Dieser Auftragsverarbeitungsvertrag («AVV») regelt die Bearbeitung von Personendaten, die IDup im Auftrag ihrer Firmenkundinnen und Firmenkunden vornimmt. Er konkretisiert Art. 9 des schweizerischen Datenschutzgesetzes (revDSG) und Art. 28 der Datenschutz-Grundverordnung (DSGVO).
2.1 IDup bearbeitet Personendaten ausschliesslich, um den in den AGB beschriebenen Dienst zu erbringen: Buchhaltung und Rechnungswesen, Rechnungsstellung und Zahlungen, Offerten und Verträge, CRM und Leads, Projekte, Aufgaben und Tickets, Personaladministration und Zeiterfassung, digitale Postbox und Belegscan, Dokumentenablage, Kalender, Online-Buchung, Chat, Push-Nachrichten, Berichte sowie KI-Funktionen.
2.2 Art der Bearbeitung: Erheben, Speichern, Ordnen, Auslesen, Anzeigen, Übermitteln, Sichern, Wiederherstellen, Einschränken, Löschen und Vernichten.
2.3 Dauer: für die Laufzeit des Nutzungsvertrags zuzüglich der Fristen nach Ziff. 11.
| Kategorie betroffener Personen | Typische Datenkategorien |
|---|---|
| Mitarbeitende der Verantwortlichen | Name, Kontaktdaten, Funktion, Berechtigungen, Arbeitszeiten, Abwesenheiten, Lohndaten (sofern erfasst) |
| Kundinnen, Kunden und Kontakte | Name, Firma, Adresse, E-Mail, Telefon, Korrespondenz, Verträge, Offerten, Rechnungen, Zahlungsstatus |
| Lieferanten und Geschäftspartner | Firmen- und Kontaktdaten, Belege, Zahlungsdaten |
| Interessentinnen und Interessenten (Leads) | Kontaktdaten, Herkunft, Verlauf |
| Eingeladene Personen | Name, E-Mail, Status der Einladung, Verbindung zur Firma |
| Mandate (Module «Steuern» und «Treuhand») | Stammdaten, Steuer- und Treuhandunterlagen, Belege, Fristen |
Besonders schützenswerte Personendaten (z. B. Gesundheitsdaten in Abwesenheitsgründen, Angaben zu Sozialleistungen) werden nur bearbeitet, soweit die Verantwortliche sie im Dienst erfasst. Die Verantwortliche entscheidet darüber und trägt dafür die Verantwortung.
4.1 IDup bearbeitet Personendaten ausschliesslich nach dokumentierter Weisung der Verantwortlichen. Als Weisung gelten dieser AVV, die AGB, die Einstellungen im Konto und die Nutzung der Funktionen des Dienstes.
4.2 Weitergehende Weisungen sind in Textform an info@idup.com zu richten. Führen sie zu Mehraufwand oder sind sie technisch nur mit Anpassungen umsetzbar, kann IDup den Aufwand nach Absprache in Rechnung stellen.
4.3 Hält IDup eine Weisung für rechtswidrig, teilt sie dies unverzüglich mit und darf deren Ausführung bis zur Klärung aussetzen.
4.4 Ist IDup aufgrund schweizerischen oder anwendbaren EU-Rechts zur Bearbeitung verpflichtet, informiert sie die Verantwortliche vorgängig, sofern das Recht dies nicht verbietet.
IDup verpflichtet alle Personen, die Zugang zu Personendaten erhalten, vertraglich zur Vertraulichkeit; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Der Zugang wird nur gewährt, soweit er für die jeweilige Aufgabe erforderlich ist.
IDup trifft und unterhält mindestens folgende Massnahmen (Art. 8 revDSG, Art. 32 DSGVO):
IDup kann die Massnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.
