Auftragsbearbeitung

Teil A: Vertrag über die Auftragsbearbeitung

Zwischen der Organisation mit Sitz in der Schweiz, die die Plattform validportrait nutzt (die «Organisation», Verantwortliche), und digitalify GmbH, Euelstrasse 29, 8408 Winterthur, Schweiz (der «Betreiber», Auftragsbearbeiter).

1. Gegenstand

Dieser Vertrag regelt, wie der Betreiber Personendaten im Auftrag der Organisation bearbeitet (Art. 9 DSG). Ist auf eine Bearbeitung der Organisation die Datenschutz-Grundverordnung der EU (DSGVO) anwendbar, erfüllt er zugleich Art. 28 DSGVO; für eine öffentliche Stelle gilt er neben den Vorgaben ihres kantonalen Rechts.

Er ergänzt den Vertrag über die Nutzung der Plattform und geht diesem in Fragen des Datenschutzes vor.

2. Art, Zweck und Dauer der Bearbeitung

Der Betreiber holt im Auftrag der Organisation Porträtfotos der Personen ein, die sie bestimmt, prüft sie automatisch, schneidet sie in die Formate der Organisation zu, bearbeitet sie auf Wunsch der Organisation nach (Ausschnitt, Drehung, Tonwerte, Hintergrund in einer einzigen Farbe) und übergibt sie der Organisation als Download oder über die Schnittstelle. Schaltet die Organisation PortraitBridge zu, setzt der Betreiber das Foto zudem als Profilbild in Microsoft 365 der Organisation, sobald die Person es auslöst. Dazu gehören der Versand von Einladungen und Erinnerungen per E-Mail oder SMS, die Konten der Konsole und die Berichte der Organisation.

Der Betreiber erkennt keine Gesichter, berechnet keine biometrischen Merkmale zum Wiedererkennen und verändert Gesichter nicht generativ.

Der Vertrag gilt, solange die Organisation die Plattform nutzt, und darüber hinaus, bis ihre Daten nach Ziffer 11 gelöscht sind.

3. Daten und betroffene Personen

Betroffene Personen: die Personen, deren Porträtfoto die Organisation einholt, und die Benutzer ihrer Konsole.

Daten der Personen, die ein Foto abgeben: die Nummer, unter der die Organisation sie führt; E-Mail-Adresse oder Mobilnummer für die Einladung; freiwillig eine Bezeichnung, eine Gruppe und die Sprache; das Foto, die daraus geschnittenen Formate, die Messwerte der Prüfung, die Werte der Bearbeitung und die Maske des Hintergrunds; Zeitpunkte und Zustand von Aufträgen und Nachrichten; mit PortraitBridge die Kennungen des Microsoft-Kontos und des Tenants.

Daten der Benutzer der Konsole: Benutzername, Anzeigename, Rolle, Gültigkeit und gegebenenfalls der zweite Faktor; ein Protokoll mit Kennungen, wer was getan hat.

Der Betreiber bearbeitet die Fotos nicht, um daraus besonders schützenswerte Personendaten zu gewinnen, insbesondere keine biometrischen Daten zur Identifikation (Art. 5 lit. c DSG).

Unter den betroffenen Personen können Minderjährige sein. Ob es für ihr Foto die Einwilligung der Eltern braucht, klärt die Organisation nach dem Recht, das für sie gilt, und holt sie, wo nötig, vorher selbst ein; der Betreiber fragt nicht danach und speichert nichts dazu.

4. Weisungen

Der Betreiber bearbeitet die Daten nur so, wie die Organisation es selbst dürfte, und nur nach ihren Weisungen, es sei denn, ein Gesetz verpflichte ihn zu einer Bearbeitung; dann teilt er ihr das vorher mit, soweit das Gesetz es erlaubt. Weisungen erteilt die Organisation mit ihren Einstellungen und Handlungen in der Konsole und über die Schnittstelle, im Übrigen in Textform. Hält der Betreiber eine Weisung für rechtswidrig, sagt er das der Organisation, bevor er sie ausführt.

