---

Wichtiger Hinweis: Dieses Dokument ist eine Höflichkeitsübersetzung. Nur die englische Fassung, abrufbar unter whisperit.ai/legal/data-protection/eu, ist massgebend und hat im Falle von Abweichungen Vorrang.

---

Europäische Union Kunden - Enterprise-Version

Datenschutz-Grundverordnung (DSGVO)

Whisperit SA

Version vom 15.01.2026

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV") ergänzt die Allgemeinen Geschäftsbedingungen von Whisperit SA und stellt einen Unterauftragsverarbeitungsvertrag gemäss Artikel 28 der Verordnung (EU) 2016/679 (DSGVO) dar.

Er regelt die Verarbeitung von personenbezogenen Daten durch Whisperit SA („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") im Zusammenhang mit der Nutzung der Whisperit-Software.

Dieser Enterprise-AVV bietet erhöhte Garantien, die auf die Anforderungen grosser Organisationen, regulierter Sektoren und grossflächiger Datenverarbeitungen zugeschnitten sind.

1. Definitionen

Die in diesem AVV verwendeten Begriffe haben die durch die DSGVO definierten Bedeutungen:

Personenbezogene Daten: Alle Informationen über eine identifizierte oder identifizierbare natürliche Person (Artikel 4 Abs. 1 DSGVO).

Besondere Kategorien von Daten: Daten, aus denen die rassische oder ethnische Herkunft, die politischen Ansichten, die religiösen oder philosophischen Überzeugungen, die Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Daten über die Gesundheit oder das Sexualleben oder die sexuelle Orientierung hervorgehen (Artikel 9 DSGVO).

Verarbeitung: Jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, unabhängig davon, ob sie automatisiert ist oder nicht (Artikel 4 Abs. 2 DSGVO).

Verantwortlicher: Die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung entscheidet (Artikel 4 Abs. 7 DSGVO).

Auftragsverarbeiter: Die natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Artikel 4 Abs. 8 DSGVO).

Verletzung des Schutzes personenbezogener Daten: Eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten oder zum unbefugten Zugang zu solchen Daten führt, entweder versehentlich oder rechtswidrig (Artikel 4 Abs. 12 DSGVO).

Aufsichtsbehörde: Eine unabhängige Behörde, die von einem Mitgliedstaat eingerichtet wurde (Artikel 4 Abs. 21 DSGVO).

2. Gegenstand und Umfang der Verarbeitung (Artikel 28 Abs. 3 DSGVO)

2.1 - Kategorien verarbeiteter Daten

2.2 - Kategorien betroffener Personen

• Nutzer der Software (Arbeitnehmer, Mitarbeiter, Dienstleister des Verantwortlichen)
• In den von der Software verarbeiteten Dokumenten erwähnte Personen
• Berufliche Kontakte des Verantwortlichen
• Jede Person, deren Daten über die Software verarbeitet werden

2.3 - Zwecke der Verarbeitung

Die Verarbeitung wird ausschliesslich für folgende Zwecke durchgeführt:

• Erbringung von Whisperit-SaaS-Dienstleistungen gemäss Vertrag
• Technische Wartung, Fehlerbehebung und Incident-Behebung
• Verbesserung der Leistung, Stabilität und Sicherheit der Software
• Kundensupport und technische Unterstützung
• Abrechnung und administrative Verwaltung des Vertrags
• Einhaltung der für den Auftragsverarbeiter geltenden Rechtsvorschriften

2.4 - Absolute Ausschlüsse

Die Daten werden niemals verwendet für:

• Das Training, Fine-Tuning oder die Verbesserung von künstlichen Intelligenzmodellen
• Den Weiterverkauf, die Vermietung, den Austausch oder die Kommerzialisierung mit Dritten
• Profiling im Sinne von Artikel 22 DSGVO
• Gezielte Werbung oder Direktmarketing
• Automatisierte Entscheidungsfindung mit Rechtswirkung
• Jegliche Zwecke, die nicht ausdrücklich vom Verantwortlichen genehmigt sind

2.5 - Besondere Kategorien von Daten (Artikel 9 DSGVO)

Grundsatz: Die Software ist nicht dazu ausgelegt, besondere Kategorien von Daten im Sinne von Artikel 9 DSGVO zu verarbeiten.

