Auftragsverarbeitungsvereinbarung

JOIN hat es sich zur Aufgabe gemacht, Arbeitssuchende und Unternehmen weltweit miteinander zu verbinden. Unternehmen können die JOIN-Plattform unter https://join.com/ (im Folgenden “Plattform” genannt) nutzen, um Stellenangebote zu veröffentlichen und eingegangene Bewerbungen an einem zentralen Ort zu verwalten.

JOIN erbringt Dienstleistungen gegenüber dem Unternehmen in Übereinstimmung mit dem Dienstleistungsvertrag, der zwischen den Parteien vereinbart wird (“Dienstleistungen”). Die Dienstleistungen beinhalten insbesondere die Möglichkeit für das Unternehmen, Stellenanzeigen zu veröffentlichen und die damit verbundenen Bewerbungsverfahren auf der Plattform mithilfe eines webbasierten Verwaltungstools zu verwalten. Im Zusammenhang mit den Dienstleistungen werden personenbezogene Daten, die vom Unternehmen verwaltet werden, von JOIN verarbeitet, wobei JOIN als Auftragsverarbeiter im Sinne der geltenden Datenschutzgesetze fungiert.

Personenbezogene Daten werden von JOIN als Verantwortlicher im Sinne der geltenden Datenschutzgesetze verarbeitet. Weitere Informationen finden Sie in der Datenschutzerklärung von JOIN.

Diese AVV dient dem Schutz der Parteien vor der missbräuchlichen Verwendung der für die Dienstleistungen verarbeiteten personenbezogenen Daten, der Gewährleistung des Datenschutzes durch JOIN in Bezug auf personenbezogene Daten, die das Unternehmen JOIN bekannt gegeben hat, sowie der Einhaltung anwendbarer gesetzlicher Anforderungen.

Sofern nicht ausdrücklich anders vereinbart, sind diese AVV Bestandteil jedes Dienstleistungsvertrags zwischen dem Unternehmen und JOIN. Diese AVV, einschliesslich aller Anhänge, legt zudem die Datenschutzpflichten der Parteien aus dem zugrunde liegenden Dienstleistungsvertrag wie folgt fest:

1. Die folgenden Bestimmungen gelten nur für die Dienstleistungen, die im Rahmen des Dienstleistungsvertrags als Datenverarbeitung gelten.
2. Soweit in dieser AVV Begriffe verwendet werden, die in der DSGVO oder dem DSG, je nach Anwendbarkeit, definiert sind, haben diese Begriffe dieselbe Bedeutung wie in dem jeweiligen Gesetz. Diese AVV ist im Lichte der Europäischen Datenschutzgrundverordnung (“DSGVO”) und des Schweizer Bundesgesetzes über den Datenschutz (“DSG”) auszulegen und zu interpretieren, je nach Anwendbarkeit. Diese AVV ist nicht in einer Weise auszulegen, dass sie im Widerspruch zu den in der DSGVO oder dem DSG, je nach Anwendbarkeit, vorgesehenen Rechten und Pflichten steht oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beeinträchtigt.

1. Im Rahmen dieser AVV verarbeitet JOIN personenbezogene Daten ausschliesslich im Auftrag und gemäss den Weisungen des Unternehmens. Dies umfasst insbesondere jene Verarbeitungsdienstleistungen, die JOIN für das Unternehmen für die Dienstleistungen gemäss dem Dienstleistungsvertrag erbringt. In diesem Dienstleistungsvertrag und in Abschnitt 4 haben die Parteien die Einzelheiten gemäss Art. 28 Absätze 3 und 4 DSGVO sowie Art. 9 DSG festgelegt, insbesondere den Gegenstand und die Dauer der Datenverarbeitung sowie die Art, den Umfang und den Zweck der beabsichtigten Datenverarbeitung, die Art der Daten und die betroffenen Personen.
2. Die Datenverarbeitung durch JOIN im Auftrag des Unternehmens erfolgt gemäss Art. 28 DSGVO und Art. 9 DSG, wobei jedes Gesetz nur insoweit berücksichtigt wird, als es auf die jeweilige Verarbeitungsaktivität anwendbar ist. Das Unternehmen bleibt stets der für die Datenverarbeitung Verantwortliche.
3. Unbeschadet der Bestimmungen der DSGVO oder des DSG, je nach Anwendbarkeit, falls JOIN gegen seine Pflichten aus dieser AVV verstösst, kann das Unternehmen JOIN anweisen, die Verarbeitung personenbezogener Daten vorübergehend auszusetzen, bis Letztere diese AVV einhält oder der Vertrag beendet wird. JOIN hat das Unternehmen unverzüglich zu informieren, falls es nicht in der Lage ist, diese AVV einzuhalten, ungeachtet des Grundes. JOIN hat das Unternehmen unverzüglich zu informieren, falls Anweisungen des Unternehmens nach Auffassung von JOIN gegen geltende unions-, mitgliedstaatliche oder schweizerische Datenschutzbestimmungen verstossen.
4. Diese AVV bleibt so lange in vollem Umfang gültig und wirksam, wie der zugrunde liegende Dienstleistungsvertrag in Kraft bleibt. Jede Bestimmung dieser AVV, die ausdrücklich oder sinngemäss auch nach Beendigung des zugrunde liegenden Dienstleistungsvertrags zum Schutz personenbezogener Daten in Kraft treten oder bleiben soll, bleibt in vollem Umfang gültig und wirksam.

