
Bei Verstoessen gegen die Grundsaetze nach Art. 5, die Rechtmaessigkeit nach Art. 6, die Einwilligung nach Art. 7, die Betroffenenrechte nach Art. 12 bis 22 und die Uebermittlungsvorschriften des Kapitels V.
Betroffene Personen haben Anspruch auf Ersatz materiellen und immateriellen Schadens. Der Gerichtshof hat klargestellt, dass es keine Erheblichkeitsschwelle gibt, der blosse Verstoss aber fuer sich noch keinen Anspruch begruendet – ein Schaden ist darzulegen.
Die Schritte sind eine Reihenfolge, keine Kalenderangabe. Der Zeitbedarf haengt von Groesse, Systemlandschaft und Vorarbeit ab und wird im Angebot bestimmt.
Abgleich mit Art. 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG, in der Schweiz mit Art. 10 revDSG. Ergebnis ist eine begruendete Feststellung, ob eine Pflicht besteht oder eine freiwillige Benennung sinnvoll ist.
Dienstleistungsvertrag nach Art. 37 Abs. 6 DSGVO mit Festlegung von Aufgabenumfang, Erreichbarkeit, Ressourcen nach Art. 38 Abs. 2 DSGVO und Berichtslinie zur Geschaeftsleitung.
Veroeffentlichung der Kontaktdaten und Mitteilung an die zustaendige Aufsichtsbehoerde nach Art. 37 Abs. 7 DSGVO. Ohne diesen Schritt ist die Benennung nach aussen nicht wirksam dokumentiert.
Verzeichnis nach Art. 30, Massnahmen nach Art. 32, Vertraege nach Art. 28, Loeschkonzept, Verfahren fuer Betroffenenanfragen und Meldeprozess nach Art. 33 und 34 DSGVO.
Erreichbarkeit als Anlaufstelle fuer Beschaeftigte, betroffene Personen und Aufsichtsbehoerde, Schulungen, anlassbezogene Beratung bei neuen Verfahren und Systemen.
Taetigkeitsbericht, Kontrollplan und Fortschreibung der Dokumentation als Beleg der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO bleibt das Unternehmen. Der Datenschutzbeauftragte ueberwacht und beraet; er entscheidet nicht ueber Zwecke und Mittel der Verarbeitung.
Wir nehmen die nach Art. 39 DSGVO zugewiesenen Aufgaben wahr. Rechtsberatung im Einzelfall ausserhalb dieses Aufgabenkreises und die Vertretung in Gerichts- oder Bussgeldverfahren erbringen wir nicht (§§ 2, 3 RDG).
Wir sind keine Zertifizierungsstelle nach Art. 42, 43 DSGVO und erteilen keine Datenschutzsiegel oder Pruefzeichen.
Die Benennung als Vertreter in der Union nach Art. 27 DSGVO setzt eine Niederlassung in einem Mitgliedstaat voraus. Diese Leistung bieten wir nicht an.
Schreiben Sie uns mit Branche, Beschaeftigtenzahl, Standorten und den wesentlichen Verarbeitungen. Sie erhalten eine Einschaetzung zur Benennungspflicht und zum Zuschnitt des Mandats. Wir arbeiten ohne Kontaktformular und ohne Telefonhotline – die Anfrage per E-Mail ist der einzige Weg.
Die Anbieterin fuehrt keine gesonderte Mehrwertsteuernummer. Bei Leistungen an Unternehmerinnen und Unternehmer mit Sitz in Deutschland liegt der Leistungsort nach § 3a Abs. 2 UStG am Sitz der Leistungsempfaengerin; die Steuerschuld geht nach § 13b Abs. 1, Abs. 5 UStG auf die Leistungsempfaengerin ueber (Reverse Charge). Beim Bezug von Leistungen aus dem Ausland gilt in der Schweiz die Bezugsteuer nach Art. 45 i. V. m. Art. 8 Abs. 1 MWSTG. Rechnungen weisen daher keine deutsche Umsatzsteuer aus.
Die Anbieterin nimmt die Funktion des Datenschutzbeauftragten im Rahmen des gesetzlichen Aufgabenkreises nach Art. 39 DSGVO wahr. Sie erbringt darueber hinaus keine Rechtsdienstleistung im Sinne der §§ 2, 3 RDG und keine Hilfeleistung in Steuersachen im Sinne des § 5 StBerG. Sie ist keine Zertifizierungsstelle nach Art. 42, 43 DSGVO und uebernimmt keine Vertretung nach Art. 27 DSGVO.
