Vereinbarung zur Auftragsbearbeitung

Diese Vereinbarung zur Auftragsbearbeitung ("Vereinbarung") wird zwischen dem Kunden als Verantwortlichem beziehungsweise Auftragsbearbeiter ("Kunde") und Alexander Schäfer, handelnd unter SwissInvoice.online, als Auftragsbearbeiter beziehungsweise Unterauftragsbearbeiter ("SwissInvoice") geschlossen.

Sie ist Bestandteil des Vertrags über SwissInvoice und gilt, sobald der Kunde Personendaten in der Plattform bearbeitet. Bei Widersprüchen gehen zwingende Datenschutzregeln und danach diese Vereinbarung den allgemeinen AGB vor.

SwissInvoice bearbeitet Personendaten zur Bereitstellung einer Plattform für Rechnungen, Offerten, Mahnungen, Kunden, Artikel, Projekte, Dokumente, E-Mail-Versand, Zahlungsanbindungen sowie optional KI und Transkription. Art und Umfang richten sich nach den vom Kunden genutzten Funktionen und seinen dokumentierten Eingaben.

Die Bearbeitung dauert für die Vertragslaufzeit und anschliessende technisch oder gesetzlich erforderliche Lösch- und Sicherungsfristen.

Betroffen sein können Kunden, Interessenten, Lieferanten, Geschäftspartner, Mitarbeitende, Teammitglieder und sonstige Kontaktpersonen des Kunden. Bearbeitet werden insbesondere Stamm- und Kontaktdaten, Rechnungs- und Leistungsdaten, Zahlungs- und Vertragsinformationen, Kommunikation, Projekt- und Arbeitsdaten, Dokumentinhalte, technische Metadaten sowie vom Kunden an KI- oder Sprachfunktionen übermittelte Inhalte.

Die Plattform ist nicht für besonders schützenswerte Personendaten, Berufsgeheimnisse oder regulierte Hochrisikodaten bestimmt, sofern deren Bearbeitung nicht vorab ausdrücklich schriftlich vereinbart wurde.

Der Hauptvertrag, diese Vereinbarung, die Produktkonfiguration und rechtmässige Nutzungshandlungen bilden die dokumentierten Weisungen des Kunden. Zusätzliche Weisungen sind schriftlich an info@swissinvoice.online zu richten. SwissInvoice informiert den Kunden, wenn eine Weisung erkennbar gegen Datenschutzrecht verstösst.

Der Kunde ist für Rechtmässigkeit, Transparenz, Datenminimierung, Richtigkeit, Aufbewahrungsvorgaben, Betroffeneninformationen und Berechtigungen seiner Nutzer verantwortlich.

• Bearbeitung nur für die vereinbarten Zwecke und nach dokumentierten Weisungen.
• Vertraulichkeitsverpflichtung für zugriffsberechtigte Personen.
• Risikogerechte technische und organisatorische Sicherheitsmassnahmen.
• Unterstützung bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und behördlichen Anfragen, soweit Art der Bearbeitung und verfügbare Informationen dies ermöglichen.
• Information des Kunden ohne unangemessene Verzögerung über bestätigte Verletzungen der Datensicherheit, die seine Auftragsdaten betreffen.
• Nachweis der Einhaltung im gesetzlich erforderlichen und zumutbaren Umfang.

• TLS-verschlüsselte Übertragung und Verschlüsselung durch Infrastrukturanbieter.
• Clerk-basierte Authentifizierung, Sitzungsverwaltung und rollenbasierte Rechte.
• Logische Mandantentrennung mit serverseitiger Organisationsprüfung.
• Verschlüsselte Speicherung sensibler Anbieter- und E-Mail-Zugangsdaten.
• Raten- und Grössenbegrenzungen, Eingabevalidierung und signierte Bestätigungen.
• Audit- und Sicherheitsprotokolle für relevante Vorgänge.
• Automatisierte Tests, Abhängigkeitsprüfungen und kontrollierte Deployments.
• Sicherungs- und Wiederherstellungsverfahren beim Datenbankanbieter.
• Datenminimierung bei Monitoring; keine standardmässige PII- oder Session-Aufzeichnung.

