Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung von Personendaten im Auftrag — zwischen dem Kunden als Verantwortlichem und der ZEROVIA GmbH als Auftragsverarbeiterin.

Version: 1.0

Stand: 19. Juli 2026

ZEROVIA GmbH,Via Casti 52, 7151 Schluein, Switzerland

E-Mail: info@zerovia.ch · privacy@zerovia.ch

Einleitung

Dieser Auftragsverarbeitungsvertrag («AVV» oder «Vereinbarung») ist integraler Bestandteil der Terms of use and the Subscription conditions zwischen

dem Kunden (nachfolgend «Kunde» oder «Verantwortlicher»)

and

der ZEROVIA GmbH, Via Casti 52, 7151 Schluein, Schweiz (nachfolgend «ZEROvia» oder «Auftragsverarbeiterin»)

gemeinsam als «Parteien» bezeichnet.

In Anbetracht dessen, dass:

der Kunde die Plattform von ZEROvia nutzt und dabei Personendaten in die Dienste einbringt, für die er als Verantwortlicher handelt;
ZEROvia diese Personendaten ausschliesslich im Auftrag und nach Weisung des Kunden verarbeitet und damit als Auftragsverarbeiterin handelt;
die Parteien die Bedingungen dieser Verarbeitung gemäss Artikel 9 des Schweizer Datenschutzgesetzes (nachfolgend «DSG») sowie Artikel 28 der Verordnung (EU) 2016/679 (nachfolgend «DSGVO») festlegen wollen;
die Parteien ihre jeweiligen Rechte und Pflichten festlegen wollen;
die Verarbeitung von Personendaten, für die ZEROvia selbst Verantwortliche ist (insbesondere die Verarbeitung im Rahmen der eigenen Website und Kundenverwaltung gemäss Datenschutzerklärung), nicht unter diese Vereinbarung fällt.

Es wird Folgendes vereinbart:

Artikel 1 — Begriffsbestimmungen und Auslegung

1.1 Soweit in dieser Vereinbarung nicht anders definiert, haben die in Grossbuchstaben verwendeten Begriffe die folgende Bedeutung:

1.1.1 «Vereinbarung» bezeichnet diesen Auftragsverarbeitungsvertrag samt seinen Anhängen 1–3;

1.1.2 «Personendaten des Kunden» bezeichnet die Personendaten, die ZEROvia im Auftrag des Kunden im Zusammenhang mit den Diensten verarbeitet, wie in Anhang 1 näher beschrieben;

1.1.3 «Datenschutzgesetze» bezeichnet das DSG, die DSGVO sowie, soweit anwendbar, weitere einschlägige Datenschutzvorschriften;

1.1.4 «DSG» bezeichnet das Schweizer Bundesgesetz über den Datenschutz (SR 235.1) samt Ausführungsverordnungen (DSV, SR 235.11);

1.1.5 «DSGVO» bezeichnet die Verordnung (EU) 2016/679;

1.1.6 «Dienste» bezeichnet die von ZEROvia gemäss Nutzungs- und Abonnementbedingungen bereitgestellten digitalen Dienste, insbesondere die Plattform zerovia.app;

1.1.7 «Unterauftragsverarbeiter» bezeichnet jede Person, die von oder im Auftrag von ZEROvia mit der Verarbeitung von Personendaten des Kunden beauftragt wird;

1.1.8 «Datenübermittlung» bezeichnet die Übermittlung von Personendaten des Kunden an ZEROvia oder deren spätere Übermittlung an einen Unterauftragsverarbeiter.

1.2 Die Begriffe «Verantwortlicher», «betroffene Person», «Personendaten», «Verletzung des Datenschutzes» und «Verarbeitung» werden mit der gleichen Bedeutung wie im DSG bzw. in der DSGVO verwendet.

