Auftragsverarbeitungsvertrag (AVV)

Zuletzt aktualisiert: 29. Oktober 2026

Der vorliegende Auftragsverarbeitungsvertrag („AVV") wird zwischen dem Kunden (der „Verantwortliche") und ark.swiss sàrl („ark.swiss sàrl") abgeschlossen. Er bildet einen untrennbaren Anhang der Allgemeinen Geschäftsbedingungen („AGB") und gilt ab deren Annahme. Er ist gemäss Art. 28 der Datenschutz-Grundverordnung (DSGVO) und Art. 9 des revidierten Bundesgesetzes über den Datenschutz (nDSG) abgefasst.

1. Parteien

Verantwortlicher: der bei Abschluss des ark.flow-Abonnements identifizierte Kunde.
Auftragsverarbeiter: ark.swiss sàrl, CHE-139.880.181, Chemin de la Duchesne 13, 1806 St-Légier, canton de Vaud, Suisse.

2. Gegenstand und Anwendungsbereich

Der vorliegende AVV regelt die Bearbeitung personenbezogener Daten durch ark.swiss sàrl im Auftrag des Verantwortlichen im Rahmen des Betriebs der ark.flow-Suite (Produkte ark.flow Compta und ark.flow Fiduciaire). Er gilt für alle personenbezogenen Daten in der Instanz des Verantwortlichen, mit Ausnahme der Daten, die ark.swiss sàrl zu eigenen Zwecken bearbeitet (Verwaltungskonto, Rechnungsstellung, Dienstsicherheit).

3. Einzelheiten der Bearbeitung

3.1 Art und Zweck

ark.swiss sàrl bearbeitet die Daten ausschliesslich zum Zweck des Hostings und Betriebs der Instanz, die dem Verantwortlichen zur Verfügung gestellt wird, gemäss den AGB und den dokumentierten Weisungen des Verantwortlichen.

3.2 Kategorien betroffener Personen

Mitarbeitende und Nutzer des Verantwortlichen
Kunden, Mandanten und Kontakte des Verantwortlichen (Drittdaten)
Lieferanten und Partner des Verantwortlichen
In die Instanz eingetragene Interessenten

3.3 Kategorien bearbeiteter Daten

Identitätsdaten (Vorname, Name, E-Mail, Telefon, Adresse)
Buchhaltungs- und Treuhanddaten (Buchungen, Belege, Salden, MWST)
Transaktionsdaten (Rechnungen, Zahlungen, Kontoauszüge)
Vom Verantwortlichen erfasste Notizen, Dateianhänge und Interaktionsverlauf
Technische Kennungen (Zugriffsprotokolle, Session-IDs)

In der ursprünglichen Version des Dienstes bearbeitet ark.swiss sàrl im Auftrag des Verantwortlichen keine besonders schützenswerten Daten im Sinne von Art. 5 lit. c DSG oder Art. 9 DSGVO. Sollte der Verantwortliche solche Daten einbringen, verpflichtet er sich, ark.swiss sàrl vorgängig zu informieren.

3.4 Dauer der Bearbeitung

Die Bearbeitung gilt für die gesamte Dauer des Dienstvertrags sowie für die in Ziffer 11 vorgesehene Nachbearbeitungsfrist von 30 Tagen und darüber hinaus für gesetzliche Aufbewahrungsfristen (insbesondere von ark.swiss sàrl ausgestellte Rechnungen, Art. 958f OR).

4. Pflichten des Verantwortlichen

Die Rechtmässigkeit der Bearbeitung sicherstellen und über eine angemessene Rechtsgrundlage im Sinne von Art. 31 DSG und Art. 6 DSGVO verfügen.
Die eigenen betroffenen Personen gemäss Art. 19 DSG und Art. 13 DSGVO informieren.
Die Rechte der betroffenen Personen in erster Linie wahren (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch).
ark.swiss sàrl bei Bedarf schriftliche Weisungen erteilen und deren Rechtmässigkeit sicherstellen.
Die Zugriffsrechte seiner Nutzer in der Instanz korrekt konfigurieren.

