Auftragsverarbeitungsvertrag (AVV / DPA)

zwischen dem Kunden als Verantwortlichem und der appnity GmbH als Auftragsverarbeiterin

1. Vertragsparteien und Geltung

Verantwortlicher (nachfolgend „Kunde"): [PLATZHALTER: Firma, Rechtsform] · [PLATZHALTER: Adresse] · [PLATZHALTER: UID/Register-Nr.] · vertreten durch [PLATZHALTER: Name, Funktion]

Auftragsverarbeiterin (nachfolgend „Appnity"): appnity GmbH, c/o Fehr Legal GmbH, Lättichstrasse 6, 6340 Baar, Schweiz · UID CHE-318.760.046 · Kontakt Datenschutz: info@appnity.ch

Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen des Vertrags über die Nutzung der Software „Appnity CRM" (nachfolgend „Hauptvertrag", insbesondere die AGB). Der AVV wird mit Abschluss des Hauptvertrags (Registrierung bzw. Abo-Abschluss) Vertragsbestandteil; eine gesonderte Unterzeichnung ist auf Wunsch des Kunden möglich. Bei Widersprüchen zwischen AVV und Hauptvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor.

2. Gegenstand und Dauer der Verarbeitung

• Gegenstand: Bereitstellung und Betrieb der cloudbasierten Business-Software „Appnity CRM" (Software-as-a-Service) samt zugehöriger Module: Vertrieb/CRM, Marketing-/Recruiting-Seiten und öffentliche Formulare, Terminbuchung, Offerten/Verträge/Rechnungen, Buchhaltung (FIBU), Lohn/HR, Telefonie (optional), Videotermine (optional), KI-Assistenz, E-Mail-Versand, elektronische Signatur, Zahlungsabwicklung, Webhooks/Automatisierungen.
• Dauer: Für die Laufzeit des Hauptvertrags. Nach dessen Beendigung gilt Ziffer 11 (Löschung und Rückgabe).

3. Art und Zweck der Verarbeitung

• Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen und Anonymisieren — automatisiert im Rahmen der Softwarefunktionen.
• Zweck: Ausschliesslich die Erbringung der im Hauptvertrag vereinbarten Leistungen für den Kunden. Eine Verarbeitung zu eigenen Zwecken von Appnity findet nicht statt; insbesondere werden Kundendaten nicht zum Training eigener oder fremder KI-Modelle verwendet.

4. Kategorien betroffener Personen und Datenkategorien

Betroffene Personen: Interessenten („Leads") und Kunden des Kunden, Ansprechpersonen von Firmenkontakten, Personen, die öffentliche Formulare oder Terminbuchungen des Kunden nutzen, Bewerberinnen und Bewerber, Mitarbeitende des Kunden (inkl. Lohn-/HR-Daten), Nutzerinnen und Nutzer der Software, Anrufende und Angerufene sowie Lieferanten/Rechnungssteller (Buchhaltungsbelege).

Datenkategorien: siehe Anhang 1 (Verarbeitungsbeschreibung und Datenkategorien).

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO werden nicht bestimmungsgemäss verarbeitet; es sind keine Gesundheitsdaten-Felder vorgesehen. Im Lohn-/HR-Modul werden jedoch erhöht schutzbedürftige Daten verarbeitet (AHV-Nummer als nationales Kennzeichen, Lohn- und Sozialversicherungsdaten; Quellensteuer-Tarifcodes können den Familienstand indirekt abbilden). Der Kunde stellt sicher, keine besonderen Kategorien ohne gesonderte Rechtsgrundlage einzustellen.

5. Weisungsrecht

Appnity verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Kunden. Als Weisungen gelten der Hauptvertrag, dieser AVV sowie die Einstellungen und Eingaben des Kunden in der Software (z. B. Aktivierung optionaler Module, Konfiguration von Integrationen, Lösch- und Exportaktionen). Hält Appnity eine Weisung für rechtswidrig, informiert sie den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Ist Appnity ausnahmsweise durch Recht der Schweiz, der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt sie dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

6. Vertraulichkeit

Appnity stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass der Zugriff auf das für die jeweilige Aufgabe Erforderliche beschränkt ist (rollenbasierte Zugriffskontrolle, siehe Anhang 3). Die Vertraulichkeitspflicht besteht nach Vertragsende fort.

