Datenschutz

7. Datenschutz

7.1Jede Partei handelt als unabhängige Verantwortliche in Bezug auf Personendaten, die sie zu eigenen Zwecken bearbeitet. Soweit TransActum Personendaten ausschliesslich im Auftrag und nach Weisung des Kunden bearbeitet (z. B. wenn der Kunde Mitarbeiter- oder Aktionärsdaten für die TEOS-Eingabe bereitstellt), handelt TransActum als Auftragsbearbeiterin und es wird ein Auftragsbearbeitungsvertrag (DPA) als Anhang zum Mandatsvertrag abgeschlossen.

7.2TransActum bearbeitet Personendaten zu folgenden Zwecken: (a) Erbringung der Dienstleistungen; (b) Betrieb und Verbesserung von TEOS (vorbehaltlich der Anonymisierungspflicht gemäss Ziffer 6.4); (c) Rechnungsstellung und Vertragsverwaltung; (d) Erfüllung gesetzlicher und regulatorischer Pflichten; und (e) Qualitätssicherung und interne Schulung.

7.3TransActum stützt die Bearbeitung von Personendaten auf folgende Rechtsgrundlagen: (a) Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO, soweit anwendbar); (b) berechtigte Interessen von TransActum (Art. 6 Abs. 1 lit. f DSGVO, soweit anwendbar), namentlich der Betrieb von TEOS, die Prozessverbesserung und die Betrugsprävention; und (c) ausdrückliche Einwilligung für jede Bearbeitung, die ein Profiling mit hohem Risiko nach Art. 5 lit. g DSG darstellt.

7.4Personendaten werden auf gesicherten Schweizer Servern gespeichert. Übermittlungen von Personendaten ins Ausland erfolgen nur in Länder mit einem vom Schweizer Bundesrat anerkannten angemessenen Schutzniveau oder vorbehaltlich geeigneter Garantien (vom EDÖB genehmigte Standardvertragsklauseln oder gleichwertige Massnahmen).

7.5Soweit TransActum für die Bearbeitung von Personendaten KI-Werkzeuge oder Cloud-Dienstleister von Dritten einsetzt, stellt sie sicher, dass diese Anbieter durch vertragliche Auftragsbearbeitungsverträge gebunden sind, die: (a) die Nutzung von Kundendaten für das Modelltraining ohne ausdrückliche Einwilligung untersagen; (b) die Datenhaltung in der Schweiz oder im EWR zusichern; und (c) angemessene technische und organisatorische Sicherheitsmassnahmen umsetzen.

7.6Betroffene Personen, deren Personendaten von TransActum im Zusammenhang mit den Dienstleistungen bearbeitet werden, haben nach dem DSG folgende Rechte: Auskunftsrecht (Art. 25 DSG); Recht auf Berichtigung; Recht auf Löschung (im Rahmen der gesetzlichen Grenzen); Recht auf Einschränkung der Bearbeitung; Recht auf Widerspruch gegen die Bearbeitung; und das Recht, eine Überprüfung automatisierter Einzelentscheidungen durch einen Menschen zu verlangen (Art. 21 DSG). Anfragen können an privacy@transactum.ch gerichtet werden.

7.7Bringt eine Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich, führt TransActum eine Datenschutz-Folgenabschätzung (DSFA) gemäss Art. 22 DSG durch. Ergibt die DSFA ein verbleibendes hohes Risiko, das nicht gemindert werden kann, konsultiert TransActum den EDÖB, bevor sie mit dieser Bearbeitung beginnt.

7.8Kundendaten werden nur so lange aufbewahrt, wie es zur Erbringung der Dienstleistungen, zur Erfüllung gesetzlicher Pflichten, zur Beweissicherung bei Streitigkeiten oder zur Führung von Betriebsaufzeichnungen erforderlich ist. Sofern gesetzlich nicht anders vorgeschrieben, werden Kundendaten spätestens zehn (10) Jahre nach Beendigung des Mandats gelöscht oder anonymisiert.