Verantwortlichkeit des Verantwortlichen: Wenn der Verantwortliche die Software zur Verarbeitung von Dokumenten nutzt, die besondere Kategorien von Daten enthalten, muss er:

a) Den Auftragsverarbeiter schriftlich im Voraus benachrichtigen

b) Sicherstellen, dass eine gültige Rechtsgrundlage vorhanden ist (Art. 9 Abs. 2 DSGVO)

c) Die volle Verantwortung für die Rechtmässigkeit der Verarbeitung übernehmen

d) Die erforderlichen zusätzlichen Sicherheitsmassnahmen umsetzen

Erweiterte Massnahmen: In diesem Fall wendet der Auftragsverarbeiter Folgendes an:

• Verstärkte Verschlüsselung
• Zugang nur für absolut erforderliches Personal
• Erweiterte Zugriffsprotokolle
• Pseudonymisierung, soweit technisch möglich

2.6 - Dauer der Verarbeitung

Die Verarbeitung beginnt am Stichtag des Vertrags und wird für die gesamte Vertragsdauer plus die Datenrückgabefrist (90 Tage) fortgesetzt.

3. Verpflichtungen des Auftragsverarbeiters (Artikel 28 DSGVO)

3.1 - Dokumentierte Weisungen (Artikel 28 Abs. 3 Buchst. a DSGVO)

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich einer Übermittlung in ein Drittland oder an eine internationale Organisation.

Annehmbare Weisungsformen:

• Schriftliche Weisungen (E-Mail, Brief, Support-Ticket)
• Konfiguration über die Verwaltungsoberfläche der Software
• Anlagen zu diesem AVV

Mit dem Gesetz nicht vereinbare Weisung:

Sollte der Auftragsverarbeiter der Ansicht sein, dass eine Weisung eine Verletzung der DSGVO oder anderer Bestimmungen des Unions- oder Mitgliedstaatsrechts zum Datenschutz darstellt, wird er den Verantwortlichen sofort informieren.

Der Auftragsverarbeiter kann die Ausführung der umstrittenen Weisung aussetzen, bis der Verantwortliche schriftlich bestätigt, dass er die Verantwortung für die Weisung übernimmt.

3.2 - Vertraulichkeit des Personals (Artikel 28 Abs. 3 Buchst. b DSGVO)

Der Auftragsverarbeiter stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten berechtigt sind:

a) Sich zur Wahrung der Vertraulichkeit verpflichten durch eine schriftliche Verpflichtung oder einer angemessenen gesetzlichen Geheimhaltungsverpflichtung unterliegen

b) Die erforderliche Schulung erhalten zum Datenschutz, einschliesslich:

• DSGVO-Grundprinzipien
• Rechte betroffener Personen
• Sicherheitsverpflichtungen
• Interne Verfahren
• Incident-Management

c) Identifiziert und autorisiert werden: Der Auftragsverarbeiter verwaltet ein Verzeichnis der zum Datenzugriff autorisierten Personen, das auf Anfrage des Verantwortlichen verfügbar ist

d) Das Need-to-Know-Prinzip anwenden: Nur Personen, deren Funktionen es erfordern, haben Zugriff auf Daten

3.3 - Sicherheitsmassnahmen (Artikel 28 Abs. 3 Buchst. c und Artikel 32 DSGVO)

Der Auftragsverarbeiter setzt angemessene technische und organisatorische Massnahmen um, um ein dem Risiko entsprechendes Schutzniveau zu gewährleisten, wobei folgende Aspekte berücksichtigt werden:

• Der Stand der Technik
• Die Implementierungskosten
• Die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung
• Die Risiken für die Rechte und Freiheiten der Einzelnen

3.3.1 - Technische Massnahmen

3.3.2 - Organisatorische Massnahmen

3.4 - Unterauftragsverarbeitung (Artikel 28 Abs. 2 und 28 Abs. 4 DSGVO)

3.4.1 - Allgemeine Genehmigung

Der Verantwortliche erteilt dem Auftragsverarbeiter schriftlich die allgemeine Genehmigung, andere Unterauftragsverarbeiter zu beauftragen, vorbehaltlich der Einhaltung der nachstehenden Bedingungen.

