VEREINBARUNG ÜBER DIE AUFTRAGSBEARBEITUNG

ProximA-i LegalTech SA — Juristische und analytische KI-Lösung «SovIA»

Fassung 1.0 — 21. Oktober 2026. Vertragsdokument, einbezogen in den zwischen ProximA-i LegalTech SA (die «Anbieterin») und der Kundin abgeschlossenen Lizenzvertrag.

Übersetzung aus dem Französischen. Massgebend ist die französische Fassung.

Art. 1 Gegenstand und Rollen

  1. Diese Vereinbarung regelt die Bearbeitung der Kundendaten im Sinne der AGB — aller Informationen, welche die Kundin oder ihre Benutzer in der Lösung übermitteln, sowie der generierten Antworten —, welche die Anbieterin im Auftrag der Kundin bearbeitet. Die Pflichten aus dem DSG gelten für die darin enthaltenen Personendaten.
  2. Die Kundin ist Verantwortlicher (Art. 5 Bst. j DSG); die Anbieterin handelt als Auftragsbearbeiter (Art. 5 Bst. k und Art. 9 DSG).
  3. Für ihre eigenen Bearbeitungen (Kontoverwaltung, Rechnungsstellung, Support, Website), namentlich von Daten über die Kundin und ihre Benutzer, handelt die Anbieterin als Verantwortlicher; diese Bearbeitungen sind in der auf ihrer Website veröffentlichten Datenschutzerklärung beschrieben und fallen nicht unter diese Vereinbarung.
  4. Bei Widersprüchen geht der Vertrag dieser Vereinbarung vor, und diese geht den AGB vor.
  5. Die Begriffe «Lösung» und «Benutzer» haben die Bedeutung, die ihnen die AGB beimessen.

Art. 2 Kategorien von Daten und betroffenen Personen

  1. Bearbeitete Daten: Inhalte der Chats (Prompts und Antworten), hochgeladene Dokumente, zur Transkription übermittelte Sprachaufnahmen, technische Metadaten und Zugriffsprotokolle. Die Kundendaten können besonders schützenswerte Personendaten im Sinne von Art. 5 Bst. c DSG umfassen, namentlich Daten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen, über die Gesundheit oder über Ansichten.
  2. Betroffene Personen: die Mitarbeitenden und Hilfspersonen der Kundin, ihre Klienten und Mandanten, ihre Geschäftspartner und Lieferanten sowie die Dritten, die in den übermittelten Dossiers und Dokumenten vorkommen (Gegenparteien, Zeuginnen und Zeugen, Sachverständige und andere genannte Personen). Betroffene Personen im Sinne des DSG sind nur natürliche Personen (Art. 5 Bst. b DSG); Informationen über juristische Personen sind durch die Vertraulichkeitsverpflichtungen des Vertrags geschützt.
  3. Zweck: die Bereitstellung der Funktionen der Lösung (Recherche, Analyse, Übersetzung, Transkription, unterstütztes Verfassen von Texten, Unterstützung bei administrativen Aufgaben) und der technische Support. Jeder andere Zweck ist ausgeschlossen.

Art. 3 Weisungen der Kundin

  1. Die Anbieterin bearbeitet die Kundendaten ausschliesslich auf dokumentierte Weisung der Kundin. Der Vertrag, diese Vereinbarung und die Nutzung der Funktionen der Lösung durch die Benutzer der Kundin bilden die dokumentierten Weisungen.
  2. Jede zusätzliche Weisung wird schriftlich erteilt. Ist die Anbieterin der Ansicht, dass eine Weisung gegen das Datenschutzrecht verstösst, informiert sie die Kundin unverzüglich.

