Auftragsbearbeitungsvertrag (AVV)

BexFLOW

Burkhart & Partners AG

BexFLOW · Anhang zu den AGB · Version 1.0 · Stand: 24.08.2026

1. Allgemeines

1.1 Zwischen den Parteien besteht ein Vertragsverhältnis (nachfolgend «Hauptvertrag», bestehend aus den AGB) über die Nutzung der webbasierten Software «BexFLOW» (auch die «Software»), in dessen Rahmen der Anbieter (Burkhart & Partners AG, Wolleraustrasse 11a, 8807 Freienbach, UID CHE-438.000.909, «Auftragsbearbeiter») Personendaten im Auftrag des Kunden («Verantwortlicher») bearbeitet. Dieser Auftragsbearbeitungsvertrag («AVV») gewährleistet bei dieser Bearbeitung einen angemessenen Schutz.

1.2 Soweit nicht abweichend bestimmt, haben die Begriffe die Bedeutung des Schweizer Datenschutzgesetzes («DSG»). Dieser AVV unterstützt die Parteien zudem bei der Einhaltung der EU-Datenschutz-Grundverordnung («DSGVO»), soweit geschützte Personendaten aus dem EU-Raum betroffen sind.

1.3 Nutzt der Verantwortliche BexFLOW für Personendaten seiner/ihrer eigenen Endkunden (z.B. als Treuhänder), handelt er/sie selbst als Auftragsbearbeiter seiner/ihrer Endkunden; der Anbieter ist in diesem Fall Unterauftragsbearbeiter. Der Verantwortliche stellt sicher, dass seine/ihre Verträge mit den Endkunden die Beauftragung des Anbieters decken.

2. Gegenstand und Weisungen

2.1 Gegenstand, Dauer, Art und Zweck der Bearbeitung sowie die Kategorien von Personendaten und betroffenen Personen ergeben sich aus den AGB, der Datenschutzerklärung und Anhang A zu diesem AVV.

2.2 Durch Registrierung, Konfiguration und Nutzung von BexFLOW, insbesondere durch die Autorisierung der bexio-Verbindung, den Upload von Daten und die Freigabe von Buchungen, erteilt der Verantwortliche die Weisung zur Bearbeitung. Weisungen, die in den AGB nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich in Textform nachzuholen.

3. Pflichten des Verantwortlichen

3.1 Der Verantwortliche ist für die Rechtmässigkeit der Datenweitergabe an den Anbieter und der Bearbeitung allein verantwortlich, insbesondere für erforderliche Rechtsgrundlagen und die Information der betroffenen Personen.

3.2 Der Verantwortliche hat sich vergewissert, dass die in Anhang B beschriebenen technischen und organisatorischen Massnahmen für die zu bearbeitenden Daten ein angemessenes Schutzniveau bieten.

3.3 Der Verantwortliche informiert den Anbieter unverzüglich, wenn er/sie in den Arbeitsergebnissen Fehler oder datenschutzrechtliche Unregelmässigkeiten feststellt, und benennt eine Ansprechperson für Datenschutzfragen.

4. Pflichten des Anbieters

4.A Allgemein

4.1 Der Anbieter bearbeitet die Personendaten nur gemäss diesem AVV, den Weisungen des Verantwortlichen und für die vereinbarten Zwecke. Er berücksichtigt Data Protection by Design und by Default, stellt dem Verantwortlichen die zur Kontrolle erforderlichen Informationen zur Verfügung und kooperiert im gesetzlich zulässigen Rahmen mit den Aufsichtsbehörden.

4.2 Der Anbieter informiert den Verantwortlichen, wenn er der Auffassung ist, eine Weisung verstosse gegen datenschutzrechtliche Vorschriften, und kann deren Ausführung bis zur Bestätigung aussetzen.

4.3 Der Anbieter setzt nur zur Vertraulichkeit verpflichtete Personen ein, die zuvor mit den relevanten Datenschutzbestimmungen vertraut gemacht wurden.

4.B Datensicherheit

4.4 Der Anbieter trifft angemessene technische und organisatorische Massnahmen gemäss Anhang B (Art. 8 DSG, Art. 1-3 der Datenschutzverordnung, «DSV»; Art. 32 DSGVO) und überprüft diese periodisch. Änderungen sind zulässig, sofern das Schutzniveau nicht unterschritten wird.

4.5 Werden dem Anbieter Verletzungen des Schutzes von Personendaten bekannt, benachrichtigt er den Verantwortlichen unverzüglich nach Kenntnisnahme, trifft die zumutbaren Sicherungs- und Minderungsmassnahmen, unterstützt den Verantwortlichen bei dessen Meldepflichten und hält die eigenen gesetzlichen Meldepflichten ein (Art. 24 DSG). [Hinweis: Der formelle Incident-Response-Prozess wird derzeit dokumentiert/finalisiert.]

