Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Auftragsverarbeiter: Formsly (Einzelfirma), Moritz Lauper, Nussbaumstrasse 4, 8003 Zürich, Schweiz — legal@formsly.ch

Verantwortlicher: Der Kunde, der einen kostenpflichtigen oder kostenlosen Tarif bei Formsly nutzt und dabei personenbezogene Daten über die Plattform verarbeitet.

Der Verantwortliche ist Auftraggeber und bestimmt Zweck und Mittel der Verarbeitung personenbezogener Daten. Formsly verarbeitet diese Daten ausschliesslich im Auftrag und nach Weisung des Verantwortlichen gemäss Art. 28 DSGVO. Der Vertragsabschluss erfolgt digital durch Akzeptanz der AGB und dieses AVV bei der Kontoerstellung.

Rechtsgrundlage Datentransfer CH↔EU: Die Schweiz verfügt über einen EU-Angemessenheitsbeschluss (2000/518/EG, zuletzt 2024 bestätigt). Datentransfers zwischen EU und Schweiz sind daher ohne zusätzliche Standardvertragsklauseln zulässig.

Gegenstand ist die Bereitstellung einer SaaS-Plattform zur Erstellung, Veröffentlichung und Auswertung digitaler Formulare sowie der sichere Dateitransfer-Dienst. Die Dauer richtet sich nach der Laufzeit des Hauptvertrages (AGB). Die Kündigung eines kostenpflichtigen Abonnements mit Wechsel in den Gratisplan beendet diesen AVV nicht.

Art der Verarbeitung:

• Hosting und Speicherung von Formularen, Antworten und hochgeladenen Dateien
• Ende-zu-Ende-verschlüsselter Dateitransfer (temporäre Speicherung, automatische Löschung nach 7 Tagen)
• Authentifizierung und mandantengetrennte Zugriffskontrolle
• Bereitstellung von Analysen und Dashboards
• Sicherheitsbetrieb, Fehleranalyse und Support

Zweck: Erfüllung des Hauptvertrages (AGB-DE).

Kategorien betroffener Personen: Endkunden, Klienten, Mitarbeiter oder Website-Besucher des Verantwortlichen.

Datenkategorien: Stammdaten (Name), Kontaktdaten (E-Mail, Telefon), Kommunikationsinhalte, hochgeladene Dateien sowie vom Verantwortlichen über den sicheren Dateitransfer versandte Dokumente. Welche Daten konkret verarbeitet werden, bestimmt der Verantwortliche durch die Konfiguration seiner Formulare.

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist vertraglich ausgeschlossen.

4.1 Weisungsgebundenheit. Formsly verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen (z.B. durch Nutzung der Plattformfunktionen), soweit nicht das Unionsrecht oder mitgliedstaatliches Recht eine anderweitige Verarbeitung vorschreibt. In letzterem Fall teilt Formsly dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

4.2 Vertraulichkeit. Formsly stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

4.3 Technische und organisatorische Maßnahmen (Art. 32 DSGVO). Formsly trifft alle erforderlichen Maßnahmen gemäss Art. 32 DSGVO. Einzelheiten sind in Abschnitt 7 dieses AVV dargelegt.

4.4 Unterauftragsverarbeiter. Formsly beauftragt Unterauftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen. Mit Vertragsabschluss erteilt der Verantwortliche die allgemeine Genehmigung für die in Abschnitt 6 genannten Unterauftragsverarbeiter. Formsly informiert den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Änderungen. Der Verantwortliche kann innerhalb von 30 Tagen aus datenschutzrechtlich begründeten Gründen widersprechen.

4.5 Unterstützung bei Betroffenenrechten. Formsly unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäss Art. 12–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) durch Self-Service-Funktionen in der Plattform. Darüber hinausgehende Unterstützung erfolgt auf Anfrage an privacy@formsly.ch innerhalb von 10 Arbeitstagen.

4.6 Unterstützung bei Art. 32–36 DSGVO. Formsly unterstützt den Verantwortlichen unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos bei der Sicherstellung der Einhaltung von Art. 32 (Sicherheit), Art. 33/34 (Meldung von Verletzungen), Art. 35 (DSFA) und Art. 36 (vorherige Konsultation).

4.7 Löschung und Rückgabe. Nach Beendigung der Verarbeitungsdienstleistung löscht oder gibt Formsly — nach Wahl des Verantwortlichen — alle personenbezogenen Daten zurück und löscht bestehende Kopien, sofern nicht gesetzliche Aufbewahrungsvorschriften eine anderweitige Speicherung vorschreiben. Die Kontoauflösung durch den Verantwortlichen gilt als Weisung zur sofortigen Löschung.

