Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (nachfolgend «AVV») ergänzt die Nutzungsbedingungen zwischen dem Kunden (nachfolgend «Auftraggeber») und der Saldio Systems GmbH, Blattenackerweg 15, 4226 Breitenbach, Schweiz (nachfolgend «Auftragnehmer»). Er regelt die Verarbeitung personenbezogener Daten gemäss Art. 28 DSGVO und Art. 9 revDSG.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet im Rahmen der Nutzung des Saldio-Dienstes personenbezogene Daten, die der Auftraggeber einbringt oder die im Auftrag des Auftraggebers entstehen. Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Art der verarbeiteten Daten:

• Stammdaten (Name, E-Mail-Adresse, Berufsbezeichnung) von Mitarbeitenden und Kontaktpersonen des Auftraggebers;
• Transaktions- und Bewegungsdaten, die im Rahmen der Dienstnutzung entstehen;
• Inhalte hochgeladener Belege und Dokumente (z. B. Lieferantenrechnungen, Quittungen, Zahlungsbelege) samt der darin enthaltenen Angaben zu Dritten;
• Zugriffsprotokoll- und Nutzungsdaten;
• Inhalte von Supportanfragen, die Nutzer des Auftraggebers über die Applikation stellen, samt beigefügter Bildschirmfotos;
• Nachweisdaten zur Zustimmung zu den Rechtsdokumenten (E-Mail-Adresse, Firmenname, Zeitpunkt, IP-Adresse, Browserkennung).

Kategorien betroffener Personen:

• Mitarbeitende und Nutzerkonten des Auftraggebers;
• Kontakte und Geschäftspartner des Auftraggebers, soweit deren Daten in den Dienst eingebracht werden;
• Personen, deren Daten auf den vom Auftraggeber eingebrachten Belegen und Dokumenten erscheinen.

Zweck: Erbringung des Saldio-Dienstes gemäss Nutzungsbedingungen.

3. Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Der Auftraggeber erteilt seine Weisungen primär durch die Konfiguration und Nutzung des Dienstes. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, bedürfen der Schriftform und können zusätzliche Kosten verursachen.

4. Vertraulichkeit

Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit. Der Auftragnehmer stellt sicher, dass nur Personen Zugang zu den Daten des Auftraggebers erhalten, die dies für die Aufgabenerfüllung benötigen.

5. Technische und organisatorische Massnahmen (TOMs)

Der Auftragnehmer hat angemessene technische und organisatorische Massnahmen gemäss Art. 32 DSGVO implementiert. Dazu gehören insbesondere:

• Verschlüsselung der Daten während der Übertragung (TLS) und im Ruhezustand;
• Zugriffskontrolle und Berechtigungsmanagement;
• regelmässige Datensicherungen;
• Protokollierung sicherheitsrelevanter Ereignisse;
• Verfahren zur regelmässigen Überprüfung und Bewertung der TOMs.

Eine aktuelle Übersicht der TOMs kann beim Auftragnehmer angefordert werden.

6. Unterauftragnehmer

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, Unterauftragnehmer einzusetzen. Der Auftragnehmer verpflichtet Unterauftragnehmer vertraglich zu gleichwertigen Datenschutzverpflichtungen. Über wesentliche Änderungen beim Einsatz von Unterauftragnehmern informiert der Auftragnehmer den Auftraggeber vorab, sodass dieser Einwände erheben kann.

Bei Inkrafttreten dieses AVV sind folgende Kategorien von Unterauftragnehmern im Einsatz:

Namen und Sitz der einzelnen Unterauftragnehmer nennt der Auftragnehmer auf Anfrage an info@saldio.ch; dieselbe Auskunft erhält der Auftraggeber mit der Vorabinformation nach Abs. 1.