3.4.2 - Liste aktueller Unterauftragsverarbeiter

Die Liste der zum Zeitpunkt der Vertragsunterzeichnung genehmigten Unterauftragsverarbeiter ist verfügbar unter: Unterauftragsverarbeiter

Diese Liste umfasst für jeden Unterauftragsverarbeiter:

• Unternehmensname und Kontaktdetails
• Verarbeitungsort
• Art der erbrachten Dienstleistungen
• Datenschutzgarantien

3.4.3 - Änderungsverfahren

a) Der Auftragsverarbeiter benachrichtigt den Verantwortlichen schriftlich von jeglicher Absicht, Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, mindestens 30 Tage vor der Umsetzung

b) Die Benachrichtigung enthält:

• Vollständige Identität des neuen Unterauftragsverarbeiters
• Geografischer Ort der Verarbeitung
• Detaillierte Beschreibung der Dienstleistungen
• Datenschutzgarantien (AVV, Zertifizierungen)
• Begründung für die Beauftragung

c) Der Verantwortlicher hat 15 Arbeitstage Zeit, um begründete Einwände zu erheben

d) Im Falle eines Einspruchs:

• Die Parteien konsultieren sich in gutem Glauben, um eine Lösung zu finden
• Der Auftragsverarbeiter kann einen alternativen Unterauftragsverarbeiter vorschlagen
• Wenn innerhalb von 30 Tagen keine Einigung erreicht wird, kann der Verantwortliche den betroffenen Teil des Vertrags ohne Gebühren beenden

3.4.4 - Dem Unterauftragsverarbeiter auferlegte Verpflichtungen

Der Auftragsverarbeiter legt seinen Unterauftragsverarbeitern vertraglich Folgendes auf:

• Die gleichen Datenschutzverpflichtungen wie in diesem AVV
• Ausreichende Garantien für die Umsetzung technischer und organisatorischer Massnahmen
• Auditrecht des Verantwortlichen (direkt oder über den Auftragsverarbeiter)

3.4.5 - Haftung

Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber vollständig haftbar für die Erfüllung ihrer Verpflichtungen durch seine Unterauftragsverarbeiter.

3.5 - Unterstützung des Verantwortlichen (Artikel 28 Abs. 3 Buchst. e und f DSGVO)

3.5.1 - Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen zur Wahrnehmung der in Kapitel III der DSGVO vorgesehenen Rechte:

3.5.2 - Sicherheitsverpflichtungen (Artikel 32-36 DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in Artikel 32 bis 36 DSGVO vorgesehenen Verpflichtungen, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen:

a) Sicherheit der Verarbeitung (Art. 32): Bereitstellung von Informationen zu Sicherheitsmassnahmen

b) Benachrichtigung der Aufsichtsbehörde (Art. 33): Unterstützung bei der Vorbereitung der Benachrichtigung

c) Mitteilung an die betroffene Person (Art. 34): Bereitstellung erforderlicher Informationen

d) Datenschutz-Folgenabschätzung (Art. 35):

• Bereitstellung technischer Informationen
• Beschreibung von Sicherheitsmassnahmen
• Teilnahme an der Risikobewertung
• Frist: 15 Arbeitstage nach der Anfrage

e) Vorherige Konsultation (Art. 36): Kooperation bei der Konsultation der Aufsichtsbehörde

3.6 - Löschung oder Rückgabe (Artikel 28 Abs. 3 Buchst. g DSGVO)

3.6.1 - Wahl des Verantwortlichen

Nach Beendigung der Erbringung von Dienstleistungen gilt nach Wahl des Verantwortlichen:

a) Rückgabe: Der Auftragsverarbeiter gibt alle Daten in einem strukturierten, allgemein gebräuchlichen und maschinenlesbaren Format zurück

b) Löschung: Der Auftragsverarbeiter löscht alle personenbezogenen Daten

Sofern keine Aufbewahrungsverpflichtung für den Auftragsverarbeiter gilt.

3.6.2 - Fristen und Verfahren

• Rückgabefrist: 90 Tage nach Ende des Vertrags
• Verfügbare Formate: JSON, CSV, PDF, ursprüngliches natives Format
• Dokumentation: Datenschema, Feldwörterbuch
• Löschung: Erfolgt innerhalb von 30 Tagen nach Ende der Rückgabefrist oder auf frühe Anfrage

3.6.3 - Vernichtungszertifikat

Auf Anfrage stellt der Auftragsverarbeiter ein Zertifikat zur Verfügung, das bescheinigt:

• Das Datum der Löschung
• Der Umfang gelöschter Daten
• Die verwendete Löschmethode
• Bestätigung der Löschung durch Unterauftragsverarbeiter

3.7 - Bereitstellung von Informationen und Audits (Artikel 28 Abs. 3 Buchst. h DSGVO)

3.7.1 - Bereitstellung von Informationen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in Artikel 28 DSGVO vorgesehenen Verpflichtungen nachzuweisen.