Die Inhalte dieser Seite werden mit Sorgfalt erstellt. Sie stellen allgemeine Informationen dar und ersetzen keine einzelfallbezogene Pruefung. Rechtsprechungsnachweise geben den tragenden Gedanken der Entscheidung sinngemaess wieder; massgeblich ist allein der Entscheidungstext. Fuer Inhalte externer Seiten, auf die verwiesen wird, ist ausschliesslich deren Betreiberin oder Betreiber verantwortlich; zum Zeitpunkt der Verlinkung waren keine Rechtsverstoesse erkennbar.
Die auf dieser Seite erstellten Inhalte unterliegen dem Urheberrecht. Vervielfaeltigung, Bearbeitung und Verbreitung ausserhalb der gesetzlichen Schranken beduerfen der schriftlichen Zustimmung der Anbieterin.
Die Anbieterin richtet ihr Angebot ausschliesslich an Unternehmerinnen und Unternehmer sowie an oeffentliche Stellen. Eine Teilnahme an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle findet nicht statt.
Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO und Art. 5 lit. j revDSG ist die IMS New Technologies AG, Industriestrasse 28, CH-9100 Herisau AR, Schweiz, dsb@ims-nt.ch.
Die Verarbeitung richtet sich nach dem revidierten Schweizer Datenschutzgesetz (revDSG) und, soweit der raeumliche Anwendungsbereich nach Art. 3 Abs. 2 DSGVO eroeffnet ist, nach der Datenschutz-Grundverordnung.
Die Anbieterin hat keinen Vertreter in der Union benannt. Die Verarbeitung ueber diese Website erfolgt nur gelegentlich, umfasst keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO und keine Verarbeitung von Daten ueber strafrechtliche Verurteilungen nach Art. 10 DSGVO; unter Beruecksichtigung von Art, Umstaenden, Umfang und Zwecken der Verarbeitung ist ein Risiko fuer die Rechte und Freiheiten natuerlicher Personen unwahrscheinlich. Damit greift die Ausnahme des Art. 27 Abs. 2 lit. a DSGVO.
Beim Aufruf dieser Seite werden durch den Hostinganbieter automatisch Zugriffsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Ressource, uebertragene Datenmenge, Statuscode, Referrer sowie Browser- und Betriebssystemkennung. Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO; das berechtigte Interesse liegt im technisch stoerungsfreien Betrieb und in der Abwehr von Angriffen. Die Daten werden nicht mit anderen Datenquellen zusammengefuehrt und nach kurzer Frist geloescht, soweit sie nicht zur Aufklaerung eines konkreten Sicherheitsvorfalls benoetigt werden.
Diese Seite setzt keine Cookies, verwendet keine Analysewerkzeuge, kein Profiling und keine Werbenetzwerke. Es findet kein Zugriff auf Informationen in der Endeinrichtung im Sinne des § 25 Abs. 1 TDDDG statt; eine Einwilligung ist daher nicht erforderlich und es wird kein Einwilligungsbanner eingeblendet.
Die Seite bindet Schriftarten ueber Google Fonts (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein. Dabei wird die IP-Adresse Ihres Endgeraets an den Dienst uebermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der einheitlichen und barrierearmen Darstellung. Eine Uebermittlung in die Vereinigten Staaten stuetzt sich auf den Angemessenheitsbeschluss der Europaeischen Kommission nach Art. 45 DSGVO (EU-US Data Privacy Framework); ergaenzend kommen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO in Betracht.
Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Absenderadresse und die von Ihnen mitgeteilten Inhalte zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 UAbs. 1 lit. b DSGVO bei vorvertraglichen Massnahmen, im Uebrigen lit. f DSGVO. Die Daten werden geloescht, sobald der Zweck entfallen ist und keine handels- oder steuerrechtlichen Aufbewahrungsfristen entgegenstehen (Art. 958f OR; §§ 147 AO, 257 HGB). Unverschluesselte E-Mail bietet keinen vollstaendigen Schutz; fuer vertrauliche Angaben vereinbaren wir auf Wunsch einen gesicherten Uebertragungsweg.
Eine Weitergabe personenbezogener Daten erfolgt nur, soweit dies zur Erbringung der Leistung erforderlich ist oder eine rechtliche Verpflichtung besteht. Mit Dienstleistern, die weisungsgebunden Daten verarbeiten, bestehen Vertraege nach Art. 28 DSGVO bzw. Art. 9 revDSG.