Artikel 2 — Gegenstand, Art, Umfang, Zweck und Dauer der Verarbeitung

2.1 ZEROvia verarbeitet Personendaten des Kunden ausschliesslich zur Erbringung der Dienste gemäss dem zwischen den Parteien bestehenden Hauptvertrag (Nutzungs- und Abonnementbedingungen sowie allfällige Individualvereinbarungen).

2.2 Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Kategorien von Personendaten sind in Anhang 1 festgelegt.

2.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich der in Artikel 10 geregelten Lösch- und Rückgabefristen.

Artikel 3 — Weisungsgebundenheit

3.1 ZEROvia verarbeitet die Personendaten des Kunden ausschliesslich auf dokumentierte Weisung des Kunden, es sei denn, ZEROvia ist gesetzlich zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt ZEROvia dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

3.2 Der Hauptvertrag sowie die Nutzung der Dienste und deren Konfiguration durch den Kunden (einschliesslich Rollen- und Rechtevergabe, Freigabe- und Opt-In-Einstellungen) gelten als dokumentierte Weisungen des Kunden.

3.3 ZEROvia unterrichtet den Kunden unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen die Datenschutzgesetze verstösst. ZEROvia ist berechtigt, die Ausführung einer offensichtlich rechtswidrigen Weisung auszusetzen.

Artikel 4 — Pflichten der Auftragsverarbeiterin

4.1 ZEROvia verpflichtet sich:

4.1.1 bei der Verarbeitung der Personendaten des Kunden alle anwendbaren Datenschutzgesetze einzuhalten;

4.1.2 die Personendaten des Kunden nur gemäss den Weisungen des Kunden und ausschliesslich zur Erbringung der Dienste zu verarbeiten;

4.1.3 die Personendaten des Kunden nicht für eigene Zwecke einzusehen oder zu nutzen, insbesondere nicht zum Training von KI-Modellen, die Dritten zugänglich sind; eine Verwendung anonymisierter Aggregatdaten zur internen Modellverbesserung erfolgt nur nach ausdrücklichem Opt-In des Kunden;

4.1.4 sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

4.1.5 den Zugriff auf die Personendaten des Kunden strikt auf Personen zu beschränken, die diesen zur Erfüllung ihrer Aufgaben benötigen («Kenntnis nur, wenn nötig»);

4.1.6 technische und organisatorische Massnahmen gemäss Artikel 5 umzusetzen und aufrechtzuerhalten;

4.1.7 den Kunden — soweit gesetzlich zulässig — über verbindliche Anfragen einer Behörde betreffend die Personendaten des Kunden zu unterrichten und eine Offenlegung auf das rechtlich zwingend Erforderliche zu beschränken.

Artikel 5 — Technische und organisatorische Massnahmen

5.1 ZEROvia trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs und des Zwecks der Verarbeitung geeignete technische und organisatorische Massnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO; Art. 8 DSG i.V.m. Art. 3 DSV).

5.2 Die Massnahmen sind in Anhang 2 beschrieben. Ein Teil der infrastrukturseitigen Massnahmen wird durch die Unterauftragsverarbeiter (insbesondere Infomaniak) erbracht und ist ZEROvia gegenüber vertraglich zugesichert.

5.3 ZEROvia überprüft und verbessert diese Massnahmen fortlaufend. ZEROvia kann einzelne Massnahmen anpassen, sofern das Schutzniveau dadurch nicht unterschritten wird.

Artikel 6 — Unterauftragsverarbeiter

6.1 Der Kunde erteilt ZEROvia die allgemeine Genehmigung, zur Erbringung der Dienste Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anhang 3 aufgeführt.

6.2 ZEROvia unterrichtet den Kunden vorab über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb von 30 Tagen ab Unterrichtung aus wichtigem, datenschutzbezogenem Grund schriftlich (E-Mail genügt) Einwände erheben. Erhebt der Kunde fristgerecht Einwände, die eine Fortführung verhindern, ist jede Partei berechtigt, den betroffenen Dienst zu kündigen.

