Auftragsbearbeitungsvertrag (AVV)

dem Kunden
– Kunde / Verantwortlicher –

und der

StrawBlond GmbH
Bachstrasse 6
8633 Wolfhausen ZH
Schweiz
– Anbieter / Auftragsbearbeiter –

über die Bearbeitung von Personendaten im Auftrag (Art. 9 DSG).

1. Gegenstand und Geltungsbereich

1.1 Dieser Auftragsbearbeitungsvertrag («AVV») konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Vertrag über die Nutzung von Blond (Allgemeine Geschäftsbedingungen des Anbieters, «AGB»). Er ist gemäss Ziffer 16.2 der AGB integrierender Bestandteil des Vertrages und gilt für sämtliche Kunden.

1.2 Der AVV findet Anwendung auf alle Tätigkeiten, bei denen der Anbieter oder von ihm beigezogene Unterauftragsbearbeiter Personendaten bearbeiten, die der Kunde im Rahmen der Nutzung von Blond einbringt («Kundendaten mit Personenbezug»).

1.3 Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Vertrages. Pflichten, die ihrer Natur nach über das Vertragsende hinauswirken (insbesondere Vertraulichkeit und Löschung), bleiben bestehen.

2. Rollen und anwendbares Recht

2.1 Der Kunde ist Verantwortlicher im Sinne von Art. 5 lit. j des Schweizer Datenschutzgesetzes (DSG); der Anbieter bearbeitet die Kundendaten mit Personenbezug als Auftragsbearbeiter im Sinne von Art. 9 DSG ausschliesslich im Auftrag und nach den Weisungen des Kunden.

2.2 Soweit auf die Bearbeitung die EU-Datenschutz-Grundverordnung (DSGVO) anwendbar ist, gelten die Bestimmungen dieses AVV zugleich als Vereinbarung im Sinne von Art. 28 Abs. 3 DSGVO; die Begriffe dieses AVV sind diesfalls im Sinne der DSGVO zu verstehen (Verantwortlicher/Auftragsverarbeiter).

2.3 Der Kunde ist für die Rechtmässigkeit der Bearbeitung, insbesondere für die Rechtsgrundlagen der Weitergabe der Daten an den Anbieter und für die Information der betroffenen Personen, allein verantwortlich.

3. Gegenstand, Art und Zweck der Bearbeitung

3.1 Gegenstand, Art und Zweck der Bearbeitung, die Kategorien der bearbeiteten Personendaten und der betroffenen Personen ergeben sich aus Anhang A.

3.2 Die Bearbeitung erfolgt ausschliesslich zum Zweck der Erbringung der vertraglichen Leistungen gemäss AGB (Betrieb, Wartung, Sicherung, Support und Weiterentwicklung von Blond).

4. Weisungen

4.1 Die Weisungen des Kunden sind anfänglich durch den Vertrag (AGB samt Leistungsbeschreibung) und die Konfiguration der Software durch den Kunden festgelegt. Sie können vom Kunden durch schriftliche Mitteilung (Textform genügt, z.B. E-Mail an datenschutz@blond.swiss) geändert oder ergänzt werden. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, gelten als Antrag auf Leistungsänderung.

4.2 Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, eine Weisung verstosse gegen anwendbares Datenschutzrecht. Er darf die Umsetzung der betreffenden Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

5. Vertraulichkeit

5.1 Der Anbieter gewährleistet, dass sämtliche zur Bearbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterstehen und die Daten nur weisungsgemäss bearbeiten. Die Vertraulichkeitspflicht besteht nach Beendigung des Auftrags fort.

6. Datensicherheit

6.1 Der Anbieter trifft geeignete technische und organisatorische Massnahmen («TOM»), um eine dem Risiko angemessene Datensicherheit zu gewährleisten (Art. 8 DSG, Art. 32 DSGVO), insbesondere hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Bearbeitung. Die aktuellen TOM sind in Anhang B beschrieben.

6.2 Die TOM unterliegen dem technischen Fortschritt. Der Anbieter darf sie weiterentwickeln, sofern das Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

7. Unterauftragsbearbeiter

7.1 Der Kunde erteilt hiermit die allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern. Die aktuell eingesetzten Unterauftragsbearbeiter sind in Anhang C aufgeführt; die jeweils aktuelle Liste ist permanent auf dieser Seite abrufbar.

