Auftragsverarbeitungsvertrag & Auftragsverarbeiter
Letzte Aktualisierung: Mai 2026
1. Zweck
Diese Seite beschreibt, wie Flitz.ai (betrieben von The Mejlerö Company GmbH, Schweiz — „der Auftragsverarbeiter") personenbezogene Daten im Auftrag seiner Kunden („der Verantwortliche") verarbeitet, und listet jeden Auftragsverarbeiter auf, den wir zur Erbringung des Dienstes einsetzen. Sie ergänzt die Datenschutzerklärung und die AGB. Weicht sie von einem separat unterzeichneten Auftragsverarbeitungsvertrag ab, gilt der unterzeichnete AVV vorrangig.
2. Rollen
Kunde = Verantwortlicher. Der Kunde bestimmt Zweck und Mittel der Verarbeitung im Dienst. Flitz.ai = Auftragsverarbeiter. Flitz verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Kunden (d. h. durch Betrieb des vom Kunden konfigurierten Dienstes).
3. Kategorien betroffener Personen & Daten
Betroffene: Mitarbeitende, Auftragnehmer und Endnutzer des Kunden sowie sämtliche natürlichen Personen, die in den vom Kunden gespeicherten Rechnungen, Banktransaktionen, CRM-Datensätzen, Zeiterfassungen, Chats, Passwort-Tresor-Einträgen, Intranet-Inhalten, DSGVO-Datensätzen und sonstigen Dokumenten identifizierbar sind. Datenkategorien: Name, E-Mail, Postadresse, Telefonnummer, IBAN / Zahlungsdaten, Transaktionsbeträge, Beschäftigungsdaten (Lohn), Freitext-Inhalte, IP-Adresse, Browser- / Geräte-Metadaten, Authentifizierungsdaten (gehasht) und alle vom Kunden freiwillig hochgeladenen Daten.
4. Sicherheitsmassnahmen
Verschlüsselung im Ruhezustand (AES-256) und in der Übertragung (TLS 1.3). Mandanten-Isolation auf Modell-Ebene über einen globalen Query-Scope. Zero-Knowledge-Verschlüsselung im Passwort-Tresor (browser-seitig via WebCrypto; der Server speichert ausschliesslich Chiffretext). Rollenbasierte Zugriffskontrolle mit dokumentiertem Access-Review-Workflow. Tägliche verschlüsselte Backups mit 30-Tage-Aufbewahrung. Detaillierte technische und organisatorische Massnahmen (TOMs) sind im DSGVO-Modul der Anwendung hinterlegt und auf Anfrage erhältlich.
5. Einsatz von Auftragsverarbeitern
Wir setzen die unten gelisteten Auftragsverarbeiter ein. Mit jedem schliessen wir EU-SCCs (Standardvertragsklauseln) und / oder ein Schweizer-DSG-Äquivalent ab. Vor Hinzufügen oder Wechsel eines Auftragsverarbeiters geben wir Kunden eine Vorabankündigung von 14 Tagen; abonnieren Sie [email protected] für Änderungsmeldungen oder konsultieren Sie diese Seite (sie ist das offizielle Register).
6. Betroffenenrechte & Verletzungsmeldungen
Wir unterstützen den Verantwortlichen bei Anfragen nach Art. 15–22 DSGVO / revDSG. Das DSGVO-Modul der Anwendung enthält einen integrierten DSR-Workflow mit 30-Tage-Frist und Ein-Klick-+60-Tage-Verlängerung gemäss Art. 12 Abs. 3. Im Falle einer Verletzung des Schutzes personenbezogener Daten benachrichtigen wir den Verantwortlichen innerhalb von 24 Stunden nach Kenntnisnahme und unterstützen bei der Meldung an die Aufsichtsbehörde nach Art. 33 / revDSG (72 Stunden / „so schnell wie möglich").
7. Datenstandort & -übertragungen
Die primäre Verarbeitung und Speicherung erfolgt innerhalb der EU (DigitalOcean Frankfurt). Einige Auftragsverarbeiter übertragen Daten in die USA — diese Übertragungen sind durch das EU-U.S. Data Privacy Framework gedeckt, sofern der Auftragsverarbeiter zertifiziert ist, oder durch Standardvertragsklauseln (SCCs / Schweizer-DSG-Addendum), wo nicht.
8. Auditrechte & Kontakt
Der Verantwortliche kann unsere Einhaltung dieses Addendums einmal pro Kalenderjahr prüfen, mit angemessener Vorankündigung und auf Kosten des Verantwortlichen, vorbehaltlich einer Vertraulichkeitsvereinbarung. Wir stellen unsere aktuellen SOC-2- / ISO-27001- / Penetrationstest-Zusammenfassungen gerne auf Anfrage zur Verfügung. Für DPA-bezogene Fragen, Verletzungsmeldungen oder zur Anforderung eines gegengezeichneten DPA: [email protected].
Auftragsverarbeiter-Register
Dies sind die Drittparteien, die wir zur Erbringung des Dienstes einsetzen. Die Liste ist abschliessend — wir setzen keine Auftragsverarbeiter ein, die nicht hier aufgeführt sind.
| Auftragsverarbeiter | Zweck | Verarbeitungsort | Verarbeitete Daten |
|---|---|---|---|
|
DigitalOcean, LLC
https://www.digitalocean.com
|
Anwendungs-Hosting und Datenbank-Speicherung | EU (Frankfurt) | Sämtliche Kundendaten im Ruhezustand |
|
Anthropic PBC
https://www.anthropic.com
|
KI-Rechnungserfassung, Verbuchung, Prüfung, Beratung und Dokument-Q&A | USA (mit SCCs) | Dokumentinhalt, Rechnungs-Metadaten, Freitext-Prompts |
|
Stripe Payments Europe, Ltd.
https://stripe.com
|
Abonnement-Abrechnung und Zahlungsverarbeitung | Irland (EU) | Kundenname, E-Mail, Rechnungsadresse, Zahlungsmittel |
|
Mailtrap (Railsware Products Studio LLC)
https://mailtrap.io
|
Transaktions-E-Mail-Versand (Konto, Abrechnung, Alerts) | EU (Tschechien) | Empfänger-E-Mail, Nachrichteninhalt |
Kundenseitig konfigurierte Integrationen (das eigene Bankkonto des Kunden, der per OAuth angebundene Gmail- / IMAP-Server des Kunden etc.) werden von den vom Kunden gewählten Anbietern betrieben und sind keine Flitz-Auftragsverarbeiter.
Brauchen Sie einen gegengezeichneten AVV?
Für Kunden in regulierten Branchen oder grössere Organisationen, die einen separat unterzeichneten Auftragsverarbeitungsvertrag benötigen, schreiben Sie an [email protected] mit Ihrem Firmennamen — wir gegenzeichnen und retournieren innerhalb von fünf Werktagen.
E-Mail an [email protected]