7.1 Die Verantwortliche erteilt IDup die allgemeine Genehmigung, die nachstehenden Unterauftragnehmer beizuziehen:
| Unterauftragnehmer | Ort | Zweck |
|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland (Rechenzentrum Nürnberg) | Hosting und Betrieb aller Server (idup.com, login.idup.com, ai.idup.com) |
| Hostinger International Ltd | Zypern / Litauen | Versand und Empfang von E-Mails (SMTP, Postfach info@idup.com) |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Irland, USA | KI-Funktionen: IDup AI, AI Studio, Chatbots, Belegerkennung, Textvorschläge |
| Google Ireland Ltd / Google LLC | Irland, USA | Google Analytics 4 (Statistik auf idup.com), Firebase Cloud Messaging (Push an die App), Firebase Crashlytics (Absturzberichte der App), Google Fonts (Schriften) |
| GTranslate Inc. | USA (nutzt Google Translate) | Automatische Übersetzung der Website in 27 Sprachen |
| Stripe Payments Europe Ltd / Stripe, Inc. | Irland, USA | Abwicklung von Karten- und Online-Zahlungen |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Luxemburg | Abwicklung von PayPal-Zahlungen |
| systeme.io SAS | Frankreich (Auslieferung über Amazon CloudFront, Fehlerprotokolle an Sentry) | Kontaktformular und Newsletter auf idup.com – nur bei ausdrücklicher Einwilligung |
| Meta Platforms Ireland Ltd | Irland, USA | WhatsApp Business Cloud API sowie Facebook- und Instagram-Anbindung – nur wenn Sie diese Verbindung selbst herstellen |
| Cloudflare, Inc. | USA | Autoritative DNS-Namensauflösung für idup.com; Auslieferung einzelner JavaScript-Bibliotheken über unpkg.com auf login.idup.com |
| Apple Inc. / Google LLC | USA | Auslieferung der IDup-App über App Store und Google Play sowie Zustellung von Push-Nachrichten (APNs, FCM) |
7.2 IDup schliesst mit jedem Unterauftragnehmer Verpflichtungen ab, die den Anforderungen dieses AVV entsprechen, und bleibt für dessen Leistung verantwortlich.
7.3 Wechsel oder Neuaufnahmen teilt IDup mindestens 30 Tage im Voraus per E-Mail oder im Konto mit. Die Verantwortliche kann innert dieser Frist aus wichtigem, datenschutzrechtlich begründetem Anlass widersprechen. Lässt sich der Einwand nicht ausräumen, darf die Verantwortliche den betroffenen Leistungsteil auf den Zeitpunkt der Änderung kündigen.
8.1 Wendet sich eine betroffene Person direkt an IDup, leitet IDup das Anliegen unverzüglich an die Verantwortliche weiter und beantwortet es nicht selbst.
8.2 IDup unterstützt die Verantwortliche mit geeigneten technischen Mitteln bei Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe und Widerspruch. Der Dienst stellt dafür Such-, Export-, Korrektur- und Löschfunktionen bereit, welche die Verantwortliche selbst nutzen kann.
IDup unterstützt die Verantwortliche – im Rahmen des ihr Möglichen und unter Berücksichtigung der Art der Bearbeitung – bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO sowie den entsprechenden Pflichten des revDSG, namentlich bei der Sicherheit der Bearbeitung, bei Meldungen von Verletzungen des Datenschutzes, bei Datenschutz-Folgenabschätzungen und bei vorgängigen Konsultationen.
10.1 IDup meldet der Verantwortlichen jede Verletzung des Schutzes von Personendaten unverzüglich, in der Regel innert 48 Stunden ab Kenntnis.
10.2 Die Meldung umfasst, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Massnahmen sowie eine Kontaktstelle.
10.3 Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt der Verantwortlichen; IDup unterstützt sie dabei.
11.1 Während der Vertragsdauer kann die Verantwortliche ihre Daten jederzeit über die Exportfunktionen des Dienstes beziehen.
11.2 Nach Vertragsende bleiben die Daten 30 Tage für den Export zugänglich. Danach wird die Umgebung zur Löschung vorgemerkt und spätestens 90 Tage nach Vertragsende endgültig gelöscht. Sicherungskopien werden im Rahmen der ordentlichen Sicherungszyklen überschrieben.
