Dies ist die öffentlich einsehbare Referenzfassung. Die Platzhalter in eckigen Klammern werden in der kundenspezifischen, unterzeichneten Fassung ausgefüllt.
zwischen
[Verwaltungsgesellschaft / Kunde], [Adresse]
(nachfolgend «Verantwortlicher»),
und
sanoa.tech klg, Gartenhof 22, 8404 Winterthur (CHE-489.309.398)
(nachfolgend «Dienstleister»),
zusammen «die Parteien».
Präambel
Der Dienstleister erbringt für den Verantwortlichen gestützt auf ein separates Vertragsverhältnis (nachfolgend «Hauptvertrag», bestehend aus Offerte samt AGB) Dienstleistungen mit der SANOA-Webanwendung — einem autonomen KI-Agenten für die Liegenschaftsverwaltung mit den Betriebsmodi Pilot (Bearbeitung mit Freigabe) und Autopilot (autonome Bearbeitung).
Dieser Vertrag ermöglicht es den Parteien, ihren Verpflichtungen nach dem anwendbaren Datenschutzrecht, insbesondere nach Art. 9 des Bundesgesetzes über den Datenschutz (revDSG) und der Datenschutzverordnung (DSV), nachzukommen, wenn der Dienstleister für den Verantwortlichen Personendaten bearbeitet.
1. Angaben zur Datenbearbeitung und Dauer des Auftrags
Gegenstand der Bearbeitung: Betrieb des KI-Agenten SANOA für den Verantwortlichen: Entgegennahme, Triage und Bearbeitung von Anliegen, Erstellung von Antworten, Beauftragung von Handwerkern/Dienstleistern sowie Übergabe der Daten an die angebundenen Systeme des Verantwortlichen.
Art der Bearbeitung: Erheben, Speichern, Ordnen, Anzeigen, Verändern, Auslesen, Bekanntgeben (Versand von Benachrichtigungen, Übergabe an angebundene Systeme), Einschränken, Löschen und Sichern der Daten mittels automatisierter Systeme.
Zweck der Bearbeitung: Automatisierte und teilautomatisierte Bearbeitung von Anliegen im Rahmen der Liegenschaftsbewirtschaftung des Verantwortlichen.
Art der Daten:
- Kontakt- und Identifikationsdaten betroffener Personen: Vorname, Nachname, Adresse, E-Mail-Adresse, Telefonnummer
- Objekt- und Mietverhältnisdaten
- Anliegen-, Ticket- und Auftragsdaten (Schadenmeldungen, Anfragen, Status, Verlauf), einschliesslich Freitextangaben
- Hochgeladene Dokumente und Bilder (z. B. Schadenfotos, PDF) sowie deren Metadaten
- Nutzerkontodaten des Verantwortlichen: Name, E-Mail-Adresse, Zugangsdaten
- Technische Daten: Protokoll-/Log-Daten im Rahmen des Betriebs
Kategorien der Betroffenen: Mieterinnen und Mieter, Eigentümerinnen und Eigentümer, Interessenten, Handwerker und Dienstleister, Mitarbeitende bzw. berechtigte Personen des Verantwortlichen (Nutzerkonten) sowie weitere Dritte, deren Daten im Rahmen der Anliegen anfallen.
Besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c revDSG werden nicht gezielt bearbeitet; sie können jedoch in Freitextangaben betroffener Personen vorkommen. Der Verantwortliche informiert den Dienstleister, wenn sein Einsatzbereich regelmässig solche Daten erwarten lässt.
