Vertrag zur Auftragsbearbeitung.

01Gegenstand

Dieser Auftragsbearbeitungsvertrag (nachfolgend «DPA») regelt, unter welchen Bedingungen die Neolia Sàrl (nachfolgend der «Auftragsbearbeiter») im Auftrag des für die Bearbeitung Verantwortlichen (nachfolgend der «Verantwortliche») Personendaten von Bewohnern, Besuchern und Nutzern der mit Neolia-Diensten ausgerüsteten Liegenschaften bearbeitet.

Das DPA ist ein untrennbarer Anhang der AGB von Neolia und jedes Betriebsvertrags. Bei Abweichungen zur Datenbearbeitung geht es vor. Es gilt weiter, solange der Auftragsbearbeiter Daten für den Verantwortlichen bearbeitet. Das gilt auch für den Grunddienst der Türsprechanlage, der nach dem Ende eines Betriebsvertrags oder während einer Aussetzung wegen Zahlungsverzugs ohne Verrechnung weiterläuft.

02Rollen und Bestimmungen

Vier getrennte Rollen. (1) Der Vertragsinhaber ist die kommerzielle Partei des Vertrags und dessen Schuldner. (2) Der Verantwortliche entscheidet über Zweck und Mittel der Bearbeitung der Bewohnerdaten; grundsätzlich ist es der Eigentümer oder, je nach Mandat, die Verwaltung. (3) Die befugten Personen sind jene, die der Verantwortliche ermächtigt, die Bewohner in der Verwaltungsoberfläche zu verwalten. (4) Der Auftragsbearbeiter und seine weiteren Auftragsbearbeiter bearbeiten die Daten auf Weisung.

• Der Vertragsinhaber ist nicht schon deshalb der Verantwortliche, weil er unterzeichnet oder bezahlt. Ein Bauunternehmen, das den Dienst finanziert, auch mit geschenkten Monaten, erhält dadurch keinen Zugang zu den Daten der Bewohner.
• Der Verantwortliche und die befugten Personen werden vor Beginn der Bearbeitungen schriftlich bestimmt, namentlich vor der ersten Aktivierung eines Gebäudes. Vor dieser Bestimmung legt der Auftragsbearbeiter kein Bewohnerkonto an und bearbeitet keine Bewohnerdaten. Dieses DPA begründet kein Mandat zwischen Eigentümer und Verwaltung: Ihre jeweiligen Rollen bestätigen sie selbst.
• Wechsel des Vertragsinhabers oder der Verwaltung. Der Übertragungsnachtrag bestätigt den Verantwortlichen und die befugten Personen. Laufende Weisungen gelten weiter, bis der Verantwortliche sie ändert. Die Zugänge der bisherigen Verwaltung werden auf den Stichtag widerrufen.
• Grunddienst. Nach dem Ende eines Betriebsvertrags bleibt Verantwortlicher, wer zuletzt bestimmt wurde, und die Verwaltung behält einen eingeschränkten Administrationszugang für die Vorgänge, die dieser Dienst braucht (Artikel 12 der AGB).

Für Bearbeitungen aus dem eigenen Betrieb von Neolia (Kundenkonten, Rechnungsstellung, aggregierte Nutzungsstatistiken, Produktverbesserung) handelt Neolia als eigenständige Verantwortliche, geregelt in ihrer Datenschutzerklärung.

03Bearbeitungen, je nach abonnierten Diensten

Die Bearbeitungen hängen von den abonnierten Diensten ab. Der Betriebsvertrag oder das Abonnement nennt sie. Anhang 1 beschreibt jede Bearbeitung und ihre Aufbewahrungsfrist, Anhang 2 die weiteren Auftragsbearbeiter jeder Gruppe.

• Nötig für das vernetzte Gebäude: Zustellung der Türanrufe an die App, ein gewöhnliches Telefon oder einen Leihbildschirm; Türöffnung und Öffnungsprotokoll; Zählerablesung und verbrauchsabhängige Abrechnung; Weiterleitung der technischen Alarme; Konten und Mitteilungen der Bewohner; Support.
• Verwaltungsplattform, falls abonniert: Verwaltung der Mietverträge, Dokumente und Nachrichten, einschliesslich der rechnergestützten Analyse der Dokumente.
• Optionale Integrationen: Anbindungen an Dienste Dritter, die nichts erhalten, solange der Verantwortliche oder der Bewohner sie nicht aktiviert hat.
• Nicht aktivierte Dienste: Für einen Dienst, der weder abonniert noch aktiviert ist, werden keine Daten bearbeitet.

