Dieser Auftragsbearbeitungsvertrag (nachfolgend «AVV») ist Bestandteil der AGB zwischen dem Kunden als Verantwortlichem (nachfolgend «Kunde») und der [fehlt: Firmenname], [fehlt: Strasse und Nr.], [fehlt: PLZ und Ort], als Auftragsbearbeiterin (nachfolgend «Anbieter»). Er regelt die Bearbeitung von Personendaten im Auftrag des Kunden gemäss Art. 9 DSG und, soweit anwendbar, Art. 28 DSGVO.
1. Gegenstand, Dauer, Art und Zweck
Der Anbieter bearbeitet Personendaten ausschliesslich, um dem Kunden die Software Calio bereitzustellen: Speicherung hochgeladener Belege, deren Auswertung (auch mit Hilfe von KI), Erstellung von Buchungsvorschlägen, Übersichten und Entwürfen sowie Support. Der AVV gilt für die Dauer des Vertrags und darüber hinaus, solange der Anbieter Daten des Kunden bearbeitet.
2. Kategorien von Daten und betroffenen Personen
Betroffene Personen: Kunden, Lieferanten, Mitarbeitende, Organe und weitere Geschäftspartner des Kunden sowie die Nutzer seines Kontos.
Datenkategorien: Identifikations- und Kontaktdaten, Vertrags-, Rechnungs- und Zahlungsdaten (inkl. Bankverbindungen), Buchhaltungsdaten, Inhalte von Belegen, Lohn- und Sozialversicherungsdaten. Lohnunterlagen können besonders schützenswerte Personendaten enthalten (z.B. Angaben zur Konfessionszugehörigkeit für die Quellensteuer oder zu Gesundheit bei Absenzen).
3. Weisungen
Der Anbieter bearbeitet die Daten nur nach den dokumentierten Weisungen des Kunden. Als Weisung gelten diese AGB und dieser AVV sowie die Nutzung der Software durch den Kunden. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden. Der Anbieter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen.
4. Vertraulichkeit
Der Anbieter gewährt Zugriff auf die Daten nur Personen, die ihn zur Vertragserfüllung benötigen und zur Vertraulichkeit verpflichtet sind.
5. Technische und organisatorische Massnahmen
Der Anbieter gewährleistet eine dem Risiko angemessene Datensicherheit (Art. 8 DSG), insbesondere:
- verschlüsselte Übertragung aller Zugriffe (HTTPS/TLS);
- logisch getrennter Arbeitsbereich pro Kunde; der Zugriff jeder Anfrage ist technisch auf den Arbeitsbereich des angemeldeten Kunden beschränkt;
- KI-Auswertungen einzelner Belege und Fragen an den Assistenten als einzelne Anfragen an den KI-Anbieter, die jeweils nur Daten dieses Kunden enthalten; gebündelte Auswertungen werden beim KI-Anbieter gelöscht, sobald ihre Ergebnisse übernommen sind; mehrstufige Aufgaben (z.B. Monatsabschluss) in einer pro Auftrag neu erstellten, abgeschotteten Container-Umgebung, die nur den Arbeitsbereich dieses Kunden enthält; reine Leseabfragen erhalten nur Lesezugriff;
- Passwörter ausschliesslich als gesalzene scrypt-Hashwerte; Sitzungs- und E-Mail-Link-Kennungen nur als Hashwerte gespeichert; Begrenzung von Anmeldeversuchen; Schutz vor Anfragen fremder Websites;
- keine Ausführung von Zahlungen oder Einreichungen an Dritte durch die Software;
- Protokollierung von Änderungen und Rückgängig-Funktion; Löschung hochgeladener Belege über die Anwendung ist ausgeschlossen;
- regelmässige Datensicherungen mit einer Aufbewahrung von höchstens 30 Tagen.
Der Anbieter kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
6. Unterauftragsbearbeiter
Der Kunde genehmigt den Beizug der folgenden Unterauftragsbearbeiter:
- Infomaniak Network SA (Schweiz) — Hosting und Datenspeicherung;
- Infomaniak Network SA (Schweiz) — Versand von System-E-Mails ohne Beleg- oder Buchhaltungsdaten;
- Anthropic PBC, San Francisco, USA — KI-Auswertung; Bekanntgabe ins Ausland gestützt auf: [fehlt: Garantie für die Bekanntgabe ins Ausland (KI)].
Der Anbieter informiert den Kunden mindestens 30 Tage im Voraus über den Beizug oder Wechsel eines Unterauftragsbearbeiters. Der Kunde kann aus wichtigem Grund widersprechen und den Vertrag in diesem Fall auf den Zeitpunkt des Wechsels kündigen. Der Anbieter verpflichtet Unterauftragsbearbeiter auf gleichwertige Datenschutzpflichten.
7. Unterstützung des Kunden
Der Anbieter unterstützt den Kunden im zumutbaren Rahmen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe), bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden. Erreicht eine Anfrage einer betroffenen Person den Anbieter, leitet er sie an den Kunden weiter.
8. Verletzungen der Datensicherheit
Der Anbieter meldet dem Kunden eine Verletzung der Datensicherheit, die dessen Daten betrifft, so rasch als möglich, mit den ihm bekannten Angaben zu Art, Umfang, Folgen und ergriffenen Massnahmen, damit der Kunde seine Meldepflicht (Art. 24 DSG, Art. 33 DSGVO) erfüllen kann.
9. Rückgabe und Löschung
Nach Vertragsende gibt der Anbieter die Daten auf Verlangen, das innerhalb von 30 Tagen gestellt wird, in einem gängigen Format heraus und löscht sie anschliessend, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Datensicherungen werden spätestens nach 30 Tagen überschrieben.
10. Nachweise und Kontrollen
Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV nötig sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung, während der Geschäftszeiten und ohne Beeinträchtigung anderer Kunden möglich; die Kosten trägt der Kunde, sofern keine Verletzung festgestellt wird.
11. Schlussbestimmungen
Für die Haftung gelten die Bestimmungen der AGB. Bei Widersprüchen zwischen AGB und AVV geht dieser AVV in Fragen des Datenschutzes vor. Es gelten schweizerisches Recht und der Gerichtsstand gemäss AGB.
Stand: 15. September 2026 · Version 2026-09-15.1