Vereinbarung zur Auftragsbearbeitung
Stand: 8. Oktober 2026
Diese Standard-AVV gilt zwischen CodezWerk («Fincero») und der in einem Fincero-Konto bezeichneten Organisation («Kunde»), sobald sie durch die AGB, eine Bestellung oder eine individuelle Vereinbarung in den Vertrag einbezogen wird. Sie konkretisiert die Bearbeitung von Personendaten im Auftrag des Kunden.
1. Parteien und Rollen
Der Kunde ist für Personendaten verantwortlich, die er oder seine Benutzer in Fincero eingeben, importieren, erzeugen oder über Integrationen bearbeiten lassen. Fincero bearbeitet diese Daten als Auftragsbearbeiter nach den dokumentierten Weisungen des Kunden. Für eigene Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Supportdaten bleibt CodezWerk selbst verantwortlich; diese Daten fallen nicht unter die Auftragsbearbeitung dieser AVV.
2. Gegenstand und Dauer
Gegenstand ist die Bereitstellung der gebuchten Fincero-Funktionen, insbesondere Speicherung, Strukturierung, Anzeige, Übermittlung, Berechnung, Import, Export, Sicherung und Löschung von Geschäftsdaten. Die Auftragsbearbeitung beginnt mit der Bereitstellung des Organisationsbereichs und dauert bis zur vollständigen vertragsgemässen Rückgabe oder Löschung der Auftragsdaten. Gesetzliche Aufbewahrungs- und Nachweispflichten bleiben vorbehalten.
3. Art und Zweck der Bearbeitung
Die Bearbeitung erfolgt automatisiert, soweit dies zur Nutzung der vom Kunden gewählten Module erforderlich ist. Dazu können CRM, Verkaufsdokumente, Buchhaltung, Banking-Import, Projekte, Zeiterfassung, Kalender, Lager, Kommunikation, Tickets, E-Mail, SMS, Integrationen, Kundenportale, Exporte und Wiederherstellung gehören. Fincero verwendet Auftragsdaten nicht für eigene Werbung, den Verkauf von Adressdaten oder sachfremde Zwecke.
4. Kategorien von Daten und betroffenen Personen
Bei aktivierten Personalmodulen umfasst der Auftrag auch Personalstammdaten, Lohnangaben, Arbeitszeiten, Ferien, Spesen sowie Krankmeldungen und Arztzeugnisse von Mitarbeitenden. Gesundheitsdaten sind besonders schützenswert. Der Kunde beschränkt die Erfassung auf erforderliche Angaben, legt die zulässigen Zwecke und Aufbewahrungsfristen fest und vergibt Personalzugriffe nach dem Erforderlichkeitsprinzip. Fincero verarbeitet diese Daten zur Bereitstellung der gewählten Funktionen, nicht zur medizinischen Diagnoseauswertung.
Auftragsdaten können insbesondere umfassen:
- Identitäts-, Kontakt-, Firmen-, Vertrags-, Kunden- und Lieferantendaten;
- Rechnungs-, Zahlungs-, Bank-, Buchhaltungs-, Steuer- und Transaktionsdaten;
- Projekt-, Aufgaben-, Kalender-, Zeit-, Produkt-, Lager- und Kommunikationsdaten;
- Dokumente, Anhänge, E-Mail- und Ticketinhalte, Notizen und technische Nutzungsdaten;
- Integrations- und Konfigurationsdaten, soweit sie einen Personenbezug aufweisen.
Betroffene Personen können Kunden, Interessenten, Mitarbeitende, Bewerbende, Ansprechpartner von Lieferanten und Partnern, Empfänger von Dokumenten oder Nachrichten sowie weitere Geschäftskontakte des Kunden sein. Der Kunde erfasst besonders schützenswerte Personendaten nur, wenn dies erforderlich und rechtmässig ist und er Fincero vorab über besondere Schutzanforderungen informiert hat.
5. Weisungen des Kunden
Die Nutzung der Plattform, Einstellungen, Rollen, Importe, Exporte, Integrationen und Supportanfragen bilden die dokumentierten Weisungen des Kunden. Zusätzliche Weisungen sind in Textform an den Fincero-Support zu richten. Fincero informiert den Kunden, wenn eine Weisung nach eigener Einschätzung gegen anwendbares Datenschutzrecht verstösst, und kann deren Ausführung bis zur Klärung aussetzen. Führt eine zusätzliche Weisung zu unverhältnismässigem Aufwand, wird dieser vorab vereinbart.
6. Pflichten von Fincero
Fincero verpflichtet sich insbesondere:
- Auftragsdaten nur gemäss Vertrag und Weisungen zu bearbeiten;
- den Zugriff auf Personen zu beschränken, die ihn zur Leistungserbringung benötigen und zur Vertraulichkeit verpflichtet sind;
- angemessene technische und organisatorische Massnahmen gemäss der veröffentlichten TOM-Beschreibung umzusetzen;
- den Kunden bei Datenschutzbegehren, Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und Behördenanfragen angemessen zu unterstützen;
- dem Kunden die zur Erfüllung seiner Nachweispflichten erforderlichen Informationen bereitzustellen;
- Auftragsdaten nach Vertragsende gemäss Ziffer 12 zurückzugeben oder zu löschen.
7. Pflichten des Kunden
Der Kunde bleibt für Rechtmässigkeit, Transparenz, Datenrichtigkeit, Berechtigungskonzepte, Aufbewahrungsfristen und die Beantwortung von Betroffenenbegehren verantwortlich. Er stellt sicher, dass seine Weisungen zulässig sind und keine Daten in Fincero eingegeben werden, für deren Bearbeitung die vereinbarten Schutzmassnahmen offensichtlich nicht ausreichen. Er informiert Fincero unverzüglich über Fehler, unberechtigte Zugriffe oder besondere Risiken in seinem Verantwortungsbereich.