Die Bestimmungen dieser AVV sind integraler Bestandteil des Dienstleistungsvertrags zwischen den Parteien und haben Vorrang vor den übrigen vertraglichen Vereinbarungen der Parteien zum Datenschutz, insbesondere vor anderen Verträgen, die Bestimmungen enthalten, die zum Nachteil des Unternehmens von den Bestimmungen dieser AVV abweichen. Ziffer 1.1 bleibt unberührt. Die Bestimmungen dieser AVV gelten nicht für die Verarbeitung personenbezogener Daten, die JOIN als Verantwortlicher dem Unternehmen oder einem anderen einzelnen Nutzer zur Verfügung stellt. Die Haftung jeder Partei, die sich aus dieser AVV ergibt oder damit im Zusammenhang steht, unterliegt den Haftungsbeschränkungen und -ausschlüssen, die in dem zwischen den Parteien geschlossenen Dienstleistungsvertrag festgelegt sind.

Die Parteien vereinbaren hiermit, dass der Zweck der Datenverarbeitung in der Erbringung der Dienstleistungen durch JOIN gemäss dem Dienstleistungsvertrag besteht. Der Umfang und die Art der Erhebung, Verarbeitung und/oder Nutzung personenbezogener Daten richten sich nach den Bestimmungen des Dienstleistungsvertrags sowie nach den vom Unternehmen tatsächlich in Anspruch genommenen Dienstleistungen.

Zu den von der Verarbeitung personenbezogener Daten im Rahmen des Dienstleistungsvertrags betroffenen Personen gehören:

• Bewerber für Stellen, die vom Unternehmen über die Plattform ausgeschrieben werden; und
• Mitarbeiter des Unternehmens, die die Plattform im Namen des Unternehmens nutzen.

Die folgenden Arten von Daten sind von der Auftragsverarbeitung besonders betroffen:

• personenbezogene Daten der Bewerber (z. B. Name, Anrede, akademischer Grad, Geburtsdatum, Telefonnummer, E-Mail-Adresse),
• die von den Bewerbern übermittelten Daten (Bewerberdaten; Lebenslauf, Referenzen, Zeugnisse usw.),
• alle über die Dienstleistungen und die JOIN-Plattform erfassten Informationen zum Bewerbungsprozess, wie z. B. über die Plattform versendete Nachrichten, Informationen zum Bewerbungsprozess und zum Fortschritt eines Bewerbers im Bewerbungsprozess, die auf unserer Plattform erfasst werden, oder Fragen, die im Rahmen des Bewerbungsprozesses gestellt und auf unserer Plattform erfasst werden,
• Daten, die durch die Nutzung der Dienstleistungen generiert werden, wie z. B. Metadaten; dazu gehören Informationen darüber, wie lange ein Bewerbungsverfahren dauert, wie viele Bewerber sich beworben haben und wie weit ein Bewerber im Bewerbungsverfahren fortgeschritten ist,
• Daten, die durch Interaktionen mit den Dienstleistungen generiert werden, wie z. B. die Antworten auf Fragen, die von Bewerbern gestellt wurden, vom Unternehmen selbst erfasste Daten, die auf der Plattform nicht gelöscht wurden, sowie Nachrichten zur Kontaktaufnahme mit den Bewerbern oder JOIN,
• personenbezogene Daten (z. B. Name, Berufsbezeichnung, E-Mail-Adresse, Telefonnummer, Geschäftsadresse) und Zugangsdaten (z. B. Benutzername und Passwort) von Mitarbeitern des Unternehmens.

Werden diese Daten im Rahmen anderer JOIN-Dienstleistungen verarbeitet, wobei JOIN als Verantwortlicher auftritt, erfolgt dies nicht im Rahmen dieser AVV. Es wird auf die Datenschutzerklärung von JOIN verwiesen.