Die Dauer der Bearbeitung entspricht der Dauer des Vertrags. Sie verlängert sich um die Zeit, in der der Grunddienst der Türsprechanlage läuft, und um die Aufbewahrungsfristen von Anhang 1.

04Weisungen des Verantwortlichen

Der Auftragsbearbeiter bearbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. AGB, Betriebsvertrag, DPA und die Einstellungen der Verwaltungsoberfläche gelten als Standardweisungen. Jede zusätzliche Weisung erteilt eine befugte Person des Verantwortlichen schriftlich.

Der Auftragsbearbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen nLPD, gegen RGPD, soweit anwendbar, oder gegen andere anwendbare Bestimmungen verstösst.

05Vertraulichkeit des Personals

Der Auftragsbearbeiter gewährt Zugang zu Personendaten nur den Personen, die ihn zur Vertragserfüllung brauchen, nach dem Prinzip der geringsten Rechte. Jede von ihnen untersteht vor ihrem Zugang einer schriftlichen Geheimhaltungspflicht und erhält eine schriftliche Weisung, was sie einsehen darf. Die Liste der befugten Personen beim Auftragsbearbeiter wird aktuell gehalten und dem Verantwortlichen auf Anfrage mitgeteilt.

06Technische und organisatorische Massnahmen

Der Auftragsbearbeiter trifft dem Risiko angemessene technische und organisatorische Massnahmen. Sie sind so beschrieben, wie sie zum Zeitpunkt dieser Fassung bestehen, Grenzen eingeschlossen, in Anhang 3 und in der Sicherheitscharta. Er verspricht keine Massnahme, die nicht umgesetzt ist. Insbesondere ist die Verschlüsselung nicht durchgehend: Anhang 3 gibt an, was verschlüsselt ist und was nicht. Jede Verbesserung wird mit einer neuen Fassung des DPA angekündigt.

07Weitere Auftragsbearbeiter

Der Verantwortliche genehmigt allgemein den Beizug der in Anhang 2 aufgeführten weiteren Auftragsbearbeiter, für die abonnierten oder aktivierten Dienste. Der Auftragsbearbeiter:

• sie verpflichtet jeden weiteren Auftragsbearbeiter auf Datenschutzpflichten, die diesem DPA entsprechen;
• bleibt gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten verantwortlich;
• informiert den Verantwortlichen mit einer Frist von 30 Tagen über jede Ergänzung und jeden Ersatz, was ein begründetes Widerspruchsrecht eröffnet;
• gibt in Anhang 2 für jeden den Stand seiner Garantien an. Ein als «zu bereinigen» markierter weiterer Auftragsbearbeiter erhält für einen Dienst, der nach dieser Fassung in Betrieb genommen wird, keine Daten der Bewohner eines Gebäudes, solange sein Auftragsbearbeitungsvertrag und gegebenenfalls die Übermittlungsgarantie nicht vorliegen. Bedient ein solcher Auftragsbearbeiter bereits einen laufenden Dienst, steht dies in Anhang 2.

08Übermittlung ins Ausland

Die Bewirtschaftungsdaten (Konten, Verwaltung, Liegenschaften, Wohnungen, Mietverträge, abgelegte Dokumente, Nachrichten, Anrufverlauf und Öffnungsprotokoll) werden in der Schweiz gespeichert, in der Region Zürich des Datenbank-Hosters. Die technischen Betriebsdaten werden in Deutschland bearbeitet, in Nürnberg. Der Bundesrat anerkennt Deutschland als Land mit angemessenem Schutz. Dazu gehören: die Vermittlung der Gegensprechanrufe mit Ton und Bild (nicht aufgezeichnet), die Telefonkonten der Wohnungen, die Aufnahme der Türstation, die Zählerablesungen und das Funknetz der Zähler, die Token, mit denen Benachrichtigungen an die Telefone gesendet werden, die Konten und Fotos der Installateure, die technischen Protokolle und eine verschlüsselte Sicherungskopie der Schweizer Datenbank. Diese Kopie wird jede Nacht erstellt und 14 Tage aufbewahrt.

