AVV
Auftragsbearbeitungsvertrag.
Nach Art. 9 des Schweizer Datenschutzgesetzes (nDSG), zwischen dem Kunden als Verantwortlichem und FithworDEV, Mike Hell, als Auftragsbearbeiter.
Entwurf vom 19. Oktober 2026. Dieser Text wird vor dem Start des Echtbetriebs rechtlich geprüft und kann sich noch ändern.
1. Gegenstand und Dauer
Der Auftragsbearbeiter erstellt für den Kunden aus übermittelten Daten Rückforderungsbelege (PDF) und Rechnungen im Format XML 5.0 und leitet diese auf Weisung weiter. Der Vertrag gilt für die Dauer des Abonnements.
2. Art der Daten und betroffene Personen
- Betroffene: Kundinnen und Kunden des Verantwortlichen sowie deren gesetzliche Vertretung
- Daten: Name, Adresse, Geburtsdatum, Geschlecht, AHV-Nummer, Versichertennummer, Versicherung, bezogene Leistungen, Beträge
- Besonders schützenswerte Personendaten: Angaben über Gesundheitsleistungen
3. Weisungen
Der Auftragsbearbeiter bearbeitet die Daten nur so, wie es der Verantwortliche selbst tun dürfte, und nur zur Erstellung und Weiterleitung der Rechnungen. Eine Nutzung für eigene Zwecke ist ausgeschlossen.
4. Keine Speicherung
Rechnungsinhalte werden nur während der Anfrage verarbeitet und danach verworfen. Kann eine Weiterleitung nicht sofort erfolgen, werden die Daten verschlüsselt zwischengespeichert und spätestens nach 72 Stunden gelöscht. Protokolle enthalten keine Personendaten.
5. Technische und organisatorische Massnahmen
- Verschlüsselte Übertragung (HTTPS mit HSTS)
- Hosting ausschliesslich in der Schweiz
- API-Keys nur als Hashwert gespeichert, Begrenzung der Anfragen, Sperre bei Missbrauch
- Strikte Trennung der Kunden über den API-Key
- Prüfung jeder Rechnung gegen das offizielle Schema vor der Ausgabe
- Zugriff auf Server und Verwaltung nur durch den Auftragsbearbeiter, mit Zwei-Faktor-Schutz
6. Unterauftragsbearbeiter
| Anbieter | Zweck | Ort |
|---|---|---|
| Hostpoint AG | Hosting | Schweiz |
| Payrexx AG | Abwicklung des Abonnements (keine Rechnungsinhalte) | Schweiz |
Weitere Unterauftragsbearbeiter werden dem Verantwortlichen vorgängig mitgeteilt. Er kann innert 30 Tagen widersprechen und den Vertrag kündigen.
7. Unterstützung und Meldungen
Der Auftragsbearbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen und meldet Verletzungen der Datensicherheit unverzüglich.
8. Ende des Vertrags
Mit Vertragsende werden der API-Key gesperrt und allfällige zwischengespeicherte Daten gelöscht.
9. Recht
Es gilt Schweizer Recht.