Auftragsverarbeitungsvertrag

#1. Parteien und Geltungsbereich

Verantwortlicher: die Organisation, die das Ojava-Konto eröffnet hat (der «Kunde»). Auftragsbearbeiter: Ojava, Dhanush Kalyan Guntaka, Einzelunternehmen (Eintragung in Bearbeitung), c/o Antonin Ayewubo, Rue de Lausanne 26, 1201 Genève, Schweiz («Ojava»); E-Mail dhanush@ojava.ch, Datenschutz privacy@ojava.ch; UID in Bearbeitung.

Dieser Auftragsverarbeitungsvertrag («Vertrag») ist Bestandteil der Ojava-Nutzungsbedingungen und wird bei der Registrierung des Kunden angenommen. Er regelt die Bearbeitung von Personendaten durch Ojava im Auftrag des Kunden nach, soweit jeweils auf den Kunden anwendbar: dem Schweizer Bundesgesetz über den Datenschutz (DSG, Art. 9), der Datenschutz-Grundverordnung der EU/des EWR (DSGVO, Art. 28) und Datenschutzgesetzen von US-Bundesstaaten wie dem California Consumer Privacy Act (CCPA), nach denen Ojava als «Service Provider» bzw. «Processor» handelt. Er gilt, solange Ojava Kundendaten bearbeitet.

#2. Bearbeitete Daten

Zweck: Erkennen und Erklären von Sicherheitsbedrohungen für die verbundenen Konten und Computer des Kunden (Microsoft 365, Google Workspace und, im frühen Zugang, Windows-PCs über den Ojava-Agenten), Erstellen von Alarmen, Vorfällen und Berichten, Zählen der aktiven Konten für die Grenze des Abos sowie Betrieb des Ojava-Kontos und der Abrechnung des Kunden.

Betroffene Personen und Daten: Benutzer der verbundenen Konten des Kunden (E-Mail-Adresse, Anzeigename, Anmeldeereignisse mit Zeit, IP-Adresse, ungefährem Ort, Netzbetreiber und Gerät; Änderungen an Anmeldemethoden ohne Telefonnummern; Postfachregeln und -delegierungen, wobei Regel-Stichwörter nur im Alarm gespeichert werden; erteilte App-Berechtigungen; administrative Aktionen; Freigabe- und Download-Ereignisse ohne Inhalt und ohne Dateinamen, ausser höchstens 20 Namen in einem Alarm zu massenhaftem Teilen; Reisehinweise) sowie die Ojava-Benutzer und Alarmkontakte des Kunden (E-Mail, Name, Passwort-Hash, Rolle, Anmeldungen, Einstellungen, Audit-Log und die Mobilnummern von Inhabern und Admins, die SMS-Alarme wählen).

Windows-PCs (früher Zugang): Benutzer der PCs, auf denen der Kunde den Ojava-Agenten installiert (Kontonamen in Windows-Sicherheitsereignissen, Namen, Pfade und Befehlszeilen gestarteter Programme mit dem Benutzerordner als %USERPROFILE%, Ordnerart und Dateiendung geänderter Dateien in Benutzerordnern, ein Beispielpfad, wenn sich viele Dateien auf einmal ändern, Adressen von Netzwerkverbindungen, automatisch startende Programme, Windows-Sicherheitseinstellungen, PC-Name und Windows-Version). In einem Alarm behält Ojava die Angaben, auf denen er beruht, etwa die Befehlszeile eines Programms oder eines PowerShell-Befehls (höchstens 500 Zeichen, mit maskiertem Benutzerordner) oder die entfernte Adresse einer Verbindung, so lange, wie der Alarm aufbewahrt wird.

E-Mail-Domains: Für die Domains, die der Kunde in Microsoft 365 oder Google Workspace bestätigt hat (höchstens 5), werden die öffentlichen DNS-Einträge (SPF, DMARC, DKIM, E-Mail-Anbieter) wöchentlich über den öffentlichen DNS-Resolver der Quad9 Foundation (Zürich) geprüft. Nur das letzte Ergebnis pro Domain wird aufbewahrt, bis zur Löschung des Kontos.

Nicht bearbeitet: der Inhalt von E-Mails, Anhängen, Dateien oder Chat-Nachrichten. Es ist keine Bearbeitung besonders schützenswerter Personendaten (wie Gesundheitsdaten) vorgesehen.

