Auftragsverarbeitung (AVV)

Auftragsverarbeitungsvertrag (AVV) gemäss Art. 9 revDSG / Art. 28 DSGVO Version 1.0 · Stand: 5. Mai 2026 · Sprache: Deutsch (massgebend)

Auftragsverarbeiterin	Haus der Finanzen GmbH, Freiburgstrasse 443, 3018 Bern · UID: CHE-462.314.248 · (handelnd unter der Marke «Pontora») · datenschutz@pontora.ch
Verantwortlicher	Der Kunde gemäss AGB Ziff. 3.1 lit. b (KMU-Kunde) · Identifizierung erfolgt über das Pontora-Konto

Dieser Auftragsverarbeitungsvertrag (nachfolgend «AVV») konkretisiert die datenschutzrechtlichen Pflichten zwischen der Haus der Finanzen GmbH (nachfolgend «Anbieterin» oder «Auftragsverarbeiterin») und ihren KMU-Kunden (nachfolgend «Kunde» oder «Verantwortlicher»). Grundlage des Vertragsverhältnisses bilden die Allgemeinen Geschäftsbedingungen (AGB) und die Datenschutzerklärung (DSE) der Pontora-Plattform; diese sind integrierender Bestandteil des AVV.

1. Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

1.1 Gegenstand, Dauer, Art und Zweck der Auftragsverarbeitung ergeben sich aus den AGB und der Leistungsbeschreibung der Pontora-Plattform. Anhang A zu diesem AVV konkretisiert die Verarbeitungstätigkeiten, Datenkategorien und Kategorien betroffener Personen.

1.2 Die Auftragsverarbeitung dauert für die Dauer des Hauptvertrags an. Nach Beendigung des Hauptvertrags richtet sich die weitere Datenbearbeitung nach Ziff. 8 dieses AVV (Datenrückgabe und Löschung).

2. Anwendbares Recht und Verantwortlichkeit

2.1 Dieser AVV richtet sich nach dem revidierten Schweizerischen Datenschutzgesetz (revDSG, in Kraft seit 1.9.2023) und der zugehörigen Verordnung (DSV). Soweit auf eine Datenbearbeitung die EU-Datenschutz-Grundverordnung (DSGVO) anwendbar ist (z.B. weil Daten von in der EU ansässigen Personen bearbeitet werden), gelten die einschlägigen Bestimmungen der DSGVO ergänzend; bei Konflikten gehen die zwingenden Anforderungen der jeweils strengeren Regelung vor.

2.2 Der Kunde ist Verantwortlicher im Sinne von Art. 5 lit. j revDSG bzw. Art. 4 Nr. 7 DSGVO für die in die Plattform eingegebenen Personendaten Dritter. Er ist insbesondere verantwortlich für die Rechtmässigkeit der Datenerhebung, die Information der betroffenen Personen sowie die Erfüllung der Betroffenenrechte.

2.3 Die Anbieterin ist Auftragsbearbeiterin im Sinne von Art. 9 revDSG bzw. Auftragsverarbeiterin im Sinne von Art. 28 DSGVO. Sie verarbeitet Personendaten ausschliesslich auf Weisung des Kunden, soweit nicht eine gesetzliche Pflicht zur abweichenden Bearbeitung besteht.

2.4 Mit Akzeptierung der AGB und der DSE bei der Registrierung erteilt der Kunde der Anbieterin die generelle Weisung zur Datenverarbeitung im Rahmen der Leistungsbeschreibung. Konkrete Einzelweisungen können über das Pontora-Konto, per E-Mail an datenschutz@pontora.ch oder schriftlich an die Anbieterin gerichtet werden.

2.5 Die Anbieterin informiert den Kunden unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstösst. Sie ist berechtigt, die Ausführung der entsprechenden Weisung bis zur Bestätigung oder Änderung durch den Kunden auszusetzen.

3. Pflichten der Anbieterin (Auftragsverarbeiterin)

3.1 Die Anbieterin verarbeitet Personendaten ausschliesslich im Rahmen des Hauptvertrags, dieses AVV und der dokumentierten Weisungen des Kunden, sofern nicht eine gesetzliche Verpflichtung zur abweichenden Bearbeitung besteht. In letzterem Fall teilt sie dem Kunden diese rechtliche Verpflichtung vor der Verarbeitung mit, soweit das einschlägige Recht eine solche Mitteilung nicht verbietet.

