Deine Inhalte,
bearbeitet in deinem Auftrag.

Dieser Vertrag wird geschlossen zwischen:

• dem Nutzer, der ein Erabox-Konto erstellt und darin Inhalte einfügt (im Folgenden „Nutzer“ oder „Eigentümer“), als Verantwortlicher für die Inhalte der Kapseln und die Daten der Begünstigten;
• Erabox SA, Via delle Fornaci 6 — 6826 Riva San Vitale (TI), Schweiz (im Folgenden „Erabox“), als Auftragsbearbeiter.

In Erwägung, dass:

1. der Nutzer den Dienst Erabox nutzt, geregelt durch Allgemeine Nutzungsbedingungen (im Folgenden „AGB“), um Inhalte in Kapseln aufzubewahren und sie den von ihm benannten Begünstigten beim Eintritt der von ihm gewählten Ereignisse zuzustellen, auch nach seinem Tod;
2. Erabox bei der Erbringung des Dienstes im Auftrag des Nutzers die Inhalte der Kapseln und die Daten der Begünstigten bearbeitet. Die Bearbeitungen, die Erabox für eigene Zwecke als Verantwortlicher durchführt (Konto, Zahlungen, Sicherheit, Prüfung des Ereignisses, das die Zustellung auslöst, Daten der Vertrauenspersonen, Identitätsprüfung und elektronische Signatur), sind beschrieben in der Datenschutzerklärung und nicht Gegenstand dieses Vertrags sind;
3. die Bearbeitung durch den Nutzer, wenn er Inhalte ausschließlich zu persönlichen oder familiären Zwecken einfügt, unter die Ausnahme von Art. 2 Abs. 2 lit. c der Verordnung (EU) 2016/679 (im Folgenden „DSGVO“) und Art. 2 Abs. 2 lit. a des Bundesgesetzes über den Datenschutz (im Folgenden „nDSG“) fällt. In diesem Fall gilt dieser Vertrag als vertragliche Regelung des Dienstes, und Erabox verpflichtet sich trotzdem, seine Klauseln einzuhalten.

1.1 Die Präambel ist integraler und wesentlicher Bestandteil dieses Vertrags.

1.2 Mit der Annahme dieses Vertrags beauftragt der Nutzer Erabox als Auftragsbearbeiter im Sinne von Art. 28 DSGVO und Art. 9 nDSG mit den in Art. 2 beschriebenen Bearbeitungen, und Erabox nimmt die Beauftragung an.

1.3 Dieser Vertrag ergänzt die AGB. Bei Widersprüchen zwischen den beiden Dokumenten geht in Bezug auf die Bearbeitung von Personendaten dieser Vertrag vor.

3.1 Dokumentierte Weisungen des Nutzers im Sinne von Art. 28 Abs. 3 lit. a DSGVO sind: (i) die Einstellungen jeder Kapsel (Inhalte, Begünstigte, Zustellereignis, Datum, Inaktivitätszeitraum, Art der Information der begünstigten Person); (ii) die AGB; (iii) dieser Vertrag. Der Nutzer kann die Weisungen bis zur Zustellung in der App ändern.

3.2 Erabox bearbeitet die Daten nur auf dokumentierte Weisung des Nutzers, es sei denn, das Recht der Union, eines Mitgliedstaats oder der Schweiz verlangt dies; in diesem Fall teilt Erabox dem Nutzer diese Pflicht vor der Bearbeitung mit, sofern das Gesetz dies nicht verbietet.

3.3 Erabox informiert den Nutzer unverzüglich, wenn eine Weisung seiner Ansicht nach gegen die DSGVO, das nDSG oder andere Datenschutzvorschriften verstößt.

3.4 Weisungen, die nach dem Tod des Nutzers auszuführen sind. Die Zustellweisungen bleiben nach dem Tod des Nutzers wirksam. Aufgrund der Art des Auftrags, der gerade darin besteht, die Inhalte beim Eintritt des Todes zuzustellen, erlischt der Auftrag nicht mit dem Tod des Auftraggebers (Art. 405 Abs. 1 des Schweizerischen Obligationenrechts). Erabox führt die Weisungen bis zur Zustellung aus, innerhalb der Aufbewahrungsfristen von Art. 10, und ändert sie nicht auf Verlangen Dritter, außer auf behördliche Anordnung oder aufgrund gesetzlicher Pflicht.

3.5 Erabox nutzt die Inhalte der Kapseln und die Daten der Begünstigten weder für eigene Zwecke noch für das Training von Modellen künstlicher Intelligenz.

4.1 Es ist Sache des Nutzers als Verantwortlicher, zu entscheiden, ob und wann die begünstigte Person über die Benennung informiert wird. Der Nutzer wählt für jede begünstigte Person zwischen den beiden in der App vorgesehenen Modi.