3.7.2 - Audits und Inspektionen

Der Auftragsverarbeiter ermöglicht die Durchführung von Audits, einschliesslich Inspektionen, durch den Verantwortlichen oder einen vom Verantwortlichen beauftragten Auditor, und trägt zu diesen Audits bei.

Verfahren:

a) Anfrage: Schriftlich, mindestens 30 Kalendertage im Voraus, definierter Umfang

b) Häufigkeit: Ein Audit pro Jahr inbegriffen; zusätzliche Audits werden in Rechnung gestellt

c) Durchführung:

• Während der Geschäftszeiten
• Maximale Dauer: 3 Tage
• Auditor unterliegt der Vertraulichkeit
• Zugang zu relevanten Räumen, Systemen, Dokumentation

d) Einschränkungen:

• Keine wesentliche Beeinträchtigung der Operationen
• Schutz von Geschäftsgeheimnissen
• Kein Zugriff auf Daten anderer Kunden
• Kein Zugriff auf proprietären Quellcode

e) Bericht: Eingereicht bei beiden Parteien, Auftragsverarbeiter antwortet innerhalb von 30 Tagen

3.7.3 - Alternativen zum Vor-Ort-Audit

Der Verantwortlicher kann Folgendes anstelle eines Vor-Ort-Audits akzeptieren:

• Penetrationstestbericht eines unabhängigen Dritten (redaktioniert)
• Von der Geschäftsleitung unterzeichnete Compliance-Bescheinigung
• Dokumentation technischer und organisatorischer Sicherheitsmassnahmen
• SOC 2 Type II Report (Ziel: 2027)
• ISO 27001-Zertifikat (Ziel: 2027)

4. Benachrichtigung bei Verletzungen personenbezogener Daten (Artikel 33-34 DSGVO)

4.1 - Benachrichtigungsfrist für den Verantwortlichen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über jede Verletzung des Schutzes personenbezogener Daten:

• Kritische Verletzungen (Datenabfluss, Ransomware, böswilliger Zugriff): Innerhalb von 24 Stunden
• Sonstige Verletzungen: Maximal innerhalb von 48 Stunden

Die Frist beginnt ab dem Zeitpunkt, zu dem der Auftragsverarbeiter von der Verletzung erfährt.

4.2 - Inhalt der Benachrichtigung (Artikel 33 Abs. 3 DSGVO)

Die Benachrichtigung enthält mindestens:

a) Die Art der Verletzung, einschliesslich, soweit möglich:

• Die Kategorien und ungefähre Anzahl betroffener Personen
• Die Kategorien und ungefähre Anzahl betroffener Datensätze

b) Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder eines anderen Ansprechpartners

c) Die wahrscheinlichen Folgen der Verletzung

d) Die ergriffenen oder vorgeschlagenen Massnahmen zu:

• Behebung der Verletzung
• Begrenzung etwaiger nachteiliger Auswirkungen

4.3 - Ergänzende Benachrichtigung

Innerhalb von 72 Stunden nach der Erstbenachrichtigung stellt der Auftragsverarbeiter Folgendes zur Verfügung:

a) Detaillierte Grundursachenanalyse

b) Genaue Zeitleiste der Ereignisse

c) Umfassende Liste betroffener Daten und Systeme

d) Bewertung der Auswirkungen auf betroffene Personen

e) Implementierte Korrekturmassnahmen

f) Empfehlungen zur Benachrichtigung betroffener Personen

4.4 - Unterstützung bei der Benachrichtigung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei:

a) Benachrichtigung der Aufsichtsbehörde (Art. 33):

• Bereitstellung erforderlicher Informationen
• Vorbereitung des Benachrichtigungsformulars
• Teilnahme an Austausch mit der Behörde, falls erforderlich

b) Mitteilung an betroffene Personen (Art. 34):

• Identifizierung zu benachrichtigender Personen
• Vorbereitung des Mitteilungsinhalts
• Technische Implementierung der Mitteilung, soweit möglich

4.5 - Dokumentation von Verletzungen

Der Auftragsverarbeiter dokumentiert jede Verletzung des Schutzes personenbezogener Daten, worin angegeben wird:

• Die Tatsachen bezüglich der Verletzung
• Deren Auswirkungen
• Die Massnahmen, die zu ihrer Behebung ergriffen wurden

Diese Dokumentation wird dem Verantwortlichen und der Aufsichtsbehörde zur Verfügung gestellt.