3.2 Die Anbieterin trifft die in Anhang B beschriebenen technischen und organisatorischen Massnahmen (TOM) zum Schutz der Personendaten. Diese unterliegen dem technischen Fortschritt; die Anbieterin ist berechtigt, alternative Massnahmen umzusetzen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Kunden im Rahmen der Aktualisierung des AVV mitgeteilt.

3.3 Die Anbieterin verpflichtet sämtliche mit der Verarbeitung befassten Personen (Mitarbeitende, beauftragte Dritte, Subunternehmer) auf Vertraulichkeit oder stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.4 Die Anbieterin unterstützt den Kunden bei der Erfüllung der Pflichten gemäss Art. 22, 24 und 25 revDSG bzw. Art. 32 bis 36 DSGVO im Rahmen ihrer Möglichkeiten, insbesondere bei:

• der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe);
• der Meldung und Dokumentation von Verletzungen des Datenschutzes («Data Breaches»);
• der Durchführung von Datenschutz-Folgenabschätzungen («DSFA»);
• der Konsultation der zuständigen Aufsichtsbehörde.

3.5 Für umfangreiche Unterstützungsleistungen, die über die Standard-Funktionalität der Plattform hinausgehen, kann die Anbieterin eine angemessene Aufwandsentschädigung verlangen. Sie wird den Kunden über die voraussichtlichen Kosten vorgängig informieren.

3.6 Meldung von Datenschutzverletzungen: Wird der Anbieterin eine Verletzung des Schutzes der durch sie im Auftrag verarbeiteten Personendaten bekannt, informiert sie den Kunden unverzüglich, spätestens jedoch innert 48 Stunden nach Kenntnisnahme. Die Meldung enthält — soweit verfügbar — folgende Angaben:

• Beschreibung der Art der Verletzung;
• Kategorien und ungefähre Anzahl der betroffenen Personen;
• Kategorien und ungefähre Anzahl der betroffenen Datensätze;
• wahrscheinliche Folgen der Verletzung;
• ergriffene oder vorgeschlagene Massnahmen zur Behebung.

3.7 Die Anbieterin überprüft die Wirksamkeit der TOM in regelmässigen Abständen und passt diese bei Bedarf an.

4. Pflichten des Kunden (Verantwortlicher)

4.1 Der Kunde ist allein verantwortlich für die Rechtmässigkeit der Erhebung, Bearbeitung und Übermittlung der Personendaten an die Anbieterin sowie für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen (insb. seinen Mitarbeitenden, Lieferanten und Geschäftspartnern).

4.2 Der Kunde stellt sicher, dass — soweit nach geltendem Recht erforderlich — gültige Einwilligungen der betroffenen Personen vorliegen oder eine andere Rechtsgrundlage besteht. Der Kunde wird seine Mitarbeitenden über die Datenbearbeitung im Rahmen der Pontora-Plattform informieren und ihnen die DSE der Anbieterin zugänglich machen.

4.3 Der Kunde informiert die Anbieterin unverzüglich, wenn er Fehler oder Unregelmässigkeiten in den Auftragsergebnissen oder im Datenfluss feststellt, insbesondere bei Anhaltspunkten für eine Verletzung des Datenschutzes.

4.4 Mit Akzeptierung dieses AVV und der DSE erklärt der Kunde sein Einverständnis mit dem Beizug der in Anhang A aufgeführten Subunternehmer durch die Anbieterin (vgl. Ziff. 7).

4.5 Die Einholung allfällig erforderlicher Einwilligungen der betroffenen Personen — insbesondere für die KI-gestützte Verarbeitung von Belegen mit potenziell schützenswerten Inhalten — obliegt dem Kunden.

5. Anfragen betroffener Personen

5.1 Wendet sich eine betroffene Person mit Ansprüchen auf Auskunft, Berichtigung, Löschung, Einschränkung oder Datenherausgabe direkt an die Anbieterin, verweist die Anbieterin diese an den Kunden und leitet die Anfrage innert angemessener Frist (in der Regel 5 Arbeitstage) an die im Pontora-Konto hinterlegte Datenschutz-Kontaktadresse des Kunden weiter.

5.2 Die Anbieterin haftet nicht, wenn das Ersuchen einer betroffenen Person vom Kunden nicht, nicht rechtzeitig oder nicht ordnungsgemäss beantwortet wird.