5. Pflichten von ark.swiss sàrl (Art. 28 DSGVO, Art. 9 DSG)

Rechtmässigkeit der Weisungen: Daten nur auf dokumentierte Weisung des Verantwortlichen bearbeiten, sofern keine zwingende gesetzliche Verpflichtung entgegensteht (in diesem Fall informiert ark.swiss sàrl den Verantwortlichen, sofern das Gesetz dies nicht untersagt).
Vertraulichkeit: sicherstellen, dass die berechtigten Mitarbeitenden einer vertraglichen und gegebenenfalls gesetzlichen Geheimhaltungspflicht unterliegen.
Sicherheit: die in Ziffer 6 beschriebenen technischen und organisatorischen Massnahmen umsetzen.
Unterauftragsverarbeitung: nur die in Ziffer 7 zugelassenen Unterauftragsverarbeiter beiziehen; jede Änderung mit einer Frist anzeigen, die dem Verantwortlichen den Widerspruch erlaubt.
Unterstützung: den Verantwortlichen bei der Erfüllung seiner Pflichten unterstützen — Beantwortung von Anfragen betroffener Personen, Datenschutz-Folgenabschätzungen (DSFA), vorherige Konsultation der Behörde — in angemessenem und verhältnismässigem Umfang.
Meldung von Verletzungen: den Verantwortlichen so rasch wie möglich (Art. 24 Abs. 3 DSG) und ohne unangemessene Verzögerung (Art. 33 Abs. 2 DSGVO) nach Kenntnisnahme einer Verletzung benachrichtigen (Ziffer 8).
Löschung oder Rückgabe: bei Vertragsende gemäss Weisungen des Verantwortlichen die Daten zurückgeben oder löschen (Ziffer 11).
Dokumentation: dem Verantwortlichen sämtliche Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung der Pflichten dieses AVV erforderlich sind.

6. Technische und organisatorische Massnahmen (TOM)

Die vollständige Massnahmenliste wird auf der Seite Sicherheit veröffentlicht und aktuell gehalten. Zusammenfassend:

Verschlüsselung während der Übertragung: HTTPS-Verbindungen über Cloudflare, mit einem Cloudflare-Origin-Zertifikat zwischen Cloudflare und unseren Servern, sowie HSTS.
Verschlüsselung ruhender Daten: AES-256-GCM für Credentials, OAuth-Tokens und Secrets.
Authentifizierung: Passwort-Hashing mit bcrypt; TOTP-Authentifizierung in ark.flow Fiduciaire verfügbar und nach Aktivierung bei jeder Anmeldung verlangt.
Isolation pro Instanz: eigene Anwendungscontainer und eine separate PostgreSQL-Datenbank pro Instanz auf einem gemeinsam genutzten Server; bei ark.flow Compta liegen die Dateien in einem reservierten Speicherbereich, der mit einem instanzeigenen Schlüssel angesprochen wird.
Backups: tägliche, verschlüsselte Borg-Archive auf einer ark.swiss-eigenen Infrastruktur in der Schweiz, aufbewahrt 14 Tage, 8 Wochen und 24 Monate; Integritätsprüfung und Wiederherstellung einer Testdatei bei jedem Vollzyklus; bei ark.flow Compta laufende Replikation der Datenbanken an den Ausweichstandort von Infomaniak in Genf.
Zugangskontrolle: Administration mit SSH-Schlüsseln über ein privates WireGuard-Netz; Container ohne überflüssige Privilegien; getrennte Produktions- und Demo-Umgebungen.
Protokollierung: Audit-Logs der Anwendung (unter anderem Rechteänderungen, Aktionen des KI-Assistenten und in ark.flow Compta Buchungsänderungen), nur ergänzend geschrieben und mit der Instanz aufbewahrt; zentral gesammelte technische Logs werden 14 Tage aufbewahrt.
Incident Management: automatische Überwachung mit Alarmierung, Anwendungsfehler in GlitchTip und zentrale Logs in Grafana; Benachrichtigung gemäss Ziffer 8.
Entwicklung: Trivy- und Semgrep-Analysen bei jedem Build und automatisierte Tests vor jeder Veröffentlichung.
Management der Unterauftragsverarbeiter: Liste in Ziffer 7 veröffentlicht; jede Änderung wird gemäss dieser Ziffer mitgeteilt.
Sichere Löschung: Löschung der Datenbank, Dateien und Schlüssel der Instanz nach Ablauf der 30 Tage nach Vertragsende; verschlüsselte Kopien in den Backups verfallen am Ende ihrer Rotation (höchstens 24 Monate), ausgenommen gesetzliche Buchhaltungspflichten.