8. Technische und organisatorische Massnahmen
Die jeweils aktuelle Beschreibung der Massnahmen ist unter /tom abrufbar und bildet einen Anhang dieser AVV. Fincero darf Massnahmen dem technischen Fortschritt und der Risikolage entsprechend ändern, sofern das vereinbarte Schutzniveau insgesamt nicht wesentlich vermindert wird. Ein betriebliches Wiederherstellungs-Backup ist kein gesetzliches Langzeitarchiv.
9. Unterauftragnehmer
Der Kunde erteilt Fincero eine allgemeine Genehmigung, die in der Unterauftragnehmerliste aufgeführten Dienstleister einzusetzen. Fincero verpflichtet Unterauftragnehmer soweit erforderlich vertraglich zu einem angemessenen Datenschutz- und Sicherheitsniveau. Wesentliche neue Unterauftragnehmer werden vor ihrem Einsatz in der Liste veröffentlicht und zusätzlich in geeigneter Form angekündigt.
Der Kunde kann aus einem sachlich begründeten Datenschutzgrund innerhalb von 14 Tagen nach der Ankündigung widersprechen. Können die Parteien keine angemessene Alternative finden, kann jede Partei die konkret betroffene Leistung auf den Einsatzzeitpunkt des neuen Unterauftragnehmers kündigen. Vom Kunden selbst eingerichtete Anbieter gelten als dessen Weisung und unterliegen zusätzlich dessen eigenem Vertrag mit dem Anbieter.
10. Bearbeitung im Ausland
Die Hauptinfrastruktur wird in Deutschland betrieben. Weitere Auslandsbearbeitungen können durch die in der Unterauftragnehmerliste bezeichneten Anbieter oder vom Kunden aktivierte Integrationen erfolgen. Fincero stellt bei Bekanntgaben in Staaten ohne anerkanntes angemessenes Datenschutzniveau die nach anwendbarem Recht erforderlichen Garantien sicher, soweit Fincero für die Auswahl verantwortlich ist. Dazu können anerkannte Standarddatenschutzklauseln und zusätzliche Massnahmen gehören.
11. Datenschutzverletzungen
Fincero informiert den Kunden so rasch als möglich nach Bekanntwerden einer Verletzung der Datensicherheit seiner Auftragsdaten. Eine abschliessende Untersuchung oder ein hohes Risiko sind keine Voraussetzung für diese Information. Die Mitteilung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen sowie bereits ergriffene oder empfohlene Massnahmen. Fincero untersucht, begrenzt und dokumentiert den Vorfall. Die Entscheidung über Meldungen an Behörden oder betroffene Personen liegt beim Kunden, soweit er verantwortlich ist.
12. Rückgabe und Löschung
Der Kunde kann während der Vertragslaufzeit die verfügbaren Exportfunktionen nutzen und soll erforderliche Exporte vor der Schliessung erstellen. Nach Vertragsende sind Rückgabe oder Löschung nach dokumentierter Weisung mit Fincero abzustimmen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Funktion «Organisation schliessen» sperrt Zugänge und veranlasst ein Abschlussarchiv mit technischer Zehnjahresfrist, keine vollständige Datenlöschung. Die Erforderlichkeit der Aufbewahrung ist je Datenkategorie zu prüfen; nicht alle Auftragsdaten unterliegen einer gesetzlichen Zehnjahresfrist. Externe Sicherungen und Archivkopien benötigen eine gesonderte Löschplanung. Die siebentägige Rotation lokaler Betriebsbackups ist keine Löschzusage für sämtliche Kopien.
Vom Kunden innerhalb der Plattform gelöschte ausgewählte Geschäftsdaten können entsprechend der angezeigten Papierkorb- oder Wiederherstellungsfrist bis zu 30 Tage vorgehalten werden. Geheime Zugangsdaten werden nicht im Klartext exportiert.
13. Betroffenenbegehren und Behörden
Geht ein Begehren zu Auftragsdaten direkt bei Fincero ein, verweist Fincero die betroffene Person grundsätzlich an den Kunden und informiert diesen, soweit rechtlich zulässig. Fincero berichtigt, exportiert, sperrt oder löscht Daten nur nach dokumentierter Weisung des Kunden oder bei einer eigenen zwingenden gesetzlichen Pflicht. Behördenanfragen werden dem Kunden mitgeteilt, soweit dies nicht untersagt ist.
14. Nachweise und Kontrollen
Fincero stellt auf Anfrage angemessene Nachweise zur Verfügung, etwa diese AVV, die TOM-Beschreibung, Unterauftragnehmerangaben und vorhandene Prüfberichte. Reichen diese Informationen aus objektivem Grund nicht aus, kann der Kunde höchstens einmal pro Jahr eine verhältnismässige Kontrolle ankündigen. Kontrollen müssen Geschäftsgeheimnisse und Daten anderer Kunden schützen, mindestens 30 Tage vorher vereinbart werden und dürfen den Betrieb nicht unangemessen beeinträchtigen. Zusätzlicher Aufwand kann nach vorheriger Vereinbarung verrechnet werden. Bei einem bestätigten erheblichen Vorfall gelten diese Einschränkungen nicht unangemessen eng.
15. Rangfolge, Haftung und Schlussbestimmungen
Bei einem Widerspruch gehen die Datenschutzbestimmungen dieser AVV für die Auftragsbearbeitung den allgemeinen AGB vor. Im Übrigen gelten Haftung, Laufzeit, Kündigung, Recht und Gerichtsstand des Hauptvertrags. Änderungen dieser AVV werden entsprechend den AGB angekündigt. Individuelle schriftliche Datenschutzvereinbarungen gehen dieser Standardfassung vor.