Citrum

Auftragsbearbeitungsvertrag (AVV)

Version 1.0 · gültig ab 1. September 2026

Dieser Auftragsbearbeitungsvertrag (nachfolgend «AVV») regelt die Rechte und Pflichten der Parteien im Rahmen der Bearbeitung von Personendaten durch die Anbieterin im Auftrag der Kundin bei der Nutzung der Software Citrum. Er ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und geht diesen im Bereich des Datenschutzes vor.

AuftragsbearbeiterineOrg GmbH, Brandstrasse 25, 8952 Schlieren (nachfolgend «Anbieterin»)
VerantwortlicheDie das Abonnement beziehende Firmenkundin (nachfolgend «Kundin»)
RechtsgrundlageArt. 9 des Bundesgesetzes über den Datenschutz (DSG, SR 235.1)
Gültig ab1. September 2026

1 Gegenstand, Zweck und Dauer der Bearbeitung

1.1Die Anbieterin stellt der Kundin die webbasierte Software Citrum für Treuhand-, Buchhaltungs- und Lohnarbeiten zur Verfügung. Im Rahmen dieser Bereitstellung und der damit verbundenen technischen Vorgänge bearbeitet die Anbieterin Personendaten im Auftrag und nach Weisung der Kundin.
1.2Zweck der Bearbeitung ist ausschliesslich die vertragsgemässe Erbringung der in den AGB definierten Software- und Plattformdienste (einschliesslich Datenspeicherung, Berechnungen, PDF-Generierung, Belegerfassung und Support).
1.3Die Dauer dieses AVV richtet sich nach der Laufzeit des Hauptvertrages (Abonnement über Citrum) und endet automatisch mit dessen Beendigung, vorbehaltlich der Bestimmungen über Aufbewahrung und Datenlöschung (Ziffer 8).

2 Art der Personendaten und Kategorien betroffener Personen

2.1Kategorien betroffener Personen:
  • Mitarbeitende und Organe der Kundin;
  • Kundinnen, Mandantinnen und Geschäftspartner der Kundin;
  • Mitarbeitende und Angehörige der Kundinnen/Mandantinnen der Kundin.
2.2Arten der bearbeiteten Personendaten:
  • Stammdaten & Kontaktdaten: Namen, Adressen, Telefonnummern, E-Mail-Adressen, Geburtsdaten, Zivilstand, Staatsangehörigkeit, AHV-Nummern;
  • Lohn- & Abrechnungsdaten: Löhne, Pensen, Arbeitszeiten, Bankverbindungen, Sozialversicherungsabzüge (AHV/IV/EO/ALV, BVG, UVG, KTG), Spesen;
  • Finanz- & Buchhaltungsdaten: Fakturen, Debitoren- und Kreditorendaten, Zahlungsverläufe, Bankbelege;
  • Dokumente & Schriftverkehr: Arbeitsverträge, Lohnausweise, Bescheinigungen, Kundenbriefe, gescannte Buchungsbelege.
2.3Besonders schützenswerte Personendaten (Art. 5 lit. c DSG):
In Citrum können Daten verarbeitet werden, die gesetzlich als besonders schützenswert gelten. Dies umfasst namentlich:
  • den Quellensteuer-Tarifcode (dessen Buchstabencode Aufschluss über die Kirchensteuerpflicht und damit über die religiöse Zugehörigkeit geben kann);
  • gesundheits- oder krankheitsbezogene Abzüge und Taggeldabrechnungen (KTG/UVGZ);
  • allfällige Lohnpfändungen oder behördliche Massnahmen.
Die Anbieterin führt für die Bearbeitung dieser Daten ein schriftliches Bearbeitungsreglement nach Art. 5 DSV, überprüft dieses regelmässig und stellt es der Kundin auf Verlangen zur Verfügung.