11.3 Vorbehalten bleiben gesetzliche Aufbewahrungspflichten; solche Daten werden gesperrt und nicht weiter bearbeitet.
12.1 IDup stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind.
12.2 Die Verantwortliche kann höchstens einmal jährlich – und zusätzlich nach einer Verletzung des Datenschutzes – eine Überprüfung verlangen. Sie wird mit einer Vorankündigung von mindestens 30 Tagen, zu üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebs durchgeführt. Prüfende Dritte dürfen keine Wettbewerber von IDup sein und haben sich zur Vertraulichkeit zu verpflichten. Den angemessenen Aufwand von IDup kann diese in Rechnung stellen.
Die Haftung richtet sich nach den AGB. Zwingende Haftungsbestimmungen des revDSG und der DSGVO, namentlich Art. 82 DSGVO, bleiben vorbehalten.
14.1 Dieser AVV gilt für die Dauer des Nutzungsvertrags. Bestimmungen, die ihrer Natur nach fortwirken – namentlich Vertraulichkeit und Löschung –, gelten darüber hinaus.
14.2 Bei Widersprüchen gehen die Bestimmungen dieses AVV den AGB vor, soweit es um die Bearbeitung von Personendaten geht.
14.3 Es gilt schweizerisches Recht; Gerichtsstand ist Reinach AG. Zwingende Gerichtsstände bleiben vorbehalten.
14.4 Dieser AVV besteht in deutscher und englischer Sprache; Übersetzungen in weitere Sprachen erfolgen maschinell. Massgebend ist die deutsche Fassung.
This Data Processing Agreement ("DPA") governs the processing of personal data that IDup carries out on behalf of its business customers. It gives effect to art. 9 of the Swiss Federal Act on Data Protection (revFADP) and art. 28 of the General Data Protection Regulation (GDPR).
2.1 IDup processes personal data exclusively in order to provide the Service described in the Terms: accounting and bookkeeping, invoicing and payments, quotes and contracts, CRM and leads, projects, tasks and tickets, HR administration and time tracking, digital mailbox and receipt capture, document storage, calendar, online booking, chat, push notifications, reporting and AI features.
2.2 Nature of processing: collection, storage, organisation, retrieval, display, transmission, backup, restoration, restriction, erasure and destruction.
2.3 Duration: for the term of the contract of use plus the periods under section 11.
| Category of data subjects | Typical data categories |
|---|---|
| The controller's employees | name, contact details, role, permissions, working hours, absences, payroll data (if recorded) |
| Customers and contacts | name, company, address, email, phone, correspondence, contracts, quotes, invoices, payment status |
| Suppliers and business partners | company and contact details, documents, payment data |
| Prospects (leads) | contact details, source, history |
| Invited persons | name, email, invitation status, connection to the company |
| Mandates ("Tax" and "Fiduciary" modules) | master data, tax and fiduciary records, documents, deadlines |
Special categories of personal data (e.g. health data in absence reasons, social insurance details) are processed only to the extent the controller records them in the Service. The controller decides on this and bears responsibility for it.
4.1 IDup processes personal data exclusively on the controller's documented instructions. This DPA, the Terms, the settings in the account and the use of the Service's features constitute instructions.
4.2 Further instructions must be sent in text form to info@idup.com. Where they cause additional effort or can be implemented only with adaptations, IDup may charge the effort by agreement.
4.3 If IDup considers an instruction unlawful, it says so without delay and may suspend execution until the matter is clarified.
4.4 Where IDup is required to process data under Swiss or applicable EU law, it informs the controller beforehand unless the law prohibits this.
IDup contractually binds every person who is given access to personal data to confidentiality; the obligation survives the end of their engagement. Access is granted only to the extent required for the respective task.
IDup implements and maintains at least the following measures (art. 8 revFADP, art. 32 GDPR):
IDup may develop the measures further provided the level of protection is not reduced.