Daten können an Auftragsbearbeiter mit Sitz in den USA übermittelt werden (Anhang 2). Die USA gelten nur für Organisationen als angemessen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind (Anhang 1 der DSV). Anhang 2 gibt für jeden Anbieter an, ob diese Zertifizierung oder eine andere Garantie im Sinne von Art. 16 nLPD belegt, zu bestätigen oder fehlend ist. Der Auftragsbearbeiter behauptet nicht, dass eine Garantie besteht, solange er keinen Nachweis dafür hat. Er pseudonymisiert vor der Übermittlung nicht systematisch: Der E-Mail-Versanddienst erhält einen Namen und eine Adresse im Klartext, und die Mitteilungen enthalten eine Gerätekennung.

09Anfragen betroffener Personen

Der Verantwortliche beantwortet Anfragen zur Ausübung der Rechte (Auskunft, Berichtigung, Löschung, Herausgabe der Daten, Widerspruch). Der Auftragsbearbeiter unterstützt ihn: Eine an contact@neolia.ch eingehende Anfrage wird an den Verantwortlichen weitergeleitet, und der Auftragsbearbeiter führt dessen Weisungen so rasch aus, dass die gesetzlichen Fristen eingehalten werden können, spätestens aber innert 10 Arbeitstagen.

• Was der Bewohner selbst tut. In der App exportiert der Bewohner mit eigenem Konto seine Daten und verlangt ihre Löschung. Gelöscht werden dann sein Profil, sein Konto, seine registrierten Geräte, sein Anrufverlauf und seine Bilder, seine Weiterleitungsnummer, seine Nachrichten und seine Dokumente.
• Was aufbewahrt wird, und warum. Die Wohnung und ihr Abonnement der Türsprechanlage, die dem Verantwortlichen gehören, und die für die Abrechnungen nötigen Verbrauchsablesungen, die Unterlagen des Verantwortlichen sind. Der Verantwortliche entscheidet nach seinen eigenen Pflichten, was damit geschieht.
• Personen ohne Konto. Ein Bewohner ohne Konto oder eine Person, deren Daten nur in der Verwaltung des Verantwortlichen erfasst sind, macht seine Rechte beim Verantwortlichen geltend, der den Auftragsbearbeiter anweist.
• Eine Löschung erfasst die Sicherungskopien im Zuge ihrer Rotation, innert der Frist von Artikel 12.

10Verletzung der Sicherheit von Personendaten

Bei einer Verletzung der Datensicherheit, die die Bearbeitung nach diesem DPA betrifft, meldet die Auftragsbearbeiterin dies dem Verantwortlichen ohne ungerechtfertigte Verzögerung nach der Feststellung. Die Meldung enthält:

• die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen;
• die wahrscheinlichen Folgen der Verletzung;
• die getroffenen oder vorgeschlagenen Massnahmen zur Behebung und zur Milderung der Folgen.

Der Auftragsbearbeiter unterstützt den Verantwortlichen bei seinen Meldepflichten gegenüber dem EDÖB (Art. 24 nLPD) oder der zuständigen Aufsichtsbehörde und gegebenenfalls gegenüber den betroffenen Personen.

11Audit und Nachweis der Konformität

Die Angaben dieses DPA und seiner Anhänge beruhen auf einer Dokumentenanalyse des Codes, der Konfiguration und der Dokumentation des Auftragsbearbeiters. Sie beruhen nicht auf einem externen technischen Audit, und zum Zeitpunkt dieser Fassung besteht kein externer Auditbericht. Der Auftragsbearbeiter stellt dem Verantwortlichen auf Anfrage zur Verfügung:

• das Verzeichnis der Bearbeitungstätigkeiten, die für den Verantwortlichen ausgeführt werden;
• die aktuelle Sicherheitscharta und, sofern vorhanden, externe Auditberichte, unter Vertraulichkeitsverpflichtung;
• die Auftragsbearbeitungsverträge und Übermittlungsgarantien der weiteren Auftragsbearbeiter, über die er verfügt.

