Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand, Art, Zweck, Ort und Dauer

(1) codAIx verarbeitet die in Anlage 1 beschriebenen personenbezogenen Daten zur Bereitstellung der crAIready-SaaS-Plattform nach dokumentierter Weisung des Kunden.

(2) Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Verwenden, Abfragen, Bereitstellen, Exportieren, Einschränken und Löschen der vom Kunden eingestellten Inhalte.

(3) Die Verarbeitung erfolgt während der Laufzeit des Hauptvertrags. Löschung und Rückgabe richten sich nach § 11.

(4) Die von codAIx selbst betriebenen Kernsysteme werden auf eigener Infrastruktur am Betriebsstandort Erlengasse 3, 8240 Thayngen, Schweiz verarbeitet. Externe Verarbeitung findet nur bei den in Anlage 3 genannten Diensten und nur bei Nutzung der jeweiligen Funktion statt.

(5) Der vorvertragliche öffentliche Quick-Check ist nicht Gegenstand dieses AVV. Seine Datenverarbeitung erfolgt in eigener Verantwortlichkeit von codAIx und wird in der Datenschutzerklärung beschrieben. Quick-Check-Einzelantworten gehören nicht zur Produktakte, sofern der Kunde sie nicht später selbst neu eingibt.

§ 2 Weisungen

(1) Bestellung, Leistungsbeschreibung, AGB und dieser AVV bilden die Erstweisung. Weitere Weisungen erteilt der Kunde in Textform über das Kontaktformular unter https://www.craiready.com/kontakt/?anliegen=datenschutz. Der Kunde erhält eine automatische Eingangsbestätigung mit dem übermittelten Text und dem Eingangszeitpunkt.

(2) codAIx verarbeitet Daten nur auf dokumentierte Weisung, einschliesslich Weisungen zu Drittlandübermittlungen, sofern keine anwendbare Rechtsvorschrift eine Verarbeitung verlangt. In diesem Fall informiert codAIx den Kunden vorab, soweit rechtlich zulässig.

(3) Hält codAIx eine Weisung für datenschutzwidrig, weist sie den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 3 Pflichten von codAIx

codAIx gewährleistet insbesondere:

• Verarbeitung nur auf dokumentierte Weisung;
• Verpflichtung aller berechtigten Personen auf Vertraulichkeit;
• Zugriff nach Erforderlichkeit und Rollen;
• Umsetzung der technischen und organisatorischen Massnahmen nach Anlage 2;
• Unterstützung bei Betroffenenrechten und Pflichten nach Art. 32 bis 36 DSGVO;
• Meldung von Datenschutzverletzungen nach § 7;
• Löschung oder Rückgabe nach § 11;
• Information und Auditunterstützung nach § 10;
• Führung der erforderlichen Verzeichnisse und Zusammenarbeit mit Aufsichtsbehörden.

Ansprechpartnerin für Datenschutz ist Dr. Judith Behr. Nachrichten sind über das Kontaktformular unter https://www.craiready.com/kontakt/?anliegen=datenschutz zu übermitteln. Damit wird keine Aussage über eine gesetzliche Pflicht oder förmliche Benennung einer Datenschutzbeauftragten getroffen.

§ 4 Technische und organisatorische Massnahmen

(1) codAIx hält die in Anlage 2 beschriebenen Massnahmen unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen, Zwecken sowie Eintrittswahrscheinlichkeit und Schwere der Risiken aufrecht.

(2) codAIx darf Massnahmen weiterentwickeln, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Kunden auf Anfrage mitgeteilt.

(3) Konkrete Zertifizierungen oder Testate sind nur geschuldet, wenn sie ausdrücklich vereinbart wurden.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde erteilt eine allgemeine Genehmigung für die in Anlage 3 als Unterauftragsverarbeiter bezeichneten Anbieter.

