Auftragsbearbeitungsvereinbarung („ABV“)

1. Gesetzliche Grundlagen und Anwendungsbereich der ABV

• Der Auftragnehmer erbringt für den Auftraggeber Dienstleistungen, die auch die Bearbeitung von Personendaten (Art. 5 a, 5 d DSG) umfassen und eine Auftragsbearbeitung darstellen (Art. 9 DSG). Die nachfolgenden Hinweise gelten auch für Leistungen, bei denen die EU-DSGVO oder andere Datenschutzgesetze Anwendung finden.ʼ
•  Die ABV findet Anwendung auf alle Hauptverträge, die mit dem Auftragnehmer abgeschlossen werden und die eine Bearbeitung von Personendaten («Auftragsdaten») umfassen. Die Bestimmungen dieser ABV ergänzen diejenigen des Hauptvertrages und schränken die Rechte und Pflichten der Parteien hinsichtlich der Erbringung bzw. Inanspruchnahme der Leistungen nicht ein.
• Die ABV regelt die Rollen, Verantwortlichkeiten und Pflichten zwischen dem Auftragnehmer und dem Auftraggeber («Parteien») bei der Auftragsbearbeitung.
• Diese ABV gilt nicht für Bearbeitungen von Personendaten, bei denen der Auftragnehmer als selbständiger Verantwortlicher handelt und die Zwecke der Bearbeitung bestimmt.

2. Gegenstand und Zweck der Auftragsbearbeitung

• Gegenstand und Zweck der Auftragsbearbeitung ist die Erfüllung der vertraglich vereinbarten Leistungen durch den Auftragnehmer für den Auftraggeber. Die Auftragsbearbeitung besteht in der Erhebung, Bearbeitung und dem Zugriff auf Auftragsdaten gemäss den Bestimmungen des
• Die Auftragsbearbeitung gilt für Auftragsdaten, die vom Auftragnehmer im Rahmen des Führens der Buchhaltung inklusive der Lohnbuchhaltung, HR-Administration, Jahresabschluss und finanzielle Berichterstattung, Steueroptimierung bearbeitet werden oder auf die er Zugriff erhält. Die Kategorien der Betroffenen sind abhängig von den übermittelten Auftragsdaten die Kunden, Mitarbeiter, Lieferanten, Geschäftspartner etc. des Auftraggebers.

3. Rollen und Verantwortlichkeiten der Parteien

• Der Auftraggeber hat in Bezug auf die Bearbeitung von Auftragsdaten die Rolle des Verantwort- lichen (Art. 5 j DSG).
• Der Auftragnehmer hat in Bezug auf die Bearbeitung von Auftragsdaten die Rolle des Auftrags- bearbeiters (Art. 5 k DSG).

4. Pflichten des Auftragnehmers

• Er verpflichtet sich, die Auftragsdaten nur zur Erbringung der vertraglich vereinbarten Leistungen und auf der Grundlage dieser ABV zu bearbeiten.
• Weitergehende schriftliche Weisungen wird er nur annehmen, soweit diese nicht gegen offen- sichtliche datenschutzrechtliche Bestimmungen Er kann sie dann ablehnen, wenn sie unzumutbar sind, durch Änderung der vertraglich vereinbarten Leistungen zu Mehrkosten füh- ren oder durch sie gesetzliche oder behördliche Auflagen nicht erfüllt werden können.
• Er verpflichtet sich, angemessene technische und organisatorische Massnahmen (TOM) zu tref- fen, um die Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Bearbeitung von Auftragsdaten zu gewährleisten. Da die TOM dem technischen Fortschritt unterliegen, ist er be- rechtigt, alternative und adäquate Massnahmen umzusetzen, sofern das Sicherheitsniveau der hier festgelegten Massnahmen nicht unterschritten Die TOM sind in der Beilage 1 detailliert aufgeführt.
• Er verpflichtet sich, unverzüglich schriftlich zu informieren, wenn ihm eine Verletzung der Daten- sicherheit bekannt wird, die Auftragsdaten betrifft. Er wird unverzüglich die erforderlichen Mass- nahmen treffen, um den Schutz der Auftragsdaten sicherzustellen und darüber Dar- über hinaus verpflichtet er sich auf schriftliche Anforderung die erforderlichen Informationen zur Verfügung zu stellen, damit etwaige Melde- und Dokumentationspflichten im Zusammenhang mit der Datensicherheitsverletzung nachgekommen werden kann.
• Er unterstützt auf schriftliche Anforderung und gegen angemessene zusätzliche Vergütung bei der Erfüllung von Betroffenenrechten und Datenschutz-Folgeabschätzungen in Bezug auf die
• Wendet sich ein Betroffener mit seinen Betroffenenrechten direkt an uns, wird er unverzüglich an den Auftraggeber verweisen.
• Er stellt sicher, dass die bei Ihm mit der Auftragsbearbeitung befassten Personen die Daten- schutzgrundsätze einhalten, und verpflichtet sie zur Vertraulichkeit, auch über die Dauer ihrer Tätigkeit hinaus.
• Er wird die Auftragsdaten nach den Vorgaben des Einzel- oder des Hauptvertrages zurückgeben oder löschen.