3 Pflichten der Anbieterin (Auftragsbearbeiterin)

3.1Weisungsgebundenheit: Die Anbieterin bearbeitet Personendaten ausschliesslich im Rahmen der vertraglichen Vereinbarungen und nach dokumentierter Weisung der Kundin. Eine Verwendung für eigene Zwecke, für Werbung oder die Weitergabe an unberechtigte Dritte ist untersagt.
3.2Vertraulichkeit: Die Anbieterin stellt sicher, dass alle Personen, die mit der Bearbeitung der Daten der Kundin betraut sind, zur Geheimhaltung verpflichtet wurden. Diese Geheimhaltungspflicht besteht auch nach Beendigung ihrer Tätigkeit fort.
3.3Unterstützung bei Betroffenenrechten (Art. 25 ff. DSG): Macht eine betroffene Person Rechte (Auskunft, Berichtigung, Löschung, Herausgabe) geltend, leitet die Anbieterin das Begehren unverzüglich an die Kundin weiter. Die Anbieterin unterstützt die Kundin mit geeigneten technischen Massnahmen bei der Erfüllung dieser Begehren.
3.4Unterstützung bei Datenschutz-Folgenabschätzungen: Die Anbieterin unterstützt die Kundin im Rahmen des Zumutbaren bei allfälligen Datenschutz-Folgenabschätzungen (Art. 22 DSG) sowie bei Konsultationen des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

4 Technische und organisatorische Massnahmen (TOMs, Art. 8 DSG)

4.1Die Anbieterin trifft angemessene technische und organisatorische Massnahmen nach Art. 8 DSG und Art. 1–4 DSV, um eine dem Risiko angemessene Datensicherheit zu gewährleisten. Dazu gehören insbesondere:
  • Vertraulichkeit & Zutrittskontrolle: Hosting in ISO/IEC 27001-zertifizierten Rechenzentren mit biometrischer und mehrstufiger physischer Zutrittskontrolle;
  • Zugangskontrolle: Ausschlisslich verschlüsselte Verbindungen (HTTPS / TLS 1.3), passwortgeschützte Konten mit bcrypt-Hashing, automatische Sperre nach 5 Fehlversuchen in 30 Minuten;
  • Mandantentrennung: Strikte logische Trennung aller Daten auf Datenbank- und Dateisystemebene (Filterung auf jeder SQL-Abfrage über appfk; Sperre von Dokumentenverzeichnissen gegen direkten Webzugriff);
  • Integritätskontrolle: Schutz vor SQL-Injection, Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF-Tokens auf administrativen Aktionen);
  • Verfügbarkeit & Belastbarkeit: Tägliche automatisierte Backups der gesamten Datenbank und aller Kundendokumente, getrennt vom Produktivsystem aufbewahrt, mit einer Vorhaltezeit von 7 Tagen;
  • Wiederherstellbarkeit: Regelmässige Überprüfung der Wiederherstellungsprozesse im Notfall.
4.2Die Anbieterin behält sich vor, die Sicherheitsmassnahmen dem technologischen Fortschritt und veränderten Bedrohungslagen anzupassen, sofern das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

5 Unterauftragsbearbeiter (Art. 9 Abs. 3 DSG)

5.1Die Kundin erteilt der Anbieterin mit Abschluss dieses Vertrages die allgemeine Genehmigung zum Beizug von Unterauftragsbearbeitern für den Betrieb der Infrastruktur.
5.2Die aktuell eingesetzten Unterauftragsbearbeiter sind unter citrum.ch/unterauftragsbearbeiter namentlich mit Sitz, Leistung und Datenkategorie aufgeführt:
  • Hetzner Online GmbH (Deutschland/Finnland): Betrieb der Server und Backups. Beide Staaten verfügen gemäss Anhang 1 DSV über ein vom Schweizer Bundesrat anerkanntes, angemessenes Datenschutzniveau (Art. 16 Abs. 1 DSG).
  • Cloudflare: DNS-Auflösung, Web Application Firewall und verschlüsselte Auslieferung am Netzwerkrand (Edge Zurich).
  • Betreiberin der Postfächer: noch nicht beigezogen – für citrum.ch ist kein Postfach in Betrieb. Anfragen gehen an [email protected]. Sobald ein Postfach eingerichtet wird, erscheint die betreibende Firma auf der Seite Unterauftragsbearbeiter.
5.3Die Anbieterin verpflichtet alle Unterauftragsbearbeiter vertraglich auf Datenschutz- und Geheimhaltungsstandards, die den Pflichten dieses AVV mindestens gleichwertig sind.
5.4Die Anbieterin informiert die Kundin über jede beabsichtigte Änderung oder Hinzuziehung eines neuen Unterauftragsbearbeiters mindestens 30 Tage im Voraus per E-Mail. Die Kundin hat das Recht, der Änderung innert dieser Frist aus wichtigem Grund zu widersprechen. Der Widerspruch berechtigt zur Kündigung des Abonnements auf den Zeitpunkt des Inkrafttretens.

