Auftragsverarbeitungsvertrag (AVV)

Migflow GmbH, Gerliswilstrasse 13d, 6020 Emmenbrücke, Schweiz (nachfolgend «Auftragsverarbeiter» oder «Migflow») und der Kunde gemäss den Allgemeinen Geschäftsbedingungen Steuerform (nachfolgend «Verantwortlicher»), gemeinsam die «Parteien».

Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Bearbeitung von Personendaten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Nutzung der Software Steuerform. Er konkretisiert die Pflichten der Parteien gemäss dem Schweizer Datenschutzgesetz (DSG), insbesondere Art. 9 DSG, sowie, soweit anwendbar, der EU-Datenschutz-Grundverordnung (DSGVO), insbesondere Art. 28 DSGVO.

• Der Verantwortliche ist datenschutzrechtlich verantwortlich für die Personendaten, die er und seine Mandanten in Steuerform bearbeiten.
• Der Auftragsverarbeiter bearbeitet diese Personendaten im Rahmen der bestimmungsgemässen Nutzung von Steuerform ausschliesslich im Auftrag und nach Weisung des Verantwortlichen und trifft dabei keine eigenständigen Entscheidungen über Zweck oder Mittel der Bearbeitung.
• Für die Nutzung anonymisierter und pseudonymisierter Daten zur Qualitätssicherung und Weiterentwicklung gemäss Ziffer 13 der AGB ist Migflow selbst Verantwortlicher. Der Verantwortliche erteilt hierfür mit der Annahme der AGB die dokumentierte Ermächtigung; die Grenzen ergeben sich aus Ziffer 13 der AGB und Ziffer 6.3 dieses AVV.

4.1 Zweck

• digitale Erfassung, Strukturierung und Aufbereitung von Steuerunterlagen
• Erstellung von Beleg- und Steuerchecklisten
• technische Unterstützung bei der Steuererklärungserstellung
• KI-gestützte Analyse und Datenstrukturierung
• Versand von Benachrichtigungen und Kampagnen an Mandanten auf Weisung des Verantwortlichen
• Empfang gescannter Belege über den Scan-Eingang per E-Mail

4.2 Art der Bearbeitung

Speichern, Strukturieren, Auslesen, Analysieren, Übermitteln, Pseudonymisieren, Löschen (auf Weisung).

Betroffene Personen sind die Mandanten des Verantwortlichen sowie dessen Mitarbeitende (Benutzerkonten). Je nach Nutzung können insbesondere bearbeitet werden:

• Identifikations- und Kontaktdaten (Name, Adresse, Geburtsdatum, AHV-Nummer, E-Mail)
• Finanz- und Vermögensdaten
• Steuerdaten und Steuererklärungen
• Versicherungs- und Vorsorgedaten
• Angaben zu Krankheitskosten (besonders schützenswert)
• hochgeladene oder per Scan-Eingang übermittelte Dokumente (PDFs, Belege)
• Nutzungs- und Protokolldaten der Benutzerkonten

Es handelt sich teilweise um besonders schützenswerte Personendaten im Sinne von Art. 5 lit. c DSG bzw. Art. 9 DSGVO.

6.1 Weisungsgebundenheit

Der Auftragsverarbeiter bearbeitet Personendaten ausschliesslich gemäss dokumentierten Weisungen des Verantwortlichen. Die Weisungen ergeben sich aus diesem AVV, den AGB einschliesslich der Bestellübersicht, der bestimmungsgemässen Nutzung der Software sowie aus individuellen Weisungen in Textform (E-Mail genügt).

6.2 Rechtswidrige Weisungen

Ist der Auftragsverarbeiter der Ansicht, eine Weisung verstosse gegen anwendbares Datenschutzrecht, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zur Klärung auszusetzen.