Der Verantwortliche kann auf eigene Kosten und mit einer Ankündigung von 30 Tagen ein Audit vor Ort oder auf Aktenbasis durchführen lassen, durch einen unabhängigen und von beiden Parteien akzeptierten Dritten, höchstens ein Audit pro Jahr, ausser bei einem schweren Vorfall.

12Vertragsende und Verbleib der Daten

Die Fristen unten zählen in Tagen ab dem Ende des Hauptvertrags:

1. Vom Tag 0 bis zum Tag 90: Der Bereich des Verantwortlichen bleibt lesend zugänglich. Der Verantwortliche exportiert dort selbst, kostenlos und so oft er will, seine Daten in einem strukturierten und lesbaren Format. Auf schriftliche Anfrage gibt der Auftragsbearbeiter ihm diesen Export innert 30 Tagen ab;
2. Tag 75 und Tag 85: Der Auftragsbearbeiter schickt dem Verantwortlichen zwei schriftliche Hinweise, fünfzehn Tage und dann fünf Tage vor der Löschung;
3. Tag 90: Der Auftragsbearbeiter löscht alles, was er im Auftrag des Verantwortlichen bearbeitet, Daten und Dateien. Die Sicherungskopien verschwinden im Zuge ihrer Rotation: spätestens 90 Tage später bei den Sicherungen des Auftragsbearbeiters und 7 Tage später bei jenen des Datenbank-Hosters;
4. Nach dem Tag 90: Es bleiben nur die Buchungsbelege des Auftragsbearbeiters, also seine Rechnungen an den Verantwortlichen und deren Belege, aufbewahrt zehn Jahre ab Ende des Geschäftsjahres (Art. 958f Abs. 1 OR), sowie der Nachweis der Löschung und das Verzeichnis der Zugriffe auf dieses Archiv (Art. 8 GeBüV).

Auf Anfrage erhält der Verantwortliche eine datierte Löschbestätigung.

Ausnahme für den Grunddienst der Türsprechanlage. Endet ein Betriebsvertrag für ein vernetztes Gebäude, bleibt der Grunddienst der Türsprechanlage nach Artikel 12 der AGB aktiv. Solange er läuft, bewahrt der Auftragsbearbeiter abweichend von Tag 90 nur die Daten auf, die er braucht: die Liste der Einheiten, die aktiven Bewohner mit ihren Anrufnamen, ihrem Empfangsmittel und ihren Zugängen sowie die Konten der Verwaltung, die für den eingeschränkten Administrationszugang nötig sind. Dieses DPA gilt weiter für diese Daten, und der Auftragsbearbeiter löscht sie, wenn der Grunddienst der Türsprechanlage eingestellt wird.

Die Aufbewahrungspflichten des Verantwortlichen bleiben seine eigenen. Mietverträge, Abrechnungen und Belege seiner Liegenschaften sind seine Buchungsbelege nach Art. 958f OR: Er muss sie zehn Jahre aufbewahren, und er muss sie innerhalb dieser 90 Tage mitnehmen. Danach hat der Auftragsbearbeiter sie nicht mehr.

AnhängeAnhänge zum DPA

Anhang 1. Bearbeitungen und Aufbewahrungsfristen

Fristen, die der Code des Auftragsbearbeiters zum Zeitpunkt dieser Fassung anwendet, sofern nichts anderes vermerkt ist. Keine dieser Fristen beruht auf einer eigenen gesetzlichen Pflicht, ausser bei den Buchungsbelegen.