Die Dauer der Auftragsbearbeitung richtet sich nach der Laufzeit des Hauptvertrags und kann nur mit diesem zusammen ordentlich oder ausserordentlich gekündigt werden. Anliegen- und Vorgangsdaten werden während der Vertragslaufzeit vorgehalten und auf Weisung des Verantwortlichen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Automatisierte Bearbeitung (Autopilot): Im Modus Autopilot bearbeitet der Agent definierte Anliegen ohne vorgängige menschliche Prüfung im Rahmen der vom Verantwortlichen festgelegten Regeln und Grenzen. Soweit dabei automatisierte Einzelentscheidungen im Sinne von Art. 21 revDSG getroffen werden, bleibt der Verantwortliche für deren Zulässigkeit, für die Information der betroffenen Personen sowie für die Gewährleistung einer Überprüfung durch eine natürliche Person verantwortlich. Der Dienstleister stellt die hierfür erforderlichen technischen Vorkehrungen (Protokollierung, Möglichkeit der menschlichen Überprüfung) bereit.
2. Ort der Datenbearbeitung
Die dauerhafte Speicherung der Personendaten (Datenbank, Dateien) erfolgt ausschliesslich in der Schweiz.
Die KI-Verarbeitung (Triage, Antworten, Dispatch) erfolgt vollständig in der Schweiz; es findet keine Übermittlung ins Ausland statt.
Der Betrieb der Applikation (Laufzeit) erfolgt über einen Anbieter mit Standort in Deutschland (EU/EWR). Dort werden die Personendaten während des laufenden Betriebs verarbeitet, jedoch nicht dauerhaft gespeichert. Für die Schweiz und die Staaten des EU-/EWR-Raums besteht nach der Liste des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) ein angemessenes Datenschutzniveau; es sind keine zusätzlichen Garantien erforderlich.
Für den Versand von Transaktions-E-Mails (Benachrichtigungen) wird ein Anbieter mit Sitz in den USA eingesetzt; dabei werden Name und E-Mail-Adresse der betroffenen Person übermittelt. Diese Bekanntgabe in ein Drittland erfolgt gestützt auf geeignete Garantien im Sinne von Art. 16 Abs. 2 lit. d revDSG, namentlich die vom EDÖB anerkannten EU-Standardvertragsklauseln mit den für die Schweiz erforderlichen Anpassungen, ergänzt durch eine Beurteilung der Rechtslage im Empfängerstaat (Transfer Impact Assessment). Der eingesetzte Anbieter ist nicht unter dem Swiss–U.S. Data Privacy Framework zertifiziert; die Angemessenheitsanerkennung des Bundesrates für DPF-zertifizierte US-Empfänger findet auf diese Übermittlung daher keine Anwendung. Der Verantwortliche erteilt hierzu seine Zustimmung.
Eine über das Vorstehende hinausgehende Übermittlung von Personendaten in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und ist nur zulässig, wenn die Voraussetzungen der Art. 16 und 17 revDSG erfüllt sind.
3. Pflichten des Dienstleisters
Der Dienstleister und ihm unterstellte Personen, die Zugang zu den Personendaten haben, bearbeiten die Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen, es sei denn, sie sind gesetzlich zur Bearbeitung verpflichtet.
Der Dienstleister führt über die von ihm durchgeführten Bearbeitungstätigkeiten ein Verzeichnis.
Der Dienstleister führt die Datenbearbeitung mittels geeigneter technischer und organisatorischer Massnahmen gemäss Art. 8 revDSG und Art. 1–6 DSV durch (vgl. Ziffer 4).
Der Dienstleister unterstützt den Verantwortlichen nach Möglichkeit dabei, seinen Pflichten hinsichtlich der Rechte der betroffenen Personen (Art. 25 ff. revDSG) sowie seinen Pflichten bei Verletzungen der Datensicherheit (Art. 24 revDSG) nachzukommen.
Der Dienstleister verwendet die zur Bearbeitung überlassenen Personendaten für keine anderen als die vereinbarten Zwecke, insbesondere nicht für eigene Zwecke und nicht zum Trainieren von KI-Modellen.
Der Dienstleister verpflichtet sich, alle im Rahmen des Vertragsverhältnisses bearbeiteten Personendaten vertraulich zu behandeln und die dazu berechtigten Personen entsprechend zu verpflichten. Diese Verpflichtung bleibt auch nach Beendigung des Vertrags bestehen.
