Auftragsbearbeitungsvertrag (AVV)

1. Gegenstand und Geltung

Dieser Vertrag ergänzt die AGB und regelt die Bearbeitung von Personendaten durch die Goldbrunnen Business Solutions GmbH, Industriestrasse 66, 8112 Otelfingen, Schweiz (nachfolgend «Auftragsbearbeiterin») im Auftrag der Kundin (nachfolgend «Verantwortliche») nach Art. 9 des Schweizer Datenschutzgesetzes (revDSG). Soweit die DSGVO anwendbar ist, gilt er zugleich als Vertrag nach Art. 28 DSGVO.

Er gilt mit der Annahme der AGB als abgeschlossen und läuft, solange die Verantwortliche die Plattform nutzt.

Er gilt für Treuhandbüros, die Mandate ihrer Kundschaft führen. Führt ein Unternehmen ausschliesslich seine eigene Buchhaltung, bearbeitet die Auftragsbearbeiterin dessen Daten ebenfalls in seinem Auftrag; dieser Vertrag gilt dann sinngemäss.

2. Art, Umfang und Zweck der Bearbeitung

Zweck ist der Betrieb einer Buchhaltungsplattform: Speichern und Anzeigen von Buchungen und Belegen, automatische Belegerkennung und Kontierungsvorschläge, Bankabgleich, Fakturierung, MwSt-Abrechnung, Jahresabschluss, Auswertungen sowie Versand von Benachrichtigungen und Dokumenten.

Bearbeitet wird ausschliesslich, was zur Erbringung dieser Leistungen nötig ist. Eine Nutzung für eigene Zwecke der Auftragsbearbeiterin — insbesondere zum Training von KI-Modellen — findet nicht statt.

3. Kategorien betroffener Personen und Daten

Betroffene Personen: Mitarbeitende und Organe der Verantwortlichen und ihrer Mandate, deren Kundschaft und Lieferanten, sowie weitere auf Belegen genannte Personen.

Datenkategorien: Kontakt- und Identifikationsdaten, Vertrags- und Rechnungsdaten, Bankverbindungen und Zahlungsdaten, Buchungs- und Belegdaten sowie — soweit die Verantwortliche solche erfasst — Lohn- und Sozialversicherungsdaten.

Besonders schützenswerte Personendaten werden nicht gezielt erhoben. Sie können jedoch in hochgeladenen Belegen enthalten sein; die Verantwortliche entscheidet, was sie hochlädt.

4. Weisungsbindung

Die Auftragsbearbeiterin bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung der Verantwortlichen. Als Weisung gelten die Nutzung der Plattform gemäss ihrem Funktionsumfang sowie die Einstellungen, die die Verantwortliche darin vornimmt.

Hält die Auftragsbearbeiterin eine Weisung für rechtswidrig, teilt sie dies mit und darf ihre Ausführung aussetzen.

Eine Bearbeitung ausserhalb der Weisung erfolgt nur, wenn das Recht sie dazu verpflichtet; in diesem Fall informiert sie vorgängig, soweit zulässig.

5. Vertraulichkeit

Die Auftragsbearbeiterin verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit — auch über das Ende ihrer Tätigkeit hinaus. Der Zugang wird auf das für die jeweilige Aufgabe Notwendige beschränkt.

6. Sicherheitsmassnahmen

Verschlüsselung: Übertragung ausschliesslich über TLS. Passwörter werden gehasht. SMTP-Zugangsdaten und Cloud-Zugriffstoken werden zusätzlich mit AES-256-GCM verschlüsselt gespeichert.

Zugriffssteuerung: Trennung nach Firma und Mandat, serverseitig bei jeder Anfrage geprüft; rollenbasierte Berechtigungen; Sperre nach mehreren Fehlanmeldungen; Zwei-Faktor-Anmeldung verfügbar; kurzlebige Zugriffstoken mit Rotation.

Nachvollziehbarkeit: fortlaufender, verketteter Prüfpfad über buchhalterisch relevante Vorgänge — nachträgliche Änderungen werden erkennbar.

Verfügbarkeit: tägliche Sicherung mit 30 Tagen Aufbewahrung; dokumentiertes Wiederherstellungsverfahren. Prüfung hochgeladener Dateien auf Schadsoftware.