7. Zugelassene Unterauftragsverarbeiter

Der Verantwortliche ermächtigt ark.swiss sàrl, folgende Unterauftragsverarbeiter für die angegebenen Zwecke beizuziehen:

Name	Land	Rolle	Grundlage der Übermittlung
netcup GmbH	Karlsruhe, Deutschland; Server in Wien, Österreich (EU)	Anwendungsproduktion und Datenbank von ark.flow Compta	Europäische Union
Infomaniak Network SA	Genf, Schweiz	Produktion von ark.flow Fiduciaire, warmer Ausweichstandort von ark.flow Compta, transaktionales SMTP und in der Schweiz gehostete KI-Modelle (auf Anfrage deaktivierbar)	Schweiz — angemessenes Drittland
Stripe Payments Europe Ltd.	Dublin, Irland	Kartenzahlungsabwicklung	EU — Binnenmarkt
Cloudflare, Inc.	San Francisco, USA	CDN, DNS, WAF, Anti-DDoS-Schutz	EU-Standardvertragsklauseln (SCC) + EU-US Data Privacy Framework
Anthropic, OpenAI, Google (Gemini-API)	USA	KI-Modelle für Buchhaltungskategorisierung, Belegerkennung und Assistenz (auf Anfrage deaktivierbar)	Übermittlung in die USA möglich — API-Bedingungen des Anbieters, die ein Training mit den übermittelten Daten grundsätzlich ausschliessen
OpenRouter	USA	Weiterleitung an KI-Modelle Dritter, wenn konfiguriert (auf Anfrage deaktivierbar)	Übermittlung in die USA möglich
Umami (selbst gehostet durch ark.swiss sàrl)	Europäische Union	Cookieloses Audience-Measurement auf `arkflow.ch`	Europäische Union (unter direkter Verantwortung von ark.swiss sàrl)

Jeder neue Unterauftragsverarbeiter wird dem Verantwortlichen mit einer Vorankündigung von 30 Tagen mitgeteilt (öffentliche Liste in diesem AVV sowie auf der Seite Datenschutzerklärung). Der Verantwortliche hat ein begründetes Widerspruchsrecht; bei einem vernünftigen und nicht beigelegten Widerspruch kann der Verantwortliche den Vertrag kostenlos kündigen.

8. Meldung von Verletzungen

Bei einer Verletzung der Datensicherheit in Bezug auf die im Auftrag des Verantwortlichen bearbeiteten Daten benachrichtigt ark.swiss sàrl den Verantwortlichen so rasch wie möglich und ohne unangemessene Verzögerung nach Kenntnisnahme. Die Meldung enthält, soweit verfügbar:

die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen;
die Kategorien und die ungefähre Zahl der betroffenen Datensätze;
die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung;
die Kontaktdaten einer Kontaktstelle für weitere Informationen.

ark.swiss sàrl wirkt mit dem Verantwortlichen bei der Meldung an die zuständige Aufsichtsbehörde (EDÖB, CNIL usw.) und gegebenenfalls an die betroffenen Personen mit (Art. 24 DSG, Art. 33–34 DSGVO).

9. Internationale Übermittlungen

Die Anwendungsdaten des Verantwortlichen werden ausschliesslich in Europa gehostet: ark.flow Compta produktiv bei netcup GmbH in Wien (Österreich, Europäische Union), mit einem warmen Ausweichstandort bei Infomaniak Network SA in Genf; ark.flow Fiduciaire produktiv bei Infomaniak Network SA in Genf (Schweiz); unabhängige historische Borg-Backups auf einer ark.swiss-eigenen Infrastruktur in der Schweiz. Notwendige Übermittlungen an andere Unterauftragsverarbeiter sind in diesem AVV beschrieben. Werden KI-Funktionen genutzt, gehen die benötigten Auszüge an den konfigurierten Anbieter: Bei Infomaniak erfolgt die Verarbeitung in der Schweiz, bei Anthropic, OpenAI, Google (Gemini-API) oder OpenRouter kann sie in den USA stattfinden. Die Übermittlung an Cloudflare (USA) wird durch die von der Europäischen Kommission 2021 erlassenen Standardvertragsklauseln (SCC) sowie subsidiär durch das EU-US Data Privacy Framework abgesichert.

