Auftragsverarbeitungsvertrag (AVV)

1. Parteien

Verantwortlicher: der LookupSwiss-Kunde, der die Validierungs-API nutzt. Auftragsverarbeiter: Ivan Laginestra, LookupSwiss, [Kanton Aargau], Schweiz. Kontakt: support@lookupswiss.ch.

2. Vertragsgegenstand

Der Auftragsverarbeiter validiert Telefonnummern und E-Mail-Adressen, die im Namen des Verantwortlichen an die LookupSwiss-REST-API übermittelt werden, und liefert strukturierte Validierungsergebnisse zurück.

3. Laufzeit

Dieser AVV tritt mit Annahme durch den Verantwortlichen in Kraft (z. B. über die Signup-Checkbox) und gilt, solange der Verantwortliche ein aktives LookupSwiss-Konto hält.

4. Art und Zweck der Verarbeitung

Echtzeit-Validierung von Telefonnummern und E-Mail-Adressen, Missbrauchserkennung sowie abrechnungsbezogene Nutzungsstatistik.

5. Verarbeitete Datenkategorien

E-Mail-Adressen, Telefonnummern, IP-Adressen der API-Aufrufer, API-Request-Logs (Zeitstempel, Endpunkt, Ergebnis).

6. Kategorien betroffener Personen

Endkunden, Leads, Nutzer oder Interessenten der eigenen Dienste des Verantwortlichen, deren Daten der Verantwortliche an die API übermittelt.

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (die API-Aufrufe selbst gelten als solche Weisungen).
• Sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind.
• Angemessene technische und organisatorische Massnahmen umzusetzen (Verschlüsselung im Ruhezustand und in der Übertragung, Least-Privilege-Zugriff, isolierte Umgebungen).
• Keine neuen Sub-Auftragsverarbeiter ohne vorherige generelle Genehmigung einzusetzen — der Verantwortliche wird über jede Hinzufügung oder Ersetzung mindestens 30 Tage im Voraus informiert und kann Einspruch erheben.
• Den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen zu unterstützen (Auskunft, Berichtigung, Löschung, Portabilität, Einschränkung).
• Den Verantwortlichen bei der Einhaltung der DSGVO Art. 32–36 zu unterstützen (Sicherheit, Meldung von Verletzungen, DSFA, vorherige Konsultation).
• Den Verantwortlichen ohne unangemessene Verzögerung, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung über eine Verletzung des Schutzes personenbezogener Daten zu informieren.
• Nach Vertragsende alle personenbezogenen Daten und Kopien zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.

8. Sub-Auftragsverarbeiter

Der Auftragsverarbeiter nutzt die in der untenstehenden Tabelle aufgeführten Sub-Auftragsverarbeiter zur Erbringung des Dienstes. Der Verantwortliche genehmigt hiermit deren Einsatz.

9. Internationale Datenübermittlungen

Übermittlungen personenbezogener Daten ausserhalb der Schweiz oder des EWR sind durch EU-Standardvertragsklauseln (SCC) oder einen gleichwertigen, nach DSG/DSGVO anerkannten Mechanismus abgesichert.

10. Haftung

Die Haftung des Auftragsverarbeiters nach diesem AVV unterliegt den in den AGB festgelegten Beschränkungen.

11. Anwendbares Recht & Gerichtsstand

Es gilt Schweizer materielles Recht und, soweit anwendbar, die DSGVO. Ausschliesslicher Gerichtsstand sind die ordentlichen Gerichte des [Kantons Aargau], Schweiz.