Auftragsbearbeitungsvertrag (AVV / DPA)

Der Kunde ist Verantwortlicher für die durch ihn über VaultDrop übertragenen personenbezogenen Daten und Dateien. VaultDrop (betrieben von Moritz Lauper, Zürich) fungiert als Auftragsbearbeiter im Sinne des Schweizer Datenschutzgesetzes (DSG).

Mit der Erstellung eines Accounts und der ausdrücklichen Akzeptanz von AVV, AGB und Datenschutzerklärung per Checkbox schliesst der Kunde diesen AVV digital und rechtsbindend ab.

Gegenstand dieses Vertrages ist die Bereitstellung eines sicheren, verschlüsselten Dateitransfer-Dienstes (VaultDrop), einschliesslich der temporären Speicherung, Verschlüsselung und automatischen Löschung übertragener Dateien. Die Dauer dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages und endet mit dessen Beendigung.

• Temporäre, verschlüsselte Speicherung übertragener Dateien und Metadaten
• Ende-zu-Ende-verschlüsselter Dateitransfer zwischen Absender und Empfänger
• Empfang von Dateien über Upload-Links (Inbound-Transfers)
• Automatische, unwiderrufliche Löschung nach 7–30 Tagen (je nach Tarif)
• Authentifizierung und strikte Zugriffskontrolle (Mandantentrennung)
• Bereitstellung von Zugriffsprotokollen für den Kunden
• Sicherheitsbetrieb, Fehleranalyse und Support

Welche Daten übertragen werden, bestimmt der Kunde durch die von ihm gesendeten und empfangenen Dateien selbst.

• Betroffene Personen: Empfänger und Absender von Transfers (Mandanten, Kunden, Mitarbeiter oder Geschäftspartner des Kunden).
• Datenkategorien: E-Mail-Adressen (Absender/Empfänger), Transfer-Metadaten (Titel, Nachricht, Ablaufdatum), hochgeladene Dateien beliebigen Inhalts — je nach Nutzung können besonders schützenswerte Personendaten gemäss Art. 5 lit. c DSG enthalten sein (z. B. Gesundheitsdaten, Rechtsdokumente).

Die Zulässigkeit der jeweiligen Übertragung und die damit verbundene Rechtsgrundlage liegen in der Verantwortung des Kunden als Verantwortlicher.

VaultDrop setzt strenge TOMs um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

• Serverseitige Verschlüsselung aller gespeicherten Dateien und Metadaten (AES-256-GCM).
• Optionale Ende-zu-Ende-Verschlüsselung (E2EE) für Transfers mit erhöhten Vertraulichkeitsanforderungen: Dateien werden bereits im Browser des Absenders mittels ECIES (P-256) und AES-256-GCM verschlüsselt. VaultDrop hat zu keinem Zeitpunkt Zugriff auf den Klartext der übertragenen Dateien.
• Automatische, unwiderrufliche Löschung aller Transferdateien nach 7–30 Tagen (je nach Tarif) — einschliesslich Dateien, Metadaten, Verschlüsselungsschlüssel und Zugriffsprotokolle.
• Zwei-Faktor-Authentifizierung für Kundenkonten mit Passkeys (WebAuthn/FIDO2) oder Authenticator-App.
• Transportverschlüsselung (TLS) bei allen Datenübertragungen.
• Regelmässige, verschlüsselte Backups mit automatischer Löschung nach 30 Tagen.
• Zugriffs- und Audit-Logs zur Nachvollziehbarkeit von Dateiabfragen.
• Strikte Mandantentrennung und Berechtigungskonzepte.

Die vollständige TOM-Dokumentation ist auf Anfrage unter legal@vaultdrop.cherhältlich.

VaultDrop garantiert das Hosting aller Kundendaten auf dedizierten Servern in der Schweiz (Zürich). Die gesamte Infrastruktur (Frontend, Backend, Datenbank) wird auf dedizierten Servern von Exoscale (Schweizer Cloud-Anbieter, Teil der A1 Telekom Austria Group) im Rechenzentrum Zürich selbst betrieben (Self-Hosted). Es werden keine US-Cloud-Anbieter für die Speicherung von Transferdaten eingesetzt.