Eigene Zwecke verfolgt der Betreiber mit den Daten nicht; er verwendet sie weder für Werbung noch zum Training von Modellen. Zahlen ohne Personenbezug, etwa wie viele Fotos eine Organisation eingeholt hat, darf er für Betrieb und Abrechnung auswerten.

5. Vertraulichkeit

Der Betreiber gibt Zugang zu den Daten nur Personen, die ihn für Betrieb und Unterstützung brauchen, und verpflichtet sie zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus. Er greift auf Daten einer Organisation nur zu, soweit Betrieb, Fehlerbehebung oder eine Anfrage der Organisation es erfordern.

6. Datensicherheit

Der Betreiber schützt die Daten mit den technischen und organisatorischen Massnahmen in Anhang 1 und hält sie auf dem Stand der Technik. Er darf eine Massnahme ersetzen, wenn das Schutzniveau dadurch nicht sinkt.

7. Unterauftragsbearbeiter

Die Organisation genehmigt die Unterauftragsbearbeiter in Anhang 2 und erlaubt dem Betreiber allgemein, weitere beizuziehen oder sie zu ersetzen. Jede solche Änderung teilt der Betreiber der Organisation mindestens 7 Tage vorher mit. Ist die Organisation damit nicht einverstanden, kann sie den Vertrag auf den Zeitpunkt der Änderung kündigen; ein Widerspruch, der die Änderung aufhält, besteht nicht.

Der Betreiber verpflichtet jeden Unterauftragsbearbeiter vertraglich auf einen gleichwertigen Schutz und bleibt der Organisation für ihn verantwortlich.

Systeme, die die Organisation selbst anbindet (über die Schnittstelle, ihren eigenen Mailserver oder Microsoft 365), sind keine Unterauftragsbearbeiter des Betreibers, sondern Empfänger, die die Organisation bestimmt; das gilt auch für Microsoft 365 als Ziel von PortraitBridge. PortraitBridge selbst ist ein Dienst des Betreibers und fällt unter diesen Vertrag.

8. Bekanntgabe ins Ausland

Der Betreiber bearbeitet die Daten in der Schweiz. Ins Ausland gibt er Daten nur bekannt, soweit Anhang 2 es nennt, und nur in Staaten mit angemessenem Datenschutz oder mit Garantien nach Art. 16 DSG. Heute betrifft das nur Mobilnummer und Text einer SMS.

9. Rechte der betroffenen Personen

Wendet sich eine betroffene Person mit einem Begehren an den Betreiber, leitet er es unverzüglich an die Organisation weiter und beantwortet es nur auf ihre Weisung. Er unterstützt die Organisation dabei, Auskunft zu geben, Daten herauszugeben, zu berichtigen und zu löschen; vieles davon erledigt die Organisation selbst in der Konsole.

10. Verletzungen der Datensicherheit

Stellt der Betreiber eine Verletzung der Datensicherheit fest, die Daten der Organisation betrifft, meldet er sie der Organisation so rasch wie möglich, spätestens 48 Stunden nachdem er davon erfahren hat (Art. 24 Abs. 3 DSG). Die Meldung nennt, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Daten und Personen, die möglichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen; was später bekannt wird, reicht er nach.

Der Betreiber unterstützt die Organisation bei einer Meldung an die Aufsicht und bei der Information der betroffenen Personen. Er dokumentiert jede Verletzung.

11. Löschung und Rückgabe

Während der Nutzung löscht der Betreiber die Daten nach den Fristen der Plattform: Das Originalfoto bleibt für die Bearbeitung, bis die Organisation das Foto abgeholt hat. Danach wird es in der Regel innert 10 Minuten gelöscht, ebenso die Maske. Die fertigen Formate und die Angaben zur Person werden 30 Tage nach dem Abholen gelöscht. Läuft der Link ab oder storniert die Organisation den Auftrag, wird alles 30 Tage danach gelöscht. Dasselbe gilt für ein abgelehntes Foto. Holt die Organisation ein Foto nie ab, wird es 90 Tage nach dem Senden gelöscht. Diese Frist kann je Organisation anders sein. Die Organisation kann abgeschlossene Aufträge jederzeit sofort löschen.