10. Audit-Recht

Der Verantwortliche hat ein Recht zur Prüfung von ark.swiss sàrl zur Überprüfung der Einhaltung des vorliegenden AVV. Modalitäten:

Dokumentenaudit: einmal jährlich, kostenlos — ark.swiss sàrl beantwortet angemessene Sicherheitsfragebögen (CAIQ, SIG) innert 30 Tagen.
Vor-Ort-Audit: mit schriftlicher Vorankündigung von 30 Tagen möglich, begrenzt auf eines pro Jahr, auf Kosten des Verantwortlichen, vorbehältlich einer vorgängigen gegenseitigen Vertraulichkeitsvereinbarung (NDA) und unter Bedingungen, welche die Sicherheit oder Vertraulichkeit anderer Kunden nicht beeinträchtigen.
Drittaudit: möglich nach Einigung über die Wahl des (unabhängigen und qualifizierten) Prüfunternehmens und auf Kosten des Verantwortlichen.

ark.swiss sàrl kann eine Vor-Ort-Prüfung durch einen aktuellen unabhängigen Prüfbericht (z. B. ISAE 3000, SOC 2, ISO 27001) ersetzen, sofern dieser verfügbar und vom Verantwortlichen als ausreichend erachtet wird.

11. Löschung oder Rückgabe

Bei Vertragsende, auf schriftliche Weisung des Verantwortlichen:

Export: ark.swiss sàrl stellt während 30 Tagen einen Lesezugang und einen Export in offenen Formaten zur Verfügung (JSON, CSV; nativer Crésus-Export für ark.flow Compta).
Löschung: nach dieser Frist oder auf früheren Antrag des Verantwortlichen löscht ark.swiss sàrl die Daten der Instanz endgültig; verschlüsselte Backups verfallen am Ende ihrer Rotation (höchstens 24 Monate).
Gesetzliche Ausnahme: die von ark.swiss sàrl an den Verantwortlichen ausgestellten Rechnungen werden gemäss Art. 958f OR 10 Jahre aufbewahrt; diese Pflicht geht dem Löschrecht vor.

Auf Anfrage stellt ark.swiss sàrl eine unterzeichnete Löschungsbestätigung aus.

12. Dauer und Kündigung

Dieser AVV tritt mit Annahme der AGB in Kraft und bleibt so lange gültig, wie ark.swiss sàrl personenbezogene Daten im Auftrag des Verantwortlichen bearbeitet. Er endet automatisch mit Erfüllung der nachvertraglichen Pflichten gemäss Ziffer 11. Die Klauseln zur Vertraulichkeit, Haftung und zum anwendbaren Recht überdauern das Vertragsende.

13. Haftung

Jede Partei haftet für ihre eigenen Verletzungen dieses AVV. Die Haftung von ark.swiss sàrl gegenüber dem Verantwortlichen ist gemäss Ziffer 12 der AGB auf den Gesamtbetrag der vom Verantwortlichen in den 12 Monaten vor dem schadensauslösenden Ereignis effektiv bezahlten Abonnemente begrenzt, vorbehältlich Art. 100 OR (Vorsatz, grobe Fahrlässigkeit, Verletzung von Leib, Leben oder Gesundheit) und zwingender datenschutzrechtlicher Pflichten.

14. Anwendbares Recht und Gerichtsstand

Dieser AVV untersteht ausschliesslich dem schweizerischen Recht. Jeder Rechtsstreit wird der ausschliesslichen Zuständigkeit der Gerichte von Lausanne, Kanton Waadt, unterstellt, unter Vorbehalt des zwingenden Konsumentengerichtsstands gemäss Art. 32 ZPO.

15. Unterzeichnung und Annahme

Die Annahme der AGB durch den Verantwortlichen bei Vertragsabschluss gilt als Annahme dieses AVV (elektronische Annahme, mit Zeitstempel versehen und archiviert). Auf schriftliche Anfrage an privacy@ark.swiss kann eine von beiden Parteien unterzeichnete PDF-Fassung bereitgestellt werden, wenn die interne Governance des Kunden dies erfordert.

16. Datenschutz-Kontakt

ark.swiss sàrl ist nicht gesetzlich verpflichtet, eine/n Datenschutzbeauftragte/n im Sinne von Art. 37 DSGVO zu ernennen. Anfragen zum vorliegenden AVV, Meldungen und Audits werden an der dedizierten Kontaktstelle zentralisiert:

ark.swiss sàrl
Chemin de la Duchesne 13, 1806 St-Légier, canton de Vaud, Suisse
E-Mail: privacy@ark.swiss

Bei Abweichungen zwischen den Sprachversionen ist die französische Fassung massgebend.