(2) codAIx informiert mindestens zwei Wochen vor einer geplanten Hinzunahme oder einem Austausch. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist keine zumutbare Alternative möglich, kann jede Partei den betroffenen Leistungsteil kündigen.

(3) codAIx verpflichtet Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO auf im Wesentlichen gleichwertige Pflichten und bleibt dem Kunden gegenüber für deren Erfüllung verantwortlich.

(4) Telekommunikation, Energie, Gebäudebetrieb, Reinigung und der reine Abruf öffentlicher technischer Schwachstelleninformationen ohne personenbezogene Kundendaten sind keine Unterauftragsverarbeitung im Sinne dieser Regelung.

(5) Stripe verarbeitet Zahlungs- und Abrechnungsdaten teilweise als eigenständig Verantwortlicher und teilweise als Auftragsverarbeiter von codAIx nach dem Stripe-DPA. Stripe erhält keine Kundeninhalte aus der crAIready-Produktakte und ist daher kein Unterauftragsverarbeiter für die von diesem AVV erfassten Kundendaten.

§ 6 Betroffenenrechte

(1) Erhält codAIx eine Anfrage zu vom Kunden verantworteten Daten, leitet codAIx sie unverzüglich an den Kunden weiter und antwortet nur nach Weisung, soweit keine eigene Pflicht besteht.

(2) codAIx unterstützt den Kunden mit den verfügbaren Funktionen bei Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit. Zusatzaufwand ausserhalb der Standardfunktionen kann nach vorheriger Abstimmung vergütet werden, soweit gesetzlich zulässig.

§ 7 Datenschutzverletzungen

(1) codAIx informiert den Kunden unverzüglich nach Kenntnis einer Verletzung des Schutzes auftragsverarbeiteter personenbezogener Daten, in der Regel innerhalb von 48 Stunden.

(2) Die Meldung enthält, soweit verfügbar, Art der Verletzung, betroffene Daten und Personen, wahrscheinliche Folgen, getroffene oder vorgeschlagene Massnahmen und eine Kontaktstelle. Informationen dürfen schrittweise ergänzt werden.

(3) Die Entscheidung und Verantwortung für Meldungen an Aufsichtsbehörden oder betroffene Personen liegt beim Kunden, soweit er Verantwortlicher ist. codAIx unterstützt ihn angemessen.

§ 8 Datenschutz-Folgenabschätzung

codAIx unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen angemessen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO.

§ 9 Drittlandübermittlungen

(1) Die Schweiz ist für Übermittlungen aus der EU/dem EWR aufgrund des Angemessenheitsbeschlusses der Europäischen Kommission ein Drittland mit angemessenem Datenschutzniveau. Für Übermittlungen nach Schweizer Recht gelten Art. 16 ff. DSG und die Staatenliste der Datenschutzverordnung.

(2) Übermittlungen in weitere Drittländer erfolgen nur auf dokumentierte Weisung und mit einem zulässigen Transfermechanismus, insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln nebst erforderlichen ergänzenden Massnahmen.

(3) Bei auswählbarer Cloud-KI gilt die Wahl des Kunden als Weisung. codAIx stellt vor Aktivierung Informationen zu Anbieter, Ort, Zweck, Datenarten und Transfermechanismus bereit.

§ 10 Nachweise und Audits

(1) codAIx stellt dem Kunden die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, vorrangig durch TOM-Dokumentation, Richtlinien, Prüfprotokolle oder vorhandene Testate.

(2) Reichen diese Nachweise begründet nicht aus, ermöglicht codAIx nach mindestens vier Wochen Ankündigung während der Geschäftszeiten eine Prüfung durch den Kunden oder einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer. Prüfungen dürfen Betrieb, Sicherheit und Rechte anderer Kunden nicht beeinträchtigen.

(3) Anlassbezogene Prüfungen nach einem Sicherheitsvorfall bleiben unberührt. Unverhältnismässiger Zusatzaufwand kann nach vorheriger Vereinbarung vergütet werden.