Endet der Vertrag, kann die Organisation ihre Fotos bis zum letzten Tag als ZIP abholen. Danach löscht der Betreiber die Daten der Organisation innert 30 Tagen, ausser ein Gesetz verlange ihre Aufbewahrung. Aus den Sicherungen verschwinden sie in der Regel 15 Tage später, spätestens nach 22 Tagen. Auf Wunsch bestätigt der Betreiber die Löschung in Textform.

12. Nachweise und Kontrollen

Der Betreiber gibt der Organisation auf Anfrage die Auskünfte, die sie braucht, um die Einhaltung dieses Vertrags zu prüfen, insbesondere eine aktuelle Beschreibung der Massnahmen. Eine Prüfung durch die Organisation oder eine von ihr beauftragte, zur Verschwiegenheit verpflichtete Stelle kündigt sie mindestens 30 Tage vorher an; die Prüfung greift nicht auf Daten anderer Organisationen zu. Ihre Kosten trägt die Organisation, ausser die Prüfung deckt einen wesentlichen Verstoss auf.

Der Betreiber unterstützt die Organisation bei einer Datenschutz-Folgenabschätzung oder Vorabkontrolle; Teil B enthält die Grundlagen dafür.

13. Schlussbestimmungen

Änderungen vereinbaren die Parteien in Textform. Ist eine Bestimmung unwirksam, gilt an ihrer Stelle, was ihrem Zweck am nächsten kommt. Es gilt schweizerisches Recht. Gerichtsstand ist der Sitz des Betreibers, soweit zwingendes Recht, namentlich für eine öffentliche Stelle, nichts anderes vorsieht.

Für die Organisation: Ort, Datum, Name und Unterschrift

Für den Betreiber: Ort, Datum, Name und Unterschrift

Anhang 1: Technische und organisatorische Massnahmen

Rechenzentren: Alle Server stehen in Rechenzentren von Infomaniak in der Schweiz; Zutritt und physische Sicherheit regelt Infomaniak.

Zugang zu den Servern: nur für Personen des Betreibers, per SSH mit Schlüssel und nur von freigegebenen Adressen. Von aussen nimmt nur der Webserver Verbindungen an; die Server sind untereinander über ein privates Netz verbunden.

Anmeldung: Passwörter nur als Hash (scrypt); zweiter Faktor (TOTP) in der Konsole wählbar und von der Organisation als Pflicht einstellbar, im Bereich des Betriebs Pflicht; Bremsen gegen das Durchprobieren von Passwörtern und Codes; Sitzungen laufen ab.

Berechtigungen: Rollen in der Konsole (Admin, Sachbearbeitung); Zugänge der Schnittstelle nur mit den gewählten Rechten, jederzeit widerrufbar und nur als Prüfwert gespeichert; weitere Geheimnisse verschlüsselt (AES-256-GCM).

Trennung der Organisationen: Jede fachliche Zeile trägt ihre Organisation; jede Abfrage ist nach Organisation gefiltert, und die Datenbank erzwingt die Trennung zusätzlich mit Row Level Security.

Pseudonymisierung: Die Datenbank enthält nie Bildinhalte, die Bildablage nie Namen, Nummern oder Adressen; beides kommt erst beim Download zusammen.

Übertragung: nur verschlüsselt (HTTPS); Fotos für angebundene Systeme über Links, die nach 10 Minuten verfallen; Benachrichtigungen (Webhooks) unterschrieben und nur an die Adresse, die die Organisation angibt.

Persönlicher Link: zufälliger Schlüssel aus 12 Zeichen, läuft ab, wird gebremst nachgeschlagen; ein unbekannter Link erhält dieselbe Antwort wie ein gelöschter oder der einer gesperrten Organisation; ein abgelaufener nennt nur den Ablauf und die Organisation, keine Angaben zur Person.

Datensparsamkeit: keine Namen nötig, keine Gesichtsmerkmale zum Wiedererkennen; an ein Bildverständnis-Modell, wenn eingeschaltet, nur eine Vorschau mit 768 Pixeln ohne Personenbezug; keine Tracker und keine externen Scripts.