7.2 Der Anbieter informiert den Kunden über den geplanten Beizug oder Ersatz eines Unterauftragsbearbeiters mindestens 30 Tage im Voraus durch Aktualisierung der Liste und in geeigneter Weise (z.B. per E-Mail oder in der Software). Der Kunde kann der Änderung innert dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, steht dem Kunden ein ausserordentliches Kündigungsrecht auf den Zeitpunkt des Wirksamwerdens der Änderung zu; Ziffer 14.2 der AGB (anteilige Rückerstattung) gilt sinngemäss.

7.3 Der Anbieter überträgt seine datenschutzrechtlichen Pflichten aus diesem AVV vertraglich auf die Unterauftragsbearbeiter und stellt insbesondere sicher, dass diese angemessene Garantien für Datenschutz und Datensicherheit bieten. Für Leistungen der Unterauftragsbearbeiter haftet der Anbieter nach Massgabe von Ziffer 15 der AGB.

7.4 Dienstleister ohne Zugriff auf Kundendaten mit Personenbezug (z.B. reine Infrastruktur- oder Netzwerkleistungen ohne Datenzugriff) gelten nicht als Unterauftragsbearbeiter und erscheinen nicht in Anhang C.

8. Bearbeitung im Ausland

8.1 Die Bearbeitung und Speicherung der Kundendaten (Applikationsdaten und Sicherungen) erfolgt grundsätzlich in der Schweiz (vgl. Ziffer 7.1 AGB).

8.2 Einzelne Unterauftragsbearbeiter bearbeiten Daten im EU-/EWR-Raum (Staaten mit angemessenem Datenschutzniveau gemäss Beschluss des Bundesrates).

8.3 Bei Aktivierung der erweiterten KI-Funktionen (Opt-in) gemäss Ziffer 8 der AGB können Daten durch Unterauftragsbearbeiter in den USA bearbeitet werden. Die Übermittlung erfolgt gestützt auf einen Angemessenheitsbeschluss (Swiss–U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder auf die EU-Standardvertragsklauseln mit Schweizer Ergänzungen (Art. 16 Abs. 2 lit. d DSG). Einzelheiten je Empfänger ergeben sich aus Anhang C.

8.4 Eine darüber hinausgehende Bekanntgabe von Kundendaten ins Ausland erfolgt nur unter Einhaltung der Voraussetzungen von Art. 16 ff. DSG.

9. KI-Funktionen

9.1 Für die Bearbeitung von Kundendaten im Rahmen der KI-Funktionen gilt Ziffer 8 der AGB. Kundendaten werden nicht zum Training von KI-Modellen verwendet – weder durch den Anbieter noch durch Unterauftragsbearbeiter. Der Anbieter vereinbart mit den betreffenden Unterauftragsbearbeitern vertraglich, dass übermittelte Daten ausschliesslich zur Erbringung der Leistung bearbeitet und nicht zu eigenen Zwecken (einschliesslich Modelltraining) verwendet werden.

10. Unterstützung des Kunden

10.1 Der Anbieter unterstützt den Kunden im Rahmen seiner Möglichkeiten und soweit erforderlich bei der Wahrung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Datenherausgabe), insbesondere durch die in der Software vorhandenen Export-, Berichtigungs- und Löschfunktionen.

10.2 Wendet sich eine betroffene Person direkt an den Anbieter, verweist dieser sie – soweit eine Zuordnung möglich ist – an den Kunden und leitet das Ersuchen unverzüglich weiter. Der Anbieter beantwortet solche Ersuchen nicht selbst, ausser er ist dazu gesetzlich verpflichtet.

10.3 Der Anbieter unterstützt den Kunden im Rahmen seiner Möglichkeiten bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden, soweit diese die Bearbeitung nach diesem AVV betreffen.

10.4 Aufwände für Unterstützungsleistungen, die über die in der Software vorhandenen Funktionen und ein zumutbares Mass hinausgehen, kann der Anbieter nach Aufwand verrechnen.

11. Meldung von Verletzungen der Datensicherheit

11.1 Der Anbieter meldet dem Kunden Verletzungen der Datensicherheit, die Kundendaten mit Personenbezug betreffen, unverzüglich nach Kenntnisnahme. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Massnahmen.

