Datenverarbeitung
Vereinbarung (DPA)

Zuletzt aktualisiert: 21. September 2026  ·  Version 1.0

Diese Vereinbarung zur Datenverarbeitung ("DPA") regelt die Verarbeitung personenbezogener Daten, die IDup im Auftrag seiner Geschäftskunden durchführt. Sie setzt Art. 9 des Schweizerischen Bundesgesetzes über den Datenschutz (revDSG) und Art. 28 der Datenschutz-Grundverordnung (GDPR) um.

1. Parteien

2. Gegenstand, Art und Zweck

2.1 IDup bearbeitet Personendaten ausschliesslich, um den in den AGB beschriebenen Dienst zu erbringen: Buchhaltung und Rechnungswesen, Rechnungsstellung und Zahlungen, Offerten und Verträge, CRM und Leads, Projekte, Aufgaben und Tickets, Personaladministration und Zeiterfassung, digitale Postbox und Belegscan, Dokumentenablage, Kalender, Online-Buchung, Chat, Push-Nachrichten, Berichte sowie KI-Funktionen.

2.2 Art der Bearbeitung: Erheben, Speichern, Ordnen, Auslesen, Anzeigen, Übermitteln, Sichern, Wiederherstellen, Einschränken, Löschen und Vernichten.

2.3 Dauer: für die Laufzeit des Nutzungsvertrags zuzüglich der Fristen nach Ziff. 11.

3. Kategorien von betroffenen Personen und Daten

Besondere Kategorien personenbezogener Daten (z.B. Gesundheitsdaten in Abwesenheitsgründen, Sozialversicherungsdetails) werden nur insoweit verarbeitet, wie der Verantwortliche sie im Dienst erfasst. Der Verantwortliche entscheidet darüber und trägt die Verantwortung.

4. Anleitungen

4.1 IDup bearbeitet Personendaten ausschliesslich nach dokumentierter Weisung der Verantwortlichen. Dieser AVV, die AGB, die Einstellungen im Konto und die Nutzung der Funktionen des Dienstes gelten als Weisungen.

4.2 Weitergehende Weisungen sind in Textform an info@idup.com zu richten. Führen sie zu Mehraufwand oder sind sie technisch nur mit Anpassungen umsetzbar, kann IDup den Aufwand nach Absprache in Rechnung stellen.

4.3 Hält IDup eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf deren Ausführung bis zur Klärung aussetzen.

4.4 Wo IDup verpflichtet ist, Daten nach schweizerischem oder anwendbarem EU-Recht zu verarbeiten, informiert es den Verantwortlichen vorher, es sei denn, das Gesetz verbietet dies.

5. Vertraulichkeit

IDup verpflichtet vertraglich jede Person, die Zugang zu personenbezogenen Daten erhält, zur Vertraulichkeit; die Verpflichtung überdauert das Ende ihrer Tätigkeit. Der Zugang wird nur im erforderlichen Umfang für die jeweilige Aufgabe gewährt.

6. Technische und organisatorische Massnahmen

IDup implementiert und unterhält mindestens die folgenden Massnahmen (Art. 8 revFADP, Art. 32 DSGVO):

• Vertraulichkeit: eine separate Datenumgebung pro Kunde; rollenbasierte Berechtigungen; Passwörter nur als Hashes gespeichert; optionale Zwei-Faktor-Authentifizierung; Infrastrukturzugriff nur über Schlüsselauthentifizierung und nur für eine streng begrenzte Personengruppe.
• Integrität: Übertragung ausschliesslich über TLS; Schutz vor Cross-Site-Request-Forgery; Eingabevalidierung; Protokollierung von Anmeldungen, Berechtigungsänderungen und sicherheitsrelevanten Ereignissen.
• Verfügbarkeit: regelmässige Backups; Wiederherstellungsverfahren; Überwachung der Systemgesundheit und Fehler; kontinuierliches Patchen der verwendeten Software.
• Resilienz und Überprüfung: separate Produktions- und Testumgebungen; Überprüfung der Massnahmen bei jeder wesentlichen Änderung und mindestens jährlich.
• Standort: Alle Produktionssysteme befinden sich in einem Rechenzentrum in Nürnberg, Deutschland.

IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

7. Subunternehmer

7.1 Die Verantwortliche erteilt IDup die allgemeine Genehmigung, die folgenden Unterauftragnehmer beizuziehen:

7.2 IDup verpflichtet jeden Unterauftragnehmer zu denselben Pflichten wie in diesem AVV und bleibt für deren Erfüllung verantwortlich.

7.3 IDup kündigt Ersatz oder Ergänzungen mindestens 30 Tage im Voraus per E-Mail oder im Konto an. Innerhalb dieser Frist kann die Verantwortliche aus wichtigen, datenschutzrechtlichen Gründen widersprechen. Kann der Einwand nicht gelöst werden, darf die Verantwortliche den betroffenen Teil des Dienstes zum Zeitpunkt der Änderung kündigen.

8. Rechte der betroffenen Personen

8.1 Wenn sich eine betroffene Person direkt an IDup wendet, leitet IDup die Anfrage unverzüglich an die Verantwortliche weiter und beantwortet sie nicht selbst.

8.2 IDup unterstützt die Verantwortliche mit geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe und Widerspruch. Der Dienst stellt dafür Such-, Export-, Korrektur- und Löschfunktionen bereit, welche die Verantwortliche selbst nutzen kann.

9. Unterstützung der Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt IDup den Verantwortlichen bei der Erfüllung der Verpflichtungen gemäss Art. 32 bis 36 DSGVO und den entsprechenden Verpflichtungen des revDSG, insbesondere der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten, der Datenschutz-Folgenabschätzungen und der vorherigen Konsultation.

10. Verletzungen des Schutzes von Personendaten

10.1 IDup meldet der Verantwortlichen jede Verletzung des Schutzes von Personendaten unverzüglich, in der Regel innert 48 Stunden ab Kenntnis.

10.2 Die Meldung umfasst, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen sowie eine Kontaktstelle.

10.3 Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt der Verantwortlichen; IDup unterstützt sie dabei.

11. Rückgabe und Löschung

11.1 Während der Vertragsdauer kann die Verantwortliche ihre Daten jederzeit über die Exportfunktionen des Dienstes beziehen.

11.2 Nach Vertragsende bleiben die Daten 30 Tage für den Export zugänglich. Danach wird die Umgebung zur Löschung vorgemerkt und spätestens 90 Tage nach Vertragsende endgültig gelöscht. Sicherungskopien werden im Rahmen der ordentlichen Sicherungszyklen überschrieben.

11.3 Gesetzliche Aufbewahrungspflichten bleiben vorbehalten; solche Daten werden gesperrt und nicht weiterverarbeitet.

12. Nachweise und Überprüfung

12.1 Auf Anfrage stellt IDup der Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind.

12.2 Die Verantwortliche kann höchstens einmal jährlich – und zusätzlich nach einer Verletzung des Datenschutzes – eine Überprüfung verlangen. Sie wird mit einer Vorankündigung von mindestens 30 Tagen, zu üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebs durchgeführt. Prüfende Dritte dürfen keine Wettbewerber von IDup sein und haben sich zur Vertraulichkeit zu verpflichten. Den angemessenen Aufwand von IDup kann diese in Rechnung stellen.

13. Haftung

Die Haftung richtet sich nach den Nutzungsbedingungen. Zwingende Haftungsbestimmungen des revDSG und der DSGVO, insbesondere Art. 82 DSGVO, bleiben vorbehalten.

14. Schlussbestimmungen

14.1 Dieser AVV gilt für die Dauer des Nutzungsvertrags. Bestimmungen, die ihrer Natur nach fortwirken – namentlich Vertraulichkeit und Löschung –, gelten darüber hinaus.

14.2 Bei Widersprüchen gehen die Bestimmungen dieses AVV den AGB vor, soweit es um die Bearbeitung von Personendaten geht.

14.3 Es gilt schweizerisches Recht; Gerichtsstand ist Reinach AG. Zwingende Gerichtsstände bleiben vorbehalten.

14.4 Dieser AVV besteht in deutscher und englischer Sprache; Übersetzungen in weitere Sprachen erfolgen maschinell. Massgebend ist die deutsche Fassung.