4. Datensicherheit
Der Dienstleister ergreift und erhält angemessene technische und organisatorische Massnahmen, so dass die Bearbeitung den Anforderungen der anwendbaren Datenschutzgesetzgebung (insbesondere Art. 8 revDSG und Art. 1–6 DSV) entspricht und den Schutz der Rechte der betroffenen Personen gewährleistet.
Die Massnahmen müssen ein dem Risiko angemessenes Datensicherheitsniveau sicherstellen und Schutz vor unbefugter oder unrechtmässiger Bearbeitung sowie vor unbeabsichtigtem Verlust, Zerstörung oder Beschädigung bieten. Insbesondere sind zu gewährleisten: die Vertraulichkeit, die Verfügbarkeit, die Integrität und die Nachvollziehbarkeit.
Die konkret umgesetzten Massnahmen sind in Anhang 1 zu diesem Vertrag beschrieben und werden dem Verantwortlichen auf Anfrage in aktueller Fassung zur Verfügung gestellt.
Der Dienstleister überprüft die Massnahmen periodisch und passt sie dem Stand der Technik an; das Schutzniveau darf dadurch nicht unterschritten werden.
5. Unterauftragsbearbeiter
Die nachfolgenden Unterauftragsbearbeiter bearbeiten im Auftrag des Dienstleisters bereits bei Vertragsabschluss Personendaten, welche dem Dienstleister vom Verantwortlichen zur Bearbeitung zur Verfügung gestellt werden, wozu der Verantwortliche hiermit die Zustimmung erteilt:
| Anbieter | Leistung | Standort | Datenschutzgrundlage |
|---|---|---|---|
| Exoscale (Akenes SA) | Datenbank (Mieter-, Ticket-, Vorgangs- und Stammdaten) | Schweiz | Schweiz – keine Auslandbekanntgabe |
| Exoscale (Akenes SA) | Dateispeicher (Dokumente, Bilder, Anhänge) | Schweiz | Schweiz – keine Auslandbekanntgabe |
| Infomaniak (Infomaniak Network SA) | KI-Inferenz (Triage, Antworten, Dispatch) | Schweiz | Schweiz – keine Auslandbekanntgabe |
| Railway Corp. | App-Betrieb (Applikation/API, Agent-Logik; Verarbeitung, keine dauerhafte Speicherung) | Frankfurt, DE | EU/EWR – angemessenes Schutzniveau (EDÖB-Liste) |
| Resend, Inc. | Transaktions-E-Mail (Benachrichtigungen; Name, E-Mail) | USA | EU-Standardvertragsklauseln (mit CH-Anpassung, EDÖB-anerkannt) inkl. Transfer Impact Assessment; nicht Swiss–U.S. DPF-zertifiziert |
← Tabelle seitlich scrollbar
GitHub (USA) wird für die Code-Verwaltung eingesetzt, bearbeitet dabei jedoch keine Personendaten der betroffenen Personen und gilt daher nicht als Unterauftragsbearbeiter im Sinne dieses Vertrags.
Der Dienstleister informiert den Verantwortlichen schriftlich oder per E-Mail über jeden beabsichtigten Beizug eines zusätzlichen Unterauftragsbearbeiters. Der Verantwortliche hat das Recht, innert 10 Kalendertagen schriftlich oder per E-Mail Einspruch zu erheben. Im Falle eines Einspruchs darf der Dienstleister den vorgesehenen Unterauftragsbearbeiter nicht beauftragen.
Der Dienstleister verpflichtet alle involvierten Unterauftragsbearbeiter zur Einhaltung des Datenschutzes nach diesem Vertrag und haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Datenschutzpflichten.
6. Unterstützungs- und Informationspflichten
Der Dienstleister teilt dem Verantwortlichen Störungen, Verstösse, Unregelmässigkeiten oder Verletzungen der Datensicherheit und damit zusammenhängende Umstände (inkl. Ermittlungen und Massnahmen der Aufsichtsbehörde) unverzüglich mit, in der Regel innert 48 Stunden nach Kenntnis, ohne diese vorher Dritten bekannt zu geben.
