Auftragsbearbeitungsvertrag (AVV)

Dies ist ein Muster-Vertrag, den Sie als verantwortliche Anwältin oder verantwortlicher Anwalt (nachfolgend „Verantwortliche") mit TomicSwissTech, Inh. Marko Tomic (nachfolgend „Auftragsbearbeiterin") abschliessen, bevor Sie pro Dossier die opt-in-Funktion „Erweiterte Cloud-Analyse (Akten)" aktivieren. Er regelt die Bearbeitung pseudonymisierter Akteninhalte im Auftrag und erfüllt die Anforderungen von Art. 9 revDSG. Kreuzen Sie die anwendbaren Punkte an, ergänzen Sie die offenen Felder und unterzeichnen Sie beide Exemplare.

1. Parteien und Rollen

Verantwortliche: die Anwältin/der Anwalt bzw. die Kanzlei gemäss Unterschriftsfeld — bestimmt Zweck und Mittel der Bearbeitung.
Auftragsbearbeiterin: TomicSwissTech, Inh. Marko Tomic, Schweiz, info@causidicus.ch — bearbeitet Personendaten ausschliesslich im Auftrag und nach Weisung der Verantwortlichen.
Unterauftragsbearbeiter: der in der Subprozessor-Liste ausgewiesene Anbieter des Sprachmodells sowie der Schweizer Hosting-Dienst (Infomaniak). Die Verarbeitungsregion des Modellanbieters wird in der Subprozessor-Liste offengelegt.

2. Gegenstand und Dauer

Gegenstand ist die Bearbeitung pseudonymisierter Akteninhalte, die die Verantwortliche über die Funktion „Erweiterte Cloud-Analyse (Akten)" von Causidicus übermittelt, zum Zweck der maschinellen Analyse und Beantwortung. Der Vertrag beginnt mit der Aktivierung der Funktion und dauert an, solange die Verantwortliche die Funktion nutzt bzw. das Abonnement besteht. Er kann jederzeit durch Deaktivierung der Funktion oder in Textform beendet werden.

3. Art, Umfang und Zweck der Bearbeitung

Art: Übermittlung, kurzzeitige Verarbeitung im Arbeitsspeicher und maschinelle Analyse durch ein Sprachmodell; keine dauerhafte Speicherung der Inhalte beim Anbieter (Zero-Retention).
Zweck: ausschliesslich die Erbringung der von der Verantwortlichen angeforderten Analyse. Eine Nutzung zu eigenen Zwecken, insbesondere zum Training von Modellen, ist ausgeschlossen.
Datenkategorien: pseudonymisierte Akteninhalte. Vor der Übermittlung ersetzt Causidicus Parteinamen durch Kürzel (Partei A/B) und entfernt bzw. maskiert AHV-, Referenz- und IBAN-Nummern sowie Kontaktdaten. Die Verantwortliche nimmt zur Kenntnis, dass Pseudonymisierung keine Anonymisierung ist und ein Restrisiko der Re-Identifikation verbleibt.
Betroffene Personen: Mandantschaft, Gegenparteien und weitere in den Akten genannte Personen der Verantwortlichen.

4. Weisungsgebundenheit

Die Auftragsbearbeiterin bearbeitet die Daten nur auf dokumentierte Weisung der Verantwortlichen. Die Aktivierung der Funktion und die einzelne Anfrage gelten als Weisung. Hält die Auftragsbearbeiterin eine Weisung für datenschutzrechtswidrig, informiert sie die Verantwortliche.

5. Vertraulichkeit

Die Auftragsbearbeiterin verpflichtet die zur Bearbeitung befugten Personen zur Vertraulichkeit, soweit diese nicht bereits einer gesetzlichen Geheimhaltungspflicht unterstehen. Die Verantwortliche bleibt für die Wahrung des anwaltlichen Berufsgeheimnisses (Art. 13 BGFA, Art. 321 StGB) verantwortlich.

6. Technische und organisatorische Massnahmen

Pseudonymisierung der Akteninhalte vor jeder Übermittlung (Parteien → Partei A/B; Entfernung von AHV-/Referenz-/IBAN-Nummern und Kontaktdaten).
Verschlüsselung bei der Übertragung (Transportverschlüsselung nach Stand der Technik).
Zero-Retention beim Modellanbieter: keine dauerhafte Speicherung der übermittelten Inhalte, kein Training auf den Daten.
Zugriffskontrolle: Zugriff nur für befugte Personen, nach dem Prinzip der Erforderlichkeit.
Datenminimierung: übermittelt wird nur der für die jeweilige Analyse notwendige Inhalt.

7. Unterauftragsbearbeiter

Die Verantwortliche stimmt dem Beizug der in der Subprozessor-Liste aufgeführten Unterauftragsbearbeiter (Modellanbieter, Hosting) zu. Die Auftragsbearbeiterin verpflichtet jeden Unterauftragsbearbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Änderungen der Liste werden vorgängig mitgeteilt; die Verantwortliche kann berechtigten Einwänden durch Deaktivierung der Funktion Rechnung tragen.

8. Unterstützung der Verantwortlichen

Die Auftragsbearbeiterin unterstützt die Verantwortliche im Rahmen des Zumutbaren bei der Wahrung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung) sowie bei Datenschutz-Folgenabschätzungen. Erhält sie Kenntnis von einer Verletzung der Datensicherheit, die zu einem hohen Risiko für die betroffenen Personen führt, meldet sie diese der Verantwortlichen unverzüglich, damit diese ihre Meldepflicht nach Art. 24 revDSG erfüllen kann.

9. Löschung und Rückgabe

Da die Bearbeitung nach dem Zero-Retention-Prinzip erfolgt, werden übermittelte Inhalte nach der Beantwortung nicht dauerhaft aufbewahrt. Nach Vertragsende werden allfällige noch vorhandene Daten nach Wahl der Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

10. Nachweis und Audit

Die Auftragsbearbeiterin stellt der Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht angemessene, vorher angekündigte Überprüfungen, die den Geschäftsbetrieb nicht unverhältnismässig beeinträchtigen.

11. Haftung

Die Haftung richtet sich nach den zwischen den Parteien geltenden Allgemeinen Geschäftsbedingungen und dem anwendbaren Recht. Die datenschutzrechtliche Verantwortung gegenüber betroffenen Personen bleibt bei der Verantwortlichen; die Auftragsbearbeiterin haftet für Schäden aus einer Verletzung ihrer Pflichten aus diesem Vertrag im gesetzlich zulässigen Umfang.

12. Anwendbares Recht und Gerichtsstand

Es gilt schweizerisches Recht, insbesondere das revDSG. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz der Auftragsbearbeiterin.

Unterschriften

Verantwortliche (Anwältin/Anwalt, Kanzlei)	Auftragsbearbeiterin (TomicSwissTech)
Name / Kanzlei: __________________ Ort, Datum: __________________ Unterschrift: __________________	Marko Tomic, TomicSwissTech Ort, Datum: __________________ Unterschrift: __________________

Fragen zu diesem Muster: info@causidicus.ch.