Art. 4 Standort der Bearbeitung

  1. Die Kundendaten werden ausschliesslich in der Schweiz gehostet und bearbeitet, auf einer Infrastruktur, die im Eigentum der Anbieterin steht und ihrer ausschliesslichen Kontrolle untersteht. Diese Ausschliesslichkeit erfasst alle Schritte der Bearbeitung, namentlich Hosting und Backups, Inferenz der KI-Modelle, Berechnung der Vektordarstellungen (Embeddings), Neuordnung der Ergebnisse (Reranking), Vektorsuche, Sprachtranskription und Dokumentenanalyse. Kein Drittanbieter, weder ein Cloud-Dienst noch ein anderer IT-Dienst, bearbeitet die Kundendaten oder hat Zugang zu ihnen, vorbehältlich Art. 9 und der Übermittlungen nach Abs. 2.
  2. Vorbehalten sind einzig die folgenden Übermittlungen:
    1. die Internetsuchen, welche die Lösung durchführt, um ihre Antworten zu ergänzen, ausser bei Deaktivierung auf Verlangen der Kundin (Art. 3 Abs. 3 AGB): Nur die Suchbegriffe werden an öffentliche Suchmaschinen übermittelt, über einen von der Anbieterin betriebenen Zwischenserver, der ihnen nicht offenlegt, wer die Suche durchführt, und die durchgeführten Suchen werden mit der Antwort angezeigt;
    2. die Abfrage der amtlichen Gesetzessammlungen (Fedlex und amtliche Gesetzessammlungen der Kantone), bei der nur die Referenz des abgefragten Gesetzestexts oder Artikels übermittelt wird, zum Beispiel «DSG» oder «Art. 321 StGB», unter Ausschluss jeglicher von der Kundin übermittelter Inhalte;
    3. die aufgrund einer gesetzlichen Pflicht erforderlichen Bekanntgaben, unter den Voraussetzungen von Art. 12 dieser Vereinbarung.
  3. Jede Bekanntgabe von Kundendaten ins Ausland, auch im Fall von Abs. 2 Bst. a, erfolgt unter Einhaltung der Art. 16 und 17 DSG; ausserhalb der in Abs. 2 vorgesehenen Fälle bedarf sie zudem der vorgängigen schriftlichen Zustimmung der Kundin.

Art. 5 Vertraulichkeit seitens der Angestellten

  1. Die Anbieterin stellt sicher, dass jede zur Bearbeitung von Kundendaten berechtigte Person einer schriftlichen, individuellen Geheimhaltungsverpflichtung unterliegt, die über das Ende des Arbeits- oder Auftragsverhältnisses hinaus fortbesteht, und dass sie auf die strafbewehrte berufliche Schweigepflicht nach Art. 62 DSG hingewiesen wird.
  2. Untersteht die Kundin einem durch Art. 321 StGB geschützten Berufsgeheimnis, so handeln die Mitarbeitenden der Anbieterin als Hilfspersonen im Sinne dieser Bestimmung und werden über die strafrechtlichen Folgen einer Verletzung informiert.

Art. 6 Zugriff auf Kundendaten

  1. Die Anbieterin greift weder auf den Inhalt der Chats noch auf die hochgeladenen Dokumente zu, vorbehältlich eines ausdrücklichen Verlangens des betreffenden Benutzers, namentlich zur technischen Unterstützung oder zur Behebung eines Vorfalls, sowie behördlicher Ersuchen, die nach Art. 12 behandelt werden.
  2. Jeder Zugriff ist auf das für den verfolgten Zweck unbedingt Erforderliche beschränkt, nur für namentlich bezeichnete Personen zugelassen und wird protokolliert. Die Liste der Rollen, die zum Zugriff auf Kundendaten berechtigt sind, wird von der Anbieterin laufend nachgeführt und der Kundin auf Verlangen mitgeteilt.