5. Übermittlungen in Drittländer (Kapitel V DSGVO)

5.1 - Lokalisierungsgrundsatz

Personenbezogene Daten werden im Europäischen Wirtschaftsraum (EWR) oder in der Schweiz gehostet (ein Land, das von der Europäischen Kommission als adequate Schutzebene anerkannt wird).

5.2 - Garantien für Übermittlungen

Sollte es eine Übermittlung in ein Drittland geben, das sich nicht auf einen Angemessenheitsbeschluss stützt, setzt der Auftragsverarbeiter angemessene Schutzmassnahmen gemäss Artikel 46 DSGVO um:

5.2.1 - Standarddatenschutzklauseln (SDK)

Die Standarddatenschutzklauseln der Europäischen Kommission (Durchführungsbeschluss 2021/914) werden durch Verweis in diesen AVV aufgenommen.

Anwendbares Modul: Modul 2 (Verantwortlicher zu Auftragsverarbeiter)

Anlagen zur SDK:

• Anlage I: Parteien, Beschreibung der Übermittlung, Aufsichtsbehörde
• Anlage II: Technische und organisatorische Massnahmen
• Anlage III: Liste der Unterauftragsverarbeiter

5.2.2 - Übermittlungsfolgenbewertung

Der Auftragsverarbeiter führt und dokumentiert eine Übermittlungsfolgenbewertung für jedes betroffene Drittland durch, einschliesslich:

• Analyse des Rechtssystems des Drittlandes
• Bewertung der Risiken des Zugriffs durch Behörden
• Durchgeführte zusätzliche Massnahmen

Diese Bewertung ist auf Anfrage des Verantwortlichen verfügbar.

5.2.3 - Zusätzliche Massnahmen

Falls erforderlich, angesichts der Folgenbewertung, setzt der Auftragsverarbeiter zusätzliche Massnahmen um:

• Verschlüsselung mit vom Verantwortlichen kontrollierten Schlüsseln
• Verstärkte Pseudonymisierung
• Fragmentierte Verarbeitung

5.3 - Für KI-Dienstleistungen spezifische Übermittlungen

Für KI-Dienstleistungen, die Datenübermittlung in Drittländer beinhalten:

a) Ephemere Verarbeitung: Keine Daten werden vom KI-Anbieter über das für die Anfrageverarbeitung erforderliche Mass hinaus aufbewahrt

b) Vertragliche Garantien:

• Mit jedem KI-Anbieter unterzeichnete SDK
• Vertragliches Verbot der Nutzung zum Training
• Auditrecht

c) Technische Massnahmen:

• Verschlüsselung im Transit (TLS 1.3)
• Minimierung übermittelter Daten
• Keine Speicherung verarbeiteter Daten

5.4 - Benachrichtigung bei Anfragen zur Behördenzuschau

Im Falle einer Anfrage zum Datenzugriff durch eine Behörde eines Drittlandes:

a) Der Auftragsverarbeiter benachrichtigt den Verantwortlichen sofort (sofern nicht gesetzlich untersagt)

b) Der Auftragsverarbeiter bestreitet die Anfrage, wenn sie offensichtlich unbegründet oder übermässig ist

c) Der Auftragsverarbeiter offenbart nur die minimal erforderlichen Daten

d) Der Auftragsverarbeiter dokumentiert alle vorgenommenen Offenlegungen

6. Rechte betroffener Personen (Artikel 15-22 DSGVO)

6.1 - Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch angemessene technische und organisatorische Massnahmen bei der Erfüllung seiner Verpflichtung, auf Anfragen zur Wahrnehmung der Rechte betroffener Personen zu antworten.