5. Nachweise und Überprüfungen des Auftragnehmers

• Er stellt dem Auftraggeber auf schriftliches Verlangen Informationen zur Verfügung, um die Ein- haltung dieser ABV nachzuweisen.
• Er wird dem Auftraggeber oder einem von diesem beauftragten Auditor mit einer Vorankündi- gungsfrist von 15 Tagen, unter Wahrung der Verhältnismässigkeit und nach vorheriger Zusiche- rung der Vertraulichkeit gestatten, die Einhaltung dieser ABV auf Kosten des Auftraggebers zu überprüfen. Werden bei der Überprüfung relevante Abweichungen festgestellt, hat er diese un- verzüglich und unentgeltlich zu beseitigen.

6. Datenübermittlung ins Ausland

 Die Datenbearbeitungen erfolgen primär am Standort des Auftragnehmers in der Schweiz. Durch die Zusammenarbeit mit Sub-Auftragsbearbeitern oder Mitarbeitenden im Nearshoring können Daten auch von diesen und auch ausserhalb der Schweiz bearbeitet werden. Werden Datenbearbeitungen im Ausland durchgeführt, so erfolgt dies auf der Grundlage des Angemessenheitsbeschlusses gemäss Anhang zur Datenschutzverordnung (DSV), auf der Grundlage der vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) genehmigten Standarddatenschutzklauseln (EU-SCC) oder auf der Grundlage verbindlicher interner Datenschutzvorschriften.

7. Einsatz von Sub-Auftragsbearbeitern 

• Der Auftragnehmer ist grundsätzlich berechtigt, im Sinne der allgemeinen Genehmigung (Art. 7 DSV) Sub-Auftragsbearbeiter zur Erfüllung seiner Verpflichtungen Von der Sub- Auftragsbearbeitung zu unterscheiden sind Fälle, in denen der Auftraggeber einen direkten Ver- trag mit dem Drittdienstleister abschliesst.
• Die gegenwärtig vom Auftragsbearbeiter eingesetzten Sub-Auftragsbearbeiter sind in Beilage 2 aufgeführt.
• Der Auftragnehmer informiert den Auftraggeber vorab über Änderungen bei den Sub-Auftragsbe- arbeitern und räumt ihm das Recht ein, aus berechtigten Gründen innerhalb von 30 Tagen schrift- lich zu Im Falle eines Widerspruchs ist die Vertragserfüllung möglicherweise nicht mehr im bisherigen Umfang möglich ist. Können sich die Parteien nicht innerhalb von 30 Tagen einigen, kann die betroffene Leistung ausserordentlich gekündigt werden, sofern der Auftragge- ber nachweist, dass der Widerspruch datenschutzrechtlich notwendig ist.

Beilage 1 – Technisch organisatorische Mass nahmen

Gemäss Art. 8 des DSG (respektive Art. 28 EU-DSGVO) werden im Rahmen der Auf- tragsbearbeitung dem Risiko angemessene technische und organisatorische Massnah- men (TOM) ergriffen, um Verletzungen der Datensicherheit zu vermeiden. Die Massnah- men orientieren sich an den vom Bundesrat erlassenen Mindestanforderungen an die Datensicherheit aus der Art. 1-3 der Datenschutzverordnung (DSV) vom 31. August 2022.

Die Daten werden ihrem Schutzbedarf entsprechend:

• nur Berechtigten zugänglich gemacht (Vertraulichkeit),
• sind verfügbar, wenn sie benötigt werden (Verfügbarkeit),
• sollen nicht unberechtigt oder unbeabsichtigt verändert werden (Integrität),
• und müssen nachvollziehbar bearbeitet werden (Nachvollziehbarkeit).

Für Personendaten, die auf für die Auftragsbearbeitung relevanten Systemen des Auf- tragnehmers gespeichert sind, werden folgende Massnahmen dokumentiert und tech- nisch umgesetzt.

1. Zugriffskontrolle

Zur Gewährleistung der Verfügbarkeit und Integrität haben Auftraggeber und Auftrag- nehmer geeignete Massnahmen zu treffen, damit berechtigte Personen nur Zugriff auf diejenigen Personendaten erhalten, die sie zur Erfüllung ihrer Aufgaben benötigen (Zu- griffskontrolle – DSV Art. 3, 1a).