4.2 Modus mit Benachrichtigung. Der Nutzer beauftragt Erabox, der begünstigten Person in seinem Auftrag innerhalb eines Monats nach der Benennung die Datenschutzhinweise zur Bearbeitung ihrer Daten zu schicken. Die Hinweise verraten den Inhalt der Kapsel nicht.

4.3 Vertraulicher Modus. Der Nutzer beauftragt Erabox, der begünstigten Person die Datenschutzhinweise bei der Zustellung zusammen mit dem Inhalt zu übermitteln. Der Nutzer wählt diesen Modus, wenn eine vorherige Information der begünstigten Person den Zweck der Zustellung gefährden würde, und haftet dafür als Verantwortlicher.

4.4 In beiden Modi hält Erabox die Datenschutzhinweise für Dritte veröffentlicht und ohne Konto zugänglich; sie beschreiben die Bearbeitung der Daten der Begünstigten und der Personen, die in den Inhalten vorkommen.

4.5 Die Vertrauenspersonen werden vom Nutzer benannt, ihre Daten bearbeitet Erabox jedoch als Verantwortlicher zur Prüfung des Ereignisses, das die Zustellung auslöst: Diese Bearbeitung ist nicht Gegenstand dieses Vertrags, und Erabox informiert sie direkt mit der Einladung, die den Link zu den Datenschutzhinweisen für Dritte enthält.

5.1 Erabox gewährleistet, dass sich die zur Bearbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

5.2 Erabox trifft die nach Art. 32 DSGVO und Art. 8 nDSG erforderlichen technischen und organisatorischen Maßnahmen, mit den Mindestanforderungen von Art. 1–5 der Datenschutzverordnung (DSV), darunter: Verschlüsselung der Inhalte bei der Speicherung mit AES-256 und bei der Übertragung mit TLS 1.3; Zugriff des Personals auf die Systeme nur für berechtigte Personen, für Wartung, Sicherheit und Support; Protokollierung der Datenoperationen und Zugriffe, mit Aufbewahrung der Protokolle für 12 Monate getrennt von den Produktivsystemen (Art. 4 DSV); Zwei-Faktor-Authentifizierung, die dem Nutzer zur Verfügung steht.

5.3 Die Gesundheitsdaten in Kapseln mit Patientenverfügungen werden in der Schweiz oder in der Europäischen Union gespeichert.

6.1 Der Nutzer erteilt Erabox die allgemeine Genehmigung, Unterauftragsbearbeiter beizuziehen (Art. 28 Abs. 2 DSGVO; Art. 9 Abs. 3 nDSG). Diejenigen, die zum Datum dieses Vertrags die Inhalte der Kapseln oder die Daten der Begünstigten bearbeiten, sind in Anhang 1 aufgeführt; die vollständige Liste der Dienstleister von Erabox steht in Abschnitt 05 der Datenschutzerklärung.

6.2 Erabox teilt dem Nutzer per E-Mail oder mit einem Hinweis in der App die Hinzuziehung oder Ersetzung eines Unterauftragsbearbeiters mindestens 30 Tage vor Beginn der Bearbeitung mit. Innerhalb derselben Frist kann der Nutzer aus berechtigten Gründen widersprechen und, wenn dem Widerspruch nicht stattgegeben wird, ohne Vertragsstrafe zurücktreten, mit Rückerstattung des nicht genutzten Abo-Betrags.

6.3 Erabox erlegt jedem Unterauftragsbearbeiter mit schriftlichem Vertrag Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und haftet gegenüber dem Nutzer für deren Erfüllung (Art. 28 Abs. 4 DSGVO).

7.1 Erabox übermittelt Daten in Drittländer nur unter den Bedingungen von Kapitel V DSGVO und Art. 16 und 17 nDSG: in die Vereinigten Staaten im Rahmen des EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) und des Swiss-U.S. Data Privacy Framework (Anhang 1 DSV); in den anderen Fällen mittels Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder vom EDÖB anerkannter Musterklauseln. Zwischen der Schweiz und der Europäischen Union fließen die Daten auf Grundlage der Entscheidung 2000/518/EG und von Art. 16 Abs. 1 nDSG.

8.1 Erabox unterstützt den Nutzer mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Beantwortung von Anträgen auf Wahrnehmung der Rechte der betroffenen Personen (Art. 15–22 DSGVO; Art. 25–32 nDSG). Die App ermöglicht dem Nutzer, die Inhalte und die Daten der Begünstigten einzusehen, zu ändern, zu exportieren und zu löschen.