6.3 Ermächtigung zur Qualitätssicherung

Der Verantwortliche ermächtigt den Auftragsverarbeiter, im Auftrag bearbeitete Daten und Dokumente in pseudonymisierter Form zur Qualitätssicherung und Weiterentwicklung der Software zu verwenden (Fehleranalyse, Tests, Verbesserung der Erkennungs- und Kategorisierungsfunktionen). Es gelten die Bedingungen von Ziffer 13 der AGB, insbesondere: Entfernung direkt identifizierender Merkmale vor der Verwendung, ausschliesslich interne Nutzung durch zur Vertraulichkeit verpflichtete Personen, keine Weitergabe an Dritte, keine Verwendung zum Training von Modellen externer KI-Anbieter, Löschung oder Anonymisierung spätestens nach 90 Tagen. Der Verantwortliche kann diese Ermächtigung jederzeit in Textform oder in den Kontoeinstellungen widerrufen; die Nutzung wird innert 30 Tagen eingestellt.

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Massnahmen zum Schutz der Personendaten nach dem Stand der Technik. Diese umfassen insbesondere:

7.1 Technische Massnahmen

• Hosting der Daten in einem Rechenzentrum in Zürich (Schweiz), inklusive verschlüsselter, automatischer täglicher Backups in der Schweiz
• Verschlüsselung aller Datenübertragungen (TLS) und der gespeicherten Daten auf Datenbankebene
• obligatorische Zwei-Faktor-Authentifizierung (2FA) für alle Benutzerkonten, Passwortrichtlinien mit Prüfung auf kompromittierte Passwörter, zeitlich begrenzte Sitzungen
• rollenbasierte Zugriffskontrolle (RBAC) und strikte logische Mandantentrennung auf Datenbankebene
• Protokollierung von Änderungen und sicherheitsrelevanten Ereignissen (Audit-Trails)
• Prozess zur Erkennung und Behandlung von Sicherheitsvorfällen

7.2 Organisatorische Massnahmen

• Schulung und Vertraulichkeitsverpflichtung der Mitarbeitenden
• Zugriffsbeschränkung nach dem Need-to-know-Prinzip
• Incident-Response-Prozess
• regelmässige Überprüfung der Massnahmen

7.3 Dokumentation und Anpassung

Eine detaillierte Beschreibung der TOM stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage zur Verfügung (Ziffer 11). Die TOM werden regelmässig überprüft und bei Bedarf dem Stand der Technik angepasst; das Schutzniveau darf dabei nicht unterschritten werden.

8.1 Genehmigte Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase Inc. — Datenbank, Storage, Backups — Schweiz (Zürich); Hauptdatenbank, Anbieter mit Sitz in den USA
• Amazon Web Services (AWS Bedrock) — KI-gestützte Analyse — EU (Rechenzentren innerhalb der EU); keine Modellschulung, Löschung nach max. 30 Tagen
• Google Cloud (Vertex AI – Gemini) — KI-gestützte Analyse — EU (Rechenzentren innerhalb der EU); keine Modellschulung, Löschung nach max. 30 Tagen
• Postmark (ActiveCampaign, LLC) — Versand von E-Mails — USA / EU; Data Privacy Framework bzw. Standardvertragsklauseln
• Mailgun (Sinch Mailgun) — Empfang gescannter Belege per E-Mail (Scan-Eingang) — EU (Region EU); Anbieter mit Sitz in den USA, nur freigegebene Absender, Anhänge werden nach Eingang gelöscht

8.2 Änderungen bei Unterauftragsverarbeitern

Bei beabsichtigter Hinzunahme oder Ersetzung von Unterauftragsverarbeitern wird der Verantwortliche mindestens 30 Tage vorab per E-Mail informiert.

8.3 Widerspruchsrecht

Der Verantwortliche kann innerhalb von 14 Tagen nach Mitteilung Widerspruch einlegen, sofern berechtigte Datenschutzbedenken bestehen. Können sich die Parteien nicht einigen, kann der Verantwortliche den Vertrag auf den Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters ausserordentlich kündigen.

8.4 Pflichten gegenüber Unterauftragsverarbeitern

Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter vertraglich mindestens denselben Datenschutzverpflichtungen unterliegen wie in diesem AVV festgelegt. Bei Übermittlungen in Länder ohne angemessenes Datenschutzniveau sorgt er für geeignete Garantien (z.B. Standardvertragsklauseln, Data Privacy Framework).

9.1 Betroffenenanfragen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) im Rahmen der technischen Möglichkeiten. Anfragen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

9.2 Datenschutz-Folgenabschätzung

Der Auftragsverarbeiter stellt auf Anfrage die Informationen zur Verfügung, die für eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sind.