Ihnen stehen nach Art. 15 bis 21 DSGVO die Rechte auf Auskunft, Berichtigung, Loeschung, Einschraenkung der Verarbeitung, Datenuebertragbarkeit sowie das Widerspruchsrecht zu; nach revDSG bestehen entsprechende Rechte auf Auskunft und Datenherausgabe (Art. 25, 28 revDSG). Beschwerden koennen Sie an eine Aufsichtsbehoerde nach Art. 77 DSGVO richten oder in der Schweiz an den Eidgenoessischen Datenschutz- und Oeffentlichkeitsbeauftragten (EDOEB).
Diese Erklaerung gilt fuer die vorliegende Fassung der Seite und wird bei Aenderungen der Verarbeitung angepasst.
Fuer die Wahrnehmung der Funktion des Datenschutzbeauftragten und fuer Datenschutzberatung durch die IMS New Technologies AG. Ausschliesslich gegenueber Unternehmen und oeffentlichen Stellen.
(1) Diese Bedingungen gelten fuer alle Vertraege zwischen der IMS New Technologies AG (Anbieterin) und ihren Auftraggebern ueber die Benennung als Datenschutzbeauftragte, als Datenschutzberaterin nach Art. 10 revDSG sowie ueber Datenschutzberatung im Uebrigen.
(2) Die Anbieterin kontrahiert ausschliesslich mit Unternehmen, juristischen Personen des oeffentlichen Rechts und oeffentlich-rechtlichen Sondervermoegen. Vertraege mit Verbrauchern kommen nicht zustande.
(3) Abweichende oder ergaenzende Bedingungen des Auftraggebers werden nur wirksam, wenn die Anbieterin ihnen ausdruecklich und in Textform zustimmt.
(1) Gegenstand ist die Wahrnehmung der Aufgaben des Datenschutzbeauftragten nach Art. 39 DSGVO auf Grundlage eines Dienstleistungsvertrags nach Art. 37 Abs. 6 DSGVO sowie die vereinbarte Datenschutzberatung. Geschuldet ist ein sorgfaeltiges Taetigwerden nach den Regeln der Auftraggeberbeziehung (Art. 394 ff. OR), nicht ein bestimmter Erfolg.
(2) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO bleibt der Auftraggeber. Die Anbieterin entscheidet nicht ueber Zwecke und Mittel der Verarbeitung und uebernimmt keine datenschutzrechtliche Verantwortlichkeit des Auftraggebers.
(3) Die Anbieterin erbringt ausserhalb des Aufgabenkreises nach Art. 39 DSGVO keine Rechtsdienstleistung im Sinne der §§ 2, 3 RDG, keine Hilfeleistung in Steuersachen nach § 5 StBerG, keine Zertifizierung nach Art. 42, 43 DSGVO und keine Vertretung nach Art. 27 DSGVO.
(1) Die Anbieterin ist bei der Erfuellung ihrer Aufgaben weisungsfrei (Art. 38 Abs. 3 Satz 1 DSGVO) und berichtet unmittelbar der hoechsten Leitungsebene des Auftraggebers.
(2) Der Auftraggeber bindet die Anbieterin ordnungsgemaess und fruehzeitig in alle Fragen des Schutzes personenbezogener Daten ein (Art. 38 Abs. 1 DSGVO) und stellt die erforderlichen Ressourcen, Informationen und Zugaenge bereit (Art. 38 Abs. 2 DSGVO).
(3) Der Auftraggeber veroeffentlicht die Kontaktdaten der Anbieterin und teilt sie der zustaendigen Aufsichtsbehoerde mit (Art. 37 Abs. 7 DSGVO).
(1) Der Auftraggeber stellt Unterlagen, Systemzugaenge und Ansprechpersonen rechtzeitig und vollstaendig bereit und informiert unverzueglich ueber neue oder geaenderte Verarbeitungen sowie ueber jede Verletzung des Schutzes personenbezogener Daten.
(2) Die Anbieterin darf auf die Richtigkeit und Vollstaendigkeit der ueberlassenen Angaben vertrauen; eine eigenstaendige Ermittlungspflicht besteht nur, soweit ausdruecklich vereinbart.
(3) Verzoegerungen aus unterbliebener Mitwirkung gehen nicht zulasten der Anbieterin; hierdurch entstehender Mehraufwand wird nach Aufwand verguetet.