1. Das Unternehmen ist allein dafür verantwortlich, die Zulässigkeit der von JOIN im Auftrag des Unternehmens durchgeführten Datenverarbeitung zu beurteilen und die Rechte der betroffenen Personen zu wahren. Das Unternehmen ist insbesondere, aber nicht ausschliesslich, verantwortlich für (1) die Erfüllung der datenschutzrechtlichen Informationspflichten gegenüber den Bewerbern, (2) die Einholung und Dokumentation der erforderlichen rechtlichen Grundlage der Bewerber zur Datenverarbeitung durch das Unternehmen oder JOIN, in Übereinstimmung mit geltenden Datenschutzgesetzen, und (3) die Einhaltung der für den jeweiligen Bewerbungsprozess geltenden Löschfristen.
2. Als Verantwortlicher ist das Unternehmen jederzeit berechtigt, Anweisungen zur Art, zum Umfang und zum Ablauf der im Auftrag des Unternehmens durchgeführten Datenverarbeitung zu erteilen. Mündliche Anweisungen müssen vom Unternehmen schriftlich (einschliesslich per E-Mail) bestätigt werden. JOIN bestätigt unverzüglich den Erhalt und die Ausführung solcher Anweisungen und informiert das Unternehmen, wenn eine Anweisung seiner Ansicht nach gegen geltendes Datenschutzrecht verstösst.
3. Falls das Unternehmen dies für erforderlich hält, können anweisungsberechtigte Personen benannt werden. Die Mitteilung muss schriftlich durch das Unternehmen erfolgen. Im Falle einer Änderung der anweisungsberechtigten Personen im Unternehmen hat das Unternehmen JOIN hierüber rechtzeitig zu informieren und jeweils die neue(n) Person(en) zu benennen.
4. Das Unternehmen hat JOIN zu informieren, wenn im Zusammenhang mit der Verarbeitung personenbezogener Daten durch JOIN Fehler oder Unregelmässigkeiten festgestellt werden.
5. Das Unternehmen ist berechtigt, die Einhaltung der von JOIN gemäss Abschnitt 9 getroffenen technischen und organisatorischen Datensicherheitsmassnahmen vor Beginn der Datenverarbeitung und danach in regelmässigen Abständen, jedoch höchstens einmal jährlich, nach rechtzeitiger Vorankündigung von mindestens 30 Tagen während der üblichen Geschäftszeiten und unter Berücksichtigung der Interessen von JOIN zu überprüfen. Das Unternehmen kann diese Überprüfung auch durch einen Dritten durchführen lassen, sofern zuvor eine Vertraulichkeitsvereinbarung geschlossen wurde. Das Unternehmen ist verpflichtet, die Vergütung an die mit der Durchführung dieser Massnahmen betrauten Personen zu zahlen.
6. Das Unternehmen ist verpflichtet, JOIN über Datenschutzvorfälle oder andere Verstösse gegen die geltenden Datenschutzgesetze zu informieren, die die Verarbeitungsaktivitäten von JOIN betreffen.
7. Das Unternehmen hat JOIN unverzüglich zu informieren, wenn es Kenntnis von konkreten Massnahmen der Aufsichtsbehörden erhält, die das Unternehmen betreffen, insbesondere von Ermittlungsmassnahmen der Behörden, sofern dies die Datenverarbeitung für das Unternehmen betrifft und das Unternehmen nicht zur Geheimhaltung verpflichtet ist.

1. Datenverarbeitung. JOIN ist verpflichtet, personenbezogene Daten im Rahmen dieser AVV ausschliesslich in Übereinstimmung mit dieser Vereinbarung und/oder dem zugrunde liegenden Dienstleistungsvertrag sowie den Anweisungen des Unternehmens zu verarbeiten.

2. Rechte der betroffenen Personen. JOIN unterstützt das Unternehmen so weit wie möglich bei der Erfüllung der Rechte der betroffenen Personen, insbesondere in Bezug auf Berichtigung, Einschränkung der Verarbeitung und Löschung, Benachrichtigung und Auskunftserteilung.

   JOIN wird auf Anweisung des Unternehmens die im Auftrag des Unternehmens verarbeiteten personenbezogenen Daten berichtigen, löschen oder deren Verarbeitung einschränken. Diese Verpflichtung gilt nicht für personenbezogene Daten, die JOIN als Verantwortlicher im Rahmen der über die Plattform angebotenen Dienste verarbeitet.

   Wendet sich eine betroffene Person direkt an JOIN, um die Berichtigung, Löschung oder Einschränkung der Verarbeitung ihrer personenbezogenen Daten zu beantragen, leitet JOIN diesen Antrag unverzüglich nach Erhalt an das Unternehmen weiter. Das Unternehmen bleibt für die Bearbeitung der Anträge verantwortlich.

3. Interne Kontrollpflichten. JOIN hat geeignete Kontrollmassnahmen, z. B. interne Audits, Datenschutzkonzepte usw. zu implementieren, um sicherzustellen, dass die im Rahmen dieser AVV verarbeiteten personenbezogenen Daten in Übereinstimmung mit dieser Vereinbarung sowie den entsprechenden Anweisungen verarbeitet werden.

4. Informationspflicht. JOIN hat als Auftragsverarbeiter das Unternehmen zu informieren, wenn nach seiner Einschätzung eine Anweisung gegen gesetzliche Vorschriften verstösst. JOIN ist in diesem Fall berechtigt, die Ausführung der entsprechenden Anweisung auszusetzen, bis diese vom Unternehmen geändert wird. Dies begründet jedoch keine Überprüfungs- oder Benachrichtigungspflicht seitens JOIN.

