Vertrag zur Auftragsverarbeitung (AVV)

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung und der Betrieb der Software KompassKarma als Cloud-Dienst, einschliesslich Speicherung, Auswertung und Darstellung der vom Kunden eingebrachten oder via Bexio übernommenen Daten. Die Bearbeitung dauert so lange wie das Vertragsverhältnis.

2. Art, Zweck und Umfang der Bearbeitung

• Speicherung und Strukturierung von Kunden-, Rechnungs- und Offertdaten
• Berechnung und Darstellung von Kennzahlen und Entwicklungen
• Bereitstellung von Benutzerkonten, Rollen und Berechtigungen
• Erbringung von Support auf Anfrage der Kundin oder des Kunden
• Erstellung anonymisierter, aggregierter Branchenwerte (nur ab zehn Firmen derselben Branche)

3. Kategorien betroffener Personen und Daten

• Betroffene Personen: Mitarbeitende der Kundin oder des Kunden sowie deren Kund:innen und Kontaktpersonen
• Datenkategorien: Kontakt- und Firmendaten, Rechnungs- und Offertdaten, Umsatz- und Zahlungsangaben, Nutzungs- und Protokolldaten
• Besondere Kategorien von Personendaten sind nicht Gegenstand des Auftrags und sollen nicht eingebracht werden.

4. Weisungsbindung

Die onlineKarma AG bearbeitet Personendaten ausschliesslich auf dokumentierte Weisung der Kundin oder des Kunden. Als Weisung gilt insbesondere die Nutzung der Funktionen der Anwendung. Erscheint eine Weisung rechtswidrig, wird die onlineKarma AG darauf hinweisen und kann die Ausführung aussetzen.

5. Vertraulichkeit

Alle mit der Bearbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet und entsprechend geschult. Ein Zugriff auf Mandanteninhalte erfolgt nur, wenn die Kundin oder der Kunde den Support-Zugriff in den Einstellungen ausdrücklich und zeitlich befristet auf 24 Stunden freigibt, oder wenn eine gesetzliche Pflicht besteht.

6. Technische und organisatorische Massnahmen

• Mandantentrennung mit zeilenbasierten Zugriffsregeln (Row Level Security)
• Rollen- und Berechtigungskonzept je Benutzerin und Benutzer
• Verschlüsselung bei Übertragung (TLS) und Speicherung
• Authentifizierung mit gehashten Passwörtern, Sperrmechanismen und Protokollierung
• Regelmässige Sicherungen und Wiederherstellungstests
• Grundsatz der Datenminimierung und Pseudonymisierung bei Auswertungen
• Protokollierung sicherheitsrelevanter Zugriffe

7. Unterauftragsbearbeiter

Die Kundin oder der Kunde stimmt dem Einsatz folgender Unterauftragsbearbeiter zu. Neue Unterauftragsbearbeiter werden vorgängig mitgeteilt; es besteht ein Widerspruchsrecht aus wichtigem Grund.

• Lovable (Plattform- und Applikationsbetrieb, Auslieferung der Website; Schweden/EU sowie globales Content-Delivery-Netz)
• Supabase (Datenbank, Authentifizierung, Dateispeicher; Betrieb auf Amazon Web Services, Region Irland/EU)
• Amazon Web Services (Rechenzentren, Region Irland/EU)
• E-Mail-Versanddienst für System- und Transaktionsmails
• Lovable KI-Gateway und OpenAI (KI-Sprachmodell) – nur für die optionale KI-Analyse auf Anfrage berechtigter Benutzer; übermittelt wird eine verdichtete Zusammenfassung, keine Einzelbelege; kein Training mit Kundendaten; Verarbeitung ggf. in den USA auf Grundlage der Standardvertragsklauseln
• bexio AG – nur soweit die Kundin oder der Kunde die Schnittstelle aktiviert und Daten abruft

8. Datenstandort und Auslandbekanntgabe

Inhaltsdaten werden in der Europäischen Union (Region Irland) gespeichert. Erfolgt im Rahmen von Betrieb oder Support eine Bearbeitung ausserhalb der Schweiz oder des EWR, stützt sich diese auf geeignete Garantien, insbesondere die Standardvertragsklauseln der EU-Kommission mit Schweizer Ergänzungen.

9. Unterstützung der Verantwortlichen

Die onlineKarma AG unterstützt die Kundin oder den Kunden im angemessenen Rahmen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und der Meldung von Verletzungen der Datensicherheit. Solche Verletzungen werden unverzüglich nach Kenntnis gemeldet, spätestens innerhalb von 48 Stunden.

10. Kontroll- und Auditrechte

Die Kundin oder der Kunde kann die Einhaltung dieses Vertrags überprüfen. Nachweise werden vorrangig in Form von Dokumentationen und Berichten erbracht. Vor-Ort-Prüfungen sind nach vorgängiger Ankündigung und ohne Beeinträchtigung des Betriebs möglich; der Aufwand kann nach Aufwand verrechnet werden.

11. Rückgabe und Löschung

Nach Beendigung des Vertrags kann die Kundin oder der Kunde die Daten während 30 Tagen exportieren. Danach werden die Daten innerhalb von 90 Tagen gelöscht oder anonymisiert, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen des Sicherungszyklus überschrieben.

12. Haftung und anwendbares Recht

Es gelten die Haftungsregelungen der AGB. Anwendbar ist Schweizer Recht; Gerichtsstand ist Basel, soweit nicht zwingende Bestimmungen etwas anderes vorsehen.

Unterzeichnete Fassung

Benötigen Sie eine unterzeichnete Fassung dieses Vertrags für Ihre Compliance-Unterlagen, schreiben Sie an hallo@kompasskarma.ch.