Die Massnahmen werden dem Stand der Technik angepasst. Eine Änderung darf das Schutzniveau nicht senken.

7. Unterauftragsbearbeiter

Die Verantwortliche genehmigt den Beizug folgender Unterauftragsbearbeiter:

Infomaniak Network SA, Schweiz — Hosting, Datenbank, Sicherungen. Standort Schweiz.

Anthropic PBC, Vereinigte Staaten — Belegerkennung, sofern von der Verantwortlichen gewählt. Moonshot AI, Volksrepublik China — Belegerkennung, sofern gewählt. Zhipu AI / Z.ai, Volksrepublik China — Belegerkennung, sofern gewählt.

Google Ireland Ltd. bzw. Microsoft Ireland Operations Ltd. — nur bei ausdrücklich verbundener Cloud-Belegquelle, mit ausschliesslich lesendem Zugriff auf den gewählten Ordner.

Der jeweils verwendete Anbieter für die Belegerkennung wird von der Verantwortlichen in den Einstellungen selbst bestimmt. Wird keiner gewählt, findet keine automatische Belegerkennung statt.

Weitere oder andere Unterauftragsbearbeiter teilt die Auftragsbearbeiterin mindestens 30 Tage im Voraus mit. Die Verantwortliche kann aus wichtigem Grund widersprechen und den Vertrag auf den Zeitpunkt der Änderung kündigen.

8. Bekanntgabe ins Ausland

Die Vereinigten Staaten und die Volksrepublik China verfügen aus schweizerischer Sicht über keinen angemessenen Datenschutz. Erfolgt eine Bekanntgabe dorthin, stützt sie sich auf Standardvertragsklauseln oder auf die ausdrückliche Auswahl des Anbieters durch die Verantwortliche.

Die Verantwortliche entscheidet selbst, ob sie die automatische Belegerkennung nutzt. Ohne sie verlassen Belegdaten die Schweiz nicht.

9. Unterstützung der Verantwortlichen

Die Auftragsbearbeiterin unterstützt die Verantwortliche bei der Beantwortung von Auskunfts-, Berichtigungs-, Löschungs- und Herausgabebegehren betroffener Personen, soweit diese die Plattform betreffen.

Wendet sich eine betroffene Person direkt an die Auftragsbearbeiterin, leitet sie das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht selbst.

Sie unterstützt zudem bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen.

10. Verletzung der Datensicherheit

Wird eine Verletzung der Datensicherheit festgestellt, informiert die Auftragsbearbeiterin die Verantwortliche unverzüglich, spätestens innert 48 Stunden nach Kenntnis.

Die Meldung nennt Art und Zeitpunkt des Vorfalls, betroffene Datenkategorien, wahrscheinliche Folgen und die getroffenen oder vorgeschlagenen Massnahmen. Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt der Verantwortlichen.

11. Rückgabe und Löschung

Nach Vertragsende stehen die Daten 60 Tage zum Export bereit (Journal als CSV und DATEV, Berichte als PDF, Belege als Datei).

Danach werden sie innert 30 Tagen aus den produktiven Systemen gelöscht; Sicherungskopien laufen innerhalb von weiteren 30 Tagen aus.

Vorbehalten bleiben gesetzliche Aufbewahrungspflichten, insbesondere die zehnjährige Frist für Buchhaltungsunterlagen (Art. 958f OR, GeBüV). In diesem Umfang werden Daten gesperrt statt gelöscht und nur zur Erfüllung dieser Pflichten bearbeitet.

12. Nachweise und Kontrolle

Die Auftragsbearbeiterin weist die Einhaltung dieses Vertrags auf Anfrage nach — durch Auskunft, Dokumentation der Massnahmen oder verfügbare Berichte.

Die Verantwortliche kann nach angemessener Vorankündigung eine Überprüfung vor Ort verlangen. Sie erfolgt zu den üblichen Geschäftszeiten, ohne den Betrieb erheblich zu stören, und der Aufwand wird nach Aufwand vergütet.

13. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit die Bearbeitung von Personendaten betroffen ist.

Es gilt schweizerisches Recht; Gerichtsstand ist der Sitz der Auftragsbearbeiterin. Kontakt: hallo@swissbooks.ai