An den Kartendienst übermittelt der Auftragnehmer beim Speichern eines Kontakts ausschliesslich dessen Adresse (Strasse, Hausnummer, Postleitzahl, Ort, Land) — ohne Namen und ohne weitere Angaben zum Kontakt. Nutzt der Auftraggeber die Adresssuche mit einem eigenen Zugang zu einem Verzeichnisdienst, übermittelt der Auftragnehmer den von ihm eingegebenen Suchbegriff an diesen Dienst.

KI-gestützte Belegerkennung. Im Beleg-Import kann der Auftraggeber hochgeladene Belege automatisiert auslesen lassen. Der Auftragnehmer setzt dafür ein Gateway zu Sprachmodellen ein (Unterauftragnehmer gemäss Tabelle). Es gilt:

• Die Stufe läuft ausschliesslich für Belege, die der Auftraggeber im Beleg-Import aktiv zur Erkennung startet. Das blosse Hochladen einer Datei löst keine Übermittlung aus.
• Maschinell exakte Quellen haben Vorrang: enthält der Beleg eine Factur-X-XML oder einen Swiss QR-Code, wird ein Modell nur für die dadurch nicht abgedeckten Angaben aufgerufen.
• Übermittelt wird die Belegdatei selbst. Bei PDF-Dateien mit Textebene sind es höchstens zwölf Seiten (bei längeren Belegen die ersten und die letzten), bei PDF-Dateien ohne Textebene höchstens vier; Bilddateien werden vollständig übermittelt. Reicht das Ergebnis nicht aus, wird derselbe Beleg einem zweiten Modell vorgelegt.
• Für die Kontierung übermittelt der Auftragnehmer zusätzlich, jedoch ohne den Beleg selbst: die Bezeichnungen der Rechnungspositionen, den Namen des Lieferanten sowie Nummern und Bezeichnungen der bebuchbaren Aufwandskonten des Auftraggebers. Beträge, Belegnummern, Kontostände, IBAN und Kontaktdaten werden dabei nicht übermittelt.
• Nicht übermittelt werden in beiden Fällen eine Kennung des Mandanten oder des handelnden Benutzers sowie der ursprüngliche Dateiname. Der Empfänger kann eine Anfrage weder einem Mandanten noch einer Person zuordnen.
• Der Auftragnehmer gibt bei jedem Aufruf technisch vor, dass die übermittelten Daten über die Beantwortung hinaus nicht gespeichert und nicht zum Training von Modellen verwendet werden.
• Weder die Anfrage noch die Antwort des Modells werden protokolliert. Gespeichert werden das ausgelesene Ergebnis im Beleg-Entwurf (Ziff. 10 und Datenschutzerklärung, Ziff. «Speicherung und Löschung») sowie Zähler zu Verbrauch und Korrekturquote ohne Feldinhalte.
• Ein Ergebnis wird nie ungeprüft gebucht: es befüllt einen Entwurf, den eine Person des Auftraggebers prüft und freigibt. Eine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO bzw. Art. 21 revDSG findet nicht statt.
• Der Auftraggeber kann dieser Verarbeitung jederzeit formlos widersprechen (info@saldio.ch); der Auftragnehmer deaktiviert die Stufe diesfalls für dessen Mandanten.

KI-gestützte Voranalyse von Supportanfragen. Supportanfragen, die Nutzer des Auftraggebers über das Formular in der Applikation stellen, lässt der Auftragnehmer vor der Bearbeitung maschinell voranalysieren. Er setzt dafür dasselbe Gateway zu Sprachmodellen ein (Unterauftragnehmer gemäss Tabelle). Es gilt:

