Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand, Art und Zweck

Reichweitenmessung der Websites des Verantwortlichen: Erhebung, Bereinigung, Speicherung, Berechnung aggregierter Statistiken, Berichte und Freigaben, über die der Verantwortliche entscheidet.

2. Betroffene Personen und Daten

Betroffene Personen: die Besucher der Websites des Verantwortlichen. Verarbeitete Daten:

• die Adresse der aufgerufenen Seite (bereinigt: Kennungen, E-Mail-Adressen, Tokens und nicht zugelassene Parameter werden vor der Speicherung entfernt), den Titel nur, wenn der Kunde dies aktiviert;
• die Herkunftsseite (Referrer) und die Kampagnenparameter (utm_*);
• den Typ von Browser, System und Gerät, die Bildschirmgrösse, die Sprache;
• das Land, abgeleitet aus der IP-Adresse zum Zeitpunkt des Besuchs;
• die Ereignisse, die der Kunde messen möchte (zum Beispiel «Anmeldung»), ohne personenbezogene Daten;
• eine Besuchskennung, berechnet aus der IP-Adresse, dem Browser und einem täglich erneuerten Salt: Im Modus Essenziell erlaubt sie es nicht, einen Besucher von einem Tag zum nächsten wiederzuerkennen;
• nur im Modus Vollständig, wenn der Kunde ihn für eine Website aktiviert, und nach der Einwilligung des Besuchers im Banner: der Fingerabdruck (website-eigener HMAC) einer zufälligen Kennung, die höchstens 6 Monate im Browser des Besuchers gespeichert wird, nie die Kennung selbst; das Protokoll der diesem Fingerabdruck zugeordneten Seitenaufrufe und Ereignisse mit ihrer Quelle. Diese Daten sind pseudonymisiert und bleiben personenbezogen;
• der Nachweis der Entscheidung des Besuchers (Zustimmung, Ablehnung oder Widerruf): Datum, Wahl, Umfang, Version und Sprache des angezeigten Textes, Empfangsfingerabdruck;
• um Bots auszuschliessen: die Browserkennung, der Hinweis auf einen programmgesteuerten Browser und das Herkunftsnetz (Rechenzentrum oder nicht). Bot-Zugriffe werden nicht als Besuche gespeichert; nur ihre Anzahl pro Tag und Art wird aufbewahrt.

Alle diese Messdaten werden in beiden Modi erst nach der vorherigen Einwilligung des Besuchers erhoben. Die IP-Adresse dient der Berechnung der Tageskennung und des Landes sowie dem Erkennen von Rechenzentrumsnetzen (Bots) und wird danach nirgends aufbewahrt. Es werden keine Cookies verwendet. Im Browser des Besuchers speichert AlpiStats seine Entscheidung (Zustimmung oder Ablehnung, Umfang, Datum, Textversion) und, im Modus Vollständig nach Zustimmung, die oben beschriebene zufällige Kennung.

3. Dauer und Aufbewahrung

Der Vertrag dauert so lange, wie der Kunde ein Konto hat. Die folgenden Fristen gelten für alle Besucher gleich:

• die Entscheidung des Besuchers (Zustimmung wie Ablehnung) gilt 6 Monate, ohne Verlängerung durch blossen Besuch; die zufällige Kennung des Modus Vollständig wird höchstens 6 Monate verwendet;
• die detaillierten Daten (Ereignisse, Sitzungen, pseudonymisiertes Protokoll des Modus Vollständig) werden 6 Monate nach ihrer Erfassung automatisch gelöscht;
• die wirklich anonymen Monats- und Tagessummen (Seitenaufrufe, Besuche) werden 25 Monate aufbewahrt;
• der Nachweis der Einwilligung (Datum, Wahl, Umfang, Version und Sprache des Textes, Empfangsfingerabdruck) wird aufbewahrt, solange die Daten bestehen, die er rechtfertigt, höchstens 12 Monate.