(1) Die Verguetung richtet sich nach dem jeweiligen Angebot; sie erfolgt als laufende Pauschale fuer einen definierten Leistungsumfang oder nach Aufwand.
(2) Leistungen ausserhalb des vereinbarten Umfangs, insbesondere die Bearbeitung von Datenschutzvorfaellen, aufsichtsbehoerdlichen Verfahren und Folgenabschaetzungen, werden gesondert nach Aufwand verguetet, soweit nichts anderes vereinbart ist.
(3) Rechnungen sind ohne Abzug innerhalb von 14 Tagen ab Zugang faellig. Zur Umsatzsteuer gilt die Angabe im Impressum (Reverse Charge).
(4) Die Aufrechnung ist nur mit unbestrittenen oder rechtskraeftig festgestellten Forderungen zulaessig.
(1) Die Anbieterin ist bei der Erfuellung ihrer Aufgaben zur Wahrung der Geheimhaltung und der Vertraulichkeit verpflichtet (Art. 38 Abs. 5 DSGVO). Die Verpflichtung gilt ueber das Vertragsende hinaus fort.
(2) Betroffene Personen koennen die Anbieterin zu allen mit der Verarbeitung ihrer Daten im Zusammenhang stehenden Fragen unmittelbar zu Rate ziehen (Art. 38 Abs. 4 DSGVO).
(3) Die Anbieterin nennt den Auftraggeber nur mit dessen vorheriger Zustimmung als Referenz.
(1) An den fuer den Auftraggeber erstellten Dokumenten erhaelt dieser mit vollstaendiger Zahlung ein einfaches, zeitlich und raeumlich unbeschraenktes Nutzungsrecht fuer eigene betriebliche Zwecke.
(2) An Methoden, Vorlagen und Checklisten der Anbieterin verbleiben alle Rechte bei der Anbieterin; eine Weitergabe an Dritte bedarf der Zustimmung in Textform.
(1) Die Anbieterin haftet unbeschraenkt fuer Vorsatz und grobe Fahrlaessigkeit sowie fuer Schaeden aus der Verletzung des Lebens, des Koerpers oder der Gesundheit.
(2) Im Uebrigen haftet sie bei leichter Fahrlaessigkeit nur fuer die Verletzung wesentlicher Vertragspflichten und der Hoehe nach begrenzt auf den bei Vertragsschluss typischerweise vorhersehbaren Schaden. Eine weitergehende Haftung, insbesondere fuer entgangenen Gewinn und mittelbare Schaeden, ist ausgeschlossen. Art. 100 Abs. 1 OR bleibt unberuehrt.
(3) Die Anbieterin haftet nicht fuer Bussgelder und Schadensersatzansprueche, die gegen den Auftraggeber festgesetzt oder geltend gemacht werden, soweit sie auf Umstaenden beruhen, die der Auftraggeber zu vertreten hat – insbesondere auf unterbliebener Einbindung, unvollstaendiger Information oder Nichtumsetzung dokumentierter Empfehlungen.
(1) Die Vertragsdauer ergibt sich aus dem Angebot. Das Recht zur Kuendigung aus wichtigem Grund bleibt unberuehrt; Art. 404 OR bleibt unberuehrt.
(2) Eine Abberufung oder Benachteiligung wegen der Erfuellung der Aufgaben ist nach Art. 38 Abs. 3 Satz 2 DSGVO unzulaessig.
(3) Nach Beendigung gibt die Anbieterin ueberlassene Unterlagen zurueck oder loescht sie nach Wahl des Auftraggebers, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
(1) Es gilt ausschliesslich Schweizer Recht unter Ausschluss der Kollisionsnormen und unter ausdruecklichem Ausschluss des Uebereinkommens der Vereinten Nationen ueber Vertraege ueber den internationalen Warenkauf (CISG, Art. 6 CISG). Zwingende Vorschriften des Datenschutzrechts am Sitz des Auftraggebers bleiben unberuehrt.
(2) Ausschliesslicher Gerichtsstand ist Herisau, Kanton Appenzell Ausserrhoden, Schweiz. Die Anbieterin ist berechtigt, auch am allgemeinen Gerichtsstand des Auftraggebers zu klagen.
(1) Aenderungen und Ergaenzungen beduerfen der Textform; das gilt auch fuer die Aufhebung dieser Klausel.
(2) Sollte eine Bestimmung unwirksam oder undurchfuehrbar sein, bleibt die Wirksamkeit der uebrigen Bestimmungen unberuehrt.