4.6 Der Anbieter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung von Anfragen und Ansprüchen betroffener Personen sowie bei der Einhaltung seiner/ihrer datenschutzrechtlichen Pflichten, einschliesslich allfälliger Datenschutz-Folgenabschätzungen (Art. 22 DSG) und Konsultationen des EDÖB, und kann hierfür eine angemessene Aufwandsentschädigung verlangen.

5. Unterauftragsbearbeiter

5.1 Der Verantwortliche stimmt zu, dass der Anbieter die in Anhang A genannten Unterauftragsbearbeiter beizieht. Diese werden im erforderlichen Umfang auf gleichwertige Datenschutz- und Sicherheitspflichten verpflichtet.

5.2 Vor Hinzuziehung weiterer Unterauftragsbearbeiter informiert der Anbieter den Verantwortlichen mindestens 14 Tage im Voraus (z.B. durch Aktualisierung der Liste in Anhang A bzw. auf der Website). Der Verantwortliche kann der Änderung innert 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; erfolgt kein Widerspruch, gilt die Zustimmung als erteilt. Bei fehlender einvernehmlicher Lösung besteht ein Sonderkündigungsrecht.

6. Auslandbekanntgaben

6.1 Die Bearbeitung findet grundsätzlich in der Schweiz statt (Hosting und SMTP-/E-Mail-Versand bei Infomaniak, ausschliesslich Schweizer Rechenzentren). Einzelne Unterauftragsbearbeiter (insb. Zahlungsdienste) können Daten ins Ausland übermitteln.

6.2 Erfolgt eine Bekanntgabe in Staaten ohne angemessenes Datenschutzniveau, stellt der Anbieter die Zulässigkeit durch geeignete Garantien sicher (insb. Standardvertragsklauseln mit Schweizer Ergänzung) oder stützt sich auf eine gesetzliche Ausnahme (Art. 16/17 DSG; Art. 44 ff. DSGVO).

7. Betroffenenrechte

7.1 Wendet sich eine betroffene Person mit Anliegen zu Auskunft, Berichtigung, Löschung oder weiteren Rechten an den Anbieter, verweist bzw. leitet dieser das Anliegen innert angemessener Frist an den Verantwortlichen weiter und unterstützt ihn/sie im Rahmen seiner Möglichkeiten. Der Anbieter haftet nicht, wenn der Verantwortliche das Ersuchen nicht, nicht richtig oder nicht fristgerecht beantwortet.

8. Nachweise und Audits

8.1 Der Anbieter weist die Einhaltung seiner Pflichten mit geeigneten Mitteln nach (Selbstaudit und/oder Zertifizierung, soweit vorhanden). Inspektionen durch den Verantwortlichen oder einen beauftragten, nicht im Wettbewerb stehenden Prüfer sind zu üblichen Geschäftszeiten nach angemessener Vorankündigung und gegen Vertraulichkeitszusicherung möglich; der Anbieter kann angemessene Kosten in Rechnung stellen.

9. Gefährdung der Daten

9.1 Werden die Daten des Verantwortlichen durch Massnahmen Dritter (z.B. Pfändung, Beschlagnahme, Insolvenzverfahren) gefährdet, informiert der Anbieter den Verantwortlichen unverzüglich und weist die Beteiligten darauf hin, dass die Hoheit an den Daten ausschliesslich beim Verantwortlichen liegt.

10. Löschung und Rückgabe

10.1 Der Anbieter bearbeitet und speichert Personendaten, solange das Vertragsverhältnis besteht. Nach Beendigung gibt der Anbieter die Daten nach Wahl des Verantwortlichen zurück oder löscht/anonymisiert sie gemäss den in der Datenschutzerklärung genannten Fristen (bexio-/Import-/Arbeitsdaten in der Regel innert 90 Tagen), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

11. Haftung

11.1 Die Haftung richtet sich nach den entsprechenden Bestimmungen der AGB. Zwingende datenschutzrechtliche Ansprüche betroffener Personen und Behörden bleiben unberührt.

12. Schlussbestimmungen

12.1 Im Übrigen gelten die AGB und die Datenschutzerklärung. Bei Widersprüchen zwischen diesem AVV und den AGB gehen in datenschutzrechtlichen Fragen die Bestimmungen dieses AVV vor. Anhang A und Anhang B sind wesentliche Bestandteile dieses AVV. Es gilt Schweizer Recht; Gerichtsstand ist der Sitz des Anbieters.