Protokolle: Logs ohne IP-Adresse, ohne Namen und ohne den persönlichen Link; ein Protokoll der Handlungen in der Konsole mit Kennungen.

Löschung: automatische Löschläufe nach den Fristen der Plattform; sofortiges Löschen durch die Organisation.

Verfügbarkeit: jede Nacht eine Sicherung von Datenbank und Bildablage, mit restic verschlüsselt (AES-256), bevor sie den Server verlässt, nach Infomaniak Swiss Backup; Gesundheitsprüfungen der Dienste; ausgeliefert wird nur ein Stand, der alle automatischen Prüfungen bestanden hat.

PortraitBridge: ein eigener Server bei Infomaniak in der Schweiz; das Foto nur im Arbeitsspeicher, nie auf einer Platte oder in der Datenbank; Anmeldung der Person über das Microsoft-Konto der Organisation; abgeschlossene Vorgänge nach 30 Tagen gelöscht; ein Protokoll ohne Personendaten.

Organisation: Zugang nur für Personen des Betreibers, die ihn brauchen, verpflichtet zur Vertraulichkeit; ein festgelegter Ablauf bei Verletzungen der Datensicherheit; Regeln und Schwellwerte der Prüfung nur in einem einzigen, versionierten Regelwerk.

Anhang 2: Unterauftragsbearbeiter

Infomaniak Network SA, Schweiz: die Server für Datenbank, Bildablage, Prüfung, Zuschnitt und Nachbearbeitung, einschliesslich der Maske des Hintergrunds, und der Server von PortraitBridge, in Rechenzentren in der Schweiz; dazu die nächtliche Sicherung von Datenbank und Bildablage, verschlüsselt, bevor sie den Server verlässt; den Schlüssel hat nur der Betreiber. Schaltet der Betreiber die ergänzende Prüfung ein, prüft dazu ein Bildverständnis-Modell das Bild; übermittelt wird nur eine Vorschau mit 768 Pixeln Kantenlänge, ohne Personenbezug.

Twilio Ireland Limited, Irland: SMS, sobald der Betreiber sie einschaltet. Erhält die Mobilnummer und den Text der Nachricht, nie ein Foto. Beides liegt in der Region Irland und wird bei Twilio gelöscht, in der Regel kurz nach dem Versand (in Sicherungen bis 30 Tage). Bleibt unbestätigt, ob eine SMS hinausging, fehlt die Kennung zum automatischen Löschen; sie bleibt dann bei Twilio, bis der Betreiber sie dort von Hand löscht, längstens 400 Tage. Für Betrieb und Kundendienst kann die Muttergesellschaft Twilio Inc. in den USA darauf zugreifen, abgesichert durch das Data Privacy Framework EU–USA und Schweiz–USA und Standardvertragsklauseln.

mailXpert GmbH (Mailomat), Schweiz: E-Mails, sobald der Betreiber sie einschaltet. Erhält die E-Mail-Adresse und den Text der Nachricht, nie ein Foto. Hat eine Organisation ihren eigenen Mailserver oder Microsoft 365 eingeschaltet, gehen ihre E-Mails an die Personen darüber.

Weitere Unterauftragsbearbeiter gibt es nicht. Bindet die Organisation ihr eigenes System über die Schnittstelle an, erhält dieses System ihre Daten, als Empfänger, den sie selbst bestimmt.

Teil B: Grundlagen für die Datenschutz-Folgenabschätzung

Die Folgenabschätzung erstellt die Organisation als Verantwortliche. Die folgenden Angaben des Betreibers helfen ihr dabei; was nur sie beurteilen kann, nennt der letzte Abschnitt.