6.2 - Unterstützte Rechte

6.3 - Verfahren

a) Der Verantwortliche übermittelt die Anfrage schriftlich an den Auftragsverarbeiter (E-Mail wird akzeptiert)

b) Der Auftragsverarbeiter bestätigt den Empfang innerhalb von 24 Arbeitsstunden

c) Der Auftragsverarbeiter setzt die Anfrage innerhalb der angegebenen Fristen um

d) Der Auftragsverarbeiter bestätigt die Ausführung schriftlich, mit gegebenenfalls:

• Export angeforderte Daten
• Löschzertifikat
• Bestätigung der Benachrichtigung von Empfängern

6.4 - Direkt beim Auftragsverarbeiter eingegangene Anfragen

Wenn eine betroffene Person eine Anfrage direkt an den Auftragsverarbeiter richtet:

a) Der Auftragsverarbeiter benachrichtigt den Verantwortlichen innerhalb von 48 Stunden

b) Der Auftragsverarbeiter antwortet nicht direkt der betroffenen Person, es sei denn, er wird vom Verantwortlichen anderslautend angewiesen

c) Der Auftragsverarbeiter kann die betroffene Person über die Identität des Verantwortlichen informieren, falls diese Information nicht vertraulich ist

7. Garantien spezifisch für künstliche Intelligenz

7.1 - Verpflichtung zum Nicht-Training

Der Auftragsverarbeiter garantiert formal, dass die Daten des Verantwortlichen niemals verwendet werden zu:

• Training künstlicher Intelligenz-Modelle
• Fine-Tuning oder Anpassung bestehender Modelle
• Verbesserung von Machine-Learning-Algorithmen
• Bildung von Training- oder Validierungsdatensätze
• Jede andere Form des automatisierten Lernens

Diese Garantie gilt für den Auftragsverarbeiter und all seine Unterauftragsverarbeiter, einschliesslich KI-Anbieter.

7.2 - Algorithmusentransparenz

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage zur Verfügung:

a) Die Liste der in der Software verwendeten KI-Modelle

b) Die Beschreibung von KI-nutzen Funktionalitäten

c) Die Informationen, die erforderlich sind, um betroffene Personen zu informieren

d) Die Risikobewertung zur Nutzung von KI

7.3 - Verträge mit KI-Anbietern

Alle KI-Anbieter sind an Enterprise-Vereinbarungen gebunden, die Folgendes umfassen:

• Ausdrücklicher Ausschluss des Trainings anhand von Kundendaten
• Verpflichtung zur Nichtaufbewahrung über die Verarbeitungssitzung hinaus
• Auditrecht vom Auftragsverarbeiter oder Verantwortlichen ausgeübt
• Benachrichtigung über jeden Richtlinienwechsel
• SDK oder sonstige angemessene Schutzmassnahmen für Übermittlungen

7.4 - Änderung von KI-Anbieter-Richtlinien

Im Falle einer Änderung der Nutzungsbedingungen eines KI-Anbieters, die mit den Garantien dieses AVV unvereinbar ist:

a) Der Auftragsverarbeiter setzt die Nutzung dieses Anbieters für die Daten des Verantwortlichen sofort aus

b) Der Verantwortlicher wird innerhalb von 48 Stunden nach Kenntnis der Änderung benachrichtigt

c) Der Auftragsverarbeiter setzt einen alternativen Anbieter mit gleichwertigen Garantien innerhalb von 30 Tagen um

d) Wenn keine Alternative verfügbar ist, kann der Verantwortlicher den Vertrag ohne Kosten oder Strafe beenden, es wird verstanden, dass alle bis zum Kündigungsdatum vom Verantwortlichen geschuldeten Beträge an den Auftragsverarbeiter fällig bleiben.

7.5 - Einhaltung der Europäischen KI-Verordnung

Der Auftragsverarbeiter verpflichtet sich zu:

a) Verfolgung der Entwicklung der Verordnung (EU) 2024/1689 über künstliche Intelligenz

b) Klassifizierung der verwendeten KI-Systeme nach den bereitgestellten Risikokategorien

c) Implementierung der geltenden Verpflichtungen für die verwendeten KI-Systeme

d) Bereitstellung der für den Verantwortlichen erforderlichen Informationen für die eigene Compliance

8. Verzeichnis der Verarbeitungstätigkeiten (Artikel 30 DSGVO)

8.1 - Verzeichnis des Auftragsverarbeiters

Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Verantwortlichen durchgeführt werden, enthaltend:

a) Name und Kontaktdaten des Auftragsverarbeiters und des Verantwortlichen

b) Kategorien von Verarbeitungstätigkeiten, die im Auftrag des Verantwortlichen durchgeführt werden

c) Datenübermittlung in Drittländer und deren Dokumentation

d) Allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmassnahmen

8.2 - Verfügbarkeit

Ein Auszug aus dem Verzeichnis betreffend die für den Verantwortlichen durchgeführten Verarbeitungstätigkeiten ist auf Anfrage innerhalb von 10 Arbeitstagen verfügbar.