11.2 Der Anbieter trifft unverzüglich die erforderlichen Massnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und stimmt sich mit dem Kunden ab. Die Beurteilung und allfällige Meldung an den EDÖB (Art. 24 DSG) bzw. an Aufsichtsbehörden und betroffene Personen obliegt dem Kunden als Verantwortlichem; der Anbieter unterstützt ihn dabei.

12. Nachweise und Kontrollen

12.1 Der Anbieter weist die Einhaltung seiner Pflichten aus diesem AVV mit geeigneten Mitteln nach, insbesondere durch regelmässige interne Überprüfungen (Selbstaudits) seiner TOM und auf Anfrage durch aussagekräftige Dokumentation. Die produktiven Systeme werden in ISO-27001-zertifizierten Rechenzentren betrieben (vgl. Anhang B und C).

12.2 Soweit die Nachweise nach Ziffer 12.1 im Einzelfall nicht ausreichen, kann der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer höchstens einmal jährlich (sowie bei konkretem Anlass) eine Kontrolle durchführen. Kontrollen erfolgen nach Voranmeldung mit angemessener Frist, während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit der Daten anderer Kunden. Steht der beauftragte Prüfer in einem Wettbewerbsverhältnis zum Anbieter, kann der Anbieter ihn ablehnen. Der Anbieter kann den Aufwand für Kontrollen, die keine erheblichen Mängel zutage fördern, nach Aufwand verrechnen.

12.3 Für Kontrollen durch Datenschutz-Aufsichtsbehörden gilt Ziffer 12.2 sinngemäss; eine Verschwiegenheitserklärung ist nicht erforderlich, soweit die Behörde einer gesetzlichen Schweigepflicht untersteht.

13. Rückgabe und Löschung

13.1 Während der Vertragsdauer kann der Kunde seine Daten jederzeit über die Exportfunktionen der Software exportieren oder deren Herausgabe verlangen (Ziffer 7.4 AGB).

13.2 Nach Vertragsende gilt Ziffer 7.5 der AGB: Der Kunde kann während 90 Tagen die Herausgabe seiner Daten verlangen; danach löscht der Anbieter sämtliche Kundendaten mit Personenbezug unwiderruflich und veranlasst die Löschung bei den eingesetzten Unterauftragsbearbeitern; dort erfolgt die Löschung gemäss deren dokumentierten Löschfristen. Sicherungskopien werden im Rahmen der regulären Backup-Zyklen innert längstens sechs Monaten überschrieben. Vorbehalten bleibt eine Aufbewahrung, zu welcher der Anbieter gesetzlich verpflichtet ist.

14. Haftung

14.1 Die Haftung richtet sich nach Ziffer 15 der AGB.

15. Schlussbestimmungen

15.1 Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in Bezug auf die Bearbeitung von Personendaten im Auftrag vor (Ziffer 20.3 AGB). Im Übrigen gelten die AGB, einschliesslich anwendbarem Recht und Gerichtsstand (Ziffer 20.4 AGB).

15.2 Kontaktstelle des Anbieters für Datenschutzfragen: datenschutz@blond.swiss (StrawBlond GmbH).

15.3 Änderungen dieses AVV richten sich nach Ziffer 14 der AGB.

Gegenstand des Auftrags: Bearbeitung von Personendaten des Kunden im Rahmen der Nutzung von Blond als Software-as-a-Service (Betrieb, Speicherung, Sicherung, Support, Weiterentwicklung).

Art und Zweck der Bearbeitung: Speicherung, Strukturierung, Anzeige, Auswertung und Übermittlung der vom Kunden eingebrachten Daten zur Erbringung der Funktionen von Blond, insbesondere Offerten- und Rechnungsstellung, Kontakt-/Kundenverwaltung (CRM), Projektverwaltung und Zeiterfassung, Ausgaben- und Belegverwaltung (einschliesslich automatischem Belegauslesen), Buchhaltung, Banking-Funktionen und Personaladministration.

Kategorien von Personendaten (abhängig von der Nutzung durch den Kunden):

• Stammdaten und Kontaktdaten (Name, Firma, Adresse, Telefon, E-Mail)

• Vertrags-, Abrechnungs- und Zahlungsdaten (Rechnungen, Offerten, Zahlungsinformationen, Bankverbindungen)

• Belege und darin enthaltene Angaben

• Projekt- und Leistungsdaten (Zeiterfassung, Rapporte)

• Personaldaten der Mitarbeitenden des Kunden (Anstellungs- und Lohndaten, Arbeitszeiten, Abwesenheiten)

Der Kunde kann dabei auch besonders schützenswerte Personendaten bearbeiten (z.B. gesundheitsbezogene Angaben im Rahmen von Absenzen). Der Kunde stellt sicher, dass er hierfür über die erforderlichen Rechtsgrundlagen verfügt.