§ 11 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht oder gibt codAIx nach Wahl des Kunden alle auftragsverarbeiteten Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Ein Export wird nach Massgabe der AGB bereitgestellt. Produktivdaten werden innerhalb von 30 Tagen nach Vertragsende oder abgeschlossenem Export gelöscht.

(3) Sicherungskopien werden im regulären Backup-Zyklus, spätestens innerhalb von 30 Tagen, überschrieben oder gelöscht und sind bis dahin für die produktive Nutzung gesperrt. Eine Wiederherstellung erfolgt ausschliesslich für Notfall- und Integritätszwecke.

(4) Temporäre Migrationskopien werden nach erfolgreicher Abnahme und Ablauf der erforderlichen Rückfallfrist, spätestens innerhalb von 30 Tagen, gelöscht. System- und Sicherheitsprotokolle werden nach Wegfall ihres Zwecks und Ablauf anwendbarer Nachweisfristen gelöscht oder anonymisiert.

(5) Die langfristige CRA-Aufbewahrung technischer Dokumentation ist Aufgabe des Kunden. Der Kunde exportiert erforderliche Unterlagen vor Vertragsende.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der AGB, soweit zwingendes Datenschutzrecht nicht entgegensteht.

§ 13 Schweizer Datenschutzrecht

Soweit das Schweizer Datenschutzgesetz Anwendung findet, gilt dieser AVV als Vereinbarung zur Auftragsbearbeitung nach Art. 9 DSG. Begriffe und Pflichten werden entsprechend ausgelegt.

§ 14 Schlussbestimmungen

(1) In Datenschutzfragen geht dieser AVV den AGB vor.

(2) Änderungen bedürfen der Textform. Eine elektronische Annahme mit protokollierter Dokumentversion genügt.

(3) Recht und Gerichtsstand richten sich nach den AGB, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.

(4) Sollte eine Bestimmung unwirksam sein, bleibt der AVV im Übrigen wirksam.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck: Bereitstellung der crAIready-Plattform für produktbezogene CRA-Arbeitsabläufe, insbesondere Produkt-/Scope-Verwaltung, SBOM- und Schwachstellenmanagement, Risikobeurteilung, Lieferketten-/Rollenverwaltung, Dokumentation, Vorfall- und Meldevorbereitung, Aufgaben, Freigaben und Protokollierung.

Betroffene Personen: Beschäftigte und Ansprechpartner des Kunden; Ansprechpartner von Lieferanten, Bevollmächtigten, Importeuren, Händlern und sonstigen Wirtschaftsakteuren; Sicherheitsforschende und Meldende; sonstige Personen, deren Daten in rechtmässig eingestellten Dokumenten oder Metadaten enthalten sind.

Datenarten: geschäftliche Identifikations- und Kontaktdaten; Rollen- und Berechtigungsdaten; Personenbezüge in Dokument-, Repository-, Commit-, SBOM-, Lieferketten- und CVD-Metadaten; Bearbeitungs-, Freigabe- und Auditdaten; vom Kunden in Prompts eingegebene Inhalte bei aktivierter KI.

Nicht umfasst: Konto-, Vertrags-, Rechnungs- und eigene Sicherheitsdaten von codAIx; vorvertragliche Quick-Check-Daten; Zahlungsdaten, soweit Stripe als eigenständig Verantwortlicher verarbeitet.

Besondere Kategorien: nicht vorgesehen. Der Kunde stellt solche Daten nur nach gesonderter Vereinbarung und dokumentierter Rechtsgrundlage ein.

Dauer: Vertragslaufzeit zuzüglich Export-, Lösch- und Backup-Zeiträumen nach § 11.