   JOIN hat das Unternehmen spätestens 48 Stunden nach Bekanntwerden über jede Verletzung des Schutzes der von JOIN verarbeiteten personenbezogenen Daten zu benachrichtigen. Eine solche Mitteilung muss mindestens Folgendes enthalten:

   1. eine Beschreibung der Art des Verstosses (einschliesslich, soweit möglich, der Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze);
   2. die wahrscheinlichen Folgen der Verletzung; und
   3. die getroffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und zur Minderung möglicher nachteiliger Auswirkungen.

   Ist der Zugriff auf die personenbezogenen Daten, die das Unternehmen zur Datenverarbeitung an JOIN übermittelt hat, durch Massnahmen Dritter gefährdet (z. B. Massnahmen eines Insolvenzverwalters, Beschlagnahme durch Steuerbehörden usw.), ist JOIN verpflichtet, das Unternehmen darüber zu informieren.

   JOIN gibt Informationen an eine anfragende Partei nur nach vorheriger Zustimmung des Unternehmens weiter, es sei denn, JOIN ist aufgrund behördlicher Massnahmen oder gerichtlicher Entscheidungen zur Auskunftserteilung verpflichtet.

   Wo eine Verletzung des Schutzes personenbezogener Daten aus der Kompromittierung, dem Verlust oder der unbefugten Offenlegung der eigenen Zugangsdaten, Systeme oder des Personals des Unternehmens resultiert, handelt JOIN strikt als Auftragsverarbeiter, und dessen Pflichten beschränken sich darauf, das Unternehmen gemäss dieser AVV zu benachrichtigen. JOIN ist nicht verpflichtet, Benachrichtigungen im Namen des Unternehmens vorzunehmen. JOIN kann, allein oder auf Ersuchen des Unternehmens, entscheiden, betroffene Personen über das Bestehen einer Verletzung zu benachrichtigen, damit diese betroffenen Personen die erforderlichen Massnahmen ergreifen können, um Risiken und weiteren unbefugten Zugriff auf die Infrastruktur von JOIN zu mindern.

5. Erstellung eines Verarbeitungsprotokolls. Auf Anfrage unterstützt JOIN das Unternehmen bei der Erstellung einer Aufstellung der Verarbeitungsvorgänge im Rahmen der AVV und der stattfindenden Datenverarbeitung und stellt die erforderlichen Informationen in geeigneter Form zur Verfügung.

   JOIN führt zudem ein eigenes Verzeichnis aller Kategorien von Verarbeitungsvorgängen, die im Auftrag des Unternehmens durchgeführt werden, gemäss den Bestimmungen der geltenden Datenschutzgesetze.

6. Melde- und Kooperationspflichten. JOIN unterstützt das Unternehmen auf Anfrage bei der

   1. Erfüllung seiner Berichtspflichten;
   2. der Verpflichtung zur Durchführung von Datenschutz-Folgenabschätzungen;
   3. der Verpflichtung zur Meldung und Mitteilung von Verletzungen des Schutzes personenbezogener Daten;
   4. bei etwaigen vorherigen Konsultationen mit Aufsichtsbehörden.

7. Ort der Datenverarbeitung. Sofern zwischen den Parteien nichts anderes vereinbart wurde, erfolgt die Verarbeitung und Nutzung der Daten durch JOIN in der Schweiz, in der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Eine Verlagerung der Datenverarbeitungstätigkeiten von JOIN in ein Drittland ist nur zulässig, wenn die besonderen Anforderungen von Kapitel V der DSGVO oder Abschnitt 2 des DSG eingehalten werden. Das Unternehmen erklärt sich damit einverstanden, dass JOIN, sofern JOIN gemäss dieser Vereinbarung einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungsvorgänge (im Auftrag des Unternehmens) in einem Drittland beauftragt und diese Verarbeitungsvorgänge eine Übermittlung personenbezogener Daten im Sinne der DSGVO bzw. des DSG beinhalten, JOIN und der Unterauftragsverarbeiter Standardvertragsklauseln verwenden dürfen, die von der Kommission auf der Grundlage von Artikel 46(2) DSGVO erlassen werden, um die Anforderungen von Kapitel V der DSGVO zu erfüllen, sofern die Voraussetzungen für die Verwendung dieser Klauseln erfüllt sind und eine interne Bewertung zu dem Ergebnis gelangt ist, dass eine solche Übermittlung dem Datenschutzniveau der DSGVO und des DSG entspricht.

8. Löschung personenbezogener Daten nach Beendigung des Vertrags. Nach Beendigung des Dienstleistungsvertrags ist JOIN verpflichtet, alle im Auftrag des Unternehmens verarbeiteten personenbezogenen Daten zu löschen und dem Unternehmen zu bestätigen, dass dies geschehen ist, und bestehende Kopien zu löschen, es sei denn, das Recht der Union, eines Mitgliedstaats oder der Schweiz verlangt die Speicherung der personenbezogenen Daten. Diese Löschpflicht gilt nicht für personenbezogene Daten, die JOIN als Verantwortlicher im Rahmen der über die Plattform angebotenen Dienste verarbeitet.

