Zeffio.

Auftragsverarbeitungsvertrag (AVV)

Wenn Sie in Zeffio Angaben zu Ihren Kundinnen und Kunden, deren Ansprechpersonen oder Ihrem Team erfassen, bearbeiten wir diese Daten in Ihrem Auftrag. Dieser Vertrag regelt, wie – nach Art. 9 des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, Art. 28 der Datenschutz-Grundverordnung (DSGVO).

Stand 22.09.2026. Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt mit der Registrierung als abgeschlossen. Eine Unterschrift braucht es nicht. Fragen: hallo@zeffio.app.

1. Parteien

Verantwortlicher (Auftraggeber) sind Sie als Inhaberin oder Inhaber eines Zeffio-Kontos. Legen Sie in Zeffio ein Team an, gilt das für die Person, der das Team gehört.

Auftragsverarbeiter (Auftragsbearbeiter im Sinne des DSG) ist Benjamin Brodwolf, Einzelunternehmen, Spiegelbergstrasse 23, 4059 Basel, Schweiz – im Folgenden «Zeffio» oder «wir». Vollständige Angaben im Impressum.

2. Gegenstand, Art und Zweck

Zeffio stellt Ihnen eine Software für Zeiterfassung, Projekte, Offerten, Verträge, Rechnungen, Ausgaben und Mehrwertsteuer bereit. Dabei speichern, verarbeiten und versenden wir Personendaten, die Sie selbst erfassen oder hochladen, ausschliesslich, um Ihnen diese Funktionen zu erbringen.

Die vollständige Liste der Datenarten und die Beschreibung jedes Datenwegs steht in der AVV-Grundlage und im TOM-Verzeichnis. Sie ist Anhang 1 dieses Vertrags.

Nicht Gegenstand dieses Vertrags sind die Daten Ihres eigenen Kontos (Name, E-Mail-Adresse, Anmeldungen). Für sie sind wir selbst verantwortlich; wie wir sie bearbeiten, steht in der Datenschutzerklärung.

3. Dauer

Dieser Vertrag gilt, solange Ihr Konto besteht. Er endet mit der Löschung des Kontos. Was danach mit den Daten geschieht, regelt Ziffer 11.

4. Weisungen

Wir bearbeiten Ihre Daten nur nach Ihren Weisungen. Ihre Weisung ist in erster Linie die Nutzung der Software selbst: Was Sie in Zeffio erfassen, versenden, exportieren oder löschen, führen wir so aus. Weitere Weisungen können Sie per E-Mail an hallo@zeffio.app erteilen.

Wir verwenden Ihre Daten nicht für eigene Zwecke – nicht für Werbung, nicht für Auswertungen über Ihr Konto hinaus und nicht zum Trainieren von KI-Modellen. Halten wir eine Weisung für rechtswidrig, sagen wir es Ihnen, bevor wir sie ausführen.

Müssen wir Daten aufgrund einer gesetzlichen Pflicht oder einer behördlichen Anordnung herausgeben, informieren wir Sie vorher, soweit das erlaubt ist, und geben nur heraus, was verlangt ist.

5. Vertraulichkeit

Zeffio wird heute von einer einzelnen Person betrieben. Sie greift auf Ihre Daten nur zu, soweit es für den Betrieb, die Fehlerbehebung oder eine Anfrage von Ihnen nötig ist. Ziehen wir weitere Personen bei, verpflichten wir sie vorher schriftlich zur Vertraulichkeit. Diese Pflicht gilt über das Ende ihrer Tätigkeit hinaus.

6. Technische und organisatorische Massnahmen

Wir schützen Ihre Daten mit den Massnahmen, die in der AVV-Grundlage und im TOM-Verzeichnis beschrieben sind (Anhang 1; Art. 8 DSG, Art. 3 DSV, Art. 32 DSGVO). Dazu gehören unter anderem verschlüsselte Übertragung, eine strikte Trennung der Daten je Konto, Zwei-Faktor-Anmeldung, tägliche Sicherungen und eine geübte Wiederherstellung.

Wir dürfen diese Massnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Anhang 1 nennt auch offen, was heute noch fehlt; wir führen ihn mit der Software nach.

7. Unterauftragsverarbeiter

Sie erlauben uns, Unterauftragsverarbeiter beizuziehen. Die aktuelle Liste – Name, Zweck, Ort und was der Dienst sieht – steht in der Datenschutzerklärung unter «Auftragsverarbeiter». Sie ist Anhang 2 dieses Vertrags. Mit dem Abschluss dieses Vertrags genehmigen Sie die dort genannten Dienste.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich mindestens zu dem, wozu dieser Vertrag uns verpflichtet, und bleiben Ihnen gegenüber für ihn verantwortlich. Wo ein solcher Vertrag noch fehlt, sagt es Anhang 1 unter «Was noch fehlt».

