Vereinbarung über die Datenbearbeitung
Fassung vom 10.11.2026
Diese Vereinbarung gilt, wenn eine Stockwerkeigentümergemeinschaft Étagio online nutzt. Die Gemeinschaft ist Verantwortliche; der Herausgeber von Étagio bearbeitet die Daten in ihrem Auftrag, als Auftragsbearbeiter im Sinne von Art. 9 DSG.
1. Gegenstand und Rollen
Die Gemeinschaft, vertreten durch ihren Verwalter, entscheidet, welche Daten sie erfasst und wozu. Der Herausgeber stellt die Software und das Hosting bereit und bearbeitet diese Daten nur nach ihren Weisungen, um den Dienst zu erbringen.
2. Daten und betroffene Personen
Stockwerkeigentümer und ihre Haushaltsmitglieder, Kontakte, Lieferanten, Verwalter und Benutzer: Namen, Adressen, E-Mails, Telefonnummern, IBAN, Wertquoten, Rechnungen, Zahlungen, Zählerablesungen, Dokumente der Gemeinschaft.
3. Wozu sich Étagio verpflichtet
- Die Daten nur zur Erbringung des Dienstes bearbeiten, nie für eigene Zwecke
- Die Daten in der Schweiz behalten, ohne Übermittlung ins Ausland
- Sie nie verkaufen, für Werbung verwenden oder damit eine KI trainieren
- Alle Personen, die am Dienst arbeiten, zur Vertraulichkeit verpflichten
- Der Gemeinschaft jede Verletzung der Datensicherheit unverzüglich melden
- Die Gemeinschaft bei Anfragen betroffener Personen unterstützen
- Jederzeit den vollständigen Export der Daten ermöglichen
4. Auftragsbearbeiter
Der Herausgeber zieht die folgenden Anbieter bei. Alle bearbeiten die Daten in der Schweiz.
| Anbieter | Aufgabe | Ort |
|---|---|---|
| Infomaniak Network SA, Genf | Hosting der Server, der Datenbank und der Belege | Schweiz |
| Der Herausgeber von Étagio, auf eigenem Server | Versand der E-Mails (SMTP-Relais) | Schweiz |
| Der Herausgeber von Étagio, auf eigenem Server | Lesen der Rechnungen und Dokumente durch die KI | Schweiz |
| Externer Speicher | Verschlüsselte Sicherungskopie an einem anderen Standort | Schweiz |
Jeder neue Auftragsbearbeiter wird 30 Tage im Voraus angekündigt; die Gemeinschaft kann widersprechen und kündigen.
5. Sicherheitsmassnahmen
- HTTPS für jede Verbindung
- IBAN, Notizen, Anmeldegeheimnisse und Belege mit AES-256-GCM verschlüsselt
- Passwörter mit Argon2id geschützt, Anmeldung in zwei Schritten mit Notfallcodes
- Zugriff nach der Rolle jedes Benutzers, Gemeinschaften voneinander getrennt
- Protokoll der Aktionen mit SHA-256-Prüfsummen verkettet, Belege anhand ihrer Prüfsumme kontrolliert
- Sicherung jede Nacht und vor jedem Update, verschlüsselte Kopie an einem anderen Standort, in der Schweiz
- Die Verwaltungskonsole des Herausgebers hat keinen Zugriff auf die Daten der Gemeinschaften
6. Ende der Bearbeitung
Bei Vertragsende erhält die Gemeinschaft einen vollständigen Export. Ihre Daten werden danach innert 30 Tagen von den Servern gelöscht, aus den Sicherungen bei deren Ablauf.
7. Kontrolle
Die Gemeinschaft kann vom Herausgeber die Auskünfte verlangen, die nötig sind, um die Einhaltung dieser Vereinbarung zu prüfen.
8. Haftung und anwendbares Recht
Die Haftung richtet sich nach den Nutzungsbedingungen. Schweizer Recht. Gerichtsstand am Sitz des Herausgebers.