1. JOIN stellt dem Unternehmen alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung der in dieser AVV festgelegten und unmittelbar aus der DSGVO oder dem DSG stammenden Pflichten nachzuweisen, und ermöglicht auf Verlangen des Unternehmens Überprüfungen von Datendateien und Dokumentation oder Audits der von dieser AVV erfassten Verarbeitungstätigkeiten und wirkt daran mit, insbesondere wenn Anzeichen für eine Nichteinhaltung bestehen. Das Unternehmen kann wählen, das Audit selbst durchzuführen, auf eigene Kosten einen unabhängigen Prüfer zu beauftragen oder sich auf ein von JOIN beauftragtes unabhängiges Audit zu stützen. Beauftragt JOIN ein Audit, hat JOIN die Kosten des unabhängigen Prüfers zu tragen. Die Audit-, Zugangs- und Inspektionsrechte des Unternehmens nach diesem Abschnitt 9.1 beschränken sich ausschliesslich auf die Aufzeichnungen von JOIN (einschliesslich der Verzeichnisse der Verarbeitungsvorgänge personenbezogener Daten und der Verzeichnisse der Empfänger personenbezogener Daten) und gelten nicht für die physischen Räumlichkeiten von JOIN. Jede Prüfung und jede Auskunftsanfrage beschränkt sich auf die für die Zwecke dieser AVV erforderlichen Informationen und berücksichtigt gebührend die Vertraulichkeitsverpflichtungen von JOIN sowie dessen berechtigtes Interesse am Schutz von Geschäftsgeheimnissen.
2. JOIN unterstützt das Unternehmen nach besten Kräften bei der Durchführung von Überprüfungen und leistet bei Bedarf umgehend und umfassend Auskunft.
3. JOIN akzeptiert alle Kontrollmassnahmen der Datenschutzaufsichtsbehörde, sofern eine gesetzliche Verpflichtung dazu besteht. JOIN informiert das Unternehmen gemäss Abschnitt 8.4 nach Benachrichtigung oder Kenntnisnahme von der Durchführung der Kontrollmassnahme sowie von sonstigen Anfragen oder Untersuchungen durch die Datenschutzaufsichtsbehörde, soweit die Massnahmen oder Anfragen die Datenverarbeitung betreffen, die JOIN für das Unternehmen erbringt, und JOIN nicht gesetzlich zur Geheimhaltung verpflichtet ist.
4. Auf Anfrage bestätigt JOIN schriftlich die Einhaltung der in Anhang 1 genannten technischen und organisatorischen Massnahmen sowie die ISO 27001:2022 Zertifizierung von JOIN.

1. JOIN ist berechtigt, Unterauftragsverarbeiter mit der Datenverarbeitung gemäss den folgenden Bestimmungen zu beauftragen:

   • JOIN wählt Unterauftragsverarbeiter sorgfältig nach ihrer Eignung und Zuverlässigkeit aus und stellt sicher, dass der jeweilige Unterauftragsverarbeiter ein angemessenes Datenschutzniveau gewährleistet.
   • JOIN ist verpflichtet, die vertraglichen Vereinbarungen mit den Unterauftragsverarbeitern in Übereinstimmung mit den geltenden Vereinbarungen im Verhältnis zwischen dem Unternehmen und JOIN abzuschliessen und sicherzustellen, dass etwaige ergänzende Anweisungen des Unternehmens auch für die Unterauftragsverarbeiter gelten.
   • JOIN hat das Unternehmen durch Mitteilung in Schriftform rechtzeitig, d. h. spätestens 30 Tage vor Beginn der geplanten Unterauftragsverarbeitung, über jede beabsichtigte Änderung hinsichtlich der Einbeziehung oder des Austauschs der in Anhang 2 aufgeführten Unterauftragsverarbeiter zu benachrichtigen, und gibt dem Unternehmen dadurch die Gelegenheit, vor der Beauftragung des betreffenden Unterauftragsverarbeiters solchen Änderungen zu widersprechen. Ein solcher Widerspruch darf nicht unangemessen erhoben werden. Erhebt das Unternehmen keinen Widerspruch gegen die Unterauftragsvergabe, gilt diese als genehmigt.
2. JOIN stellt dem Unternehmen auf Anfrage eine Kopie der Vereinbarung mit dem Unterauftragsverarbeiter zur Verfügung, sofern und soweit dies nicht den Interessen von JOIN zuwiderläuft.
3. JOIN wird bei Vertragsabschluss mit den in Anhang 2 genannten Unterauftragsverarbeitern bei der Erfüllung des Vertrags zusammenarbeiten, womit das Unternehmen ausdrücklich einverstanden ist.

1. JOIN ist bei der Verarbeitung von Daten für das Unternehmen verpflichtet, die Vertraulichkeit und den Datenschutz zu wahren.
2. JOIN setzt zur Vertragserfüllung nur Mitarbeiter oder sonstige Erfüllungsgehilfen ein, die im Umgang mit den übermittelten personenbezogenen Daten in ausreichendem Masse zur Geheimhaltung oder Vertraulichkeit verpflichtet sind und die ordnungsgemäss über die datenschutzrechtlichen Anforderungen unterrichtet wurden.

