AVV / Auftragsbearbeitung

Version 1.2 · Stand: 17. September 2026

Für Kundinnen und Kunden, die Ruum zur Verarbeitung personenbezogener Daten einsetzen, kann Montrel je nach Verarbeitung als Auftragsbearbeiter tätig sein. Die Auftragsbearbeitung wird durch die entsprechende Vereinbarung geregelt.

Diese AVV ergänzt die AGB von Ruum. Sie gilt, wenn sie im Angebot, in der Bestellung oder in der Vertragsbestätigung einbezogen wird. Der Kunde ist Verantwortlicher, Montrel ist Auftragsbearbeiter. Für Bearbeitungen, bei denen Montrel selbst Verantwortlicher ist, gilt diese AVV nicht.

AVV anfordern / AVV abschliessen

Kontakt: legal@montrel.org

1. Zweck und Geltungsbereich

Diese Auftragsbearbeitungsvereinbarung regelt die Bearbeitung von Personendaten durch Montrel im Auftrag des Kunden, soweit Montrel bei der vereinbarten Leistung als Auftragsbearbeiter handelt.

2. Rollen und Weisungen

Der Kunde ist für die Zwecke und die rechtliche Zulässigkeit der betreffenden Bearbeitung verantwortlich. Montrel bearbeitet die Personendaten als Auftragsbearbeiter nach dokumentierten Weisungen des Kunden. Weisungen ergeben sich insbesondere aus Vertrag, Leistungsbeschreibung, Kundenkonfiguration oder dokumentierten Support-Anweisungen. Weisungen, die offensichtlich gegen zwingendes Recht verstossen oder ausserhalb des vereinbarten Leistungsumfangs liegen, muss Montrel nicht ausführen und informiert den Kunden soweit zulässig.

3. Gegenstand und Datenkategorien

Die Auftragsbearbeitung betrifft die im Einzelvertrag vereinbarte SaaS-Leistung Ruum (Bereitstellung, Betrieb, Administration, Support, Wartung und Sicherheit).

Je nach Leistung können insbesondere Stamm-, Kontakt-, Benutzer-, Organisations-, Buchungs-, Nutzungs-, Kommunikations-, Support-, Protokoll-, Sicherheits- und vom Kunden gespeicherte Inhaltsdaten bearbeitet werden. Betroffene Personen können insbesondere Mitarbeitende, Benutzer, Kunden, Mitglieder, Kontaktpersonen, Teilnehmende und sonstige Personen sein, deren Daten der Kunde verarbeitet. Besonders schützenswerte Personendaten werden nur bearbeitet, wenn dies vom Kunden vorgesehen oder ausdrücklich vereinbart und für die Leistung erforderlich ist.

4. Vertraulichkeit und Zugriffe

Montrel verpflichtet Personen mit Zugriff auf Personendaten zur Vertraulichkeit, soweit keine gleichwertige gesetzliche Pflicht besteht. Zugriffe werden auf Personen beschränkt, die sie für Erbringung, Administration, Support, Wartung oder Sicherheit der Leistung benötigen.

5. Technische und organisatorische Massnahmen

Montrel gewährleistet eine dem Risiko angemessene Datensicherheit. Die vereinbarten Mindestmassnahmen sind in den jeweils aktuellen TOMs beschrieben. Einzelne technische Massnahmen dürfen weiterentwickelt oder ersetzt werden, sofern das vertraglich geschuldete Schutzniveau und die anwendbaren gesetzlichen Anforderungen eingehalten werden.

6. Subprozessoren

Der Kunde genehmigt die Beauftragung der in der jeweils aktuellen Subprozessorenliste aufgeführten Subprozessoren. Montrel informiert über geplante neue oder wesentlich geänderte Subprozessoren. Der Kunde kann innerhalb von 14 Tagen aus konkreten datenschutzrechtlichen Gründen widersprechen. Bei begründetem Widerspruch suchen die Parteien eine zumutbare Alternative. Ist keine zumutbare Lösung möglich, kann die betroffene Leistung nach den Regeln des Einzelvertrags beendet werden. Montrel verpflichtet Subprozessoren vertraglich zu angemessenen Datenschutz- und Sicherheitsanforderungen.