8. Automatisierte Bearbeitung und Künstliche Intelligenz

8.1TEOS wendet auf Kundendaten eine Automatisierte Bearbeitung an, um: (a) die Nachfolgebereitschaft des Kunden anhand der zehn orthogonalen Bereitschaftsdimensionen zu bewerten (ODRL, SAFRL, GLSRL, MORL, PKTRL, FTCRL, MBVRL, PCSRL, IDRL, OTTRL); (b) Lücken zwischen dem Ist-Zustand und dem Ziel-Bereitschaftsprofil zu identifizieren; (c) priorisierte Ausführungsschritte, Aufgabenzuteilungen und Zeitpläne mittels Constraint-Propagation-Logik zu erzeugen; (d) Interdependenzen und Risiken über die Bereitschaftsdimensionen hinweg zu erkennen; (e) den Fortschritt zu überwachen und das Scoring dynamisch zu aktualisieren, wenn sich die Bedingungen ändern; und (f) im Laufe der Zeit die Genauigkeit von TEOS durch Mustererkennung über anonymisierte Falldaten zu verbessern.

8.2Im Rahmen der Automatisierten Bearbeitung kann TEOS Profile zum Unternehmen des Kunden, zur Entscheidungsbereitschaft seines Inhabers, zur organisatorischen Reife und zur Nachfolgebereitschaft erstellen. Solche Profile werden ausschliesslich zu den in Ziffer 8.1 genannten Zwecken verwendet und unterliegen den Vertraulichkeitspflichten von Abschnitt 10 der AGB.

8.3Das von TEOS durchgeführte Profiling stellt kein Profiling mit hohem Risiko im Sinne von Art. 5 lit. g DSG dar, sofern es sich auf organisatorische und geschäftliche Merkmale beschränkt und keine systematische Bearbeitung besonders schützenswerter Personendaten (im Sinne von Art. 5 lit. c DSG) ohne ausdrückliche Einwilligung umfasst. Erfordert ein bestimmtes Mandat eine Bearbeitung, die ein Profiling mit hohem Risiko darstellen würde, informiert TransActum den Kunden und holt vor Beginn einer solchen Bearbeitung die ausdrückliche Einwilligung ein.

8.4TEOS-Ergebnisse (einschliesslich Bereitschafts-Scores, Lückenanalysen, Ausführungs-Roadmaps und Aufgabenlisten) sind analytische Werkzeuge zur Unterstützung menschlicher Entscheidungen. Sie stellen keine automatisierten Einzelentscheidungen im Sinne von Art. 21 DSG dar, die Rechtswirkungen entfalten oder den Kunden in ähnlicher Weise erheblich beeinträchtigen. Alle TEOS-Ergebnisse werden von qualifiziertem TransActum-Personal überprüft, bevor sie dem Kunden oder Dritten Stakeholdern mitgeteilt werden.

8.5TransActum trifft keine Entscheidungen, die verbindliche Rechtswirkungen für den Kunden entfalten, allein auf der Grundlage einer automatisierten Bearbeitung ohne menschliche Überprüfung. Erzeugt TEOS Ergebnisse, die eine Empfehlung mit Auswirkungen auf die rechtliche oder finanzielle Lage des Kunden wesentlich beeinflussen, überprüft eine qualifizierte Fachperson von TransActum das Ergebnis vor seiner Mitteilung.

8.6Auf schriftliche Anfrage stellt TransActum dem Kunden angemessene Informationen über die auf seine Daten angewandten Kategorien der Automatisierten Bearbeitung sowie über die allgemeinen Grundsätze des TEOS-Scorings und der Priorisierung bereit. Nichts in dieser Ziffer verpflichtet zur Offenlegung proprietärer Algorithmen, des Quellcodes, von Modellparametern, Gewichtungsmethoden, Prompts, Geschäftsgeheimnissen, geistigem Eigentum oder vertraulichem Know-how.

8.7Der Kunde anerkennt, dass TEOS-Ergebnisse auf Grundlage der von ihm bereitgestellten Informationen erzeugt werden und von deren Qualität abhängen. TransActum gewährleistet nicht, dass TEOS-Ergebnisse fehlerfrei sind oder dass über TEOS gesteuerte Nachfolgeprozesse bestimmte Resultate erzielen. TEOS-Ergebnisse können Ungenauigkeiten, Auslassungen, Annahmen, Korrelationen, Empfehlungen oder prädiktive Einschätzungen enthalten, die durch Automatisierte Bearbeitung erzeugt wurden. Solche Ergebnisse dienen ausschliesslich als Entscheidungshilfe und sind vor der Umsetzung unabhängig zu beurteilen.