• Übermittelt werden Betreff und Text der Anfrage, die gewählte Kategorie, der Bereich und die Seite der Applikation, aus der die Anfrage stammt, die Sprache sowie die beigefügten Bildschirmfotos. Was die anfragende Person in den Text schreibt oder auf den Bildschirmfotos zeigt, wird mitübermittelt, einschliesslich allfälliger Angaben zu Dritten.
• Zusätzlich übermittelt der Auftragnehmer Auszüge aus seiner eigenen Produktdokumentation und aus allgemeinen Rechtsgrundlagen. Diese Auszüge enthalten keine Daten des Auftraggebers oder anderer Kunden.
• Nicht übermittelt werden Name und E-Mail-Adresse der anfragenden Person, eine Kennung des Mandanten oder des Benutzers sowie Stammdaten, Buchungen oder Belege des Auftraggebers.
• Der Auftragnehmer gibt bei jedem Aufruf technisch vor, dass die übermittelten Daten über die Beantwortung hinaus nicht gespeichert und nicht zum Training von Modellen verwendet werden.
• Die Anfrage an das Modell wird nicht protokolliert. Gespeichert werden die Ergebnisse (Einordnung der Anfrage, Hinweise auf Dokumentation und Regeln, Antwortentwurf) zusammen mit der Supportanfrage; sie werden mit dem Mandanten gelöscht.
• Ein Antwortentwurf wird nie automatisch versendet: eine Person des Auftragnehmers prüft, bearbeitet und gibt ihn frei. Eine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO bzw. Art. 21 revDSG findet nicht statt.
• Die Voranalyse ist Teil des Support-Prozesses des Auftragnehmers und lässt sich nicht für einzelne Mandanten abschalten. Anfragen, die per E-Mail an info@saldio.ch gerichtet werden, durchlaufen die Voranalyse nicht.

Die Übermittlung an das Gateway und die Modellanbieter erfolgt in Drittstaaten; es gilt Ziff. 12.

7. Rechte betroffener Personen

Erhält der Auftragnehmer Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), leitet er diese unverzüglich an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung solcher Anfragen, soweit dies mit den ihm zur Verfügung stehenden Mitteln möglich ist.

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäss Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Datenpannen und der Durchführung von Datenschutz-Folgenabschätzungen, soweit solche den Dienst betreffen.

9. Meldung von Datenpannen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens aber innerhalb von 72 Stunden nach Bekanntwerden, soweit dieser Vorfall personenbezogene Daten des Auftraggebers betrifft.

10. Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers oder gibt sie auf Verlangen zurück, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Auftraggeber kann vor Vertragsende einen Datenexport über die Kontoeinstellungen anfordern.

Dasselbe gilt für Konten, deren kostenlose Testphase ohne Abschluss eines Abonnements abgelaufen ist: diese werden nach Ablauf der in Ziff. 7.2 der Nutzungsbedingungen genannten Frist (30 Tage nach Ende der Testphase) gelöscht. Die Löschung aus Datensicherungen erfolgt im Rahmen des regulären Backup-Zyklus mit dem turnusmässigen Überschreiben der Sicherungen. Gesetzlich vorgeschriebene Protokolle bleiben von der Löschung ausgenommen. Nachweise über erteilte Einwilligungen bleiben nur nach Beendigung eines Nutzungsvertrags erhalten; bei Konten mit abgelaufener Testphase werden sie zusammen mit dem Konto gelöscht (vgl. Datenschutzerklärung, Ziff. «Speicherung und Löschung»).

Löschauftrag. Beauftragt der Auftraggeber die Löschung seines Mandanten über die Kontoeinstellungen, gilt dies als Weisung im Sinne von Ziff. 4. Der Vollzug erfolgt 30 Tage nach Auftragserteilung; bis dahin ist der Auftrag widerrufbar (Ziff. 7.4 der Nutzungsbedingungen).

Abschluss-Backup. Fordert der Auftraggeber vor der Löschung ein Abschluss-Backup an, erteilt er damit die ausdrückliche Weisung, seine Daten über das Vertragsende hinaus für die Dauer von 90 Tagen ausschliesslich zum Zweck der Rückgabe an ihn aufzubewahren. Der Auftragnehmer verarbeitet die Daten in dieser Zeit zu keinem anderen Zweck. Der Zugriff erfolgt ausschliesslich über einen personalisierten Download-Link mit einem 256 Bit langen Zufallstoken, das ausserhalb der Zustellung an den Auftraggeber nur als kryptografischer Hash gespeichert wird; die Zugriffe werden gezählt. Nach Ablauf der 90 Tage wird das Abschluss-Backup automatisch gelöscht; der Auftragnehmer hält den Vollzug der Löschung nachweisbar fest. Ohne Anforderung wird kein Abschluss-Backup erstellt.