2. Zugangskontrolle

Zur Gewährleistung der Verfügbarkeit und Integrität haben Auftraggeber und Auftrag- nehmer geeignete Massnahmen zu treffen, damit nur berechtigte Personen Zutritt zu den Räumlichkeiten und Einrichtungen haben, in denen Personendaten bearbeitet wer- den (Zugangskontrolle – DSV Art. 3, 1b).

3. Benutzerkontrolle

Zur Sicherstellung der Verfügbarkeit und Integrität haben Auftraggeber und Auftragneh- mer durch geeignete Massnahmen zu verhindern, dass Unbefugte automatisierte Da- tenbearbeitungssysteme mittels Einrichtungen zur Datenübertragung benutzen können (Benutzerkontrolle – DSV Art. 3, 1c).

4. Datenträgerkontrolle

Zur Gewährleistung der Verfügbarkeit und Integrität haben Auftraggeber und Auftragnehmer geeignete Massnahmen zu treffen, damit Datenträger nicht unbefugt gelesen, kopiert, verändert, verschoben, gelöscht oder vernichtet werden können (Datenträger- kontrolle – DSV Art. 3, 2a).

5.  Speicherkontrolle 

Um die Verfügbarkeit und Integrität zu gewährleisten, müssen der Auftraggeber und der Auftragnehmer geeignete Massnahmen treffen, um zu verhindern, dass unbefugte Per- sonen Personendaten im Speicher ablegen, lesen, verändern, löschen oder vernichten können (Speicherkontrolle – DSV Art. 3, 2b).

6. Transportkontrolle 

Zur Sicherstellung der Verfügbarkeit und Integrität haben der Auftraggeber und der Auf- tragnehmer geeignete Massnahmen zu treffen, damit bei der Bekanntgabe von Perso- nendaten oder beim Transport von Datenträgern Personendaten nicht unbefugt gelesen, kopiert, verändert, gelöscht oder vernichtet werden können (Transportkontrolle – DSV Art. 3, 2c).

7. Wiederherstellung 

Zur Gewährleistung der Verfügbarkeit und Integrität haben Auftraggeber und Auftrag- nehmer geeignete Massnahmen zu treffen, damit bei einem physischen oder techni- schen Zwischenfall die Verfügbarkeit der Personendaten und der Zugriff auf diese rasch wiederhergestellt werden können (Wiederherstellung – DSV Art. 3, 2d), alle Funktionen des automatisierten Datenbearbeitungssystems zur Verfügung stehen (Verfügbarkeit), Störungen gemeldet werden (Zuverlässigkeit) und gespeicherte Personendaten durch Fehlfunktionen des Systems nicht beschädigt werden können (Datenintegrität – DSV Art. 3, 2e).

8. Systemsicherheit

Zur Gewährleistung der Verfügbarkeit und Integrität haben Auftraggeber und Auftrag- nehmer durch geeignete Massnahmen dafür zu sorgen, dass Betriebssysteme und An- wendungssoftware stets auf dem aktuellen Sicherheitsstand gehalten und bekannte kri- tische Schwachstellen geschlossen werden (Systemsicherheit – DSG Art. 3, 2f).

9. Eingabekontrolle

Zur Gewährleistung der Nachvollziehbarkeit müssen Auftraggeber und Auftragnehmer geeignete Massnahmen treffen, damit nachvollzogen werden kann, welche Personen- daten zu welcher Zeit und von welcher Person in das automatisierte Datenverarbeitungs- system eingegeben oder verändert worden sind (Eingabekontrolle – DSG Art. 3, 3a).

10. Bekanntgabekontrolle

Zur Sicherstellung der Nachvollziehbarkeit haben der Auftraggeber und der Auftragneh- mer geeignete Massnahmen zu treffen, damit überprüft werden kann, wem Personen- daten mittels Einrichtungen zur Datenübertragung bekannt gegeben werden (Bekannt- gabekontrolle – DSG Art. 3, 3b).

11. Erkennung und Beseitigung

 Um die Nachvollziehbarkeit zu gewährleisten, müssen der Auftraggeber und der Auf- tragnehmer geeignete Massnahmen treffen, damit Verletzungen der Datensicherheit rasch erkannt (Erkennung) und Massnahmen zur Minderung oder Beseitigung der Fol- gen ergriffen werden können (Beseitigung – DSG Art. 3, 3c).

Beilage 2: Sub-Auftragsbearbeiter

Die Liste der genehmigten Sub-Auftragsbearbeiter ist nachstehend aufgeführt.

Die aktuelle Fassung der Beilage 2 zur Auftragsbearbeitungsvereinbarung findet sich jeweils auf der Webseite der Alpinum Accounting.

Es wird soweit möglich über die Länder der Datenbearbeitung informiert. Soweit möglich sind die Länder angegeben, in denen die Daten bearbeitet werden. Für weitere Informationen über die Datenbearbeitung durch die Unterauftragnehmer wird auf deren Datenschutzerklärung verwiesen, die über die Websites zugänglich sind.