Anlage 2 – Technische und organisatorische Massnahmen

Bestätigte Massnahmen zum Stand 04.09.2026

• Zutritt: Server in einem verschlossenen Raum am Betriebsstandort; physischer Zutritt ist auf Judith Behr und Thomas Riehn beschränkt. Eine Verlagerung innerhalb desselben Bürogebäudes wird im internen TOM-Nachweis fortgeschrieben.
• Transport: verschlüsselte Übertragung über HTTPS/TLS.
• Speicherung: Schutz der Produktivdaten durch getrennte Kundenumgebungen, rollenbasierte Berechtigungen, Need-to-know-/Least-Privilege-Prinzip und beschränkte administrative Zugriffe. Sicherungskopien werden verschlüsselt gespeichert.
• Administrative Zugriffe: VPN und zusätzlicher Passwortschutz; keine Behauptung einer bereits flächendeckenden MFA.
• Berechtigungen: individuelle Konten, rollenbasierte Zugriffe, Need-to-know- und Least-Privilege-Prinzip; getrennte Kundenumgebungen nach der produktiven Architektur.
• Protokollierung: Zentrale produktbezogene Bearbeitungs- und Freigabevorgänge werden während der Vertragslaufzeit zur Nachvollziehbarkeit protokolliert und nach Vertragsende zusammen mit den übrigen Produktivdaten gemäss § 11 exportiert und gelöscht. Technische Server- und Sicherheitsprotokolle richten sich nach der Datenschutzerklärung.
• Backups: tägliche, lokale und verschlüsselte Sicherungen; letzter dokumentierter erfolgreicher Wiederherstellungstest am 02.09.2026.
• Betrieb: Sicherheitsupdates, Monitoring, Malware-Schutz, geregelte Störungs- und Notfallzugriffe sowie Verfahren zur Meldung von Datenschutzverletzungen.
• Organisation: Vertraulichkeitsverpflichtungen, dokumentierte Weisungen, Berechtigungsprüfung, Auswahl und Kontrolle von Dienstleistern.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die Wahl eines dieser Cloud-KI-Anbieter durch den Kunden gilt als dokumentierte Weisung. Ohne eine solche Auswahl erfolgt die KI-Verarbeitung lokal auf der Infrastruktur von codAIx in Thayngen.

Anlage 4 – Abgrenzung weiterer technischer Dienste

• OnLumis/JULITH GmbH: OnLumis wird lokal auf der Infrastruktur von codAIx ausgeführt. Prompts und Kundendaten werden nicht an JULITH übertragen. JULITH hat keinen Fernwartungszugriff und kann keine Kundendaten einsehen. Der Server baut lediglich für Lizenzabgleich und Softwareupdates eine ausgehende Verbindung zum Deployment-Server auf; übertragen werden keine Prompts oder Kundeninhalte. JULITH ist insoweit kein Unterauftragsverarbeiter für Kundendaten.
• Umami: Die Reichweitenmessung wird von codAIx selbst in Thayngen betrieben; ein externer Unterauftragsverarbeiter wird hierfür nicht eingesetzt.
• Stripe: Stripe Payments Europe, Ltd. und verbundene Unternehmen werden ausschliesslich für Bestellung, Zahlung, Abrechnung und Betrugsprävention eingesetzt. Stripe erhält keine Kundeninhalte aus der crAIready-Produktakte und ist insoweit kein Unterauftragsverarbeiter im Rahmen dieses AVV. Bei der Zahlungsabwicklung handelt Stripe entsprechend dem Stripe-DPA teilweise als eigenständig Verantwortlicher und teilweise als Auftragsverarbeiter von codAIx.
• Technische Informationsquellen: Der reine Abruf öffentlicher CVE-, Paket- und Schwachstelleninformationen ist keine Unterauftragsverarbeitung, sofern ausschliesslich technische Kennungen ohne Personen- oder Kundenbezug übermittelt werden.

Annahme: elektronisch im Bestellprozess unter Protokollierung von Version und Zeitpunkt oder durch Unterschrift. Stand: 04.09.2026 · codAIx GmbH, Thayngen (CH)