9. Datenschutzbeauftragter

9.1 - Datenschutzbeauftragter des Auftragsverarbeiters

Der Auftragsverarbeiter hat einen Datenschutzbeauftragten benannt:

• E-Mail: dpo@whisperit.ai
• Postadresse: Whisperit SA, Prilly, Schweiz

9.2 - Aufgaben des Datenschutzbeauftragten

Der Datenschutzbeauftragte des Auftragsverarbeiters:

a) Gewährleistet die Einhaltung der DSGVO durch den Auftragsverarbeiter

b) Berät den Auftragsverarbeiter über seine Verpflichtungen

c) Kooperiert mit Aufsichtsbehörden

d) Dient als Ansprechpartner für den Verantwortlichen in Datenschutzangelegenheiten

9.3 - Vertreter in der Europäischen Union

In Übereinstimmung mit Artikel 27 DSGVO hat Whisperit SA einen Vertreter in der Europäischen Union benannt:

• Name: Sebastien Bellon
• Adresse: Whisperit SA, Unlimitrust Campus, Route des Flumeaux 46, 1008 Prilly, Schweiz
• E-Mail: eu-representative@whisperit.ai

Der EU-Vertreter dient als Ansprechpartner für Aufsichtsbehörden und betroffene Personen in der Europäischen Union.

10. Kooperation mit Aufsichtsbehörden

10.1 - Grundsatz

Der Auftragsverarbeiter kooperiert auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben.

10.2 - Benachrichtigung des Verantwortlichen

Im Falle einer Anfrage oder Untersuchung durch eine Aufsichtsbehörde bezüglich der im Auftrag des Verantwortlichen durchgeführten Verarbeitung:

a) Der Auftragsverarbeiter benachrichtigt den Verantwortlichen sofort (sofern nicht gesetzlich untersagt)

b) Die Parteien konsultieren sich über die bereitzustellende Antwort

c) Der Auftragsverarbeiter offenbart nur absolut erforderliche Informationen

d) Der Verantwortlicher wird über den Fortschritt und Ausgang des Verfahrens informiert gehalten

11. Haftung und Freistellung

11.1 - Gemeinsame Haftung (Artikel 82 DSGVO)

In Übereinstimmung mit Artikel 82 Abs. 4 DSGVO können, sofern der Auftragsverarbeiter und der Verantwortliche an der gleichen Verarbeitung beteiligt sind und verantwortlich sind, beide für den gesamten Schaden haftbar gemacht werden.

11.2 - Interne Aufteilung

In den Beziehungen zwischen den Parteien:

a) Der Auftragsverarbeiter haftet für Schäden verursacht durch Verarbeitung:

• Nicht gemäss diesem AVV
• Gegen die rechtmässigen Weisungen des Verantwortlichen
• In Verletzung seiner eigenen Verpflichtungen gemäss DSGVO

b) Der Verantwortlicher haftet für Schäden verursacht durch:

• Seine eigene Nichtkonformität mit der DSGVO
• Weisungen, die der DSGVO zuwiderlaufen, trotz Warnung des Auftragsverarbeiters

11.3 - Freistellung

a) Der Auftragsverarbeiter stellt den Verantwortlichen von jeglichen administrativen Bussgeld frei, die eine Aufsichtsbehörde verhängt und die direkt auf eine Verletzung dieses AVV durch den Auftragsverarbeiter zurückzuführen sind

b) Diese Freistellung unterliegt den im Allgemeinen Vertrag vorgesehenen Haftungsgrenzen

c) Jegliche Freistellung ist ausgeschlossen, wenn ein Bussgeld aus den Weisungen des Verantwortlichen oder seinen eigenen Mängeln resultiert

11.4 - Ausschlüsse

Die im Allgemeinen Vertrag vorgesehene Haftungsbeschränkung gilt nicht im Falle von:

• Vorsätzlicher oder grob fahrlässiger Verletzung
• Verletzung wesentlicher Datenschutzverpflichtungen
• Rechtswidrige Verarbeitung besonderer Kategorien von Daten

12. Dauer und Beendigung

12.1 - Dauer

Dieser AVV tritt am Tag der Unterzeichnung des Hauptvertrags in Kraft und bleibt für die gesamte Vertragsdauer in Kraft.

