Datenverarbeitungsvertrag (DVV)
Gemäss Art. 9 revDSG; für Auftraggeber, die der DSGVO unterstehen, zusätzlich Art. 28 DSGVO · Version 1.3 · Stand: 31. Oktober 2026
§ 1 Vertragsparteien
(nachfolgend «Auftraggeber»)
Sitz: Blegistrasse 11A, 6340 Baar, Schweiz
Kontakt: [email protected]
(nachfolgend «Auftragnehmer» / «Bilanzo»)
§ 2 Gegenstand und Dauer
Dieser Vertrag regelt die Rechte und Pflichten bei der Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Nutzung der Software Bilanzo. Er gilt ab Vertragsschluss für die gesamte Dauer der Nutzung und endet automatisch mit Vertragsbeendigung.
§ 3 Art, Zweck und Umfang der Verarbeitung
| Merkmal | Beschreibung |
|---|---|
| Art der Verarbeitung | Erhebung, Speicherung, Übermittlung, Löschung |
| Zweck | Lizenzvalidierung, Software-Update-Prüfung, technischer Support |
| Betroffene Personen | Nutzer der Bilanzo-Applikation (Mitarbeitende des Auftraggebers) |
| Datenkategorien | Lizenzschlüssel, pseudonymes Gerätekennzeichen (Fingerabdruck-Hash), Softwareversion, Zeitstempel sowie drei Nutzungszähler: Anzahl verarbeiteter Belege, Anzahl Mandanten, Anzahl Bankabgleiche. Eine E-Mail-Adresse wird auf diesem Weg nicht übermittelt. |
| Speicherort | Server in Gossau SG, Schweiz (MediaVault), Cloudflare-CDN und Cloudflare R2 (Westeuropa); Supportanfragen bei Atlassian (§ 5) |
| Nicht verarbeitet | Buchhaltungsdaten, Belege, Bankverbindungen, Finanzdaten (bleiben ausschliesslich lokal auf dem Gerät des Auftraggebers, ausser im gebuchten Cloud-Betrieb nach § 3a) |
§ 3a Gebuchter Cloud-Betrieb
Bucht der Auftraggeber über mediavault.ch übergangsweise eine MediaVault-Instanz, gilt zusätzlich:
| Merkmal | Beschreibung |
|---|---|
| Art der Verarbeitung | Speicherung und Bearbeitung auf einer gemieteten Grafikkarte (GPU) |
| Zweck | Betrieb von Bilanzo anstelle des Geräts des Auftraggebers, als Notlösung oder Backup |
| Betroffene Personen | Mitarbeitende, Kundinnen und Kunden, Lieferanten und weitere Geschäftspartner des Auftraggebers |
| Datenkategorien | Alle Daten, die der Auftraggeber in diesem Betrieb verarbeitet, insbesondere Belege, Buchhaltungs- und Bankdaten |
| Speicherort | Rechenzentren in den Staaten, die in § 5 beim Unterauftragnehmer Vast.ai genannt sind |
| Anwendbares Recht | revDSG und DSGVO |
| Dauer | Bis zum Abschluss des Auftrags oder zum Ende der Buchung; danach wird die Instanz beim Anbieter zerstört |
§ 4 Pflichten des Auftragnehmers
4.1 Weisungsgebundenheit
Der Auftragnehmer verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Ist der Auftragnehmer der Ansicht, eine Weisung verstosse gegen geltendes Datenschutzrecht, informiert er den Auftraggeber unverzüglich.
4.2 Vertraulichkeit
Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung befugten Personen einer angemessenen Vertraulichkeitspflicht unterliegen.
4.3 Technische und organisatorische Massnahmen (TOMs)
- Verschlüsselung: TLS 1.2+ für alle Datenübertragungen; Datenbank-Verschlüsselung at rest
- Zugriffskontrolle: Rollenbasierter Zugriff, MFA für alle Systeme mit Personendaten
- Pseudonymisierung: Installations-IDs sind technische Kennzeichen ohne direkten Personenbezug
- Verfügbarkeit: Tägliche Backups, automatische Failover-Konfiguration
- Belastbarkeit: Cloudflare-Schutz (DDoS, WAF), regelmässige Sicherheitsaudits
- Überprüfbarkeit: Audit-Logs für alle Datenzugriffe
4.4 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäss Art. 8 (Datensicherheit), Art. 22 und 23 (Datenschutz-Folgenabschätzung, Konsultation des EDÖB) und Art. 24 revDSG (Meldung von Verletzungen der Datensicherheit), für Auftraggeber, die der DSGVO unterstehen, zusätzlich gemäss Art. 32 bis 36 DSGVO, sowie bei der Beantwortung von Betroffenenanfragen.
4.5 Löschung und Rückgabe
Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragnehmer alle personenbezogenen Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Anfrage schriftlich bestätigt.