#3. Pflichten von Ojava

• Weisungen (Art. 28 Abs. 3 lit. a DSGVO, Art. 9 Abs. 1 DSG). Ojava bearbeitet Daten des Kunden nur zur Erbringung des Dienstes und nach den dokumentierten Weisungen des Kunden: diesen Bedingungen und den Einstellungen des Kunden. Ojava informiert den Kunden, wenn sie eine Weisung für datenschutzwidrig hält.
• Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Alle Personen bei Ojava mit Zugang zu Kundendaten sind zur Vertraulichkeit verpflichtet.
• Sicherheit (Art. 28 Abs. 3 lit. c und Art. 32 DSGVO, Art. 8 und 9 Abs. 2 DSG). Ojava wendet die Massnahmen im Anhang an und hält sie aktuell.
• Unterauftragsbearbeiter (Art. 28 Abs. 2 und 4 DSGVO, Art. 9 Abs. 3 DSG). Siehe Abschnitt 4.
• Anfragen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO). Ojava unterstützt den Kunden im zumutbaren Rahmen bei der Beantwortung von Anfragen betroffener Personen. Inhaber können alle Daten der Organisation selbst unter Einstellungen → Sicherheit exportieren.
• Verletzungen und Folgenabschätzungen (Art. 28 Abs. 3 lit. f und Art. 33 Abs. 2 DSGVO, Art. 24 Abs. 3 DSG). Ojava meldet dem Kunden eine Verletzung der Datensicherheit, die Kundendaten betrifft, unverzüglich, spätestens innert 48 Stunden nach Kenntnis, damit der Kunde seine eigenen Pflichten erfüllen kann (Meldung an den EDÖB so rasch als möglich nach Art. 24 Abs. 1 DSG oder an eine EU-Aufsichtsbehörde innert 72 Stunden nach Art. 33 Abs. 1 DSGVO). Ojava unterstützt im zumutbaren Rahmen bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO, Art. 22 DSG).
• Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO). Anmelde- und Aktivitätsereignisse werden nach 90 Tagen gelöscht (rohe Ereignisse von Windows-PCs nach 30 Tagen); geschlossene Alarme und Vorfälle nach 24 Monaten (3 Monate im bezahlten Starter-Paket, 5 Jahre im bezahlten Business-Paket); Audit-Logs nach 24 Monaten; Reisehinweise 30 Tage nach der Reise. Nach einer Kündigung werden alle Kundendaten nach 30 Tagen endgültig gelöscht, ausser Rechnungen, die Ojava nach Schweizer Buchführungsrecht 10 Jahre aufbewahren muss (Art. 958f OR). Backups werden innert 14 Tagen überschrieben. Bis zur Löschung kann der Inhaber des Kunden jederzeit alle Kundendaten herunterladen (Einstellungen → Sicherheit → Export, maschinenlesbares JSON); auf Anfrage an die Datenschutzadresse sendet Ojava den Export.

  Daten	Aufbewahrt
  Anmelde- und Aktivitätsereignisse (Microsoft 365, Google Workspace)	90 Tage
  Rohe Ereignisse von Windows-PCs	30 Tage
  Geschlossene Alarme und Vorfälle	Starter 3 Monate · Professional 2 Jahre · Business 5 Jahre (offene bis zum Abschluss)
  Audit-Log Ihres Kontos (inkl. IP-Adresse der Aktionen im Konto)	24 Monate
  Dateinamen (höchstens 20, nur bei Alarmen zu massenhaftem Teilen), Stichwörter von Postfachregeln, Befehlszeilen (höchstens 500 Zeichen) und Verbindungsadressen, auf denen ein Alarm beruht	nur im Alarm, mit ihm gelöscht
  Reisehinweise («Ich bin auf Reisen»)	30 Tage nach Reiseende
  Mobilnummer für SMS-Alarme (Inhaber und Admins)	bis Sie sie entfernen oder das Konto gelöscht wird
  Protokoll gesendeter SMS (Datum, Art, Kosten; ohne Nummer und Text)	24 Monate
  Bei ASPSMS: Nummer und Sendezeit	höchstens 6 Monate, soweit das Schweizer Recht zur Überwachung des Fernmeldeverkehrs es verlangt
  Zugangsanfragen von ausserhalb der Schweiz	12 Monate
  Server-Logs (inkl. IP-Adressen der Anfragen)	30 Tage
  Ergebnisse der E-Mail-Domain-Prüfung: letztes Ergebnis pro Domain	bis zur Löschung des Kontos
  E-Mail-Domain-Prüfung (Website): IP-Adresse	24 Stunden
  Liste der Benutzerkonten (zum Zählen der aktiven Konten des Abos)	täglich ersetzt; mit der Verbindung oder dem Konto gelöscht
  Vertrauenswürdige Geräte (Bestätigung in zwei Schritten)	30 Tage
  Backups	bis 14 Tage, dann überschrieben
  Alles, nach Kündigung oder Löschantrag	30 Tage (für Rückkehr oder Export), dann gelöscht
  Rechnungen	10 Jahre (Schweizer Buchführungsrecht)