Der Kunde stimmt der Beauftragung der folgenden Unterauftragsbearbeiter zu:

• Exoscale (Schweizer Cloud-Anbieter, Teil der A1 Telekom Austria Group)
  Zweck: Dedizierte Server für die gesamte Infrastruktur (Frontend, Backend, Datenbank) und Backups.
  Bearbeitungsstandort: Schweiz (Zürich).
• Infomaniak Network SA (Schweiz)
  Zweck: Versand von Transaktions- und Benachrichtigungs-E-Mails (z. B. «Transfer abgerufen», «Dateien empfangen»).
  Bearbeitungsstandort: Schweiz — E-Mails werden ausschliesslich über Server in der Schweiz versendet.

Hinweis: Der Zahlungsdienstleister Stripe verarbeitet ausschliesslich die Abrechnungsdaten des Kunden zu VaultDrop (Verantwortlicher zu Verantwortlicher) und hat keinen Zugriff auf die übertragenen Dateien. Er ist daher kein Sub-Processor im Rahmen dieses AVV.

Kern-Infrastruktur:

• Exoscale DPA (Hosting-Infrastruktur, Zürich): DPA herunterladen (PDF)
• Infomaniak DPA (E-Mail-Infrastruktur): DPA herunterladen (PDF)

Die Bearbeitung erfolgt ausschliesslich auf dokumentierte Weisung des Kunden (durch Nutzung der Plattform-Funktionen), soweit gesetzliche Pflichten nicht entgegenstehen. Alle Mitarbeitenden von VaultDrop sind zur strikten Vertraulichkeit verpflichtet.

Bei Transfers mit aktivierter Ende-zu-Ende-Verschlüsselung (E2EE) ist VaultDrop technisch nicht in der Lage, auf den Inhalt der übertragenen Dateien zuzugreifen.

Betroffenenrechte

VaultDrop unterstützt den Kunden bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung) durch Self-Service-Funktionen sowie auf Anfrage an privacy@vaultdrop.ch. Anfragen werden innerhalb von 10 Arbeitstagen beantwortet.

Meldung von Sicherheitsvorfällen (Data Breach)

Bei Bekanntwerden einer Verletzung des Schutzes von Personendaten informiert VaultDrop den Kunden innerhalb von 72 Stunden nach Kenntnisnahme. Die Meldepflicht des Kunden als Verantwortlicher gegenüber dem EDÖB gemäss Art. 24 DSG bleibt unberührt.

Automatische Löschfristen: Alle über VaultDrop hochgeladenen Transferdateien werden nach Ablauf der konfigurierten Frist (7–30 Tage je nach Tarif) automatisch und unwiderruflich gelöscht — einschliesslich aller Dateien, Metadaten, Verschlüsselungsschlüssel und Zugriffsprotokolle. Eine vorzeitige manuelle Löschung durch den Absender ist jederzeit möglich.

Löschung des Accounts: Löscht der Kunde seinen Account, werden alle zugehörigen Daten auf den produktiven Systemen sofort und unwiderruflich gelöscht. Systemseitige Backups werden nach maximal 30 Tagen automatisch überschrieben.

Die Haftung von VaultDrop als Auftragsbearbeiter ist — soweit gesetzlich zulässig — auf den Betrag begrenzt, den der Kunde in den 12 Monaten vor dem haftungsbegründenden Ereignis tatsächlich an VaultDrop entrichtet hat, mindestens jedoch CHF 100.

Diese Begrenzung gilt nicht bei Vorsatz oder grober Fahrlässigkeit sowie nicht für Ansprüche, deren Haftungsbeschränkung nach zwingendem schweizerischem Recht unzulässig ist.

Dieser AVV untersteht schweizerischem Recht. Gerichtsstand ist Zürich, Schweiz, sofern gesetzlich zulässig.

Für Organisationen, die ein manuell unterzeichnetes Dokument benötigen, stellen wir auf Anfrage an legal@vaultdrop.ch ein unterschriftsreifes PDF zur Verfügung. Bitte übermitteln Sie: Firmenname, Anschrift, vertretungsberechtigte Person und Kontakt für Datenschutz.

Version dieser AVV-Seite: avv-vd-v2026-04-01