Der Dienstleister informiert den Verantwortlichen umgehend, falls die Regelungen dieses Vertrags oder damit zusammenhängende Weisungen nicht eingehalten werden können, es sei denn, er ist gesetzlich an der Information gehindert.
Der Dienstleister unterstützt den Verantwortlichen angemessen bei der Erfüllung der Rechte der betroffenen Personen (z. B. Auskunft) und bei der Erfüllung besonderer Pflichten (z. B. Meldung von Verletzungen der Datensicherheit) und beantwortet Anfragen des Verantwortlichen im Zusammenhang mit der Bearbeitung unverzüglich und ordnungsgemäss.
Reichen die Antworten des Dienstleisters nicht zum Nachweis der Einhaltung der gesetzlichen und vertraglichen Pflichten aus, ist der Verantwortliche berechtigt, beim Dienstleister Überprüfungen (einschliesslich Inspektionen) selber oder durch beauftragte, zur Vertraulichkeit verpflichtete Prüfer vorzunehmen.
7. Nachweise und Audits
Der Dienstleister stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung, insbesondere die aktuelle Beschreibung der technischen und organisatorischen Massnahmen (Anhang 1) sowie vorhandene Nachweise und Zertifikate der Unterauftragsbearbeiter.
Reichen diese Angaben zum Nachweis nicht aus, kann der Verantwortliche höchstens einmal jährlich sowie zusätzlich bei konkretem Anlass (insbesondere nach einer Verletzung der Datensicherheit) eine Überprüfung durchführen. Die Überprüfung erfolgt nach Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten und so, dass der Geschäftsbetrieb des Dienstleisters nicht unangemessen beeinträchtigt wird. Der Verantwortliche kann die Überprüfung selbst oder durch einen zur Vertraulichkeit verpflichteten Dritten vornehmen lassen, der nicht in einem Wettbewerbsverhältnis zum Dienstleister steht.
Bei Unterauftragsbearbeitern erfolgt der Nachweis primär über deren Zertifikate, Auditberichte und Dokumentationen. Die Kosten der Überprüfung trägt der Verantwortliche, es sei denn, dabei wird ein erheblicher Verstoss des Dienstleisters gegen diesen Vertrag festgestellt.
8. Berichtigung, Einschränkung und Löschung von Daten
Der Dienstleister berichtigt, löscht oder schränkt die Bearbeitung der von ihm bearbeiteten Daten nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Verantwortlichen ein. Wendet sich eine betroffene Person diesbezüglich unmittelbar an den Dienstleister, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter.
Kopien oder Duplikate der Daten werden nur mit Zustimmung des Verantwortlichen erstellt. Hiervon ausgenommen sind Sicherungskopien, soweit sie zur Gewährleistung einer ordnungsgemässen Datenbearbeitung erforderlich sind, sowie Kopien im Hinblick auf gesetzliche Aufbewahrungspflichten.
Nach Abschluss der Bearbeitungsleistung löscht der Dienstleister nach Wahl des Verantwortlichen sämtliche im Zusammenhang mit dem Vertrag stehenden Daten und Unterlagen oder gibt sie diesem zurück; vorbehalten bleibt eine gesetzliche Aufbewahrungspflicht. Die Löschung erfolgt spätestens 90 Tage nach Vertragsende und wird auf Verlangen schriftlich bestätigt.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemässen Datenbearbeitung dienen, bewahrt der Dienstleister entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus auf.
9. Weitere Bestimmungen
Eine gesonderte Vergütung oder Kostenerstattung an den Dienstleister aufgrund der ihm gestützt auf diesen Vertrag auferlegten Pflichten erfolgt nicht.
Dieser Vertrag geht anderslautenden Allgemeinen Geschäftsbedingungen des Dienstleisters oder anderen Abmachungen zwischen den Parteien vor.
Auf diesen Vertrag ist schweizerisches Recht anwendbar.