1. JOIN setzt die in Anhang 1 aufgeführten TOMs um.
2. Für die Dauer des Vertragsverhältnisses trifft JOIN alle erforderlichen Massnahmen, um die Daten und die Sicherheit der Verarbeitung zu gewährleisten, insbesondere unter Berücksichtigung des aktuellen Stands der Technik, sowie um mögliche nachteilige Folgen für die betroffenen Personen zu minimieren. Um stets ein angemessenes Sicherheitsniveau für die Datenverarbeitung gewährleisten zu können, stellt JOIN sicher, dass die getroffenen Massnahmen regelmässig überprüft und gegebenenfalls aktualisiert werden. JOIN steht es frei, solche Änderungen an den technischen und organisatorischen Massnahmen vorzunehmen, die das vereinbarte Sicherheitsniveau erhöhen. JOIN informiert das Unternehmen rechtzeitig über Änderungen an diesen Massnahmen.
3. JOIN ist nach ISO 27001:2022 zertifiziert.

1. JOIN ist berechtigt, diese AVV zu ändern. JOIN hat das Unternehmen mindestens 30 Tage vor Inkrafttreten einer solchen Änderung zu benachrichtigen (“Wirksamkeitsdatum”). Eine Änderung tritt am Wirksamkeitsdatum ohne weitere Zustimmung des Unternehmens in Kraft, wenn sie (jeweils eine “Automatische Änderung”): (a) durch anwendbares Datenschutzrecht, eine Aufsichtsbehörde, ein Gericht oder eine Änderung der Standardvertragsklauseln oder eines Nachfolge-Übertragungsmechanismus erforderlich ist; (b) eine Änderung von Anhang 1 oder Anhang 2 widerspiegelt, die jeweils den Abschnitten 12 und 10 unterliegen; (c) klarstellend ist oder einen offensichtlichen Fehler korrigiert; oder (d) den personenbezogenen Daten, die im Auftrag des Unternehmens verarbeitet werden, oder den Rechten des Unternehmens aus dieser AVV gewährten Schutz nicht wesentlich mindert. Jede andere Änderung tritt am Wirksamkeitsdatum in Kraft, es sei denn, das Unternehmen widerspricht zuvor schriftlich. Der Widerspruch muss die Änderung, gegen die Widerspruch erhoben wird, bezeichnen und darlegen, weshalb das Unternehmen der Auffassung ist, dass es sich nicht um eine Automatische Änderung handelt. Wird ein den Anforderungen entsprechender Widerspruch erhoben, bemühen sich die Parteien 30 Tage lang nach Treu und Glauben um eine Einigung.
2. Alle Erklärungen der Parteien, insbesondere Mitteilungen, Ankündigungen, Erklärungen und sonstige Informationen, die der anderen Partei zu übermitteln sind, müssen zu ihrer Wirksamkeit schriftlich erfolgen. Zur Klarstellung: Der Begriff “schriftlich” umfasst auch elektronische Signaturen und sonstige Mitteilungen in Textform wie E-Mail.

1. Im Falle von Widersprüchen zwischen den Bestimmungen dieser Vereinbarung und den Bestimmungen des Dienstleistungsvertrags haben die Bestimmungen dieser Vereinbarung Vorrang.
2. Diese AVV liegt in mehr als einer Sprachfassung vor. Im Falle einer Abweichung zwischen der englischen Fassung dieser AVV und einer übersetzten Fassung geht, soweit nach anwendbarem Recht zulässig, die englische Fassung vor.
3. Diese AVV unterliegt dem materiellen Recht der Schweiz unter Ausschluss des Kollisionsrechts und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (CISG). Für alle Streitigkeiten aus oder im Zusammenhang mit diesen AVV ist ausschliesslich das ordentliche Gericht am Sitz von JOIN zuständig.

Tim Ruffner, CEO and Founder JOIN Solutions

15. September, 2026

JOIN Solutions AG (“JOIN”) implementiert und unterhält technische und organisatorische Massnahmen, die dazu bestimmt sind, personenbezogene Daten, die im Zusammenhang mit den Dienstleistungen verarbeitet werden, vor zufälliger oder unrechtmässiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung, unbefugtem Zugriff sowie anderen unrechtmässigen oder unbefugten Formen der Verarbeitung zu schützen.

Diese Massnahmen werden risikobasiert umgesetzt, unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen.

JOIN überprüft und aktualisiert seine technischen und organisatorischen Massnahmen soweit angemessen, um ein dem Risiko angemessenes Schutzniveau aufrechtzuerhalten und Änderungen der rechtlichen Anforderungen, der Dienstleistungen sowie des Stands der Technik Rechnung zu tragen. Diese Massnahmen sollen das Rahmenwerk für das Informationssicherheitsmanagement von JOIN sowie die anwendbaren datenschutzrechtlichen Pflichten unterstützen.