6.3 ZEROvia verpflichtet jeden Unterauftragsverarbeiter vertraglich auf mindestens dieselben Datenschutzpflichten, die ZEROvia aus dieser Vereinbarung treffen (Art. 28 Abs. 4 DSGVO). ZEROvia bleibt dem Kunden gegenüber für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter vollumfänglich verantwortlich.

Artikel 7 — Rechte der betroffenen Personen

7.1 ZEROvia unterstützt den Kunden im Rahmen des technisch Möglichen mit geeigneten technischen und organisatorischen Massnahmen dabei, Anträge betroffener Personen auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten.

7.2 Richtet eine betroffene Person einen solchen Antrag direkt an ZEROvia, leitet ZEROvia diesen unverzüglich an den Kunden weiter und beantwortet ihn nur auf dokumentierte Weisung des Kunden oder soweit gesetzlich verpflichtet.

Artikel 8 — Unterstützung des Verantwortlichen

8.1 ZEROvia unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung von dessen Pflichten hinsichtlich der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, der Datenschutz-Folgenabschätzung (Art. 35 DSGVO) sowie der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) bzw. der entsprechenden Bestimmungen des DSG.

Artikel 9 — Meldung von Verletzungen des Datenschutzes

9.1 ZEROvia benachrichtigt den Kunden ohne ungebührliche Verzögerung, nachdem ihr eine Verletzung des Schutzes von Personendaten des Kunden bekannt geworden ist, und stellt dem Kunden die zur Erfüllung seiner eigenen Melde- und Benachrichtigungspflichten erforderlichen Informationen zur Verfügung.

9.2 ZEROvia kooperiert mit dem Kunden und ergreift angemessene Massnahmen zur Untersuchung, Eindämmung und Behebung der Verletzung.

9.3 Die Kommunikation erfolgt an die vom Kunden im Konto hinterlegte Kontaktadresse bzw. an dessen Datenschutzkontakt; seitens ZEROvia an privacy@zerovia.ch.

Artikel 10 — Löschung und Rückgabe von Personendaten

10.1 Nach Wahl des Kunden löscht ZEROvia sämtliche Personendaten des Kunden oder gibt sie zurück, sobald die Erbringung der betreffenden Dienste beendet ist, in jedem Fall innerhalb von 30 Tagen nach Beendigung, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

10.2 Der Kunde ist dafür verantwortlich, vor Beendigung der Dienste erforderliche Exporte, Sicherungen oder Übertragungen seiner Daten vorzunehmen; ZEROvia unterstützt ihn dabei im Rahmen des technisch Möglichen.

10.3 ZEROvia bestätigt dem Kunden die Löschung auf Anfrage schriftlich.

Artikel 11 — Nachweise und Audits

11.1 ZEROvia stellt dem Kunden die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung. Standarddokumentation ist auf der Website bzw. auf Anfrage beim Support erhältlich.

11.2 Erweisen sich diese Informationen als unzureichend, ermöglicht ZEROvia dem Kunden oder einem von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer die Durchführung von Überprüfungen zu angemessenen Bedingungen und mit angemessener Vorankündigung. Die Bedingungen dürfen die Sicherheit anderer Kunden von ZEROvia nicht beeinträchtigen; angemessene Zusatzkosten können in Rechnung gestellt werden.

Artikel 12 — Internationale Datenübermittlung

12.1 Die Personendaten des Kunden werden primär in der Schweiz verarbeitet (Hosting durch Infomaniak, Genf). Zwischen der Schweiz und der EU bzw. dem EWR besteht ein gegenseitig anerkanntes angemessenes Datenschutzniveau (EU-Angemessenheitsbeschluss zugunsten der Schweiz, bestätigt am 15. Januar 2024; schweizerische Angemessenheitsliste gemäss VDSG Anhang 1); entsprechende Übermittlungen bedürfen keiner zusätzlichen Garantien.