Art. 7 Sicherheit der Bearbeitung

  1. Die Anbieterin trifft die geeigneten technischen und organisatorischen Massnahmen im Sinne von Art. 8 DSG und Art. 1–3 DSV, um die Vertraulichkeit, die Verfügbarkeit, die Integrität und die Nachvollziehbarkeit der Kundendaten zu gewährleisten.
  2. Diese Massnahmen umfassen namentlich: die Verschlüsselung der Daten bei der Übertragung und im Ruhezustand; die Zwei-Faktor-Authentifizierung; die Kontrolle des logischen und physischen Zugangs; die Überwachung der Infrastruktur und die Erkennung von Anomalien; regelmässige Backups; die Sicherheitsaktualisierung der Systeme.
  3. Die Massnahmen werden regelmässig neu beurteilt und an die Entwicklung der Risiken und an den Stand der Technik angepasst.

Art. 8 Protokollierung

  1. Die Anbieterin protokolliert die relevanten Vorgänge an den Kundendaten, einschliesslich der Zugriffe, gemäss Art. 4 DSV.
  2. Die Protokolle werden während mindestens zwölf Monaten getrennt vom Bearbeitungssystem aufbewahrt. Die Auszüge, die die Kundendaten betreffen, werden der Kundin auf Verlangen ausgehändigt.

Art. 9 Unterauftragsbearbeitung

  1. Die Anbieterin zieht für die Bearbeitung der Kundendaten derzeit keinen Unterauftragsbearbeiter bei.
  2. Die Anbieterin darf Unterauftragsbearbeiter nur mit vorgängiger schriftlicher Genehmigung der Kundin beiziehen (Art. 9 Abs. 3 DSG). Sie unterbreitet ihr jedes Vorhaben, einen Unterauftragsbearbeiter hinzuzufügen oder zu ersetzen, mindestens 30 Tage im Voraus schriftlich; wird die Genehmigung nicht erteilt, kann jede Partei den Vertrag zum Zeitpunkt der geplanten Änderung kündigen.

Art. 10 Verletzungen der Datensicherheit

  1. Die Anbieterin meldet der Kundin jede Verletzung der Datensicherheit im Sinne von Art. 5 Bst. h DSG so rasch als möglich, spätestens 72 Stunden nach deren Entdeckung.
  2. Die Meldung enthält mindestens die Art der Verletzung, die Kategorien der betroffenen Daten und Personen, die wahrscheinlichen Folgen der Verletzung sowie die getroffenen oder vorgesehenen Massnahmen.
  3. Die Anbieterin unterstützt die Kundin bei der Erfüllung ihrer Pflichten zur Meldung an den EDÖB (Art. 24 DSG) und zur Information der betroffenen Personen. Sie dokumentiert die Verletzungen und die getroffenen Massnahmen.

Art. 11 Unterstützung der Kundin

  1. Die Anbieterin unterstützt die Kundin in angemessenem Umfang bei der Beantwortung von Begehren betroffener Personen (Art. 25 ff. DSG). Sie leitet jedes direkt an sie gerichtete Begehren unverzüglich an die Kundin weiter, ohne es materiell zu beantworten.
  2. Die Anbieterin stellt der Kundin die Informationen zur Verfügung, die für die Erstellung einer Datenschutz-Folgenabschätzung (Art. 22 DSG) erforderlich sind.

Art. 12 Behördliche Ersuchen

  1. Verlangt eine Behörde von der Anbieterin Zugang zu Kundendaten oder deren Herausgabe, so (i) informiert die Anbieterin die Kundin unverzüglich, sofern dies nicht gesetzlich untersagt ist; (ii) prüft sie die Gültigkeit des Ersuchens und kommt ihm nur so weit nach, als es das Gesetz zwingend verlangt; (iii) weist sie die Behörde auf die anwendbaren geschützten Geheimnisse hin, namentlich wenn die Daten unter Art. 264 Abs. 1 StPO fallen können, sowie darauf, dass die Kundin die berechtigte Person ist; (iv) weist sie die Kundin im Fall der Beschlagnahme von Daten, die unter Art. 264 Abs. 1 StPO fallen, darauf hin, dass sie die Siegelung verlangen kann, entweder selbst als berechtigte Person innert der Frist von drei Tagen, welche ihr die Behörde ansetzen muss (Art. 248 Abs. 2 StPO), oder über die Anbieterin, welche die Siegelung als Inhaberin innert drei Tagen seit der Sicherstellung verlangen muss (Art. 248 Abs. 1 StPO); (v) hält sie sich an den Entscheid der Kundin und verlangt, falls bis zum Ablauf der Frist nach Art. 248 Abs. 1 StPO keine Weisung der Kundin vorliegt, die Siegelung selbst, um die Rechte der Kundin zu wahren; (vi) gibt sie keine Daten von sich aus heraus.
  2. Die Anbieterin unterstützt die Kundin bei der Wahrnehmung ihrer Rechtsbehelfe.