1. Governance der Informationssicherheit

JOIN unterhält ein Rahmenwerk für das Informationssicherheitsmanagement, inklusive dokumentierter Richtlinien, zugewiesener Verantwortlichkeiten, Risikobewertungs- und Risikobehandlungsprozesse und periodischer Überprüfung relevanter Sicherheits- und Datenschutzrisiken.

JOIN unterhält dokumentierte Verfahren und Kontrollen in Bereichen wie Zugriffsverwaltung, Vorfallreaktion, sichere Entwicklung, Schwachstellenmanagement, Geschäftskontinuität, Lieferantenüberwachung und Datenschutz.

Personal mit Zuständigkeiten in Bezug auf personenbezogene Daten von Kunden unterliegt Vertraulichkeitspflichten und erhält eine seiner Rolle angemessene Schulung in Sicherheit und Datenschutz.

2. Personalsicherheit und Vertraulichkeit

JOIN wendet der Rolle entsprechende Onboarding-, Rollenwechsel- und Offboarding-Prozesse für Personal an, das potenziell Zugriff auf Systeme oder personenbezogene Daten im Rahmen der Dienstleistungen hat.

Zugriff wird auf Grundlage des geschäftlichen Bedarfs sowie des Prinzips der geringstmöglichen Rechtevergabe gewährt, und das Personal ist verpflichtet, die internen Sicherheits- und Vertraulichkeitsanforderungen von JOIN einzuhalten.

JOIN unternimmt angemessene Schritte, um sicherzustellen, dass befugtes Personal seine Verantwortlichkeiten in Bezug auf vertrauliche Informationen, Datenschutz und die zulässige Nutzung von Systemen versteht.

3. Physische und umgebungsbezogene Sicherheit

JOIN stützt sich für die Verarbeitung und Speicherung personenbezogener Daten von Kunden hauptsächlich auf cloudbasierte Systeme und Infrastruktur. Die physische und umgebungsbezogene Sicherheit der zugrunde liegenden Hosting-Infrastruktur wird vom jeweiligen Infrastrukturanbieter der Cloud im Rahmen seines eigenen Sicherheitsprogramms und seiner vertraglichen Verpflichtungen verwaltet.

JOIN wendet verhältnismässige Massnahmen zur physischen Sicherheit und zum Schutz von Büro- und Homeofficeumgebungen an, die für dessen Geschäftsbetrieb relevant sind.

Dieser Anhang beschreibt keine Kontrollen spezifisch für Infrastruktur, die ausschliesslich von Drittanbietern von Cloud-Diensten betrieben wird, es sei denn, solche Kontrollen sind Teil der vom Anbieter verwalteten Umgebung, welche die Dienstleistungen unterstützt.

4. Identitäts- und Zugriffsmanagement

Der Zugriff auf Systeme und personenbezogene Daten von Kunden ist auf befugte Personen mit einem berechtigten geschäftlichen Bedarf beschränkt. JOIN nutzt Zugriffsverwaltungsprozesse, die sicherstellen sollen, dass Zugriffsrechte kontrolliert vergeben, geändert und entzogen werden.

JOIN verwendet, soweit angemessen, eindeutige Benutzeridentitäten, beschränkt privilegierten Zugriff auf befugtes Personal und wendet starke Authentifizierungskontrollen an, einschliesslich Multi-Faktor-Authentifizierung für kritische Systeme, soweit technisch unterstützt und angemessen.

JOIN unterhält Prozesse für die Verwaltung von Zugangsdaten, Zugriffsüberprüfungen, rollenbasierte Berechtigungen sowie den zeitnahen Entzug des Zugriffs nach einem Rollenwechsel oder einer Beendigung.

5. Kundenzugriff und Datentrennung

Die Dienste von JOIN sind so ausgestaltet, dass Kundendaten logisch von den Daten anderer Kunden getrennt sind und Benutzer nur auf die Daten und Funktionen zugreifen können, für die sie befugt sind.

JOIN unterhält, soweit für betriebliche und sicherheitsbezogene Zwecke angemessen, eine Trennung zwischen Produktions- und Nicht-Produktionsumgebungen.

Soweit personenbezogene Daten im Zusammenhang mit Test-, Support-, Fehlerbehebungs- oder Wartungstätigkeiten verarbeitet werden, ist eine solche Verarbeitung auf das Erforderliche beschränkt und unterliegt angemessenen Zugriffsbeschränkungen und Schutzmassnahmen.

6. Verschlüsselung und sichere Kommunikation

JOIN wendet für personenbezogene Daten, die über öffentliche Netzwerke übermittelt werden, Verschlüsselung während der Übertragung an, unter Verwendung branchenüblicher sicherer Kommunikationsprotokolle.

JOIN wendet Verschlüsselung im Ruhezustand für von JOIN kontrollierte Produktionssysteme an, die zur dauerhaften Speicherung personenbezogener Daten von Kunden verwendet werden. Soweit personenbezogene Daten von Kunden über Dienste Dritter verarbeitet oder gespeichert werden, stützt sich JOIN auf die anwendbaren Sicherheitsmassnahmen und vertraglichen Schutzvorkehrungen des jeweiligen Anbieters.