12.2 Eine Übermittlung an Unterauftragsverarbeiter in Drittländern erfolgt nur, sofern geeignete Garantien bestehen, insbesondere durch die von der EU-Kommission genehmigten Standardvertragsklauseln — ergänzt um ein Transfer Impact Assessment (TIA) und technische Schutzmassnahmen — mit den vom EDÖB anerkannten Anpassungen für die Schweiz, oder bei zertifizierten Empfängern gestützt auf das Swiss-U.S. Data Privacy Framework. Die betroffenen Unterauftragsverarbeiter und der jeweilige Übermittlungsmechanismus sind in Anhang 3 ausgewiesen.

Artikel 13 — Haftung

13.1 Die Haftung der Parteien richtet sich nach den Haftungsbestimmungen des Hauptvertrags. Im Verhältnis zu betroffenen Personen und Aufsichtsbehörden gilt die Haftungsverteilung gemäss Art. 82 DSGVO bzw. den einschlägigen Bestimmungen des DSG.

Artikel 14 — Dauer, Vorrang und Schlussbestimmungen

14.1 Diese Vereinbarung tritt mit dem Hauptvertrag in Kraft und gilt für dessen Dauer sowie für die Nachwirkungen gemäss Artikel 10.

14.2 In datenschutzrechtlichen Fragen betreffend die Verarbeitung im Auftrag geht diese Vereinbarung den Nutzungs- und Abonnementbedingungen vor. Im Übrigen gilt die Rangfolge: (1) Individualvereinbarung, (2) Abonnementbedingungen, (3) dieser AVV, (4) Nutzungsbedingungen.

14.3 Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Artikel 15 — Anwendbares Recht und Gerichtsstand

15.1 Diese Vereinbarung untersteht ausschliesslich Schweizer Recht.

15.2 Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist Chur (GR).

Diese Vereinbarung wird elektronisch mit Abschluss des Hauptvertrags wirksam und ist ohne Unterschrift gültig.

Anhang 1 — Details der Verarbeitung

Aspekt	Description
Gegenstand	Bereitstellung der ZEROvia-SaaS-Plattform (ESG-Datenmanagement, Lieferantenmanagement, Procurement, Reporting) gemäss Hauptvertrag.
Art der Verarbeitung	Erheben, Erfassen, Speichern, Strukturieren, Auslesen, KI-gestütztes Entwerfen von Texten, Anzeigen, Übermitteln (nur auf Opt-In des Kunden), Löschen.
Purpose	Ausschliesslich die Erbringung der vom Kunden beauftragten Dienste.
Kategorien betroffener Personen	Nutzer und Mitarbeitende des Kunden; Ansprech- und ESG-Kontaktpersonen; Kontaktpersonen von Lieferanten des Kunden; weitere Personen, deren Daten in hochgeladenen Dokumenten enthalten sind.
Kategorien von Personendaten	Kontakt- und Stammdaten (Name, Funktion, Geschäfts-E-Mail, Telefon), Konto- und Nutzungsdaten, Log-/Metadaten, Inhalte hochgeladener Dokumente und Belege. Besondere Kategorien von Personendaten nur, soweit vom Kunden eingebracht — deren Einbringung soll gemäss Nutzungsbedingungen unterbleiben.
Dauer	Laufzeit des Hauptvertrags zzgl. Lösch-/Rückgabefristen gemäss Artikel 10.

Anhang 2 — Technische und organisatorische Massnahmen (TOMs)

Ergänzend zu den durch die Unterauftragsverarbeiter (insbesondere Infomaniak) erbrachten infrastrukturseitigen Massnahmen setzt ZEROvia insbesondere Folgendes um:

Massnahmenkategorie	Umsetzung
Zutrittskontrolle	Betrieb in Schweizer Rechenzentren der Unterauftragsverarbeiter mit Zutrittsbeschränkung, Zugangsmanagement und physischen Sicherheitsmassnahmen.
Zugangskontrolle	Authentifizierung von Nutzern und Administratoren; rollen- und rechtebasierte Zugangsverwaltung (RBAC); optionale Zwei-Faktor-Authentifizierung (2FA); Schutz administrativer Funktionen.
Zugriffskontrolle	Prinzip der minimalen Berechtigung und «Kenntnis nur, wenn nötig»; protokollierter Zugriff im Rahmen von Support und Störungsbehebung.
Netzwerk- und Systemsicherheit	Firewalls, Intrusion-Detection/-Prevention (IDS/IPS) und laufendes System-Monitoring.
Trennungskontrolle	Logische bzw. physische Trennung der Kundenmandanten; regelmässige Sicherheitstests, um sicherzustellen, dass keine Daten zwischen Kunden zirkulieren.
Verschlüsselung	Verschlüsselte Übertragung (SSL/TLS) sowie Verschlüsselung ruhender Daten nach Stand der Technik.
KI-Verarbeitung	Keine Verwendung von Kundendaten zum Training öffentlich zugänglicher KI-Modelle; bei KI-Anbietern mit US-Verarbeitung ergänzende Schutzmassnahmen (SCC, TIA, Verschlüsselung, Pseudonymisierung soweit möglich).
Eingabe-/Nachvollziehbarkeit	Protokollierung sicherheitsrelevanter Ereignisse und administrativer Zugriffe.
Verfügbarkeit & Wiederherstellbarkeit	Redundante Speicherung und regelmässige Sicherungen bei den Unterauftragsverarbeitern; Wiederherstellungsprozesse.
Vorfallmanagement	Prozess zur Erkennung, Meldung und Behebung von Datenschutzverletzungen (vgl. Artikel 9).
Prüfung & Audits	Interne Audits und externe Sicherheitstests; Orientierung der Sicherheitsarchitektur an ISO/IEC 27001 und den Empfehlungen des EDÖB.
Auftragskontrolle	Vertragliche Bindung der Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten; Weisungsgebundenheit.
Deletion	Definierte Lösch- und Aufbewahrungsprozesse gemäss Artikel 10.
Personal	Verpflichtung aller zugriffsberechtigten Personen zur Vertraulichkeit.

Anhang 3 — Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Sitz / Verarbeitungsort	Purpose	Übermittlungsmechanismus
Infomaniak Network SA	Genf, CH	Hosting der Plattform zerovia.app, Speicherung der Plattformdaten	Schweiz — kein Drittlandtransfer
OpenAI Ireland Ltd.	Irland (EU); Verarbeitung teils USA	Generative KI (GPT) für Textentwürfe und Konsistenzprüfung	EU-Angemessenheit; für US-Verarbeitung SCC + TIA + technische Schutzmassnahmen
Anthropic PBC	USA	Generative KI (Claude) für Textentwürfe und Konsistenzprüfung	SCC + TIA + technische Schutzmassnahmen
Mistral AI	Frankreich (EU)	Generative KI als europäischer Fallback (geplant)	Innerhalb EU
Uvensys GmbH	Gießen, DE (EU)	Hosting Entwicklungs-/Testumgebung (DEV/TEST)	Innerhalb EU

Nicht in dieser Liste geführt sind Dienste, bei denen ZEROvia als Verantwortliche und nicht als Auftragsverarbeiterin im Kundenauftrag handelt: das Hosting der Marketing-Website zerovia.ch (derzeit cyon GmbH, Basel; Umzug zu Infomaniak bis Ende Juli 2026 geplant), das CRM (HubSpot), weitere Website-/Marketing-Dienste (Google Site Kit, TranslatePress, SpeedyCache, CookieAdmin) sowie die Tools der EU-Vertretung und Betroffenenrechte (Prighter, Hetzner). Diese sind in §8 der Datenschutzerklärung auszuweisen. Vor Publikation zu klären: ob die DEV/TEST-Umgebung (Uvensys) echte Personendaten von Kunden enthält — andernfalls entfällt dieser Eintrag.

EU-Vertreter (Art. 27 DSGVO):
iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Wien, Österreich — privacy@zerovia.ch
Portal: app.prighter.com/portal/zerovia.

Zuständige Aufsichtsbehörde (CH):
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Bern.