5.3 Die Anbieterin stellt dem Kunden geeignete Funktionen in der Plattform zur Verfügung, um Auskunfts-, Berichtigungs- und Löschanfragen seiner betroffenen Personen selbst bearbeiten zu können (Datenexport, Datenkorrektur, Datenlöschung in den Modulen).

6. Audit- und Nachweismöglichkeiten

6.1 Die Anbieterin weist die Einhaltung der datenschutzrechtlichen Pflichten auf geeignete Weise nach, insbesondere durch:

• regelmässige Selbstaudits und interne Kontrollen;
• technische und organisatorische Dokumentation der TOM (Anhang B);
• auf Anfrage: Bereitstellung relevanter Audit-Berichte oder Zertifizierungen ihrer Subunternehmer (z.B. AWS SOC-Berichte, ISO-Zertifikate).

6.2 Inspektionen durch den Kunden oder einen vom Kunden beauftragten unabhängigen Prüfer (Auditor) sind mit angemessener Vorlaufzeit (mindestens 30 Tage) und während der üblichen Geschäftszeiten möglich, sofern dies datenschutzrechtlich erforderlich oder von der zuständigen Aufsichtsbehörde verlangt wird. Die Anbieterin kann die Unterzeichnung einer angemessenen Verschwiegenheitsvereinbarung (NDA) verlangen. Der Auditor darf zu keinen Mitbewerbern der Anbieterin in einem aktiven Beratungs- oder Anstellungsverhältnis stehen.

6.3 Die Kosten für vom Kunden veranlasste Audits trägt — vorbehältlich nachgewiesener wesentlicher Verletzungen dieses AVV durch die Anbieterin — der Kunde.

7. Subunternehmer (weitere Auftragsverarbeiter)

7.1 Die Anbieterin ist berechtigt, zur Erfüllung ihrer vertraglichen Leistungen Subunternehmer beizuziehen («weitere Auftragsverarbeiter»). Die Anbieterin verpflichtet diese Subunternehmer vertraglich auf ein Datenschutzniveau, das demjenigen dieses AVV entspricht.

7.2 Die jeweils aktuelle Liste der eingesetzten Subunternehmer ist in Anhang A zu diesem AVV aufgeführt und auf pontora.ch publiziert. Mit Akzeptierung der AGB stimmt der Kunde dem Beizug der zum Zeitpunkt des Vertragsschlusses gelisteten Subunternehmer zu.

7.3 Über den Beizug oder die Auswechslung von Subunternehmern wird der Kunde mindestens 30 Tage im Voraus in Textform (z.B. per E-Mail oder In-App-Mitteilung) informiert. Aus wichtigem datenschutzrechtlichem Grund kann der Kunde innerhalb von 14 Tagen ab Mitteilung in Textform widersprechen. Im Falle eines berechtigten Widerspruchs ist jede Partei berechtigt, das Hauptvertragsverhältnis ausserordentlich zu kündigen.

7.4 Die Anbieterin haftet für die Auswahl, Instruktion und Überwachung der Subunternehmer im Rahmen der gesetzlichen Bestimmungen.

8. Beendigung des AVV, Datenrückgabe und Löschung

8.1 Mit Beendigung des Hauptvertrags endet auch dieser AVV automatisch. Die Pflicht zur Vertraulichkeit (Ziff. 3.3) und die Pflicht zur Mitteilung im Falle von Datenschutzverletzungen (Ziff. 3.6) bestehen für die nach Vertragsende noch von der Anbieterin gespeicherten Daten weiter.

8.2 Nach Wahl des Kunden gibt die Anbieterin sämtliche im Rahmen der Auftragsverarbeitung gespeicherten Personendaten innerhalb von 30 Tagen nach Beendigung des Hauptvertrags an den Kunden heraus oder löscht sie unwiderruflich.

8.3 Eine Aufbewahrung über die Frist gemäss Ziff. 8.2 hinaus ist nur zulässig, soweit gesetzliche Aufbewahrungspflichten dies erfordern (insb. Art. 958f OR — 10 Jahre für Geschäftsbücher; Art. 70 MWSTG — 10 Jahre für mehrwertsteuerrelevante Belege; Art. 35 BVG — Aufbewahrungspflichten Sozialversicherungen). Die für die gesetzliche Aufbewahrung erforderlichen Daten werden technisch isoliert (Archivspeicher) und sind keiner aktiven Verarbeitung mehr zugänglich.

