DSGVO

MOCO ist DGSVO-konform und bietet für alle Kunden einen Auftragsverarbeitungsvertrag (AVV) auf Basis der DSGVO an.

MOCO verlässt sich nicht auf den Privacy Shield.

Mit allen Subunternehmern wurde ein AVV geschlossen, der die EU-Standardvertragsklauseln enthält. Diese Kombination ist rechtlich weiterhin gültig. Mittelfristig prüft MOCO Alternativen in der EU, da wir davon ausgehen, dass es auch wieder nur eine Frage der Zeit ist, bis diese Kombination für nicht ausreichend erklärt wird.

MOCO verpflichtet sich zur vollständigen Transparenz der Datenverarbeitung und optimiert laufend Prozesse die mit personenbezogenen Daten in Verbindung stehen. Sämtliche Vertragsanpassungen sind im unteren Bereich jederzeit nachvollziehbar.

Im Folgenden sind unsere Subunternehmer und deren Rolle bei der Verarbeitung personenbezogener Daten beschrieben. Also welche Unternehmen welche Daten verarbeiten und welcher Personenkreis betroffen ist. Auch wie man die Verarbeitung stoppen oder erst aktivieren kann:

Subunternehmer

Unternehmen	Grund der Verarbeitung	Personenkreis	Personenbezogene Daten	Opt-In/Out
Intercom USA Website Auftragsverarbeitung Privacy Shield	Zeitnahe und persönliche Betreuung direkt aus MOCO ohne Umwege.	MOCO-Benutzer	Vorname, Nachname, E-Mail, erstes und letztes Anmeldedatum via Browser, Mobilgerät, Nutzunginfo (API-, CardDAV- und Browsererweiterung), Browser & Browserversion, Sprache, Betriebssystem, Bildschirmbreite, letzter Kontakt mit MOCO, letzte gelesene E-Mail, Anzahl Anmeldungen, Zugriffsrechte in MOCO; Vorhaltezeit bis 60 Tage nach Löschung des Accounts	Ja (Opt-Out), möglich via Support-Anfrage, Support ist dann nur per E-Mail möglich.
Stripe USA Website Auftragsverarbeitung Privacy Shield	Abwicklung der monatlichen Zahlungen via Lastschrift und Kreditkarte.	Inhaber der Kreditkarte / des Lastschriftkontos	Kreditkarten- und/oder Kontoangaben des Abonnenten, Standort (für Betrugserkennung); Vorhaltezeit bis 180 Tage nach Löschung des Accounts	Nein
Zapier * USA Website Auftragsverarbeitung Privacy Shield	Zapier stellt ein Workflow-System zur Verfügung um verschiedene Web-Apps miteinander ohne Programmierkenntnisse verbinden zu können.	MOCO-Benutzer und erfasste Kontakte	Potentiell alle in MOCO erfasste Daten. Jeder Workflow muss einzeln definiert und aktiviert werden (**); Vorhaltezeit bis 120 Tage für jeden einzelnen Workflow.	Ja (Opt-In), muss in den Einstellungen aktiviert werden.
SendGrid (Twilio) USA Website Auftragsverarbeitung Privacy Shield	Zuverlässiger Versand und Empfang von E-Mails.	E-Mail-Empfänger	E-Mails und deren Inhalte (Rechnungen, Angebote, Wochenzusammenfassungen, Info-Mails, **); Vorhaltezeit bis 7 Tage nach Versand	Ja (Opt-Out), für externe E-Mail-Empfänger durch Hinterlegung eigener Mail-Server (SMTP).
Google Maps * USA Website Auftragsverarbeitung Privacy Shield	Automatisches Ausfüllen von Adressdaten von Firmen	MOCO-Benutzer	Browser- und Browsereinstellungen, Gerätetyp- und Einstellungen, Betriebssystem, IP-Addresse, Zeitstempel, Referrer-URL; Vorhaltezeit nicht angegeben	Ja (Opt-In), muss in den Einstellungen aktiviert werden.
New Relic USA Website Auftragsverarbeitung Privacy Shield	Performance-Messung vom Server bis zum Browser um langsame Bereiche erkennen und optimieren zu können.	MOCO-Benutzer	IP-Addresse (New Relic Browser); Vorhaltezeit bis 1 Tag zur Anonymisierung	Ja (Opt-Out), möglich via Support-Anfrage
Bugsnag USA Website Auftragsverarbeitung Privacy Shield	Fehleranalyse und Auswertung	MOCO-Benutzer und erfasste Kontakte	IP-Adresse und Klickverhalten bei Frontend-Fehlern (**), übermittelte Daten bei Fehlern im Backend-Teil; Vorhaltezeit bis 60 Tage nach Auftreten eines Fehlers	Ja (Opt-Out), möglich via Support-Anfrage
Ably Vereinigtes Königreich (UK) Website Auftragsverarbeitung	Für Echtzeit-Updates via Push ohne Neuladen des Browsers.	MOCO-Benutzer	IP-Adresse; Vorhaltezeit bis 14 Tage	Nein
Amazon Web Services Europäische Union Website Auftragsverarbeitung Privacy Shield	Backups ausserhalb der Rechenzentren	MOCO-Benutzer und erfasste Kontakte	Alle Daten & Dateien (AES256 verschlüsselt, **); Vorhaltezeit bis 1 Jahr nach Löschung des Accounts	Nein
Parashift Schweiz, Vietnam Website Auftragsverarbeitung	Parashift extrahiert strukturierte Daten aus Rechnungsdokumenten und Belegen und erlaubt die automatische Erfassung ohne manuelle Eingabe.	Rechnungssteller und Leistungsempfänger	Daten auf Eingangsrechnungen und Belegen (**); Vorhaltezeit nicht angegeben	Ja (Opt-In), muss in den Einstellungen aktiviert werden
Exoscale Schweiz Website Auftragsverarbeitung	Provider für den Betrieb der MOCO Cloud in Deutschland, Österreich und der Schweiz.	MOCO-Benutzer und erfasste Kontakte	Alle Daten & Dateien (**); Vorhaltezeit bis zur Löschung des Accounts	Nein (Netskin oder Exoscale)
Netskin GmbH und IWB Schweiz Website	Provider für den Betrieb der MOCO Cloud in der Schweiz.	MOCO-Benutzer und erfasste Kontakte	Alle Daten & Dateien (**); Vorhaltezeit bis zur Löschung des Accounts	Nein (Netskin oder Exoscale)