11. Nachweise und Audits

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten nachzuweisen. Vor-Ort-Audits des Auftraggebers oder eines beauftragten Prüfers sind nach vorheriger schriftlicher Ankündigung und auf Kosten des Auftraggebers möglich; der Auftragnehmer kann stattdessen aktuelle Zertifizierungen (ISO 27001 o. ä.) vorlegen.

12. Internationaler Datentransfer

Soweit personenbezogene Daten in Länder ausserhalb der Schweiz bzw. des Europäischen Wirtschaftsraums (EWR) übermittelt werden, stellt der Auftragnehmer ein angemessenes Schutzniveau durch geeignete Garantien sicher (insbesondere EU-Standardvertragsklauseln oder gleichwertige Massnahmen).

Die Mandantendaten selbst — Datenbank, hochgeladene Belege, Datensicherungen und Protokolle — werden in der Schweiz bearbeitet. Eine Übermittlung in Drittstaaten findet namentlich in zwei Fällen statt: bei den KI-gestützten Funktionen nach Ziff. 6 (Belegerkennung und Voranalyse von Supportanfragen), weil für das eingesetzte Gateway kein auf die Schweiz oder den EWR beschränktes Routing verfügbar ist, sowie bei der Zahlungsabwicklung.

13. Haftung

Die Haftungsbeschränkung gemäss Ziff. 10 der Nutzungsbedingungen gilt – soweit gesetzlich zulässig – auch für Ansprüche aus oder im Zusammenhang mit diesem AVV, einschliesslich des Rückgriffs des Auftraggebers nach Art. 82 Abs. 5 DSGVO.

Im Innenverhältnis trägt jede Partei denjenigen Anteil eines Schadens, der ihrem Verursachungs- und Verschuldensbeitrag entspricht.

Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter frei, die darauf beruhen, dass der Auftraggeber Personendaten ohne hinreichende Rechtsgrundlage in den Dienst eingebracht oder rechtswidrige Weisungen erteilt hat.

Die gesamtschuldnerische Haftung gegenüber betroffenen Personen nach Art. 82 Abs. 4 DSGVO sowie Sanktionen der Aufsichtsbehörden bleiben von den vorstehenden Bestimmungen unberührt; diese wirken ausschliesslich im Verhältnis zwischen den Parteien.

14. Rangverhältnis

Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen gehen die Bestimmungen dieses AVV bezüglich Datenschutz vor. Die Haftungsregelung gemäss Ziff. 10 der Nutzungsbedingungen und Ziff. 13 dieses AVV bleibt davon unberührt.

15. Änderungen dieses AVV

Der Auftragnehmer kann diesen AVV anpassen, wenn sich der Dienst, die eingesetzten Unterauftragnehmer oder die rechtlichen Anforderungen ändern. Eine neue Fassung wird unter saldio.ch/legal/avv veröffentlicht und in der Applikation angekündigt, sobald sie vorliegt; sie tritt frühestens an dem im Kopf dieses Dokuments genannten Datum in Kraft.

Ab dem Inkrafttreten werden die dazu berechtigten Personen des Auftraggebers beim Aufruf der Applikation um ihre Zustimmung gebeten. Erfolgt innert 30 Tagen ab Inkrafttreten kein Widerspruch an info@saldio.ch und nutzt der Auftraggeber den Dienst weiter, gilt die neue Fassung als angenommen. Der Widerspruch berechtigt den Auftraggeber, den Nutzungsvertrag auf den Zeitpunkt des Inkrafttretens zu kündigen.