B1. Ob eine Folgenabschätzung nötig ist

Eine Datenschutz-Folgenabschätzung ist nötig, wenn eine Bearbeitung ein hohes Risiko für die betroffenen Personen mit sich bringen kann (Art. 22 DSG); das kantonale Recht einer öffentlichen Stelle sieht dafür oft eine Vorabkontrolle durch die kantonale Datenschutzbehörde vor. Für ein höheres Risiko sprechen die Zahl der Personen, dass manche minderjährig sein können, etwa an einer Schule oder in einem Verein, und das Foto als Merkmal, an dem man eine Person erkennt. Dagegen sprechen, dass die Plattform keine biometrischen Daten zur Identifikation bearbeitet, nur wenige Angaben braucht und die Daten nach kurzer Frist löscht.

B2. Beschreibung der Bearbeitung

Ablauf: Die Organisation erfasst die Personen mit einer Nummer und E-Mail-Adresse oder Mobilnummer. Die Plattform sendet einen persönlichen Link. Die Person nimmt das Foto ohne Konto auf dem Handy auf; eine Prüfung im Browser und eine auf dem Server sagen, ob es die Anforderungen erfüllt. Die Organisation gibt es frei oder lehnt es ab, bearbeitet es auf Wunsch nach und holt es als ZIP oder über die Schnittstelle ab. Danach laufen die Löschfristen. Statt über den Link kann die Organisation das Foto auch vor Ort aufnehmen oder vorhandene Fotos hochladen.

Daten, Personen, Empfänger, Orte und Fristen: Ziffern 3, 7, 8 und 11 sowie Anhang 2.

B3. Risiken und Massnahmen

Fremder Link: Wer den Link einer anderen Person erhält, könnte für sie ein Foto einreichen. Massnahmen: zufälliger Schlüssel, Ablauf, Bremse; die Organisation prüft vor der Freigabe, ob die richtige Person abgebildet ist.

Falsche Zuordnung: Ein Foto landet beim falschen Auftrag, etwa wegen einer vertippten Nummer. Massnahmen: Freigabe durch die Organisation; ein abgelehntes Foto führt zu einem neuen Auftrag.

Unbefugter Zugriff auf Konsole oder Server: Massnahmen: Rollen, zweiter Faktor, Bremsen, Trennung der Organisationen, Zugang zu den Servern nur mit Schlüssel und von freigegebenen Adressen (Anhang 1).

Abfluss bei Dienstleistern: Massnahmen: Fotos nur in der Schweiz; an die Dienste für E-Mail und SMS nur Adresse, Nummer und Text, nie ein Foto; Unterauftragsbearbeiter vertraglich gebunden.

Zweckentfremdung des Fotos, etwa für Gesichtserkennung: Massnahmen: keine Gesichtsmerkmale zum Wiedererkennen, keine generative Veränderung, keine eigenen Zwecke des Betreibers; für weitere Zwecke klärt die Organisation die Grundlage selbst.

Zu lange Aufbewahrung: Massnahmen: automatische Löschläufe und sofortiges Löschen durch die Organisation; was die Organisation danach in ihren eigenen Systemen aufbewahrt, regelt sie selbst.

Profilbild in Microsoft 365: Das Profilbild sehen alle mit einem Konto im Microsoft 365 der Organisation. Massnahmen: nur, wenn die Organisation PortraitBridge zuschaltet und die Person es selbst auslöst; ob es dafür eine eigene Grundlage braucht, klärt die Organisation.

Minderjährige: Massnahmen: keine Angaben zu Alter oder Eltern nötig; die Einwilligung der Eltern, wo es sie braucht, holt die Organisation vorher selbst ein, die Plattform speichert nichts dazu; verständliche Information auf der Aufnahmeseite; die Aufnahme vor Ort als Weg ohne eigenes Handy.

B4. Was die Organisation ergänzt

Die Rechtsgrundlage nach ihrem Recht; wie sie die Personen und gegebenenfalls Eltern informiert (ein Mustertext steht auf der Seite «Sicherheit und Datenschutz») und, wo es eine Einwilligung braucht, wie sie diese einholt; wer in der Konsole welche Rolle hat; ob sie ein System über die Schnittstelle anbindet; wie lange sie die Fotos in ihren eigenen Systemen aufbewahrt; und ihre Einschätzung des Risikos, das nach allen Massnahmen bleibt.