4.8 Nachweispflichten und Audits. Formsly stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht Audits (einschliesslich Inspektionen) durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Audits sind mit angemessener Vorankündigung (mindestens 14 Werktage) und in zumutbarem Rahmen durchzuführen.

Der Verantwortliche stellt sicher, dass die Verarbeitung personenbezogener Daten über Formsly auf einer geeigneten Rechtsgrundlage (Art. 6 DSGVO) beruht, und erteilt Formsly klare, dokumentierte Weisungen. Er informiert betroffene Personen über die Verarbeitung (Art. 13/14 DSGVO) und meldet Sicherheitsvorfälle, die er erkennt, unverzüglich an security@formsly.ch.

Der Verantwortliche genehmigt die Beauftragung folgender Unterauftragsverarbeiter:

• Exoscale AG (Schweiz, Teil der A1 Telekom Austria Group)
  Zweck: Dediziertes Hosting aller Infrastruktur (Frontend, Backend, Datenbank, Backups).
  Verarbeitungsort: Schweiz (Zürich). Kein Datentransfer ausserhalb der Schweiz.
• Infomaniak Network SA (Schweiz)
  Zweck: Versand von Transaktions- und Benachrichtigungs-E-Mails.
  Verarbeitungsort: Schweiz. Formularinhalte sind nur enthalten, wenn der Verantwortliche dies in seinen Formulareinstellungen aktiviert hat.

Zahlungsabwicklung: Stripe Payments Europe Ltd. verarbeitet ausschliesslich Abrechnungsdaten (Verantwortlicher zu Verantwortlicher) und ist kein Unterauftragsverarbeiter im Rahmen dieses AVV.

Formsly trifft insbesondere folgende Maßnahmen:

• Serverseitige Verschlüsselung sensibler Antwortdaten auf Anwendungsebene (AES-256-GCM)
• Optionale Ende-zu-Ende-Verschlüsselung (E2EE) für Formulare; bei E2EE hat Formsly keinen Zugriff auf Inhalte
• E2EE für Dateitransfers (ECIES P-256 + AES-256-GCM); Dateien werden im Browser des Absenders verschlüsselt
• Zwei-Faktor-Authentifizierung (Passkeys/WebAuthn/FIDO2 oder Authenticator-App)
• Transportverschlüsselung (TLS) bei allen Datenübertragungen
• Tägliche verschlüsselte Backups; automatische Löschung nach 30 Tagen
• Zugriffs- und Audit-Logs; strikte Rollen- und Berechtigungskonzepte
• Logische Mandantentrennung (Row Level Security)
• Self-Hosted Bot-Schutz (ALTCHA) ohne externe API-Aufrufe
• Kein Einsatz von Tracking-Cookies für Endnutzer der Formulare

Die vollständige TOM-Dokumentation ist öffentlich einsehbar unter formsly.ch/sicherheit#tom.

Bei Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten informiert Formsly den Verantwortlichen unverzüglich, in der Regel innerhalb von 72 Stunden nach Kenntnisnahme. Die Meldung enthält mindestens:

• Art der Verletzung und betroffene Datenkategorien
• Anzahl und Kategorien der voraussichtlich betroffenen Personen
• Wahrscheinliche Folgen der Verletzung
• Bereits ergriffene und geplante Abhilfemaßnahmen

Die Meldepflicht des Verantwortlichen gegenüber der zuständigen Aufsichtsbehörde (Art. 33 DSGVO) und ggf. gegenüber betroffenen Personen (Art. 34 DSGVO) bleibt unberührt. Formsly unterstützt den Verantwortlichen dabei mit denselben Informationen.

Dieser AVV gilt für die Dauer des Hauptvertrages (AGB-DE). Er endet automatisch mit Beendigung des Hauptvertrages. Beide Parteien können diesen AVV aus wichtigem Grund mit sofortiger Wirkung kündigen.

Die Haftung der Parteien richtet sich nach den Bestimmungen der AGB-DE (Abschnitt 9), soweit nicht zwingendes Datenschutzrecht (insbesondere Art. 82 DSGVO) eine abweichende Regelung erfordert.

Dieser AVV untersteht Schweizer Recht. Soweit die DSGVO zwingende Anforderungen stellt, haben diese Vorrang. Gerichtsstand ist Zürich, Schweiz, soweit gesetzlich zulässig.

Änderungen dieses AVV bedürfen der Schriftform. Sollten einzelne Bestimmungen unwirksam sein, bleiben die übrigen Bestimmungen unberührt. Formsly informiert den Verantwortlichen mindestens 30 Tage vor wesentlichen Änderungen dieses AVV.

Für Organisationen, die ein manuell unterzeichnetes Dokument benötigen, wird auf Anfrage an legal@formsly.ch ein unterschriftsreifes PDF bereitgestellt.