7. Technische und organisatorische Massnahmen (Art. 32 DSGVO / Art. 8 revDSG)

Appnity trifft die in Anhang 3 beschriebenen technischen und organisatorischen Massnahmen (TOMs), hält sie auf dem Stand der Technik und entwickelt sie fort, ohne das Schutzniveau abzusenken. Wesentliche Eckpunkte: Betrieb der Kern-Infrastruktur in der Schweiz (Google Cloud Region Zürich, europe-west6), Transportverschlüsselung (TLS/HSTS), applikative AES-256-GCM-Verschlüsselung hinterlegter Fremd-Zugangsdaten, mandantengetrennte rollenbasierte Zugriffskontrolle, lückenlose Protokollierung datenschutzrelevanter Aktionen, unveränderbare Buchhaltungsdaten mit Hash-Kette sowie eine standardmässig sperrende (fail-closed) Kontrolle für KI-Auslandtransfers.

8. Unterauftragsverarbeiter

1. Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anhang 2 genannten Unterauftragsverarbeiter.
2. Appnity informiert den Kunden über beabsichtigte Änderungen (Hinzufügen oder Ersetzen von Unterauftragsverarbeitern) in Textform mit einer Frist von mindestens 30 Tagen vor Wirksamwerden. Widerspricht der Kunde nicht innert 30 Tagen nach Zugang der Information aus berechtigten datenschutzrechtlichen Gründen, gilt die Änderung als genehmigt (Genehmigungsfiktion). Bei begründetem Widerspruch bemühen sich die Parteien um eine zumutbare Lösung; gelingt dies nicht, kann der Kunde den Hauptvertrag auf den Zeitpunkt des Wirksamwerdens der Änderung kündigen.
3. Appnity verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem AVV im Wesentlichen gleichwertig sind, und bleibt dem Kunden gegenüber für deren Leistung verantwortlich.
4. Vom Kunden selbst konfigurierte Empfänger (z. B. eigener SMTP-Server, IMAP-Belegpostfach, ausgehende Webhooks, selbst gewählte Videokonferenz-Anbieter, eigenes Aircall- oder Daily.co-Konto) sind eigene Auftragsverarbeiter bzw. Empfänger des Kunden und keine Unterauftragsverarbeiter von Appnity.

9. Unterstützung bei Betroffenenrechten (Art. 12–23 DSGVO)

Appnity unterstützt den Kunden mit geeigneten technischen und organisatorischen Massnahmen bei der Erfüllung von Betroffenenrechten. Die Software stellt dafür produktive Selbstbedienungsfunktionen bereit:

• Auskunft und Datenübertragbarkeit (Art. 15/20): Datenexport je betroffener Person direkt im CRM (Kontakt-Detailansicht), inklusive Angabe der Empfängerkategorien (Unterauftragsverarbeiter) gemäss Art. 15 Abs. 1 lit. c DSGVO.
• Löschung (Art. 17): Lösch-/Anonymisierungsfunktion je betroffener Person (Administratoren), richtliniengesteuert pro Datenkategorie (löschen / anonymisieren / aufbewahren); gesetzlich aufbewahrungspflichtige Buchhaltungsdaten (OR 958f / GeBüV) werden dabei nur anonymisiert und transparent ausgewiesen. Jede Aktion wird protokolliert.
• Widerspruch gegen Direktwerbung (Art. 21): Werbesperre (Opt-out) je Kontakt im CRM; die Sperre wird in allen Versandpfaden technisch durchgesetzt. Marketing-E-Mails enthalten einen Ein-Klick-Abmeldelink (RFC 8058); Abmeldungen werden mit Nachweis protokolliert.
• Automatisierte Fristendurchsetzung: Ein täglicher Lösch-Job entfernt bzw. anonymisiert Daten nach Ablauf der in Anhang 1 genannten Aufbewahrungsfristen.

Soweit Begehren nicht über diese Funktionen erfüllbar sind, unterstützt Appnity den Kunden auf Anfrage in angemessener Frist. Wenden sich betroffene Personen direkt an Appnity, leitet Appnity das Begehren unverzüglich an den Kunden weiter und beantwortet es nicht selbst, ausser der Kunde weist sie dazu an. Appnity unterstützt den Kunden zudem im erforderlichen Umfang bei Datenschutz-Folgenabschätzungen (Art. 35/36 DSGVO) und bei Anfragen von Aufsichtsbehörden.

10. Meldung von Verletzungen des Datenschutzes (Datenpannen)

Appnity meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich nach Kenntnisnahme, spätestens innert 48 Stunden, an die hinterlegte Kontaktadresse des Kunden. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen sowie eine Kontaktstelle. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. Appnity unterstützt den Kunden bei dessen Melde- und Benachrichtigungspflichten (Art. 33/34 DSGVO, Art. 24 revDSG) und dokumentiert Verletzungen einschliesslich der Abhilfemassnahmen.