6 Meldung von Verletzungen der Datensicherheit (Art. 24 DSG)

6.1Die Anbieterin benachrichtigt die Kundin unverzüglich, sobald ihr eine Verletzung der Datensicherheit (z. B. unbefugter Zugriff, Datenverlust oder Zerstörung) bekannt wird, die zu einem Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen führt.
6.2Die Meldung enthält mindestens:
  • eine Beschreibung der Art der Verletzung und der mutmasslich betroffenen Datenkategorien;
  • die wahrscheinlichen Folgen und Risiken für die betroffenen Personen;
  • die bereits ergriffenen oder geplanten Massnahmen zur Behebung und Schadensminderung;
  • die Kontaktdaten der internen Ansprechperson für Rückfragen.
6.3Die Anbieterin stellt der Kundin alle erforderlichen Auskünfte zur Verfügung, damit diese ihren allfälligen gesetzlichen Meldepflichten gegenüber dem EDÖB (Art. 24 Abs. 1 DSG) und den betroffenen Personen (Art. 24 Abs. 4 DSG) nachkommen kann.

7 Kontrollrechte der Kundin

7.1Die Kundin ist berechtigt, die Einhaltung der Bestimmungen dieses AVV und der gesetzlichen Datenschutzvorschriften durch die Anbieterin zu überprüfen.
7.2Die Anbieterin stellt der Kundin auf schriftliche Anfrage die zum Nachweis der Einhaltung der TOMs erforderlichen Informationen, Sicherheitsnachweise und Zertifikate zur Verfügung.
7.3Sollte im Einzelfall eine Vor-Ort-Kontrolle erforderlich sein, erfolgt diese nach vorheriger schriftlicher Ankündigung mit angemessener Frist (mindestens 14 Tage) während der üblichen Geschäftszeiten, ohne den Betriebsablauf unverhältnismässig zu stören und unter Wahrung der Geschäftsgeheimnisse der Anbieterin und anderer Kundinnen.

8 Beendigung, Datenrückgabe und Löschung

8.1Nach Beendigung des Abonnements bewahrt die Anbieterin den Datenbestand der Kundin gemäss AGB Ziffer 7.2 und 9 auf, um eine spätere Reaktivierung zu ermöglichen.
8.2Die Kundin kann ihre Daten während der Laufzeit und vor einer endgültigen Löschung jederzeit eigenständig über die Exportfunktionen (CSV für Stammdaten, PDF für Belege und Lohnabrechnungen) exportieren.
8.3Eine vollständige und endgültige Löschung aller Mandantendaten erfolgt ausschliesslich auf ausdrückliche schriftliche Weisung der Kundin. Die Anbieterin führt die Löschung innert 30 Tagen auf allen Produktivsystemen aus und bestätigt dies.
8.4Ausgenommen von der sofortigen Löschung sind Sicherungskopien (Backups), die aus technischen Gründen erst nach Ablauf des regulären Rotationszyklus (7 Tage) endgültig überschrieben werden, sowie Daten, für die eine gesetzliche Aufbewahrungspflicht der Anbieterin besteht.

9 Schlussbestimmungen

9.1Änderungen oder Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für das Abbedingen des Schriftformerfordernisses.
9.2Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.
9.3Dieser AVV untersteht ausschliesslich schweizerischem Recht unter Ausschluss kollisionsrechtlicher Normen. Ausschliesslicher Gerichtsstand ist der Sitz der Anbieterin (zurzeit Schlieren, Kanton Zürich).