12.2 - Weitergeltung

Die folgenden Verpflichtungen bleiben nach Beendigung des AVV bestehen:

• Vertraulichkeit: ohne Zeitbeschränkung
• Aufbewahrung von Sicherheitsprotokollen: 1 Jahr nach der Löschung von Daten
• Verfügbarkeit für Post-Vertrag-Audit: 1 Jahr nach Ende des Vertrags
• Datenrückgabe/Löschung: bis zur vollständigen Ausführung

13. Abschliessende Bestimmungen

13.1 - Rangordnung der Dokumente

Im Falle eines Konflikts zwischen Vertragsdokumenten:

1. Dieser AVV hat Vorrang vor den Allgemeinen Bedingungen in Datenschutzangelegenheiten
2. Die SDK haben Vorrang vor diesem AVV für internationale Übermittlungen
3. Die Anlagen ergänzen den Textkörper des AVV

13.2 - Änderungen

Jede Änderung dieses AVV erfordert schriftliche Form und Unterzeichnung durch beide Parteien.

13.3 - Anwendbares Recht

Dieser AVV unterliegt der DSGVO und, für nicht von der DSGVO abgedeckte Angelegenheiten, dem Schweizer Recht.

13.4 - Gerichtsbarkeit

Alle Streitigkeiten bezüglich dieses AVV werden den Gerichten von Prilly, Schweiz unterworfen, vorbehaltlich der zwingenden Bestimmungen der DSGVO bezüglich der Gerichtsbarkeit.

13.5 - Salvatorische Klausel

Sollte eine Bestimmung dieses AVV für ungültig oder nicht durchsetzbar befunden werden, bleiben die übrigen Bestimmungen in Kraft. Die Parteien verpflichten sich, die ungültige Bestimmung durch eine gültige Bestimmung zu ersetzen, die der beabsichtigten wirtschaftlichen und rechtlichen Auswirkung am nächsten kommt.

Anlage 1: Standarddatenschutzklauseln (Modul 2)

Die Standarddatenschutzklauseln der Europäischen Kommission, angenommen durch Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021, werden durch Verweis in diesen AVV aufgenommen.

Anwendbares Modul: Modul 2 (Verantwortlicher zu Auftragsverarbeiter)

Gewählte Optionen:

Anlage I.A - Liste der Parteien: Siehe Kontaktdetails im Hauptvertrag

Anlage I.B - Beschreibung der Übermittlung: Siehe Abschnitt 2 dieses AVV

Anlage I.C - Zuständige Aufsichtsbehörde: Die Aufsichtsbehörde des Mitgliedstaats, in dem der Verantwortlicher ansässig ist

Anlage II - Technische und organisatorische Massnahmen: Siehe Anlage 2 dieses AVV

Anlage III - Liste der Unterauftragsverarbeiter: Siehe Unterauftragsverarbeiter

Anlage 2: Technische und organisatorische Massnahmen (Artikel 32 DSGVO)

Physische Sicherheit

Logische Sicherheit

Organisatorische Sicherheit

Schwachstellenverwaltung

Geschäftskontinuität und Wiederherstellung

Zertifizierungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über alle wesentlichen Fortschritte bei der Erlangung dieser Zertifizierungen.

Anlage 3: Autorisierte Unterauftragsverarbeiter

Siehe die vollständige und aktualisierte Liste auf: Unterauftragsverarbeiter

Die Liste umfasst für jeden Unterauftragsverarbeiter:

• Unternehmensname und eingetragener Sitz
• Datenverarbeitungsort
• Art der erbrachten Dienstleistungen
• Datenschutzgarantien (AVV, Zertifizierungen)
• Autorisierungsdatum

Anlage 4: Ansprechpartner

Datenschutz (Datenschutzbeauftragter):

• E-Mail: dpo@whisperit.ai
• Adresse: Whisperit SA, Prilly, Schweiz

EU-Vertreter (Art. 27 DSGVO):

• E-Mail: eu-representative@whisperit.ai
• Adresse: Whisperit SA, Unlimitrust Campus, Route des Flumeaux 46, 1008 Prilly, Schweiz

Sicherheitsvorfälle:

• E-Mail: security@whisperit.ai
• Telefon: +41 21 539 46 60 (24/7 Notfallleitung)

Anfragen zur Ausübung von Rechten:

• E-Mail: privacy@whisperit.ai

Technischer Support:

• E-Mail: support@whisperit.ai
• Portal: Support

---

Whisperit SA — Prilly, Schweiz