§ 5 Unterauftragnehmer
Der Auftragnehmer setzt folgende Unterauftragnehmer ein:
| Anbieter | Leistung | Standort | Grundlage |
|---|---|---|---|
| Cloudflare, Inc. | CDN, DDoS-Schutz, DNS, Objektspeicher R2 (Westeuropa) für Software-Downloads | USA / EU | Cloudflare Data Processing Addendum; Swiss-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln |
| Atlassian Pty Ltd, Sydney | Supportsystem Jira Service Management (Tickets aus Support und Support-Chat) | Rechenzentren von Atlassian bei Amazon Web Services; Bearbeitung auch in Australien und in den USA | Atlassian Data Processing Addendum; EU-Standardvertragsklauseln mit Anpassungen für die Schweiz; Data Privacy Framework für die US-Gesellschaften |
| Vast.ai Inc., Los Angeles, USA | GPU-Rechenleistung für den gebuchten Cloud-Betrieb (§ 3a), über einen Marktplatz von Rechenzentrumsbetreibern | USA (Vertragspartner); Rechenzentren in: Staaten der EU und des EWR, Schweiz, Vereinigtes Königreich, Kanada, Argentinien, Israel, Neuseeland, Uruguay, Andorra, Guernsey, Isle of Man, Jersey, Färöer, Japan und Südkorea | Staaten mit angemessenem Datenschutz nach Anhang 1 der Datenschutzverordnung; für USA, Japan und Südkorea EU-Standardvertragsklauseln nach Angaben von Vast.ai |
| MediaVault, Gossau SG | Server-Hosting, Datenbanken, Sicherungen | Schweiz | keine Bekanntgabe ins Ausland |
bexio ist kein Unterauftragsbearbeiter von uns. Ist die bexio-Integration aktiv, verbindet sich Bilanzo Local direkt vom Gerät des Auftraggebers mit bexio. Wir stehen nicht dazwischen und erhalten diese Daten nicht. Dasselbe gilt für ePost, Amnis und die Abfragen bei Behörden.
Die vollständige und laufend nachgeführte Liste unserer Unterauftragsbearbeiter steht in der Datenschutzerklärung. Die vorstehende Tabelle nennt jene, die an der hier geregelten Verarbeitung beteiligt sind.
Änderungen am Unterauftragnehmer-Einsatz werden dem Auftraggeber rechtzeitig mitgeteilt. Der Auftraggeber kann berechtigte Einwände schriftlich erheben.
§ 6 Betroffenenrechte
Der Auftragnehmer unterstützt den Auftraggeber bei der Bearbeitung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch). Anfragen sind zu richten an: [email protected]
§ 7 Meldepflichten
Der Auftragnehmer meldet dem Auftraggeber Verletzungen der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 revDSG; für Auftraggeber, die der DSGVO unterstehen, unverzüglich im Sinne von Art. 33 Abs. 2 DSGVO), vertraglich spätestens aber innerhalb von 24 Stunden nach Bekanntwerden. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und -mengen, voraussichtliche Folgen sowie ergriffene oder vorgeschlagene Massnahmen.
§ 8 Auditrecht
Der Auftraggeber ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen: durch Einholung von Nachweisen, Fragebögen oder Vor-Ort-Prüfungen mit angemessener Vorankündigung (mind. 14 Tage). Der Auftragnehmer stellt alle erforderlichen Informationen zur Verfügung.
§ 9 Haftung
Jede Partei haftet für Schäden, die sie durch Verstösse gegen diesen Vertrag verursacht. Im Aussenverhältnis gegenüber betroffenen Personen gelten die Rechtsansprüche nach Art. 32 revDSG und das Obligationenrecht, für Auftraggeber, die der DSGVO unterstehen, zusätzlich Art. 82 DSGVO. Die Haftung des Auftragnehmers ist auf die im Hauptvertrag vereinbarte Vergütung begrenzt, soweit nicht zwingendes Recht entgegensteht.
§ 10 Schlussbestimmungen
- Anwendbares Recht: Schweizerisches Recht (revDSG) mit subsidiärer Anwendung der DSGVO für EU-Kunden
- Gerichtsstand: Baar (ZG), Schweiz
- Vorrang: Bei Widersprüchen zwischen diesem DVV und dem Hauptvertrag hat der DVV Vorrang
- Schriftform: Änderungen bedürfen der Schriftform
§ 11 Unterzeichnung
Durch die Nutzung der Bilanzo-Software akzeptiert der Auftraggeber diesen Vertrag elektronisch. Auf Wunsch wird eine unterzeichnete Papierfassung ausgestellt.
Baar, Schweiz
Ort, Datum: _______________
Version 1.3 · 31. Oktober 2026 · Mediaquotes Jones Schibli · [email protected] · Dieses Dokument kann als PDF heruntergeladen oder per E-Mail als unterzeichnete Fassung angefordert werden.