9. Internationale Datenübermittlung

9.1 Die Anbieterin speichert produktive Personendaten ausschliesslich auf Infrastruktur in der Schweiz (AWS Region «Switzerland (Zurich)» / eu-central-2).

9.2 Soweit für einzelne Funktionen — insbesondere die KI-gestützte OCR-Erkennung von Kassenbuch- und Kreditorenbelegen — Daten an Subunternehmer in Drittstaaten übermittelt werden (insbesondere an Anthropic, PBC, USA, für die Nutzung von «Claude»), erfolgt diese Übermittlung gestützt auf:

• die Standardvertragsklauseln des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bzw. die Standardvertragsklauseln der EU-Kommission (DSGVO-konform);
• ergänzende technische und organisatorische Schutzmassnahmen, insbesondere Verschlüsselung in Übertragung, Pseudonymisierung wo möglich und Beschränkung der übermittelten Datenfelder auf das für die Zweckerfüllung Erforderliche;
• vertragliche Verpflichtung des Subunternehmers, die übermittelten Daten ausschliesslich zur Erbringung der Auftragsleistung zu verwenden und nicht für eigene Zwecke (insbesondere nicht zum Trainieren von KI-Modellen).

9.3 Die Anbieterin stellt dem Kunden auf Anfrage die für die Übermittlung relevanten Vertragsdokumente (Standardvertragsklauseln, Data Processing Agreements) zur Verfügung.

10. Haftung

10.1 Die Haftung der Parteien richtet sich nach den entsprechenden Bestimmungen der AGB. Im Übrigen haftet die Anbieterin nicht für Datenschutzverletzungen, die auf fehlerhaften Weisungen oder unzureichender Sorgfalt des Kunden beruhen, insbesondere bei:

• Eingabe rechtswidrig erhobener Personendaten in die Plattform;
• Versäumnis der Information der betroffenen Personen durch den Kunden;
• Weitergabe von Zugangsdaten an unbefugte Personen;
• unsachgemässer Konfiguration der Berechtigungen im Pontora-Konto.

11. Schlussbestimmungen

11.1 Im Übrigen gelten die Bestimmungen der AGB und der DSE. Bei Widersprüchen zwischen diesem AVV und den AGB gehen — soweit es um datenschutzrechtliche Fragen geht — die Bestimmungen dieses AVV vor.

11.2 Sollten einzelne Bestimmungen dieses AVV unwirksam, nichtig oder undurchsetzbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen und rechtlichen Zweck am nächsten kommt.

11.3 Dieser AVV untersteht ausschliesslich Schweizerischem Recht. Gerichtsstand ist Bern, Schweiz.

11.4 Anhang A (Gegenstand und Subunternehmer) und Anhang B (TOM) sind integrierender Bestandteil dieses AVV.

Anhang A — Gegenstand, Datenkategorien, Subunternehmer

A.1 Gegenstand und Zweck der Verarbeitung

Gegenstand	Bearbeitung von Personendaten im Rahmen des Betriebs der Pontora-SaaS-Plattform für KMU- und Personalmanagement
Zweck	Bereitstellung, Betrieb und Weiterentwicklung der Plattform; insbesondere: Mitarbeiter-Onboarding (Personalstammdaten, Dokumente) · Aufgaben- und Workflow-Management · Formulare (Unfallmeldung, Krankheitsmeldung etc.) · Bereitstellung von Systemdokumenten (Verträge, Kündigungen) · Digitales Kassenbuch (mit OCR) · Verwaltung von Kreditorenbelegen (mit OCR) · Hochladen und Verwalten von Unternehmens- und Mitarbeiterdokumenten · Arbeitszeiterfassung · Tägliche Umsatzerfassung (Gastronomie) nach Umsatz- und Zahlungsart · Multi-Mandanten-/Multi-Standort-Verwaltung
Dauer	Für die Dauer des Hauptvertrags zuzüglich allfälliger gesetzlicher Aufbewahrungsfristen

A.2 Kategorien betroffener Personen

• Mitarbeitende des Kunden (inkl. ehemalige);
• Treuhänderinnen und Treuhänder, die im Auftrag des Kunden auf die Plattform zugreifen;
• Verwaltungs- und Administratoren-Konten des Kunden;
• Lieferanten und Geschäftspartner des Kunden (im Rahmen der Kreditorenverwaltung);
• Kunden des Kunden (im Rahmen der Umsatzerfassung — keine personenbezogenen Daten von Endkunden, sondern Aggregate).