Kategorien betroffener Personen (abhängig von der Nutzung durch den Kunden):

• Mitarbeitende des Kunden (einschliesslich ehemaliger Mitarbeitender und Bewerbender)

• Kunden und Interessenten des Kunden sowie deren Ansprechpersonen

• Lieferanten und Dienstleister des Kunden sowie deren Ansprechpersonen

1. Infrastruktur und Zutritt. Betrieb der produktiven Systeme in Rechenzentren in der Schweiz (Nine Internet Solutions AG, ISO-27001-zertifiziert), gemanagt durch die Onlime GmbH. Physische Zutrittskontrollen und Überwachung liegen in der Verantwortung des Rechenzentrumsbetreibers (ISO 27001 und ISO 9001 zertifiziert).

2. Verschlüsselung. Verschlüsselte Übertragung sämtlicher Daten zwischen Client und Server sowie zwischen Systemkomponenten (TLS). Wöchentliche Offline-Sicherungskopien werden verschlüsselt (AES-256) und räumlich getrennt vom Rechenzentrum aufbewahrt. Der Primärspeicher ist durch die physischen und organisatorischen Massnahmen des ISO-27001-zertifizierten Rechenzentrums sowie strikte Zugriffskontrollen geschützt.

3. Zugangs- und Zugriffskontrolle. Rollenbasiertes Berechtigungskonzept nach dem Prinzip der minimalen Berechtigung; persönliche Konten, starke Passwörter und Zwei-Faktor-Authentifizierung für administrative Zugänge; Sperrung bei Austritt; Protokollierung administrativer Zugriffe. Zugriff von Mitarbeitenden des Anbieters auf Kundendaten nur soweit für Support oder Betrieb erforderlich.

4. Mandantentrennung. Logische Trennung der Daten der einzelnen Kunden (mandantenfähige Architektur); Berechtigungsprüfung auf Applikationsebene bei jedem Zugriff.

5. Verfügbarkeit und Sicherung. Redundante Systemauslegung; mindestens tägliche automatisierte Sicherungen auf getrennte Systeme (Aufbewahrung bis sechs Monate) sowie zusätzliche verschlüsselte Offline-Kopien; erprobtes, regelmässig angewendetes Wiederherstellungsverfahren; Überwachung (Monitoring/Alerting) des Betriebs.

6. Software-Entwicklung. Versionskontrolle, Code-Review und getrennte Umgebungen für Entwicklung, Test und Produktion; zeitnahes Einspielen von Sicherheitsaktualisierungen; keine produktiven Kundendaten in Entwicklungs- und Testumgebungen, soweit nicht zur Fehleranalyse zwingend erforderlich.

7. Organisation. Vertraulichkeitsverpflichtung aller Mitarbeitenden; Sensibilisierung für Datenschutz und Informationssicherheit; dokumentierter Prozess für Sicherheitsvorfälle (Erkennung, Eindämmung, Meldung, Nachbearbeitung); regelmässige interne Überprüfung der Wirksamkeit der Massnahmen.

8. Löschung. Datenschutzkonforme Löschverfahren gemäss Ziffer 13 AVV; sichere Entsorgung bzw. Rückgabe von Datenträgern.

Stand: 01. September 2026. Die jeweils aktuelle Liste ist permanent auf dieser Seite abrufbar. Änderungen werden gemäss Ziffer 7.2 AVV mindestens 30 Tage im Voraus angekündigt.

* Übermittlungen in die USA erfolgen gestützt auf das Swiss–U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln mit Schweizer Ergänzungen (Ziffer 8.3 AVV).

Vom Kunden aktivierte Drittanbieter (z.B. Bexio, Shopify, Slack, Stripe-Import, swiDOC-Archivierung, Kassensystem-Anbindungen) sind keine Unterauftragsbearbeiter des Anbieters: Der Kunde aktiviert sie selbst, und der Datenaustausch erfolgt in seinem Auftrag direkt mit dem jeweiligen Anbieter (Ziffer 9 AGB).