9.3 Meldung von Datenschutzverletzungen

Bei Verletzungen der Datensicherheit, die Personendaten des Verantwortlichen betreffen, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme. Die Meldung enthält mindestens Art und Umfang der Verletzung, betroffene Datenkategorien, Anzahl betroffener Personen (soweit bekannt), voraussichtliche Folgen sowie bereits ergriffene Massnahmen.

9.4 Aufwand

Die Unterstützung erfolgt im Rahmen der technischen Möglichkeiten. Erfordert sie einen unverhältnismässigen Aufwand, kann eine gesonderte Vergütung nach Aufwand vereinbart werden.

10.1 Nach Vertragsende

Nach Beendigung des Vertragsverhältnisses und Ablauf der Exportfrist gemäss AGB werden alle Personendaten auf Weisung des Verantwortlichen gelöscht oder zurückgegeben. Liegt innert 30 Tagen nach Vertragsende keine Weisung vor, werden die Daten gelöscht.

10.2 Ausnahmen

Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht oder die für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind. Für Daten der Qualitätssicherung gemäss Ziffer 6.3 gilt die dortige Löschfrist.

10.3 Bestätigung

Die Löschung wird auf Anfrage in Textform bestätigt.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderliche Dokumentation zur Verfügung, insbesondere die detaillierte Beschreibung der TOM und die Liste der Unterauftragsverarbeiter. Weitergehende Überprüfungen vor Ort sind nach vorheriger Absprache, in angemessenen Abständen und während der üblichen Geschäftszeiten möglich; der Aufwand kann dem Verantwortlichen in Rechnung gestellt werden, sofern die Überprüfung keine Verstösse ergibt.

Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu Personendaten haben, zur Vertraulichkeit verpflichtet sind. Diese Verpflichtung gilt auch nach Beendigung des Vertragsverhältnisses fort.

• Es gelten die Haftungsregelungen der AGB.
• Dieser AVV begründet keine weitergehende Haftung des Auftragsverarbeiters.
• Bei Verstössen durch Unterauftragsverarbeiter haftet der Auftragsverarbeiter wie für eigenes Verschulden, sofern er seine Auswahl- oder Instruktionspflicht verletzt hat.

Dieser AVV tritt mit dem Vertrag gemäss AGB in Kraft und endet mit dessen Beendigung. Die Pflichten gemäss Ziffer 10 und 12 bestehen darüber hinaus fort.

• Dieser AVV ist integraler Bestandteil des Vertrags gemäss AGB.
• Bei Widersprüchen zwischen diesem AVV und den AGB gehen in datenschutzrechtlichen Fragen die Regelungen des AVV vor.
• Es gilt Schweizer Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters.
• Änderungen dieses AVV richten sich nach dem Verfahren gemäss AGB; die elektronische Form genügt.

15.1 Übertragung

Überträgt Migflow den Vertrag gemäss Ziffer 19.1 der AGB auf eine andere Gesellschaft (insbesondere bei Ausgliederung von Steuerform in eine eigene Gesellschaft, Umstrukturierung oder Verkauf des Geschäftsbereichs), geht dieser AVV einschliesslich der Ermächtigung gemäss Ziffer 6.3 und der Genehmigung der Unterauftragsverarbeiter gemäss Ziffer 8.1 unverändert auf die übernehmende Gesellschaft als neuen Auftragsverarbeiter über. Die übernehmende Gesellschaft übernimmt sämtliche Pflichten aus diesem AVV. Der Verantwortliche wird mindestens 30 Tage im Voraus in Textform informiert.

Die Übertragung stellt keine Hinzunahme eines Unterauftragsverarbeiters im Sinne von Ziffer 8.2 dar, sofern die Datenbearbeitung in derselben Infrastruktur und mit unverändertem Schutzniveau fortgeführt wird.

Mit der Annahme der AGB im Rahmen der Registrierung (Onboarding) oder mit der Unterzeichnung eines Angebots von Migflow bestätigt der Verantwortliche, dass er diesen Auftragsverarbeitungsvertrag gelesen hat und ihn akzeptiert. Migflow protokolliert die Annahme mit Zeitpunkt, bestätigender Person und Version.