Anhang A

Gegenstand, Art und Zweck der Bearbeitung:

Gegenstand

Bearbeitung von Personendaten im Rahmen der Nutzung von BexFLOW als SaaS (Import, Bereinigung, Mapping, Kontierung, Review, Export und Übermittlung von Buchungsdaten nach bexio).

Art der Personendaten

Stammdaten (Name, Anschrift, Kontaktangaben), Vertrags-/Abrechnungs-/Zahlungsdaten, Bank- und Transaktionsdaten, Buchungstexte, Kontakte, Debitoren/Kreditoren sowie damit verbundene Personendaten. Abhängig von den vom Verantwortlichen übermittelten Daten.

Kategorien betroffener Personen

Mitarbeitende, Kunden, Lieferanten, Kontakte und weitere Geschäftspartner des Verantwortlichen bzw. seiner/ihrer Endkunden.

Dauer

Für die Dauer des Vertragsverhältnisses; Löschung/Anonymisierung gemäss den Fristen der Datenschutzerklärung.

Unterauftragsbearbeiter (Stand 24.08.2026):

Dienstleister

Leistung

Standort

Infomaniak Network SA

Hosting/Infrastruktur, Backup (Swiss Backup)

Schweiz

Stripe [Payments Europe, Ltd.]

Billing/Zahlungsabwicklung

[Irland/EU]

Infomaniak Network SA

Versand von Login-Codes/Systemnachrichten

Schweiz

[AI-Provider, bei Aktivierung]

KI-gestützte Arbeitshilfen

[Schweiz]

Hinweis: Die bexio AG ist eigenständige Verantwortliche für die bexio-Plattform und in diesem Sinne kein Unterauftragsbearbeiter des Anbieters.

Anhang B

Die nachfolgenden Massnahmen entsprechen dem aktuellen Stand; einzelne organisatorische Elemente werden laufend finalisiert (entsprechend gekennzeichnet).

I. Zugangs- und Zugriffskontrolle

•Authentifizierung mit E-Mail/Passwort und E-Mail-Verifikation; Passwort-Hashing mit bcrypt; Session- und CSRF-Schutz; OTP-Code-Hashes.

•Berechtigungskonzept mit den Rollen Account Owner/Members; Beschränkung der Administratorzugriffe auf ein Minimum; organisatorische Vertraulichkeitsverpflichtung der Administratoren [Verpflichtungsnachweis zu dokumentieren].

•Protokollierung sicherheitsrelevanter Events (Auth-Audit-Logs mit IP/Event/Status).

II. Weitergabe-/Bekanntgabekontrolle und Verschlüsselung

•HTTPS/TLS-Verschlüsselung für sämtliche Kommunikation (Web-Client, API).

•Verschlüsselte Speicherung der bexio-OAuth-Access-/Refresh-Tokens at rest; ohne gültigen Encryption Key startet die Anwendung nicht.

•Kartendaten werden ausschliesslich durch Stripe verarbeitet (Stripe Checkout/Portal) und liegen nicht auf den Servern des Anbieters.

III. Eingabe- und Nachvollziehbarkeitskontrolle

•Explizite Review- und Bestätigungsschritte vor Übermittlung nach bexio (Anzeige aller relevanten Felder); Protokollierung der Freigabebestätigung; Dry-Run und Duplikatsschutz.

IV. Verfügbarkeits- und Wiederherstellungskontrolle

•Betrieb und Backups über Infomaniak (Swiss Backup): Sicherung von PostgreSQL sowie Datei-/Objektspeicher (MinIO), lokal verschlüsselt; erster Restore-Test erfolgreich.

•Backup-Frequenz, Aufbewahrungsdauer und regelmässige Restore-Tests werden final festgelegt [in Umsetzung].

V. Trennungskontrolle

•Logische Mandantentrennung auf Applikationsebene über tenant_id; Trennung produktiver Umgebungen; Datenminimierung.

VI. Organisation

•Hosting und Betrieb ausschliesslich in Schweizer Rechenzentren von Infomaniak; physische Zutritts-, Umgebungs- und Rechenzentrumssicherheit werden durch Infomaniak gemäss dessen Zertifizierungen gewährleistet.

•Meldeprozess bei Datensicherheitsverletzungen (Art. 24 DSG) [organisatorischer Incident-Response-Prozess in Finalisierung].

•Auf Ebene des Anbieters besteht derzeit keine eigene Zertifizierung (z.B. ISO 27001); die Massnahmen basieren auf anerkannten Standards und werden periodisch überprüft.