Die Massnahmen werden entsprechend Risiko und Stand der Technik weiterentwickelt, ohne das vereinbarte Schutzniveau wesentlich zu verringern.

Der Kunde erteilt eine allgemeine Genehmigung für die folgenden Kategorien und derzeit eingesetzten Anbieter:

• Convex Labs LLC: Datenbank und Backend; primäre Region Irland, mögliche USA-Bezüge.
• Vercel Inc.: Hosting, CDN, Logs und Funktionen; Frankfurt und globales Netzwerk.
• Clerk Inc.: Authentifizierung; USA, DPF und Standardvertragsklauseln.
• Stripe-Gesellschaften: Abonnemente, Zahlungen und Payment Links; global.
• Resend oder kundenseitiger SMTP-Anbieter: E-Mail-Versand; je Anbieter.
• OpenRouter und ausgewählte Modellanbieter: optionale KI und Transkription; USA, EU oder weitere Standorte abhängig von Routing und Modell.
• Sentry: optionales Fehler-Monitoring; EU oder USA nach Kontokonfiguration.

SwissInvoice verpflichtet Unterauftragsbearbeiter vertraglich zu angemessenem Datenschutz, soweit diese als Auftragsbearbeiter handeln. Wesentliche Änderungen werden mindestens 14 Tage vor Einsatz über die Plattform, per E-Mail oder durch Aktualisierung dieser Liste angekündigt. Der Kunde kann aus wichtigem Datenschutzgrund widersprechen. Ist keine zumutbare Alternative möglich, können beide Parteien den betroffenen Dienst beenden.

Bearbeitungen ausserhalb der Schweiz oder eines Staates mit angemessenem Datenschutzniveau werden, soweit erforderlich, durch anerkannte Data-Privacy-Frameworks, Standardvertragsklauseln mit Schweizer Anpassungen oder andere zulässige Garantien abgesichert. Bei KI-Funktionen hängen Standort und Garantien zusätzlich vom gewählten Modellanbieter und Routing ab.

SwissInvoice beantwortet Anfragen zu Auftragsdaten nicht eigenständig, sondern leitet sie an den Kunden weiter, sofern keine gesetzliche Pflicht entgegensteht. SwissInvoice unterstützt den Kunden mit den verfügbaren technischen und organisatorischen Möglichkeiten. Zusätzlicher erheblicher Aufwand kann nach vorgängiger Abstimmung zum üblichen Supportsatz verrechnet werden, sofern die Ursache nicht bei SwissInvoice liegt.

Die Mitteilung an den Kunden enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen sowie getroffene oder geplante Massnahmen. Der Kunde bleibt für Meldungen an Behörden und betroffene Personen verantwortlich, soweit das Gesetz nichts anderes vorsieht.

Während der Vertragslaufzeit stehen die vorhandenen Exportfunktionen zur Verfügung. Nach Vertragsende löscht oder anonymisiert SwissInvoice Auftragsdaten auf Weisung oder nach Ablauf der betrieblichen Löschfrist, sofern keine gesetzliche Aufbewahrung, Rechtsverteidigung oder zwingende technische Sicherungsfrist entgegensteht. Sicherungskopien werden im regulären Zyklus überschrieben und bleiben bis dahin geschützt und von der produktiven Nutzung ausgeschlossen.

SwissInvoice stellt auf Anfrage angemessene Informationen zur Einhaltung bereit. Prüfungen sind mit mindestens 30 Tagen Vorlauf, während üblicher Geschäftszeiten und ohne Gefährdung anderer Kunden zu planen. Vorhandene Prüfberichte und Anbieterzertifikate sind vorrangig zu nutzen. Kosten trägt der Kunde, sofern die Prüfung keinen wesentlichen Verstoss von SwissInvoice bestätigt.

Für die Haftung gelten die Haftungsregeln der AGB, soweit zwingendes Datenschutzrecht nichts anderes verlangt. Änderungen dieser Vereinbarung werden in derselben Form wie Änderungen der AGB mitgeteilt. Es gilt Schweizer Recht; Gerichtsstand ist, soweit zulässig, Frauenfeld, Kanton Thurgau.

Version und Stand: 27. Juli 2026