Auftragsverarbeitungsvertrag (ADV)
Gemäss Schweizerischem Datenschutzgesetz (DSG)
Zwischen dem Nutzer des Services "TransparenzAgent" (nachfolgend "Verantwortlicher") und der PYTHOS AG, Bachstrasse 29, 4566 Kriegstetten (nachfolgend "Auftragsbearbeiter"). Durch die aktive Nutzung der Plattform gilt dieser Vertrag als elektronisch akzeptiert.
1. Gegenstand und Zweck der Bearbeitung
Dieser ADV regelt die Rechte und Pflichten im Rahmen der Bearbeitung von Personendaten, die der Verantwortliche dem Auftragsbearbeiter zur Erbringung der Legal-Tech-Dienstleistungen überlässt.
Zweck: Identifikation, Verifikation und Dokumentation wirtschaftlich berechtigter Personen nach TJPG, KI-gestützte Extraktion aus hochgeladenen Gesellschaftsdokumenten als Vorschlag zur Bestätigung durch den Verantwortlichen, Berechnung gesetzlicher Fristen, Vorbereitung des Meldedatensatzes sowie die Protokollierung aller Änderungen in einem Audit-Log.
2. Kategorien von Daten und Betroffenen
- Datenkategorien: Personendaten wirtschaftlich Berechtigter (Name, Geburtsdatum, Staatsangehörigkeit, Wohnsitzstaat, Adresse), Beteiligungs- und Kontrollverhältnisse, Inhalte hochgeladener Urkunden und Verträge, Nutzerdaten der Plattform.
- Betroffene Personen: Gesellschafter, Organe, wirtschaftlich Berechtigte und Vertragspartner des Verantwortlichen sowie dessen Mitarbeitende und Beauftragte.
3. Pflichten des Auftragsbearbeiters
Der Auftragsbearbeiter bearbeitet die Personendaten ausschliesslich auf dokumentierte Weisung des Verantwortlichen (Nutzung der Software).
Einsatz künstlicher Intelligenz: Hochgeladene Dokumente und daraus gewonnene Daten werden nicht zum Training von Modellen des Auftragsbearbeiters oder der eingesetzten KI-Anbieter verwendet. Die KI erzeugt Vorschläge; ein Datensatz entsteht erst durch die Bestätigung des Verantwortlichen.
4. Technische und organisatorische Massnahmen (TOM)
- Datenstandort: Speicherung auf Google-Cloud-Infrastruktur in der Schweiz (Region europe-west6, Zürich).
- Audit-Log: Jede schreibende Operation wird mit altem und neuem Wert protokolliert; die Einträge sind pro Workspace mit SHA-256 verkettet und werden regelmässig nachgerechnet.
- Verschlüsselung und Zugang: Transportverschlüsselung (TLS), Verschlüsselung gespeicherter Daten durch den Cloud-Anbieter, Passwörter mit Argon2 gehasht, Zwei-Faktor-Authentifizierung, rollenbasierte Zugriffe pro Workspace.
- Mandanten-Isolation: Daten und Dokumente werden pro Workspace gespeichert und nicht zwischen Verantwortlichen geteilt.
5. Unterauftragsbearbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsbearbeiter zu:
| Unternehmen | Zweck | Standort |
|---|---|---|
| Google Cloud (Google Ireland Ltd. / Google LLC) | Hosting, Cloud-Storage, PostgreSQL-Datenbank, KI-Extraktion (Gemini) | Zürich, CH (europe-west6) |
| Resend, Inc. | Transaktions-E-Mails (Einladungen, Verifizierung, Fristen-Hinweise) und E-Mail-Inbound | USA |
| Stripe, Inc. | Abrechnung und Zahlungsabwicklung | EU / USA |
6. Aufbewahrung, Löschung und Rückgabe
Personen-Dossiers, Belege und Meldungen unterliegen der Aufbewahrungspflicht nach Art. 50 TJPG (zehn Jahre). Der Auftragsbearbeiter löscht solche Daten deshalb nicht auf Zuruf, sondern archiviert den betreffenden Workspace auf Anweisung des Verantwortlichen; die Daten bleiben für den Verantwortlichen lesbar und exportierbar.
Daten ohne Aufbewahrungspflicht (nicht verwendete Uploads, Nutzerkonten ohne Bezug zu Dossiers) werden auf Anweisung des Verantwortlichen oder nach Vertragsende gelöscht. Der Verantwortliche kann jederzeit einen vollständigen Export (Takeout) aller Daten eines Workspace auslösen.
Die Verantwortung für die Einhaltung gesetzlicher Aufbewahrungs- und Meldepflichten liegt beim Verantwortlichen; der Auftragsbearbeiter stellt die technischen Mittel bereit.
7. Schlussbestimmungen
Diese Vereinbarung untersteht ausschliesslich Schweizer Recht. Gerichtsstand ist Kriegstetten, Schweiz. Stand: 02. Mai 2026.