Anhang 1: Technische und organisatorische Massnahmen
Massnahmen auf Plattformebene
Betrieb von Datenbank und Dateispeicher in Schweizer Rechenzentren (Exoscale CH-DK-2); Transportverschlüsselung (TLS) für alle Verbindungen sowie Verschlüsselung ruhender Daten (AES-256); Mandantentrennung der Kundendaten; Trennung von Produktions- und Testumgebung; rollenbasierte Zugriffsberechtigungen mit individuellen, persönlichen Benutzerkonten; Mehr-Faktor-Authentifizierung für administrative Zugänge; Protokollierung von Eingaben und Änderungen (Logs); tägliche automatisierte Datensicherung und geprüfte Wiederherstellungsfähigkeit; regelmässige Sicherheitsupdates der eingesetzten Komponenten; KI-Inferenz ausschliesslich auf Schweizer Infrastruktur, ohne Verwendung der Inhalte zum Modelltraining.
Massnahmen beim Dienstleister
Zugriff auf Kundensysteme und Plattformkonten ausschliesslich durch die Gesellschafter; Absicherung aller Konten mit starken, einmaligen Passwörtern (Passwortmanager) und Zwei-Faktor-Authentifizierung; Need-to-know-Prinzip bei der Bearbeitung von Kundendaten; verschlüsselte Geräte und automatische Bildschirmsperre; keine Speicherung von Kundendaten ausserhalb der Plattform, ausser dies ist im Einzelfall für Supportzwecke erforderlich und mit dem Verantwortlichen abgestimmt; unverzüglicher Entzug von Zugriffsrechten bei Ausscheiden von Personen; Code-Reviews vor Deployment; Dokumentation der Konfiguration je Kunde; definiertes Vorgehen bei Sicherheitsvorfällen samt Meldeprozess gemäss Ziffer 6.
Der Dienstleister überprüft diese Massnahmen periodisch und passt sie dem Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.
Anhang 2: Musterinformation für betroffene Personen
Der Verantwortliche ist verpflichtet, die betroffenen Personen über die Bearbeitung zu informieren (Art. 19 revDSG). Der nachfolgende Textbaustein kann hierfür verwendet und an die eigene Datenschutzerklärung, an Mietvertragsbeilagen, an das Meldeformular oder an die E-Mail-Signatur angepasst werden. Er stellt keine Rechtsberatung dar; der Verantwortliche prüft die Eignung für seine Verhältnisse selbst.
Bearbeitung Ihrer Anliegen mit KI-Unterstützung
Zur Bearbeitung von Anliegen, Schadenmeldungen und Rückfragen setzen wir die Software SANOA der sanoa.tech klg, Winterthur, ein. SANOA erfasst Ihre Meldung, ordnet sie zu und bereitet Antworten sowie die Koordination mit Handwerkern und Dienstleistern vor. Dabei kommt künstliche Intelligenz zum Einsatz.
Bearbeitet werden die Angaben, die Sie uns melden: Name, Adresse und Kontaktdaten, Angaben zu Ihrem Mietobjekt, Beschreibung und Verlauf Ihres Anliegens sowie allfällige Fotos und Dokumente. Verantwortlich für die Bearbeitung sind wir als Verwaltung; sanoa.tech bearbeitet die Daten ausschliesslich in unserem Auftrag und nach unseren Weisungen.
Die dauerhafte Speicherung der Daten und die KI-Verarbeitung erfolgen in der Schweiz. Für den Versand von Benachrichtigungs-E-Mails werden Name und E-Mail-Adresse an einen Dienstleister mit Sitz in den USA übermittelt, abgesichert durch die anerkannten Standardvertragsklauseln. Die Daten werden nicht zum Training von KI-Modellen verwendet und nur so lange aufbewahrt, wie es für die Bearbeitung Ihres Anliegens und zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist.
Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten. Wo Anliegen ohne vorgängige manuelle Prüfung bearbeitet werden, können Sie eine Überprüfung durch eine Mitarbeiterin oder einen Mitarbeiter verlangen. Wenden Sie sich dafür an: [Kontaktstelle der Verwaltung].