• Informationen und Prüfungen (Art. 28 Abs. 3 lit. h DSGVO). Ojava stellt auf Anfrage die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind. Prüfungen vor Ort erfordern eine Vorankündigung von 30 Tagen und gehen zulasten des Kunden.
• Überwachung Ihrer Mitarbeitenden (Pflichten des Kunden). Der Kunde ist Verantwortlicher für die Daten der Personen, deren Konten und Computer er mit Ojava verbindet. Bevor er eine Quelle verbindet oder den Ojava-Agenten installiert, (a) informiert der Kunde diese Personen über die Überwachung, ihren Sicherheitszweck und darüber, was erfasst wird, einschliesslich der Tatsache, dass Windows ein lokales Prüfprotokoll darüber führt, welches Programm Dateien in ihren Benutzerordnern ändert; (b) hört er eine Arbeitnehmervertretung oder Personalkommission an oder holt deren Zustimmung ein, wo das anwendbare Recht dies verlangt; und (c) stellt er sicher, dass er über eine Rechtsgrundlage für die Überwachung verfügt. Ojava stellt eine Vorlage zur Information der Mitarbeitenden bereit (Einstellungen → Sicherheit). Der Kunde hält Ojava schadlos gegenüber Ansprüchen, die sich aus einer Verletzung dieser Bestimmung ergeben.
• Berufsgeheimnis. Untersteht der Kunde einem Berufsgeheimnis (zum Beispiel nach Art. 321 des Schweizerischen Strafgesetzbuchs), handelt Ojava als seine Hilfsperson: Ojava hält alle Kundendaten geheim, verwendet sie nur zur Erbringung des Dienstes und verpflichtet ihr Personal und ihre Unterauftragsbearbeiter zur gleichen Geheimhaltung.

#4. Unterauftragsbearbeiter

Der Kunde genehmigt die folgenden Unterauftragsbearbeiter (Art. 28 Abs. 2 DSGVO, Art. 9 Abs. 3 DSG). Ojava kündigt das Hinzufügen oder Ersetzen eines Unterauftragsbearbeiters mindestens 30 Tage im Voraus per E-Mail an; der Kunde kann widersprechen und kündigen. Ojava verpflichtet jeden Unterauftragsbearbeiter auf Datenschutzpflichten, die mindestens so schützend sind wie dieser Vertrag (Art. 28 Abs. 4 DSGVO).

• Infomaniak Network SA (Schweiz): Hosting, Datenbank und Backups (Rechenzentrum Genf, Swiss Backup), Domain und DNS; alle Kundendaten.
• Anthropic PBC (USA): KI-Erklärungen von Alarmen und Antworten des Assistenten; Alarmdetails mit Namen, E-Mail-Adressen, IP-Adressen und PC-Namen durch Platzhalter ersetzt; nie Inhalte von E-Mails oder Dateien, Dateinamen, Regel-Stichwörter, Reiseziele oder Telefonnummern.
• Resend, Inc. (USA): versendet die E-Mails von Ojava (Alarme, Anmeldecodes, Einladungen, Rechnungen, Erinnerungen); Empfängeradresse und E-Mail-Inhalt.
• VADIAN.NET AG (ASPSMS), St. Gallen, Schweiz: SMS zu kritischen Alarmen an Inhaber und Admins, die eine Mobilnummer hinterlegt haben; die Nummer und der Nachrichtentext (nur Name der Organisation).
• Microsoft Ireland Operations Ltd (EU), mit Microsoft Corporation (USA): eigene Postfächer von Ojava; Korrespondenz mit dem Kunden.
• Stripe Payments Europe, Ltd. (Irland), mit Stripe, LLC (USA): Kartenzahlungen für Kundinnen und Kunden ausserhalb der Schweiz; nur Rechnungsdaten.

#5. Übermittlungen ins Ausland

Die Kundendaten werden in der Schweiz (Genf) gespeichert; die EU anerkennt die Schweiz als Land mit angemessenem Datenschutz (Art. 45 DSGVO). Die Bekanntgabe ins Ausland richtet sich nach Art. 16 DSG und Art. 44–46 DSGVO: Die EU/der EWR ist von der Schweiz als angemessen anerkannt (Anhang 1 der Datenschutzverordnung); Unterauftragsbearbeiter in den USA sind nach dem Swiss–U.S. und dem EU–U.S. Data Privacy Framework zertifiziert, oder die Übermittlung stützt sich auf die EU-Standardvertragsklauseln in ihren Bearbeitungsbedingungen mit den vom EDÖB anerkannten Anpassungen (Art. 16 Abs. 2 lit. d DSG, Art. 46 Abs. 2 lit. c DSGVO). Resend ist nur im EU–U.S.-Teil zertifiziert (geprüft am 6. November 2026): Schweizer Daten an Resend stützen sich daher auf die Standardvertragsklauseln; Anthropic stützt sich auf die Standardvertragsklauseln.