7.1 The controller grants IDup general authorisation to engage the following sub-processors:
| Sub-processor | Location | Purpose |
|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Germany (Nuremberg data centre) | Hosting and operation of all servers (idup.com, login.idup.com, ai.idup.com) |
| Hostinger International Ltd | Cyprus / Lithuania | Sending and receiving email (SMTP, mailbox info@idup.com) |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Ireland, USA | AI features: IDup AI, AI Studio, chatbots, receipt recognition, text suggestions |
| Google Ireland Ltd / Google LLC | Ireland, USA | Google Analytics 4 (statistics on idup.com), Firebase Cloud Messaging (push to the app), Firebase Crashlytics (app crash reports), Google Fonts |
| GTranslate Inc. | USA (uses Google Translate) | Automatic translation of the website into 27 languages |
| Stripe Payments Europe Ltd / Stripe, Inc. | Ireland, USA | Processing of card and online payments |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Luxembourg | Processing of PayPal payments |
| systeme.io SAS | France (delivery via Amazon CloudFront, error logs to Sentry) | Contact form and newsletter on idup.com – only with your explicit consent |
| Meta Platforms Ireland Ltd | Ireland, USA | WhatsApp Business Cloud API as well as Facebook and Instagram connections – only if you establish the connection yourself |
| Cloudflare, Inc. | USA | Authoritative DNS resolution for idup.com; delivery of individual JavaScript libraries via unpkg.com on login.idup.com |
| Apple Inc. / Google LLC | USA | Distribution of the IDup app via the App Store and Google Play and delivery of push notifications (APNs, FCM) |
7.2 IDup imposes on every sub-processor obligations equivalent to those in this DPA and remains responsible for its performance.
7.3 IDup announces replacements or additions at least 30 days in advance by email or in the account. Within that period the controller may object on important, data-protection-related grounds. If the objection cannot be resolved, the controller may terminate the affected part of the Service as of the date of the change.
8.1 If a data subject contacts IDup directly, IDup forwards the request to the controller without delay and does not answer it itself.
8.2 IDup supports the controller with appropriate technical means in handling access, rectification, erasure, restriction, portability and objection. The Service provides search, export, correction and deletion functions that the controller can use itself.
Taking into account the nature of the processing and the information available to it, IDup assists the controller in complying with the obligations under art. 32 to 36 GDPR and the corresponding obligations of the revFADP, in particular security of processing, notification of personal data breaches, data protection impact assessments and prior consultation.
10.1 IDup notifies the controller of any personal data breach without undue delay, as a rule within 48 hours of becoming aware of it.
10.2 The notification includes, where known: the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences, the measures taken and proposed, and a contact point.
10.3 Notification to the supervisory authority and to data subjects is the controller's responsibility; IDup assists.
11.1 During the term, the controller may obtain its data at any time using the Service's export functions.
11.2 After the contract ends, the data remains accessible for export for 30 days. Thereafter the environment is marked for deletion and permanently deleted no later than 90 days after the end of the contract. Backup copies are overwritten in the course of the regular backup cycles.
11.3 Statutory retention obligations remain reserved; such data is blocked and not processed further.
12.1 On request, IDup makes available to the controller the information necessary to demonstrate compliance with this DPA.
12.2 The controller may request an audit at most once a year – and additionally after a personal data breach. It is carried out on at least 30 days' notice, during normal business hours and without disrupting operations. Third-party auditors may not be competitors of IDup and must undertake confidentiality. IDup may charge its reasonable effort.
Liability is governed by the Terms of Service. Mandatory liability provisions of the revFADP and the GDPR, in particular art. 82 GDPR, remain reserved.
14.1 This DPA applies for the term of the contract of use. Provisions that by their nature survive – in particular confidentiality and deletion – continue to apply thereafter.
14.2 In case of conflict, this DPA prevails over the Terms as far as the processing of personal data is concerned.
14.3 Swiss law applies; the place of jurisdiction is Reinach AG. Mandatory places of jurisdiction remain reserved.
14.4 This DPA exists in German and English; translations into other languages are produced by machine. The German version is authoritative.
Copyright © 2026 - IDup. All rights Reserved.
We use cookies
We use necessary cookies to run this website. With your consent, we also use Google Analytics to understand how our website is used. You can change your choice at any time. Cookie Policy · Privacy Policy