Art. 13 Aufbewahrung, Rückgabe und Vernichtung

  1. Die Kundendaten werden während der Dauer des Vertrags aufbewahrt. Der Benutzer kann seine Chats und Dokumente jederzeit löschen; die Löschung ist endgültig, da die Anbieterin gelöschte Inhalte nicht wiederherstellt, vorbehältlich ihres Vorhandenseins in den Backups bis zum Ablauf der in Abs. 3 vorgesehenen Dauer.
  2. Nach Vertragsende steht der Kundin ein Zeitfenster von 30 Tagen mit Lesezugriff zur Verfügung, um ihre Kundendaten in einem strukturierten und gängigen Format zu exportieren.
  3. Nach Ablauf dieses Zeitfensters vernichtet die Anbieterin sämtliche Kundendaten auf sichere Weise und stellt auf Verlangen eine Vernichtungsbestätigung aus. Kundendaten, die sich in den Backups befinden, werden spätestens mit Ablauf der Aufbewahrungsdauer dieser Backups vernichtet, das heisst 30 Tage nach deren Erstellung.
  4. Vorbehalten bleibt die Aufbewahrung der Buchungsbelege der Anbieterin (Art. 958f OR, zehn Jahre), unter Ausschluss jeglicher in der Lösung übermittelter Kundendaten.
  5. Die Protokolle (Art. 8) werden während der in Art. 8 Abs. 2 vorgesehenen Dauer aufbewahrt und anschliessend vernichtet.

Art. 14 Überprüfung

  1. Auf schriftliches Verlangen der Kundin stellt ihr die Anbieterin die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, namentlich eine Beschreibung der in Art. 7 vorgesehenen Sicherheitsmassnahmen.
  2. Die Anbieterin ist nicht verpflichtet, Informationen mitzuteilen, deren Offenlegung die Sicherheit der Lösung gefährden oder ihre Geschäftsgeheimnisse preisgeben würde.
  3. Jedes Audit und jede Inspektion bedarf der vorgängigen schriftlichen Zustimmung der Anbieterin, welche die Modalitäten festlegt.

Art. 15 Zusicherungen der Kundin

  1. Die Kundin sichert zu, dass sie für sämtliche Kundendaten über einen hinreichenden Rechtfertigungsgrund im Sinne von Art. 31 DSG oder eine andere anwendbare gesetzliche Grundlage verfügt, dass sie ihre Informationspflichten (Art. 19 ff. DSG) erfüllt und dass sie sämtliche Pflichten als Verantwortlicher wahrnimmt.
  2. Die Kundin stellt die Anbieterin von allen Ansprüchen Dritter frei, die sich aus einer Verletzung der Zusicherungen nach diesem Artikel durch die Kundin ergeben.

Art. 16 Schlussbestimmungen

  1. Diese Vereinbarung tritt mit dem Vertrag in Kraft und bleibt in Kraft, solange die Anbieterin Kundendaten bearbeitet.
  2. Die Haftung der Parteien richtet sich nach dem Vertrag und den AGB.
  3. Diese Vereinbarung untersteht schweizerischem Recht. Für alle Streitigkeiten sind ausschliesslich die Gerichte am Sitz der Anbieterin zuständig.