Neue oder andere Unterauftragsverarbeiter kündigen wir mindestens 30 Tage im Voraus per E-Mail an die Adresse Ihres Kontos an. Sie können innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Finden wir keine Lösung, können Sie Ihr Konto vor dem Wechsel kündigen und Ihre Daten vorher exportieren. Ist ein Wechsel dringend, etwa weil ein Dienst ausfällt oder unsicher wird, dürfen wir ihn sofort vollziehen und informieren Sie dann unverzüglich.

8. Bearbeitung im Ausland

Ihre Daten werden in der Schweiz und in Staaten mit angemessenem Datenschutz bearbeitet, die der Bundesrat in Anhang 1 der Datenschutzverordnung (DSV) aufführt. Heute sind das die Schweiz und Frankreich (nur für den Mailversand und die Meldungen zur Zustellung). Eine Bearbeitung in einem anderen Staat kündigen wir wie einen neuen Unterauftragsverarbeiter an (Ziffer 7) und nur mit geeigneten Garantien nach Art. 16 DSG bzw. Kapitel V DSGVO.

9. Unterstützung bei Anfragen betroffener Personen

Verlangt eine Person Auskunft, Berichtigung, Löschung oder Herausgabe ihrer Daten, sind in erster Linie Sie zuständig. Zeffio unterstützt Sie dabei mit eigenen Funktionen: Daten lassen sich in der App berichtigen und löschen, und unter Einstellungen laden Sie einen Export Ihrer Daten herunter.

Wendet sich eine betroffene Person direkt an uns, leiten wir ihre Anfrage an Sie weiter und beantworten sie nicht selbst, ausser Sie weisen uns dazu an. Wo die Funktionen der App nicht ausreichen, helfen wir Ihnen auf Anfrage. Ebenso unterstützen wir Sie, soweit nötig, bei einer Datenschutz-Folgenabschätzung und bei Anfragen einer Aufsichtsbehörde.

10. Verletzungen der Datensicherheit

Erfahren wir von einer Verletzung der Datensicherheit, die Ihre Daten betrifft, melden wir sie Ihnen so rasch als möglich (Art. 24 Abs. 3 DSG), in jedem Fall so, dass Sie Ihre eigenen Meldefristen einhalten können – nach der DSGVO sind das 72 Stunden. Die Meldung geht an die E-Mail-Adresse Ihres Kontos und nennt, soweit bekannt, was passiert ist, welche Daten und wie viele Personen betroffen sind, welche Folgen zu erwarten sind und was wir dagegen tun. Wir liefern fehlende Angaben nach, sobald wir sie kennen.

Wie wir intern vorgehen, beschreibt Anhang 1 unter «Schweiz: DSG neben der DSGVO».

11. Rückgabe und Löschung

Sie können Ihre Daten jederzeit selbst exportieren und löschen. Löschen Sie Ihr Konto, löschen wir die Daten des Kontos sofort aus der laufenden Datenbank. In den Datenbank-Sicherungen auf dem Server bleiben sie noch bis zu 14 Tage liegen und werden dann gelöscht. Für die zusätzliche, ausgelagerte Kopie der Sicherung ist diese Frist noch nicht festgelegt; das steht offen in Anhang 1 unter «Was noch fehlt». Sicherungen verwenden wir nur zur Wiederherstellung nach einem Ausfall.

Aufbewahrungspflichten sind Ihre Sache. Geschäftsbücher und Belege müssen in der Schweiz zehn Jahre aufbewahrt werden (Art. 958f OR). Exportieren Sie deshalb alles, was Sie aufbewahren müssen, bevor Sie Ihr Konto löschen. Nach der Löschung können wir Daten nicht wiederherstellen.

Auf Anfrage bestätigen wir Ihnen die Löschung schriftlich (E-Mail genügt).

12. Nachweise und Kontrollen

Wir stellen Ihnen die Informationen zur Verfügung, die Sie brauchen, um die Einhaltung dieses Vertrags zu belegen. Das meiste steht in Anhang 1; weitere Fragen beantworten wir per E-Mail. Reicht das nicht, können Sie eine Kontrolle durch Sie oder eine zur Verschwiegenheit verpflichtete Prüfperson verlangen – mit angemessener Voranmeldung, zu üblichen Geschäftszeiten, ohne Einblick in Daten anderer Kundinnen und Kunden und auf Ihre Kosten.

13. Haftung

Für die Haftung gelten die Allgemeinen Geschäftsbedingungen. Zwingende gesetzliche Haftungsregeln des Datenschutzrechts bleiben vorbehalten.

14. Änderungen, Vorrang, Recht und Gerichtsstand

Ändern wir diesen Vertrag, informieren wir Sie mindestens 30 Tage vorher per E-Mail. Widersprechen Sie nicht und nutzen Sie Zeffio weiter, gelten die Änderungen als angenommen. Widersprechen Sie, können Sie Ihr Konto kündigen.

Widerspricht dieser Vertrag den AGB, geht er für die Bearbeitung Ihrer Personendaten vor. Es gilt Schweizer Recht. Gerichtsstand ist Basel, soweit das Gesetz nichts anderes zwingend vorschreibt.

Anhänge