8.2 Wendet sich eine betroffene Person wegen Daten an Erabox, die Erabox im Auftrag des Nutzers bearbeitet, leitet Erabox die Anfrage innerhalb von 5 Arbeitstagen an den Nutzer weiter und unterstützt ihn bei der Antwort. Ist der Nutzer verstorben oder antwortet er nicht innerhalb von 15 Tagen, prüft Erabox die Anfrage selbst und gibt ihr im Rahmen des Gesetzes und der erhaltenen Weisungen statt.

8.3 Unberührt bleiben Meldungen rechtswidriger Inhalte nach Art. 16 der Verordnung (EU) 2022/2065, die Erabox gemäß den AGB prüft und den Nutzer über die getroffenen Maßnahmen informiert.

8.4 Erabox unterstützt den Nutzer unter Berücksichtigung der Art der Bearbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.

9.1 Erabox informiert den Nutzer unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, die die Inhalte der Kapseln oder die Daten der Begünstigten betrifft (Art. 33 Abs. 2 DSGVO; Art. 24 Abs. 3 nDSG), und gibt dabei die Art der Verletzung, die Kategorien der betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen an.

9.2 Unberührt bleibt die Pflicht von Erabox, Verletzungen bei Bearbeitungen, für die es Verantwortlicher ist, gemäß der Datenschutzerklärung zu melden.

10.1 Dieser Vertrag gilt für die Dauer des durch die AGB geregelten Vertragsverhältnisses und besteht nach dem Tod des Nutzers bis zur Ausführung der Zustellweisungen fort.

10.2 Vor Beendigung des Vertragsverhältnisses kann der Nutzer seine Inhalte aus der App exportieren (Profil → Datenschutz → Meine Daten exportieren). Nach Ende der Bearbeitung löscht Erabox die Daten nach den folgenden Fristen, sofern das Gesetz keine Aufbewahrung verlangt:

• Abo ohne Verlängerung abgelaufen: 30 Tage Kulanzfrist, dann Nur-Lese-Modus des Kontos für 12 Monate, danach endgültige Löschung;
• Tod des Nutzers von der Vertrauensperson gemeldet oder bestätigt: Bereits geplante Kapseln werden nicht wegen fehlender Verlängerung gelöscht und bleiben bis zur Zustellung bestehen, höchstens 10 Jahre;
• Inhalt zugestellt: verfügbar während der 30-tägigen Gültigkeit des Zustelllinks, danach Löschung innerhalb von 30 Tagen;
• Konto vom Nutzer gelöscht: Löschung nach 30 Tagen.

11.1 Erabox stellt dem Nutzer auf schriftliche Anfrage an privacy@erabox.ch die Informationen zur Verfügung, die nötig sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen, auch durch Dokumentation der Sicherheitsmaßnahmen, Zertifizierungen oder Prüfberichte Dritter.

11.2 Da der Dienst standardisiert einer großen Zahl von Nutzern angeboten wird, werden Inspektionen bei Erabox nach Zeit und Art vereinbart, mit angemessener Vorankündigung, auf Kosten des Nutzers und unter Wahrung der Vertraulichkeit der Daten der anderen Nutzer.

12.1 Der Nutzer haftet für die Rechtmäßigkeit der Inhalte, die er einfügt, und für die Entscheidungen, die er als Verantwortlicher trifft, einschließlich der Wahl der Art der Information der begünstigten Person. Erabox haftet für die Erfüllung der Pflichten, die dieser Vertrag und das Gesetz dem Auftragsbearbeiter auferlegen (Art. 82 Abs. 2 DSGVO).

12.2 Die Haftungsbeschränkungen der AGB gelten nicht bei Vorsatz oder grober Fahrlässigkeit von Erabox und berühren nicht die Rechte, die das Gesetz dem Nutzer als Verbraucher zuerkennt.

12.3 Erabox führt das Verzeichnis der Kategorien von Bearbeitungstätigkeiten, die es im Auftrag der Verantwortlichen durchführt (Art. 30 Abs. 2 DSGVO; Art. 12 nDSG).

13.1 Erabox kann diesen Vertrag in der Art und mit der Vorankündigung ändern, die die AGB vorsehen. Die Änderungen dürfen die Garantien von Art. 28 Abs. 3 DSGVO nicht verringern.

13.2 Dieser Vertrag unterliegt Schweizer Recht; die Anwendung der DSGVO und des nDSG auf die Bearbeitungen und die zwingenden Verbraucherschutzvorschriften des Wohnsitzlandes des Nutzers bleiben vorbehalten. Gerichtsstand ist der in den AGB angegebene.

13.3 Der Nutzer nimmt diesen Vertrag bei der Erstellung des Kontos mit einem eigenen Kästchen an. Die Annahme wird mit Datum, Uhrzeit und Textversion gespeichert. Ohne Annahme kann der Dienst zur Aufbewahrung und Zustellung nicht erbracht werden.