11. Löschung und Rückgabe nach Vertragsende

1. Rückgabe: Der Kunde kann seine Daten während der Vertragslaufzeit und bis zur endgültigen Löschung über die Exportfunktionen der Software in gängigen Formaten herausverlangen.
2. Löschung (30-Tage-Pipeline): Beantragt der Kunde die Konto-Löschung oder endet der Hauptvertrag, wird die Organisation deaktiviert und nach einer Widerrufsfrist von 30 Tagen endgültig gelöscht (Datenbank-Inhalte, gespeicherte Dateien und Benutzerkonten). Innerhalb der Frist kann der Kunde die Löschung stoppen und das Konto wiederherstellen.
3. Gesetzliche Ausnahme (GeBüV): Buchführungsrelevante Daten (Belege, Journal, Rechnungen, Lohn-/Abrechnungsdaten), die Aufbewahrungspflichten nach OR 958f / GeBüV bzw. AHVG unterliegen, werden nicht gelöscht, sondern bis zum Ablauf der 10-jährigen Aufbewahrungsfrist (Ende des zehnten auf das Geschäftsjahr folgenden Jahres) unveränderbar und zugriffsbeschränkt aufbewahrt und danach gelöscht; Personenbezüge ausserhalb der Pflichtdaten werden anonymisiert.
4. Backups: Sicherungskopien rotieren gemäss Anhang 3 (30 Tage); gelöschte Daten können in Backups bis zur Rotation fortbestehen und werden nicht für andere Zwecke verwendet.

12. Kontroll- und Auditrechte

1. Appnity stellt dem Kunden alle zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung (insb. aktuelle TOMs-Dokumentation, Subprozessorenliste, Zertifikate/Nachweise der Unterauftragsverarbeiter).
2. Der Kunde kann darüber hinaus höchstens einmal pro Kalenderjahr — bei konkretem Anlass (z. B. Datenpanne, behördliche Anordnung) auch häufiger — ein Audit durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht konkurrierenden Dritten durchführen lassen. Audits sind mit angemessener Frist (in der Regel 30 Tage) anzukündigen, erfolgen während üblicher Geschäftszeiten, bevorzugt remote, und dürfen die Vertraulichkeit anderer Mandanten und den Betrieb nicht beeinträchtigen.
3. Für Audits ohne konkreten Anlass kann Appnity einen angemessenen Aufwandersatz verlangen; dies wird vorgängig offengelegt.

13. Haftung

Für die Haftung der Parteien gilt der Hauptvertrag (insb. dessen Haftungsregelung). Im Aussenverhältnis haften die Parteien nach Art. 82 DSGVO bzw. den anwendbaren schweizerischen Bestimmungen. Im Innenverhältnis haftet jede Partei für den Teil des Schadens, der auf ihren Verantwortungsbeitrag entfällt (vgl. Art. 82 Abs. 5 DSGVO).

14. Anwendbares Recht, Datenübermittlung, Schlussbestimmungen

1. Anwendbares Recht und Gerichtsstand: Es gilt Schweizer Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Baar (Schweiz).
2. Angemessenheit Schweiz: Die Schweiz verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Übermittlungen personenbezogener Daten aus dem EWR an Appnity in die Schweiz sind daher ohne weitere Garantien zulässig; umgekehrt anerkennt die Schweiz das Datenschutzniveau des EWR.
3. Drittlandtransfers: Soweit Unterauftragsverarbeiter Daten ausserhalb der Schweiz/des EWR verarbeiten (insb. USA, siehe Anhang 2), stützt sich Appnity auf das EU-U.S. bzw. Swiss-U.S. Data Privacy Framework (DPF) und/oder EU-Standardvertragsklauseln (SCC) mit Schweizer Ergänzungen. KI-Verarbeitung durch US-Dienste ist standardmässig deaktiviert (fail-closed) und erfolgt nur nach ausdrücklicher, protokollierter und widerrufbarer Freigabe des Kunden; die Standard-KI-Verarbeitung läuft in der Schweiz (Infomaniak).
4. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Ort/Datum, Unterschriften (nur bei separater Unterzeichnung erforderlich):

______________________ (Kunde) ______________________ (appnity GmbH)

Anhang 1 — Verarbeitungsbeschreibung und Datenkategorien

Verarbeitungsbeschreibung: Appnity CRM ist eine mandantenfähige SaaS-Anwendung. Alle Kundendaten werden je Organisation getrennt in der Google-Cloud-Region Zürich (europe-west6) gespeichert und verarbeitet. Module: Vertrieb/CRM (Leads, Firmen, Aufgaben, Termine), Marketing-/Recruiting-Seiten mit öffentlichen Formularen und Terminbuchung, Offerten/Verträge/ Rechnungen, Buchhaltung (Belege, Journal, Bankauszüge, MWST), Lohn/HR (Mitarbeitende, Lohnabrechnung, HR-Dokumente), Telefonie (optional), Videotermine (optional), KI-Assistenz (Standard: Schweiz), E-Mail-Versand, elektronische Signatur, Zahlungsabwicklung, Webhooks/Automatisierungen.