#6. Vereinigte Staaten: Pflichten als «Service Provider»

Soweit Datenschutzgesetze von US-Bundesstaaten anwendbar sind, gilt: Ojava verkauft oder teilt keine personenbezogenen Informationen; bewahrt sie nicht auf, nutzt oder offenbart sie nicht zu einem anderen Zweck als der Erbringung des Dienstes für den Kunden und nicht ausserhalb der direkten Geschäftsbeziehung mit dem Kunden; verknüpft sie nicht mit personenbezogenen Informationen aus anderen Quellen, ausser soweit diese Gesetze es erlauben; erfüllt die für Service Provider geltenden Pflichten mit gleichem Schutzniveau; und informiert den Kunden, wenn es diese Pflichten nicht mehr erfüllen kann. Der Kunde kann angemessene Schritte unternehmen, um eine unbefugte Nutzung zu stoppen und zu beheben.

#7. Haftung, anwendbares Recht und Vorrang

Die Haftung richtet sich nach den Ojava-Nutzungsbedingungen. Dieser Vertrag untersteht Schweizer Recht; zuständig sind die Gerichte von Genf, Schweiz. Zwingende Bestimmungen der DSGVO oder anderer anwendbarer Datenschutzgesetze bleiben vorbehalten. Bei Widersprüchen zu den Bedingungen in Datenschutzfragen geht dieser Vertrag vor. Ein unterzeichnetes Exemplar ist auf Anfrage unter privacy@ojava.ch erhältlich.

#Anhang: technische und organisatorische Massnahmen

• Verschlüsselung bei der Übertragung: HTTPS ausschliesslich mit TLS 1.3, HSTS.
• Zugangsdaten: Microsoft- und Google-Zugriffstoken auf Anwendungsebene verschlüsselt; Passwörter mit bcrypt gehasht; Zwei-Faktor-Geheimnisse verschlüsselt.
• Backups: nächtliche Datenbankexporte mit AES-256 verschlüsselt und höchstens 14 Tage aufbewahrt, auf dem Server und bei Infomaniak Swiss Backup (Kopien in zwei Infomaniak-Rechenzentren in der Schweiz). Daten im Ruhezustand: Datenbank und alle Serverdaten liegen auf einer verschlüsselten Festplatte (LUKS2, AES-256).
• Trennung: jede Datenbankabfrage ist auf die Organisation des Kunden beschränkt.
• Zugriffskontrolle: Rollen (Inhaber, Administrator, Vertrauensperson, Mitarbeitende); Bestätigung in zwei Schritten für alle Benutzer Pflicht (Inhaber und Admins: Passkey oder Authentifizierungs-App); Sitzungen werden bei Passwort-Zurücksetzung oder Rollenwechsel beendet.
• Missbrauchsschutz: Begrenzungen für Anmeldung, Registrierung, Passwort-Zurücksetzung und andere sensible Aktionen.
• Netzwerk: Firewall lässt nur Web- und SSH-Verkehr zu; Datenbank und interne Dienste sind aus dem Internet nicht erreichbar; SSH nur mit Schlüssel; automatische Sicherheitsupdates.
• Protokollierung: Audit-Log von Anmeldungen, fehlgeschlagenen Anmeldungen, Zwei-Faktor-Änderungen, Exporten und administrativen Aktionen pro Organisation.
• Überwachung: automatische Prüfungen alle 5 Minuten von Website, API, Diensten, Speicher, Backups und Zertifikaten, mit Alarmen an den Betreiber.
• Minimale Rechte an der Quelle: Microsoft-Berechtigungen nur lesend für Audit- und Verzeichnisprotokolle und zwei nur lesende Google-Berechtigungen (Prüfberichte; Benutzerliste); keine Berechtigung zum Lesen von E-Mails. Der Windows-Agent sendet Sicherheitsereignisse, Programmpfade und Befehlszeilen mit maskiertem Benutzerordner (%USERPROFILE%) und für geänderte Dateien nur Ordnerart und Dateiendung, nie Inhalte von Dokumenten.
• Datenminimierung: automatische Löschung nach den Fristen in Abschnitt 3; keine Dateinamen oder Pfade und keine Telefonnummern bei Ereignissen gespeichert (höchstens 20 Dateinamen, nur in einem Alarm zu massenhaftem Teilen); Stichwörter von Postfachregeln nur im Alarm gespeichert; keine Dateinamen, Regel-Stichwörter, Reiseziele oder Telefonnummern an den KI-Anbieter, der pseudonymisierte Daten erhält.
• Software-Updates: Abhängigkeiten werden vor jeder Veröffentlichung gegen Datenbanken bekannter Schwachstellen geprüft.