Datenverarbeitungsvertrag (DVV)
Gemäss Art. 28 DSGVO / Art. 9 revDSG · Stand: Juli 2026
§ 1 Vertragsparteien
(nachfolgend «Auftraggeber»)
Sitz: Blegistrasse 11A, 6340 Baar, Schweiz
Kontakt: [email protected]
(nachfolgend «Auftragnehmer» / «Bilanzo»)
§ 2 Gegenstand und Dauer
Dieser Vertrag regelt die Rechte und Pflichten bei der Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Nutzung der Software Bilanzo. Er gilt ab Vertragsschluss für die gesamte Dauer der Nutzung und endet automatisch mit Vertragsbeendigung.
§ 3 Art, Zweck und Umfang der Verarbeitung
| Merkmal | Beschreibung |
|---|---|
| Art der Verarbeitung | Erhebung, Speicherung, Übermittlung, Löschung |
| Zweck | Lizenzvalidierung, Software-Update-Prüfung, technischer Support |
| Betroffene Personen | Nutzer der Bilanzo-Applikation (Mitarbeitende des Auftraggebers) |
| Datenkategorien | Lizenzschlüssel, pseudonymes Gerätekennzeichen (Fingerabdruck-Hash), Softwareversion, Zeitstempel sowie drei Nutzungszähler: Anzahl verarbeiteter Belege, Anzahl Mandanten, Anzahl Bankabgleiche. Eine E-Mail-Adresse wird auf diesem Weg nicht übermittelt. |
| Speicherort | Server in Gossau SG, Schweiz (MediaVault) und Cloudflare-CDN |
| Nicht verarbeitet | Buchhaltungsdaten, Belege, Bankverbindungen, Finanzdaten (bleiben ausschliesslich lokal auf dem Gerät des Auftraggebers) |
§ 4 Pflichten des Auftragnehmers
4.1 Weisungsgebundenheit
Der Auftragnehmer verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Ist der Auftragnehmer der Ansicht, eine Weisung verstosse gegen geltendes Datenschutzrecht, informiert er den Auftraggeber unverzüglich.
4.2 Vertraulichkeit
Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung befugten Personen einer angemessenen Vertraulichkeitspflicht unterliegen.
4.3 Technische und organisatorische Massnahmen (TOMs)
- Verschlüsselung: TLS 1.2+ für alle Datenübertragungen; Datenbank-Verschlüsselung at rest
- Zugriffskontrolle: Rollenbasierter Zugriff, MFA für alle Systeme mit Personendaten
- Pseudonymisierung: Installations-IDs sind technische Kennzeichen ohne direkten Personenbezug
- Verfügbarkeit: Tägliche Backups, automatische Failover-Konfiguration
- Belastbarkeit: Cloudflare-Schutz (DDoS, WAF), regelmässige Sicherheitsaudits
- Überprüfbarkeit: Audit-Logs für alle Datenzugriffe
4.4 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäss Art. 32 bis 36 DSGVO (Sicherheit, Meldepflichten, DSFA, Vorabkonsultation) sowie bei der Beantwortung von Betroffenenanfragen.
4.5 Löschung und Rückgabe
Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragnehmer alle personenbezogenen Daten zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Anfrage schriftlich bestätigt.
§ 5 Unterauftragnehmer
Der Auftragnehmer setzt folgende Unterauftragnehmer ein:
| Anbieter | Leistung | Standort | Grundlage |
|---|---|---|---|
| Cloudflare, Inc. | CDN, DDoS-Schutz, DNS | USA | Swiss-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln |
| MediaVault, Gossau SG | Server-Hosting, Datenbanken, Sicherungen | Schweiz | keine Bekanntgabe ins Ausland |
bexio ist kein Unterauftragsbearbeiter von uns. Ist die bexio-Integration aktiv, verbindet sich Bilanzo Local direkt vom Gerät des Auftraggebers mit bexio. Wir stehen nicht dazwischen und erhalten diese Daten nicht. Dasselbe gilt für ePost, Amnis und die Abfragen bei Behörden.
Die vollständige und laufend nachgeführte Liste unserer Unterauftragsbearbeiter steht in der Datenschutzerklärung. Die vorstehende Tabelle nennt jene, die an der hier geregelten Verarbeitung beteiligt sind.
Änderungen am Unterauftragnehmer-Einsatz werden dem Auftraggeber rechtzeitig mitgeteilt. Der Auftraggeber kann berechtigte Einwände schriftlich erheben.
§ 6 Betroffenenrechte
Der Auftragnehmer unterstützt den Auftraggeber bei der Bearbeitung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch). Anfragen sind zu richten an: [email protected]
§ 7 Meldepflichten
Der Auftragnehmer meldet Datenschutzverletzungen unverzüglich im Sinne von Art. 33 Abs. 2 DSGVO, vertraglich spätestens aber innerhalb von 24 Stunden nach Bekanntwerden an den Auftraggeber. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und -mengen, voraussichtliche Folgen sowie ergriffene oder vorgeschlagene Massnahmen.
§ 8 Auditrecht
Der Auftraggeber ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen: durch Einholung von Nachweisen, Fragebögen oder Vor-Ort-Prüfungen mit angemessener Vorankündigung (mind. 14 Tage). Der Auftragnehmer stellt alle erforderlichen Informationen zur Verfügung.
§ 9 Haftung
Jede Partei haftet für Schäden, die sie durch Verstösse gegen diesen Vertrag verursacht. Im Aussenverhältnis gegenüber betroffenen Personen gelten die Regelungen von Art. 82 DSGVO. Die Haftung des Auftragnehmers ist auf die im Hauptvertrag vereinbarte Vergütung begrenzt, soweit nicht zwingendes Recht entgegensteht.
§ 10 Schlussbestimmungen
- Anwendbares Recht: Schweizerisches Recht (revDSG) mit subsidiärer Anwendung der DSGVO für EU-Kunden
- Gerichtsstand: Baar (ZG), Schweiz
- Vorrang: Bei Widersprüchen zwischen diesem DVV und dem Hauptvertrag hat der DVV Vorrang
- Schriftform: Änderungen bedürfen der Schriftform
§ 11 Unterzeichnung
Durch die Nutzung der Bilanzo-Software akzeptiert der Auftraggeber diesen Vertrag elektronisch. Auf Wunsch wird eine unterzeichnete Papierfassung ausgestellt.
Baar, Schweiz
Ort, Datum: _______________
Version 1.2 · September 2026 · Mediaquotes Jones Schibli · [email protected] · Dieses Dokument kann als PDF heruntergeladen oder per E-Mail als unterzeichnete Fassung angefordert werden.