Datenkategorien und Aufbewahrung (je nach genutzten Funktionen):

Ein täglicher Lösch-Job (03:00 Uhr, Europe/Zurich) setzt die Fristen automatisch durch.

Anhang 2 — Genehmigte Unterauftragsverarbeiter

Stand: 20.07.2026. Die jeweils aktuelle Liste wird dem Kunden gemäss Ziffer 8 mitgeteilt.

Abgrenzung: Vom Kunden selbst konfigurierte Dienste — eigener SMTP-Server, IMAP-Belegpostfach, ausgehende Webhooks, selbst gewählte Videolink-Anbieter (z. B. Zoom, Teams, Google Meet, eigene Jitsi-Domain) sowie eigene Aircall-/Daily.co-Konten — sind eigene Auftragsverarbeiter bzw. Empfänger des Kunden und keine Unterauftragsverarbeiter von Appnity (vgl. Ziffer 8.4).

Anhang 3 — Technische und organisatorische Massnahmen (TOMs)

1. Verschlüsselung: Transportverschlüsselung TLS mit HSTS (Preload), Content-Security-Policy und weiteren Sicherheits-Headern; Verschlüsselung ruhender Daten durch die Cloud-Plattform; zusätzlich applikative AES-256-GCM-Verschlüsselung aller hinterlegten Fremd-Zugangsdaten (SMTP/IMAP, Signatur-, Telefonie- und Video-Integrationen).
2. Zugriffskontrolle und Mandantentrennung: Strikte Trennung der Organisationen auf Datenbank- und Speicherebene; rollenbasiertes Berechtigungssystem (RBAC) mit feingranularen Berechtigungen, serverseitig und in den Datenbank-/Speicherregeln durchgesetzt; Konsistenz der Regeln wird automatisiert getestet; Lohn-/HR-Daten nur für Administrator-/Finanzrollen zugänglich.
3. Authentisierung und Missbrauchsschutz: App-Check-Erzwingung mit Google reCAPTCHA v3; Step-up-Re-Authentisierung für sensible Aktionen (15 Minuten für Mutationen, 12 Stunden für Lesezugriffe); Re-Authentisierung vor Konto-Löschung; persistente Rate-Limits mit gehashten Identitäten; SSRF-Schutz für ausgehende Verbindungen; signierte Webhooks (HMAC, fail-closed-Signaturprüfung); Schutz gegen Header-Injection; kein SVG-Upload.
4. Integrität und Nachvollziehbarkeit: Unveränderbarkeitsregeln für Buchhaltungsdaten (GeBüV) mit kryptografischer Journal-Hash-Kette und Integritätsprüfung; Vier-Augen-Prinzip bei der Offerten-Freigabe; organisationsweite und plattformweite Audit-Logs (Aufbewahrung 730 Tage); alle Datenschutz-Aktionen (Export, Löschung, Purge) werden protokolliert.
5. Verfügbarkeit und Wiederherstellbarkeit: Tägliches Vollbackup der Datenbank (03:00 Uhr) in einen Backup-Bucket in der Region Zürich; automatisierte Tests der Sicherheitsregeln vor Änderungen.
6. Datenminimierung und Datenresidenz: Kern-Infrastruktur in der Schweiz (europe-west6, Zürich); Beleg-/Dokumentbilder werden lokal per OCR in Text gewandelt statt als Bild an KI-Dienste übertragen; KI-Verarbeitung standardmässig in der Schweiz (Infomaniak); US-KI-Dienste fail-closed gesperrt und nur nach dokumentierter, widerrufbarer Freigabe des Kunden; anonymisierte HR-Suche; Reichweitenmessung ausschliesslich First-Party ohne Drittanbieter-Tracking.
7. Aufbewahrung und Löschung: Zentrale Aufbewahrungsrichtlinie je Datenkategorie (siehe Anhang 1); täglicher automatischer Lösch-Job; Konto-Löschpipeline mit 30-Tage-Widerrufsfrist und anschliessender endgültiger Löschung von Datenbank, Dateien und Benutzerkonten; GeBüV-pflichtige Daten bis Fristablauf unveränderbar und zugriffsbeschränkt.
8. Backup-Restrisiko: Backups werden 30 Tage aufbewahrt und rotieren danach automatisch. Gelöschte oder anonymisierte Daten können in Sicherungskopien bis zur Rotation (max. 30 Tage) fortbestehen. Backups werden ausschliesslich zur Wiederherstellung verwendet und unterliegen denselben Zugriffsbeschränkungen wie Produktivdaten; im Wiederherstellungsfall werden zwischenzeitlich erfolgte Löschungen erneut angewendet.

---

Siehe auch: AGB · Datenschutzerklärung