* Wir bieten diesen Dienst an, damit die MOCO-Plattform möglichst umfassende und zeitgemässe Leistungen erbringen kann. In diesem Fall sind wir von MOCO lediglich Vermittler eines Dienstes, d.h. wir führen keinerlei Bearbeitung dieser Daten durch, sondern der Kunde beauftragt das Drittunternehmen direkt. Damit ist der Kunde als Verantwortlicher („Controller“) gemäss DS-GVO für die Daten in seinem Kompetenzbereich verantwortlich (z.B. für Mitarbeiterdaten). Wir empfehlen dem Kunden, die Datenschutzbestimmungen des Drittanbieters genauestens zu lesen und eigene AVVs abzuschliessen.

** MOCO hat keine Kontrolle über Daten, welche der Kunde erfasst. Oftmals sind nur unsere Kunden in der Lage, abzuschätzen, ob sie personenbezogene Daten erfassen und bearbeiten. Dies gilt insbesondere für Eingaben in Freitextfeldern oder bei der Nutzung von Drittdiensten (z.B. Zapier).

FAQ

Gibt es Risiken für EU-Kunden, wenn die Server in der Schweiz stehen?

Die DSGVO verbietet grundsätzlich nicht die Datenverarbeitung im Ausland. Die Verarbeitung muss dabei durch ein angemessenes Datenschutzniveau gewährleistet sein. Dieses wurde von der EU-Kommission in einer förmlichen Entscheidung für die Schweiz festgestellt: 2000/518/EC.

Wie verhält es sich mit den Unterauftragnehmern in den USA?

Die DSGVO verbietet grundsätzlich nicht die Datenverarbeitung in den USA. Die Verarbeitung muss auch hier durch ein angemessenes Datenschutzniveau gewährleistet sein. Dieses wurde in Form der Privacy-Shield Absprache mit den USA definiert. Die Gleichwertigkeit wird in der Praxis kontrovers diskutiert. MOCO setzt daher nur für den Betrieb notwendige und anerkannte Dienstleister ein; reduziert die zu verarbeitenden Daten auf ein Mindestmass und verlangt eine explizite Aktivierung (OPT-IN) oder ermöglicht eine Deaktivierung (OPT-OUT) nicht notwendiger Dienste. Viele Anbieter gehen hier im Sinne des Datenschutz weiter und bieten zusätzlich eigene Auftragsverarbeitungsverträge (Data Processing Agreements - DPA) an (siehe Tabelle Unterauftragnehmer).

Können wir einen invididuellen Auftragsverarbeitungsvertrag abschliessen?

Wir greifen auf unseren Standardvertrag zurück, da es bei der Kundenanzahl wirtschaftlich nicht möglich ist, individuelle Verträge abzuschliessen. Feedbacks die zur Transparenz beitragen oder noch klarer formuliert werden können, nehmen wir auf und lassen diese in die nächsten Versionen einfliessen.

Versionshinweise

Der MOCO-Auftragsverarbeitungsvertrag wird regelmässig aktualisiert. Bestehende Kunden werden informiert, sollte sich die Verarbeitung nicht mehr auf Basis der bestehenden Version fortsetzen lassen und eine erneute Bestätigung notwendig werden.

Update 10.06.2020 » herunterladen

Hinzugefügt: Neue Unterauftragnehmer New Relic (opt-out) und Bugsnag

Update 05.03.2020 » herunterladen

Hinzugefügt: Neue Unterauftragnehmer Google Maps (opt-in), Parashift (opt-in) und Exoscale
Änderung: Einhaltungspflichten des Bundesgesetz über den Datenschutz (Schweizer Datenschutzgesetz) ersetzt durch allgemeinere Formulierung "gemäss geltendem Datenschutzgesetz".

Update 17.01.2020 » herunterladen

Hinzugefügt: Neuer Unterauftragnehmer Twilio / SendGrid

Update 06.07.2018 » herunterladen

Hinzugefügt: Der Auftragnehmer darf zusätzliche Unterauftragnehmer (weitere Auftragsverarbeiter) nur nach vorheriger ausdrücklicher Zustimmung des Auftraggebers beauftragen. Fehlt die ausdrückliche Zustimmung des Auftraggebers kann der Auftragnehmer den Leistungsvertrag – unter Einhaltung einer Mahnfrist von 60 Tagen – kündigen.
Hinzugefügt: Privacy Shield-Links aller Unterauftragnehmer
Entfernt: Auf diesen Vertrag findet ~~ausschliesslich das~~ Schweizer Recht Anwendung.