Anhang 2. Weitere Auftragsbearbeiter

a. Nötig für das vernetzte Gebäude

b. Verwaltungsplattform, falls abonniert

Die Suche in den hinterlegten Dokumenten erfolgt auf den Schweizer Servern: Kein Dokument verlässt sie, um indexiert zu werden.

c. Optionale Integrationen, nur wenn der Verantwortliche oder der Bewohner sie aktiviert

Diese Dienste erhalten nichts, solange niemand das zugehörige Konto angebunden hat. Ist ein Konto angebunden, werden seine Zugangsdaten an den Dienst übermittelt, damit er antworten kann. Alle sind zu bereinigen, bevor sie in einem neuen Gebäude angeboten werden.

d. Einmalige und nicht aktivierte Dienste

e. Empfänger, die keine weiteren Auftragsbearbeiter sind

• Das System des Verantwortlichen selbst. Bindet der Verantwortliche seine eigene Software an Neolia an, gehen die Nachrichten der Bewohnerinnen und Bewohner sowie die Links zu ihren Schadenfotos an die von ihm hinterlegte Adresse. Das Zielland ist das von ihm gewählte, und er steht dafür ein.
• Das Mailkonto und der Kalender des Verantwortlichen. Wenn der Verantwortliche sein Mailkonto oder seinen Kalender verbindet (Microsoft 365, Google, iCloud, Yahoo, Infomaniak oder ein anderer Anbieter), ruft Neolia seine E-Mails und Termine bei diesem Anbieter ab und versendet sie dort. Er hat ihn gewählt und hat mit ihm einen eigenen Vertrag. Um den richtigen Server zu finden, fragt Neolia mit dem Domainnamen der Adresse allein auch zwei öffentliche Namensauflösungsdienste (Cloudflare und Google) und die Konfigurationsdatenbank von Mozilla Thunderbird ab: Sie erhalten weder die vollständige Adresse noch einen Inhalt.
• Öffentliche Schweizer Register. Das Bundesamt für Statistik (GWR), swisstopo und Zefix erhalten die bei einer Suche eingegebene Adresse oder Firma. Schweiz.
• esm.sh. Programmbibliothek, die von einigen Funktionen zur Laufzeit geladen wird. Erhält keine Personendaten.

Diese Seite trägt die aktuelle Fassung der Liste. Jede Ergänzung oder Ablösung wird dem Verantwortlichen mit der Frist von 30 Tagen nach Artikel 7 mitgeteilt.

Anhang 3. Technische und organisatorische Massnahmen

Stand gemäss Code und Konfiguration am 16. September 2026, durch Dokumentenanalyse. Einzelheiten in der Sicherheitscharta.

• Verschlüsselung bei der Übertragung: Apps, Plattform und Websites laufen über HTTPS; die Nachrichten der Geräte laufen über TLS. Der Wandbildschirm im Browser verschlüsselt Audio und Video. Die Signalisierung der Anrufe und ihre Audio- und Videoströme zwischen der mobilen App und den Servern sind bis heute nicht verschlüsselt.
• Verschlüsselung im Ruhezustand: Die Festplatten der Betriebsserver sind nicht verschlüsselt. Die in der Schweiz gehostete Datenbank wird nach Angaben ihres Betreibers von diesem verschlüsselt; der Auftragsbearbeiter hat diese Angaben nicht geprüft.
• Sicherungen: täglich, verschlüsselt mit einem Schlüssel, dessen privater Teil nicht auf den Servern liegt, aufbewahrt als 14 bis 30 Kopien und höchstens 90 Tage. Sie bleiben auf der Maschine, die sie schützen, im selben Rechenzentrum: bis heute keine Kopie ausser Haus. Die Bilder verpasster Anrufe werden nicht gesichert.
• Serverzugang: nur über Schlüssel, Passwortanmeldung abgeschaltet, zwei unabhängige Firewalls, Kontrolle stündlich wiederholt.
• Zugriffsverwaltung: geringste Rechte, Protokollierung, Prüfung der zugelassenen Schlüssel, Prüfprotokoll ausserhalb der Datenbank geführt, die es erzeugt.
• Überwachung: Einbruchserkennung alle fünf Minuten, stündliche Prüfung des Sicherheitszustands und überprüfte Reparatur.
• Tests: laufende Abhängigkeitsscans und automatische Prüfungen. Bis heute kein externer Penetrationstest und kein externes technisches Audit.
• Fortführung: Wir nennen kein beziffertes Wiederherstellungsziel, solange keine Wiederherstellungsübung es belegt hat.