7. Internationale Datenübermittlungen

Relevante Datenstandorte und internationale Bearbeitungen werden in der Subprozessorenliste ausgewiesen. Bei Bekanntgabe von Personendaten ins Ausland hält Montrel die anwendbaren gesetzlichen Anforderungen ein und setzt, soweit erforderlich, geeignete Garantien oder andere zulässige Mechanismen ein.

8. Unterstützung bei Betroffenenrechten

Montrel unterstützt den Kunden angemessen bei Auskunfts-, Berichtigungs-, Löschungs- und sonstigen Betroffenenbegehren, soweit diese die Auftragsbearbeitung betreffen. Der Kunde bleibt für die rechtliche Beurteilung und Beantwortung verantwortlich. An Montrel gerichtete Begehren werden soweit zulässig ohne unangemessene Verzögerung an den Kunden weitergeleitet.

9. Datenschutzverletzungen

Montrel informiert den Kunden ohne unangemessene Verzögerung über eine festgestellte Verletzung der Datensicherheit, welche die im Auftrag bearbeiteten Personendaten betrifft. Die Information erfolgt auch dann, wenn die rechtliche Risikobeurteilung oder eine allfällige Meldepflicht des Kunden noch nicht abschliessend beurteilt werden kann. Soweit verfügbar werden Art und Umfang des Vorfalls, betroffene Daten und Systeme, bekannte Auswirkungen und ergriffene oder geplante Massnahmen mitgeteilt. Montrel unterstützt den Kunden angemessen bei dessen gesetzlichen Melde- und Informationspflichten.

10. Nachweis und Audits

Montrel stellt auf angemessene Anfrage geeignete Nachweise zur Einhaltung dieser AVV bereit, insbesondere TOMs, relevante Richtlinien, Prüfberichte oder vergleichbare Dokumentation. Ein Vor-Ort-Audit ist nur erforderlich, wenn gesetzlich verlangt, konkrete erhebliche Zweifel an der Einhaltung bestehen oder andere Nachweise nicht ausreichen. Audits sind angemessen anzukündigen, verhältnismässig durchzuführen und dürfen andere Kunden oder den Betrieb nicht unangemessen beeinträchtigen. Die angemessenen Kosten eines vom Kunden verlangten Audits trägt der Kunde; bei einer von Montrel zu vertretenden erheblichen Datenschutzverletzung trägt Montrel die angemessenen notwendigen Kosten.

11. Vertragsende, Export und Löschung

Es gilt Ziff. 20 der AGB. Der Kunde kann innerhalb von 30 Tagen nach Beendigung einen Export seiner im Rahmen der Leistung gespeicherten Kundendaten verlangen, soweit technisch verfügbar. Nach Ablauf der Exportfrist löscht Montrel die betreffenden Personendaten, soweit keine gesetzlichen Aufbewahrungspflichten oder technisch erforderlichen Backup-Fristen entgegenstehen. Die reguläre Löschung erfolgt grundsätzlich innerhalb von 30 Tagen nach Ablauf der Exportfrist. Backups werden im regulären Zyklus überschrieben oder gelöscht und nicht für operative Zwecke weiterverwendet.

12. Anwendbares Recht

Es gilt das auf das Vertragsverhältnis anwendbare Datenschutzrecht. Die zwingenden Anforderungen der DSGVO gelten ergänzend, soweit sie auf die konkrete Bearbeitung anwendbar sind.

13. Kontakt

Rechtliches: legal@montrel.org. Datenschutz: privacy@montrel.org.

Siehe auch TOMs, Subprozessoren, Trust Center.