Vereinbarung zur Auftragsbearbeitung
Stand: 23. Oktober 2026 · nach Art. 9 DSG und Art. 28 DSGVO
Diese Vereinbarung ist Bestandteil jedes Vertrags über AccountyBook (siehe AGB, Ziffer 8). Sie gilt, ohne dass sie separat unterzeichnet werden muss. Wer eine unterzeichnete Ausfertigung für die eigenen Akten braucht, erhält sie auf Anfrage an book@accounty-book.com.
1. Parteien und Rollen
Verantwortliche: die Kundin von AccountyBook (zum Beispiel ein Treuhandbüro oder ein Unternehmen). Sie entscheidet, welche Belege bearbeitet werden und wofür.
Auftragsbearbeiter: SEBONA Treuhand Böhner, Inhaber Sebastian Böhner, Hohstrasse 1, 8302 Kloten, Schweiz (nachfolgend «wir»).
2. Gegenstand, Art und Zweck
Wir lesen hochgeladene Belege, erkennen die Angaben darauf, schlagen nach dem Kontenplan und den Regeln der Kundin Buchungen vor und erzeugen auf ihren Wunsch eine Exportdatei. Die Bearbeitung dauert so lange wie der Vertrag über AccountyBook.
3. Betroffene Daten und Personen
| Datenart | Beispiele |
|---|---|
| Belege | Lieferantenrechnungen, Quittungen, Ausgangsrechnungen, Spesenbelege, wie die Kundin sie hochlädt |
| Erkannte Angaben und Buchungen | Lieferant, UID, Datum, Belegnummer, Beträge, MWST, Währung, IBAN, Zahlungsreferenz, vorgeschlagene Konten und Buchungstexte |
| Stammdaten der Kundin | Kontenpläne, Regeln pro Lieferant, Exportvorlagen, Mandantennamen |
| Kontodaten der Nutzenden | Name, E-Mail-Adresse, Anmeldeart, Anmeldeprotokoll |
Betroffen sind die Kundin, ihre Mitarbeitenden, ihre Mandanten sowie deren Geschäftspartner, Mitarbeitende und Kundinnen. Belege können besonders schützenswerte Personendaten enthalten (zum Beispiel Arztrechnungen). Wir bearbeiten sie wie alle anderen Belege nach dieser Vereinbarung.
4. Unsere Pflichten
- Wir bearbeiten die Daten nur nach den Weisungen der Kundin. Die Weisungen ergeben sich aus dem Vertrag und aus den Einstellungen, die sie in AccountyBook vornimmt. Weitere Weisungen erteilt sie per E-Mail. Halten wir eine Weisung für rechtswidrig, sagen wir das sofort.
- Wir verwenden die Daten nicht für eigene Zwecke, geben sie nicht weiter und nutzen sie nicht zum Training von KI-Modellen.
- Wer bei uns Zugang zu Daten hat, ist zur Verschwiegenheit verpflichtet. Wir schauen Belege nur an, wenn die Kundin uns darum bittet, etwa zur Fehlersuche.
- Wir unterstützen die Kundin dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Herausgabe) und ihre Pflichten bei Datenschutz-Folgenabschätzungen und gegenüber Aufsichtsbehörden zu erfüllen.
- Wir melden der Kundin eine Verletzung der Datensicherheit, die ihre Daten betrifft, so rasch als möglich, spätestens innert 48 Stunden nach Kenntnis. Die Meldung beschreibt, was geschehen ist, welche Daten betroffen sind und was wir dagegen tun.
5. Technische und organisatorische Massnahmen
- Verschlüsselung: Übertragung nur über HTTPS (TLS). Jede gespeicherte Datei ist mit einem eigenen Schlüssel verschlüsselt (AES-256-GCM). Der Hauptschlüssel liegt nicht in der Datenbank. Beim Löschen wird der Dateischlüssel vernichtet.
- Zugang: Anmeldung nur über Google, Microsoft oder einen einmaligen Code per E-Mail, ohne Passwörter. Codes sind kurz gültig, werden nur als Hashwert gespeichert und nach wiederholten Fehlversuchen gesperrt.
- Trennung: Jede Datenbankabfrage ist an die Organisation gebunden. Die Anwendung arbeitet mit einem Datenbankkonto mit minimalen Rechten, das Protokoll kann sie nicht ändern.
- Isolierte Verarbeitung: Hochgeladene PDF-Dateien werden in einer abgeschotteten Umgebung ohne Internet- und Datenbankzugang geöffnet und in Seitenbilder umgewandelt.
- Datensparsamkeit: Belege werden 30 Tage nach dem Hochladen automatisch gelöscht und sind nicht in den Datensicherungen enthalten. IP-Adressen speichern wir nur als Hashwert.
- Nachvollziehbarkeit: Anmeldungen, Uploads, Exporte und Löschungen werden protokolliert.
- Betrieb: Server in einem Rechenzentrum in Deutschland, Datenbank und Verarbeitung von aussen nicht erreichbar, Container ohne Sonderrechte. Datensicherungen sind verschlüsselt.
Wir passen die Massnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.
6. Unterauftragsbearbeiter
Die Kundin ist einverstanden, dass wir die folgenden Unterauftragsbearbeiter einsetzen. Wir verpflichten sie vertraglich auf ein gleichwertiges Schutzniveau.
| Anbieter | Zweck | Ort der Bearbeitung |
|---|---|---|
| Hostinger International Ltd. (Zypern) | Server für Anwendung, Datenbank und gespeicherte Belege | Deutschland |
| Amazon Web Services EMEA SARL (Luxemburg) | Lesen der Belege und Buchungsvorschläge mit einem KI-Modell (Amazon Bedrock). Die Daten werden nur für die jeweilige Anfrage bearbeitet und nicht gespeichert oder zum Training verwendet. | EU (Region Stockholm, Verarbeitung nur in EU-Regionen) |
| Hostpoint AG (Schweiz) | E-Mail-Versand (Anmeldecodes, Benachrichtigungen) | Schweiz |
Einen neuen oder anderen Unterauftragsbearbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an. Die Kundin kann aus wichtigem Grund widersprechen. Finden wir keine Lösung, kann sie den Vertrag auf den Wechsel hin beenden; nicht genutztes gekauftes Guthaben erstatten wir dann anteilig zurück. Eine Bekanntgabe von Belegen in Staaten ohne angemessenes Datenschutzniveau findet nicht statt.
7. Kontrolle
Die Kundin kann bei uns Auskunft über die Einhaltung dieser Vereinbarung verlangen. Auf Wunsch stellen wir ihr unsere Sicherheitsbeschreibung zur Verfügung. Kontrollen vor Ort sind nach Voranmeldung und auf eigene Kosten der Kundin möglich, wenn die schriftliche Auskunft nicht genügt.
8. Ende der Bearbeitung
Nach Vertragsende löschen wir alle Daten der Kundin innert 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Belege sind zu diesem Zeitpunkt in aller Regel bereits nach 30 Tagen gelöscht. Vor dem Vertragsende kann die Kundin ihre Buchungen exportieren.
9. Schlussbestimmungen
Bei Widersprüchen geht diese Vereinbarung den AGB vor, soweit es um den Schutz von Personendaten geht. Es gilt Schweizer Recht, Gerichtsstand ist Kloten. Für Kundinnen in der EU gelten zusätzlich die zwingenden Bestimmungen der DSGVO.