Die Daten werden zusammen mit der Website oder dem Konto sofort gelöscht, aus den Backups spätestens nach 30 Tagen. Die technischen Protokolle enthalten weder IP-Adressen noch den Inhalt der Übermittlungen und werden durch automatische Rotation nach einigen Tagen gelöscht.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierten Weisungen des Verantwortlichen, die durch die Einstellungen des Dienstes erteilt werden (Domains, Messmodus Essenziell oder Vollständig, Umschreibungsregeln, beibehaltene Parameter, Freigabe, Berichte). Er informiert den Verantwortlichen, wenn eine Weisung seines Erachtens gegen das Gesetz verstösst.

Der Auftragsverarbeiter startet keine Messung vor der gültigen Einwilligung des Besuchers und beendet sie nach einer Ablehnung, einem Widerruf oder dem Ablauf der Entscheidung, ohne Rückfall auf eine andere Messung; ist die Konfiguration der Website nicht verfügbar, wird die Messung ausgesetzt.

5. Vertraulichkeit

Die Personen, die zum Zugriff auf die Daten berechtigt sind, sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, verkauft sie nicht und verknüpft sie nicht zwischen Kunden, abgesehen von aggregierten Zählungen, die für den Betrieb nötig sind (Volumen, Ablehnungen).

6. Sicherheitsmassnahmen

• Besuchsdaten werden in der Schweiz gehostet, verarbeitet und gesichert;
• serverseitige Bereinigung vor der Speicherung (erkannte personenbezogene Daten werden entfernt);
• Verschlüsselung der Übertragung (TLS) und der Backups;
• Serverzugang ausschliesslich per Schlüssel, Firewall, Datenbank und Statistik-Engine nicht aus dem Internet erreichbar;
• Zugriffsrechte auf das Notwendige beschränkt, Passwörter als Hash, Tokens als Fingerabdruck gespeichert;
• Protokoll sensibler Aktionen; regelmässiger Wiederherstellungstest der Backups.

7. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die auf der Seite «Unterauftragsverarbeiter» veröffentlichten Unterauftragsverarbeiter. Für die Besuchsdaten ist dies ausschliesslich Infomaniak Network SA (Schweiz) als Hosting-Anbieter. Jede Ergänzung oder Ersetzung wird mindestens 30 Tage im Voraus per E-Mail angekündigt; der Verantwortliche kann dem widersprechen, indem er kostenlos kündigt.

8. Übermittlungen

Die Besuchsdaten verlassen die Schweiz nicht. Die Schweiz profitiert von einem Angemessenheitsbeschluss der Europäischen Kommission.

9. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen und bei der Erfüllung seiner Pflichten (Sicherheit, Folgenabschätzungen), soweit die Daten dies zulassen. Im Modus Essenziell erlauben sie grundsätzlich nicht, einen Besucher zu identifizieren. Im Modus Vollständig ist das Protokoll pseudonymisiert: Der Besucher kann seine Einwilligung jederzeit über das Badge widerrufen, wodurch die Messung beendet, die Kennung in seinem Browser gelöscht und die ihm zugeordneten pseudonymisierten Daten des Protokolls entfernt werden; der Auftragsverarbeiter unterstützt den Verantwortlichen bei diesen Widerrufen und bei entsprechenden Löschanfragen. Der Nachweis der Entscheidung und des Widerrufs wird getrennt aufbewahrt und speist keine Messung mehr.

10. Verletzung der Datensicherheit

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens 48 Stunden nachdem er davon Kenntnis erlangt hat, über jede Verletzung der Datensicherheit, die ihn betrifft, mit den verfügbaren Informationen und den getroffenen Massnahmen.

11. Ende des Vertrags

Bei Vertragsende werden die Daten gemäss Artikel 3 gelöscht; der Kunde kann vorher seine Statistiken (PDF) und die Daten seines Kontos exportieren.

12. Kontrolle

Der Auftragsverarbeiter stellt auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind (contact@alpistats.ch). Audits vor Ort finden nach Vereinbarung auf Kosten des Antragstellers statt, höchstens einmal pro Jahr, ausser bei einem Vorfall.

13. Allgemeine Bestimmungen

Im Übrigen gelten die Allgemeinen Geschäftsbedingungen, insbesondere für die Haftung, das anwendbare Recht und den Gerichtsstand. Bei Widersprüchen im Bereich des Datenschutzes geht dieser Vertrag vor.