8.8TransActum führt ein Inventar aller bei der Erbringung der Dienstleistungen eingesetzten KI-Systeme, klassifiziert diese nach Risikograd und weist die Verantwortung für deren Governance zu. Dieses Inventar kann auf angemessene schriftliche Anfrage eingesehen werden.

9. Aufzeichnung und Speicherung von Kommunikation

9.1TransActum kann mündliche und elektronische Kommunikation (einschliesslich Telefonanrufe, Videokonferenzen, Online-Meetings und schriftliche Korrespondenz) zwischen TransActum und dem Kunden sowie zwischen TransActum und Dritten Stakeholdern, die im Zusammenhang mit den Dienstleistungen geführt wird, aufzeichnen («Kommunikation»).

9.2Aufzeichnungen erfolgen zu folgenden Zwecken: (a) Qualitätssicherung und Prozessverbesserung; (b) Schulung des TransActum-Personals; (c) Dokumentation von Weisungen, Entscheidungen, Genehmigungen und Vereinbarungen; (d) Beweissicherung bei Streitigkeiten; und (e) Erfüllung regulatorischer oder gesetzlicher Pflichten.

9.3Vor der Aufzeichnung einer Kommunikation informiert TransActum alle Teilnehmer darüber, dass die Kommunikation aufgezeichnet wird oder wurde. Die fortgesetzte Teilnahme nach einem solchen Hinweis gilt als Einwilligung in die Aufzeichnung. Willigt ein Teilnehmer nicht in die Aufzeichnung ein, bietet TransActum alternative Dokumentationsmethoden an (z. B. schriftliches Protokoll).

9.4Der Kunde bestätigt in seinem eigenen Namen und im Namen seiner an Kommunikation mit TransActum teilnehmenden bevollmächtigten Vertreter, dass: (a) er über die Aufzeichnung von Kommunikation zu den in Ziffer 9.2 genannten Zwecken informiert wurde und darin einwilligt; und (b) er sein eigenes Personal und Dritte Stakeholder über diese Aufzeichnungspraxis informiert, bevor er sie in Kommunikation mit TransActum einbezieht.

9.5Aufzeichnungen und zugehörige Metadaten werden während eines Mindestzeitraums von zehn (10) Jahren ab dem Datum der Kommunikation auf gesicherten Schweizer Servern gespeichert. Für hängige Gerichtsverfahren oder regulatorische Untersuchungen erforderliche Aufzeichnungen werden bis zur endgültigen Erledigung aufbewahrt. Alle übrigen Aufzeichnungen werden nach Ablauf der jeweiligen Aufbewahrungsfrist sicher gelöscht oder unwiderruflich anonymisiert.

9.6Der Zugriff auf Aufzeichnungen ist auf TransActum-Personal mit nachweisbarem betrieblichem Bedarf beschränkt. Aufzeichnungen werden nicht an Dritte weitergegeben, ausser: (a) an Subunternehmer, die durch gleichwertige Vertraulichkeitspflichten gebunden sind; (b) soweit dies durch anwendbares Recht oder eine verbindliche Anordnung einer zuständigen Behörde verlangt wird; oder (c) mit ausdrücklicher Zustimmung des Kunden.

9.7Aufzeichnungen und deren Inhalt stellen Vertrauliche Informationen dar, soweit sie Informationen enthalten, die als solche im Sinne von Abschnitt 10 der AGB qualifizieren.

Ihre Rechte und Kontakt

Betroffene Personen können ihre Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch ausüben und eine Überprüfung automatisierter Einzelentscheidungen durch einen Menschen verlangen (Art. 21 DSG), indem sie an privacy@transactum.ch schreiben.

Die vollständigen vertraglichen Bedingungen für unsere Dienstleistungen finden Sie in unseren Allgemeinen Geschäftsbedingungen.