Kryptografische Schlüssel, Geheimnisse, Authentifizierungsdaten und damit zusammenhängende sensible Konfigurationsdaten werden durch kontrollierte Prozesse verwaltet, die den unbefugten Zugriff und die unbefugte Offenlegung einschränken sollen.

7. Sichere Entwicklung und Änderungsmanagement

JOIN unterhält Prozesse zum Entwicklungs- und Änderungsmanagement, die dazu bestimmt sind, Sicherheitsrisiken während der Konzeption, Entwicklung, Testung, Bereitstellung und des Betriebs der Dienstleistungen zu verringern.

Änderungen an Produktionssystemen unterliegen angemessenen Überprüfungs-, Test- und Genehmigungsverfahren, die der Art und dem Risiko der jeweiligen Änderung entsprechen. JOIN unterhält zudem, soweit angemessen, eine Trennung zwischen Entwicklungs-, Test- und Produktionstätigkeiten.

Sicherheitsaspekte werden in den Software-Lebenszyklus einbezogen, einschliesslich der Behebung von Schwachstellen, des Abhängigkeitsmanagements, der Fehlerbehandlung sowie der kontrollierten Freigabe von Änderungen.

8. Schwachstellen-, Endpunkt- und Lieferantenmanagement

JOIN unterhält Prozesse zur Identifizierung, Bewertung, Priorisierung und Behebung von Schwachstellen, die Systeme innerhalb ihres Verantwortungsbereichs betreffen. Sicherheitsupdates und Patches werden risiko-, schweregrad- und betriebsbedingt angewendet.

JOIN wendet Massnahmen zum Endpunktsicherheits- und Gerätemanagement an, die für unternehmensverwaltete Endgeräte im Zusammenhang mit den Dienstleistungen angemessen sind.

Vor der Beauftragung relevanter Lieferanten oder Unterauftragsverarbeiter, die personenbezogene Daten von Kunden verarbeiten können, führt JOIN eine angemessene Sorgfaltsprüfung durch und verlangt vertragliche Schutzvorkehrungen, die den erbrachten Diensten und den anwendbaren rechtlichen Anforderungen entsprechen. JOIN verwaltet Unterauftragsverarbeiter gemäss der anwendbaren Auftragsverarbeitungsvereinbarung.

9. Protokollierung, Überwachung und Vorfallmanagement

JOIN unterhält Protokollierungs- und Überwachungsmassnahmen für relevante Systeme, um die Sicherheitsüberwachung, den Betrieb der Dienste, die Fehlerbehebung sowie die Untersuchung und Reaktion auf Vorfälle zu unterstützen.

Der Zugriff auf solche Protokolle ist auf befugtes Personal beschränkt, und die Aufbewahrungsfristen werden nach betrieblichen, sicherheitsbezogenen, rechtlichen und vertraglichen Anforderungen bestimmt. JOIN unterhält einen Prozess zum Vorfallmanagement, der die Identifizierung, Bewertung, Eskalation, Eindämmung, Behebung und Nachbereitung von Sicherheits- und Betriebsvorfällen im Zusammenhang mit den Dienstleistungen umfasst.

Im Falle einer Verletzung des Schutzes personenbezogener Daten wird JOIN den betreffenden Kunden gemäss der AVV benachrichtigen und angemessene Unterstützung sowie relevante verfügbare Informationen bereitstellen, um die Untersuchung, Schadensminderung und Einhaltung der anwendbaren Benachrichtigungspflichten zu unterstützen.

10. Verfügbarkeit, Backup, Wiederherstellung und Datenlöschung

JOIN unterhält Massnahmen, die dazu bestimmt sind, die Verfügbarkeit, Resilienz und Wiederherstellbarkeit der Dienstleistungen zu unterstützen, einschliesslich Backup-, Wiederherstellungs-, Diensteüberwachungs- und Betriebskontinuitätsmassnahmen, die den Dienstleistungen und ihrer zugrunde liegenden Infrastruktur angemessen sind.

Backup- und Wiederherstellungsvorkehrungen werden gemäss den betrieblichen Anforderungen periodisch getestet oder anderweitig validiert, und JOIN unterhält Geschäftskontinuitäts- und Wiederherstellungsprozesse, die die Wiederherstellung nach wesentlichen Betriebs- oder Sicherheitsvorfällen unterstützen.

Nach Beendigung des jeweiligen Vertragsverhältnisses löscht JOIN personenbezogene Daten von Kunden gemäss der anwendbaren Vereinbarung und den dokumentierten Anweisungen des Kunden, ausser soweit eine Aufbewahrung nach anwendbarem Recht erforderlich ist. Löschprozesse sind so ausgestaltet, dass personenbezogene Daten aus aktiven Systemen entfernt werden und Restdaten in Backups gemäss den anwendbaren Aufbewahrungs- und Löschprozessen verwaltet werden.

Fragen zu dieser Vereinbarung, unseren Unterauftragsverarbeitern oder einer Anfrage nach Datenschutzrechten? Unser Rechtsteam erreichen Sie unter [email protected] oder über join.com/contact.