A.3 Kategorien personenbezogener Daten

Kategorie	Daten
Personalstammdaten	Name, Vorname, Geburtsdatum, AHV-Nr., Adresse, Kontaktdaten, Bankverbindung, Foto, Angaben zu Kinder
Beschäftigungsdaten	Funktion, Pensum, Eintritts-/Austrittsdatum, Arbeitsverträge, Kündigungen, Zeugnisse, Lohnangaben
Arbeitszeitdaten	Arbeitsstunden, Pausen, Abwesenheiten, Ferien, Überstunden
Besonders schützenswerte Daten	Krankmeldungen (inkl. Arztzeugnisse) · Unfallberichte und Unfallmeldungen · Lohn- und Vergütungsdaten · Allenfalls: Sozialhilfe-Beistandsverhältnisse, Lohnpfändungen
Lieferanten-/Belegdaten	Lieferantenstammdaten, Rechnungen, Quittungen, Kassenbuch-Einträge
Nutzungsdaten	Login-Zeiten, IP-Adressen, Browser-Typ, Aktivitätsprotokolle (Audit-Logs)

A.4 Aktuelle Subunternehmer

Subunternehmer	Zweck	Sitz / Land	Datenstandort
Amazon Web Services EMEA SARL	Cloud-Infrastruktur, Datenspeicherung, Compute	Luxemburg / EU	Zürich, Schweiz (eu-central-2)
Supabase Inc.	Datenbank-Plattform (PostgreSQL), Auth, Storage	Delaware, USA	Zürich, Schweiz (auf AWS eu-central-2)
Anthropic, PBC	KI-gestützte OCR-Erkennung von Belegen (Kassenbuch, Kreditoren); Anthropic «Claude API»	San Francisco, USA	USA (mit SCC-Schutzmassnahmen, no-training)
Vercel Inc.	Hosting der öffentlichen Website und Marketing-Frontends (keine Produktivdaten)	San Francisco, USA	EU-Region (Frankfurt, fra1)
Cloudflare Inc.	CDN, DDoS-Schutz, DNS	San Francisco, USA	Globales Edge-Netzwerk; Schweiz/EU-PoPs priorisiert
EnacTon Infotech LLP	Softwareentwicklung; Zugriff ausschliesslich auf Entwicklungs- und Staging-Umgebungen, kein Zugriff auf Produktivdaten	Indien	Kein Zugriff auf produktive Personendaten

Anhang B — Technische und organisatorische Massnahmen (TOM)

Die nachfolgenden Massnahmen entsprechen den Anforderungen von Art. 8 revDSG / Art. 1 ff. DSV sowie Art. 32 DSGVO und werden laufend an den Stand der Technik angepasst.

I. Vertraulichkeit (Confidentiality)

I.1 Zutrittskontrolle

• Physischer Zugang zu den Servern ausschliesslich über AWS-Sicherheitsmassnahmen in den Rechenzentren in Zürich;
• Lückenlose Protokollierung aller Zutrittsereignisse durch AWS;
• Mitarbeitende der Anbieterin haben keinen physischen Zugang zu den Servern.

I.2 Zugangskontrolle (Authentifizierung)

• Authentifizierung per E-Mail/Passwort mit Mindestanforderungen an Passwortkomplexität;
• Unterstützung von Magic-Link-Authentifizierung;
• Pflicht zur Zwei-Faktor-Authentifizierung (2FA) für Administrator- und Super-Administrator-Konten;
• Automatische Sperrung nach mehrfachen fehlgeschlagenen Anmeldeversuchen;
• Sicherer Passwort-Hashing-Algorithmus (bcrypt oder gleichwertig).

I.3 Zugriffskontrolle (Berechtigungskonzept)

• Rollenbasiertes Berechtigungskonzept mit klaren Rollen: Mitarbeiter, Company-Admin, Treuhänder, System-Admin;
• Prinzip der minimalen Rechte (Least Privilege): jede Rolle erhält nur die für die Aufgabenerfüllung notwendigen Berechtigungen;
• Standardmässige Deaktivierung des Super-Administrator-Zugriffs auf produktive Kundendaten;
• Aktivierung des Super-Administrator-Zugriffs nur mit ausdrücklicher Zustimmung des betroffenen Kunden im Einzelfall;
• Lückenlose Protokollierung jedes administrativen Zugriffs (Audit-Log) inkl. Zeitstempel, ausführende Person, betroffene Datensätze, Zweck;
• Regelmässige Überprüfung der Zugriffsberechtigungen (mindestens quartalsweise).

