Diese Übersetzung dient lediglich der Information. Bei Abweichungen ist die englische Fassung massgebend.

Auftragsverarbeitungsvertrag

Zuletzt aktualisiert: 27. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen der DIZZUS GmbH („Auftragsverarbeiter“, „wir“) und dem Kunden („Verantwortlicher“, „Sie“), der ConvertFly.io („Dienst“) nutzt. Dieser AVV regelt die Bearbeitung von Personendaten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen in Übereinstimmung mit dem Schweizer Bundesgesetz über den Datenschutz (nDSG) und, soweit anwendbar, der Datenschutz-Grundverordnung der EU (DSGVO).

1. Begriffsbestimmungen

• Personendaten: Alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, im Sinne von Art. 5 nDSG und Art. 4 Nr. 1 DSGVO.
• Bearbeitung: Jeder Vorgang im Zusammenhang mit Personendaten (Erhebung, Speicherung, Verwendung, Übermittlung, Löschung).
• Unterauftragsverarbeiter: Ein Dritter, den der Auftragsverarbeiter beizieht, um Personendaten im Auftrag des Verantwortlichen zu bearbeiten.

2. Gegenstand und Zweck

Der Auftragsverarbeiter bearbeitet Personendaten ausschliesslich zum Zweck der Erbringung des Dienstes zur Dateikonvertierung, wie in den Allgemeinen Geschäftsbedingungen beschrieben. Die Bearbeitung umfasst:

• die Entgegennahme und temporäre Speicherung von Dateien, die vom Verantwortlichen oder dessen Endnutzern hochgeladen werden;
• die Konvertierung von Dateien zwischen Formaten mittels automatisierter Verarbeitungs-Engines;
• die temporäre Speicherung von Konvertierungsergebnissen zum Herunterladen;
• die Führung von Konvertierungsprotokollen (nur Metadaten, keine Dateiinhalte).

3. Arten von Personendaten

Zur Konvertierung übermittelte Dateien können Personendaten enthalten. Die Kategorien hängen vom Anwendungsfall des Verantwortlichen ab und können Folgendes umfassen:

• Namen, Kontaktdaten, Identifikationsnummern;
• Finanzdaten in Tabellen oder Dokumenten;
• Bilder mit Gesichtern oder persönlichen Informationen;
• sonstige in hochgeladenen Dateien enthaltene Personendaten.

Der Auftragsverarbeiter bearbeitet den Inhalt der Dateien automatisiert, durch die Konvertierungssoftware und ausschliesslich für die Konvertierung; er verwendet ihn zu keinem anderen Zweck und gibt ihn nicht weiter.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• Personendaten nur auf dokumentierte Weisung des Verantwortlichen zu bearbeiten (d. h. durch Ausführung der angeforderten Konvertierung);
• sicherzustellen, dass die zur Bearbeitung der Personendaten befugten Personen zur Vertraulichkeit verpflichtet sind;
• angemessene technische und organisatorische Sicherheitsmassnahmen zu treffen (siehe Abschnitt 7);
• Unterauftragsverarbeiter nur mit Genehmigung des Verantwortlichen beizuziehen (siehe Abschnitt 6);
• den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen zu unterstützen;
• nach Beendigung des Dienstes alle Personendaten zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• alle zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung zu stellen und Überprüfungen (Audits) zu ermöglichen.

5. Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich,

• sicherzustellen, dass er über eine Rechtsgrundlage für die Bearbeitung von Personendaten über den Dienst verfügt;
• den betroffenen Personen die erforderlichen Informationen über die Nutzung des Dienstes zu erteilen;
• sicherzustellen, dass die übermittelten Dateien keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) enthalten, sofern keine geeigneten Garantien bestehen.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter beizuziehen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede Änderung der Unterauftragsverarbeiter.

Bei Übermittlungen ausserhalb der Schweiz bzw. des EWR stellt der Auftragsverarbeiter sicher, dass geeignete Garantien bestehen (Standardvertragsklauseln oder Angemessenheitsbeschlüsse).

7. Sicherheitsmassnahmen

Der Auftragsverarbeiter trifft die folgenden technischen und organisatorischen Massnahmen:

• Verschlüsselung bei der Übertragung: Die gesamte Kommunikation verwendet TLS 1.2 oder höher;
• Verschlüsselung im Ruhezustand: Dateien werden auf verschlüsselten Datenträgern in von Dizzus betriebenen Speichersystemen abgelegt;
• Zugriffskontrolle: Authentifizierung per API-Schlüssel, Sitzungsverwaltung, rollenbasierter Zugriff;
• Sicherheit der Worker: Mit HMAC-SHA256 signierte Anfragen zwischen API und Konvertierungs-Workern;
• Datenminimierung: Importdateien werden unmittelbar nach der Konvertierung gelöscht, Ergebnisdateien nach 24 Stunden;
• Überwachung: Automatisierte Zustandsprüfungen und zentrale Protokollierung;
• Netzwerksicherheit: Konvertierungs-Worker sind in privaten Netzwerken isoliert (WireGuard-Mesh); TLS-Terminierung und Ratenbegrenzung am Netzwerkrand.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung der Datensicherheit unverzüglich (in jedem Fall innerhalb von 72 Stunden), nachdem sie ihm bekannt geworden ist. Die Meldung enthält die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen, die wahrscheinlichen Folgen sowie die zur Behebung der Verletzung ergriffenen Massnahmen.

9. Anfragen betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen umgehend bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung, Widerspruch). Aufgrund der automatisierten und temporären Natur der Dateibearbeitung werden die meisten Anfragen betroffener Personen bereits durch die Regel der Dateilöschung nach 24 Stunden automatisch erfüllt.

10. Prüfungen (Audits)

Der Verantwortliche kann die Einhaltung dieses AVV durch den Auftragsverarbeiter überprüfen. Audits sind mit angemessener Vorankündigung (mindestens 30 Tage) und während der üblichen Geschäftszeiten durchzuführen. Der Auftragsverarbeiter kann für Unterstützung bei Audits, die über die Standarddokumentation hinausgeht, angemessene Gebühren verlangen.

11. Laufzeit und Beendigung

Dieser AVV gilt für die Dauer des Vertrags über den Dienst. Nach dessen Beendigung löscht der Auftragsverarbeiter alle Personendaten innerhalb von 30 Tagen, sofern keine Aufbewahrungspflicht nach Schweizer Recht oder EU-Recht besteht. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung schriftlich.

12. Anwendbares Recht

Dieser AVV untersteht Schweizer Recht. Ausschliesslich zuständig sind die Gerichte in Zug, Schweiz, sofern zwingendes Recht nichts anderes vorsieht.

13. Kontakt

Für Anfragen zum AVV:
DIZZUS GmbH
Chamerstrasse 172, 6300 Zug, Switzerland
UID CHE-469.903.322
Kontakt: convertfly.io/contact
E-Mail: E-Mail-Adresse anzeigen