I.4 Trennungsgebot (Multi-Tenant-Isolation)

• Daten verschiedener Kunden werden auf Datenbankebene strikt voneinander getrennt (Row-Level Security in PostgreSQL/Supabase);
• Keine kundenübergreifenden Datenzugriffe technisch möglich, ausser durch explizit autorisierte Zugriffsbeziehungen (z.B. Treuhänder eines KMU-Kunden);
• Entwicklungs-, Staging- und Produktivumgebungen sind strikt voneinander getrennt;
• Externe Entwicklungspartner haben ausschliesslich Zugriff auf anonymisierte Test- oder Entwicklungsdaten.

II. Integrität (Integrity)

II.1 Eingabekontrolle

• Lückenlose Protokollierung von Dateneingaben, Änderungen und Löschungen (Audit-Trail) auf Anwendungs- und Datenbankebene;
• Versionierung sicherheitsrelevanter Konfigurationen und Dokumente;
• Nachvollziehbarkeit aller relevanten Datenänderungen über mindestens 12 Monate.

II.2 Transportkontrolle

• Verschlüsselte Datenübertragung (TLS 1.2 oder höher) zwischen Endgerät und Server;
• Verschlüsselte interne Kommunikation zwischen Anwendungs- und Datenbankebene;
• Verschlüsselung der Daten im Ruhezustand (at-rest, AES-256 auf Storage- und Datenbankebene);
• Maschinelle Authentifizierung an externen Schnittstellen (API-Tokens mit eingeschränkter Lebensdauer).

III. Verfügbarkeit und Belastbarkeit (Availability)

• Tägliche automatisierte Backups der gesamten Datenbank;
• Backup-Aufbewahrung gemäss internen Richtlinien (Retention: 30 Tage Point-in-Time, 12 Monate Tages-Backups);
• Backup-Speicherung in geographisch getrennter AWS-Verfügbarkeitszone (innerhalb derselben Region);
• Notfall- und Wiederherstellungsplan (Disaster Recovery Plan) inkl. dokumentiertem Recovery Time Objective (RTO) und Recovery Point Objective (RPO);
• Regelmässige Tests der Backup-Wiederherstellung (mindestens halbjährlich);
• Monitoring der Anwendungsverfügbarkeit rund um die Uhr.

IV. Verfahren zur regelmässigen Überprüfung (Resilience)

• Regelmässige interne Überprüfung der TOM (mindestens jährlich) und Anpassung an den Stand der Technik;
• Sicherheitsvorfallmanagement: dokumentierter Prozess zur Erkennung, Eskalation und Behebung von Sicherheitsvorfällen;
• Schulung der Mitarbeitenden zu Datenschutz und Datensicherheit (mindestens jährlich);
• Vertragliche Verpflichtung sämtlicher Mitarbeitender, Lieferanten und Subunternehmer auf Vertraulichkeit;
• Auditierung der Subunternehmer mindestens alle 24 Monate.

V. Pseudonymisierung und Datenminimierung

• Datenminimierung bei der Erfassung: nur die für die Zweckerfüllung notwendigen Datenfelder werden erhoben;
• Pseudonymisierung bei KI-gestützter Verarbeitung: bei der OCR-Erkennung werden — soweit technisch möglich — keine direkten Personendaten an die KI übermittelt; Pseudonymisierungs-Möglichkeiten werden laufend evaluiert;
• Anonymisierung bei statistischen Auswertungen für die interne Produktverbesserung.

VI. Datenschutzfreundliche Voreinstellungen (Privacy by Default)

• Standardmässig restriktivste Berechtigungseinstellungen für neue Konten;
• Standardmässig deaktivierte KI-Funktionen für KMU-Kunden, mit explizitem Opt-in;
• Standardmässig keine Weitergabe von Daten an Treuhänder ohne explizite Freigabe durch den KMU-Kunden;
• Standardmässig keine Marketing-Tracker auf den authentifizierten Bereichen der Plattform.

---

Pontora · ein Produkt der Haus der Finanzen GmbH · datenschutz@pontora.ch · Stand 5. Mai 2026 · Version 1.0