Version 1.1 · Stand 29.10.2026
Dieser Vertrag gilt zwischen der GwG-Fachstelle, die das Fachstellen-Modul von ComplySwiss nutzt (nachfolgend «Fachstelle»), und dem Betreiber von ComplySwiss gemäss Impressum (nachfolgend «ComplySwiss»). Die Fachstelle schliesst ihn ab, indem sie ihn bei der Kontoeröffnung bestätigt oder eine unterzeichnete Fassung einreicht.
1.1 Die Fachstelle nutzt das Fachstellen-Modul der Plattform ComplySwiss für Finanzintermediäre, die ihr Aufgaben zur Erfüllung der Sorgfaltspflichten nach dem Geldwäschereigesetz (GwG) übertragen haben (nachfolgend «Mandanten»), und gegebenenfalls für eigene Zwecke. Dazu gehören insbesondere die Identifizierung und Risikoeinstufung der Kundschaft, die Prüfung auf politisch exponierte Personen und Sanktionen, die Transaktionsüberwachung, die Abklärung und Dokumentation von Auffälligkeiten sowie gegebenenfalls die Video- und Ausweisidentifikation. Jeder Mandant wird auf der Plattform als eigene Organisation geführt. Grundlage ist der Nutzungsvertrag zwischen den Parteien (nachfolgend «Hauptvertrag»).
1.2 Dabei bearbeitet ComplySwiss Personendaten im Auftrag der Fachstelle. Dieser Vertrag regelt die Pflichten der Parteien nach Art. 9 des Datenschutzgesetzes (DSG) und der Datenschutzverordnung (DSV). Gegenstand, Zweck, Datenkategorien und betroffene Personen sind in Anhang 1 beschrieben.
1.3 Soweit die Fachstelle Personendaten im Auftrag eines Mandanten bearbeitet, ist der Mandant Verantwortlicher im Sinne von Art. 5 lit. j DSG, die Fachstelle seine Auftragsbearbeiterin und ComplySwiss Unterauftragsbearbeiterin der Fachstelle. Soweit die Fachstelle Personendaten für eigene Zwecke bearbeitet, etwa zur Verwaltung ihrer Mandate und Benutzer, ist sie selbst Verantwortliche.
1.4 Die Fachstelle sichert zu, dass jeder Mandant den Beizug von ComplySwiss vorgängig genehmigt hat (Art. 9 Abs. 3 DSG) und dass ihr Mandatsvertrag Datenschutzpflichten enthält, die diesem Vertrag mindestens gleichwertig sind. Bis zur Genehmigung erfasst sie für diesen Mandanten keine Personendaten auf der Plattform. Auf Anfrage weist sie die Genehmigung nach.
1.5 Die Fachstelle ist gegenüber ComplySwiss die einzige Ansprechpartnerin für ihre Mandanten. Weisungen eines Mandanten nimmt ComplySwiss nur über die Fachstelle entgegen, ausser die Fachstelle ist nicht mehr erreichbar oder nicht mehr tätig.
1.6 Gewährt die Fachstelle Mitarbeitenden eines Mandanten, einer Prüfgesellschaft oder anderen Dritten Zugang zur Plattform, erfolgt dies auf ihre Weisung. Diese Dritten sind keine Unterauftragsbearbeiter von ComplySwiss; ihr Verhältnis zur Fachstelle regelt diese selbst.
2.1 ComplySwiss bearbeitet die Personendaten ausschliesslich zur Erbringung der vereinbarten Leistungen und nach den Weisungen der Fachstelle. Der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen der Plattform durch die Fachstelle gelten als Weisungen.
2.2 ComplySwiss bearbeitet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter. Ausgenommen sind gesetzliche Pflichten; in diesem Fall informiert ComplySwiss die Fachstelle vorgängig, soweit das Gesetz dies nicht verbietet. Meldungen an die Meldestelle für Geldwäscherei (MROS) erstatten ausschliesslich die Mandanten oder die Fachstelle in deren Namen.
2.3 Hält ComplySwiss eine Weisung für rechtswidrig, teilt sie dies der Fachstelle unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
3.1 ComplySwiss behandelt alle Daten der Fachstelle und ihrer Mandanten vertraulich. Personen mit Zugriff auf die Daten sind schriftlich zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer gesetzlichen Schweigepflicht unterliegen.
3.2 ComplySwiss greift nur auf Daten zu, soweit dies für Betrieb, Wartung, Fehlerbehebung oder Support erforderlich ist. Supportzugriffe auf Inhalte erfolgen nur auf Anfrage oder mit Zustimmung der Fachstelle.
3.3 ComplySwiss wahrt das Informationsverbot nach Art. 10a GwG: Sie informiert weder die betroffenen Kundinnen und Kunden noch Dritte über Abklärungen oder Meldungen, von denen sie im Rahmen der Auftragsbearbeitung Kenntnis erhält.
3.4 Die Vertraulichkeitspflicht gilt über das Ende dieses Vertrags hinaus.
4.1 ComplySwiss trifft die technischen und organisatorischen Massnahmen nach Art. 8 DSG und Art. 1 ff. DSV, die dem Risiko der Bearbeitung angemessen sind (Anhang 2).
4.2 ComplySwiss darf die Massnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt ComplySwiss der Fachstelle mit.
4.3 Die Fachstelle ist für die sichere Nutzung auf ihrer Seite verantwortlich, insbesondere für die Vergabe von Rollen an ihre Mitarbeitenden und an Benutzer ihrer Mandanten, die Aktivierung der Zwei-Faktor-Anmeldung, den Schutz der Zugangsdaten, die Entfernung von Zugängen ausgeschiedener Personen und beendeter Mandate sowie die sichere Ablage heruntergeladener Unterlagen.
5.1 Die Fachstelle genehmigt den Beizug der in Anhang 3 aufgeführten Unterauftragsbearbeiter, auch im Namen ihrer Mandanten.
5.2 ComplySwiss informiert die Fachstelle mindestens 30 Tage im Voraus über den beabsichtigten Beizug oder Wechsel eines Unterauftragsbearbeiters, damit sie ihre Mandanten rechtzeitig informieren kann. Die Fachstelle kann innert dieser Frist aus wichtigem Grund widersprechen, auch wegen eines Widerspruchs eines Mandanten. Können sich die Parteien nicht einigen, kann die Fachstelle den Hauptvertrag auf den Zeitpunkt des Wechsels kündigen.
5.3 ComplySwiss überbindet ihre Pflichten aus diesem Vertrag auf jeden Unterauftragsbearbeiter und bleibt gegenüber der Fachstelle für dessen Pflichterfüllung verantwortlich.
5.4 Unterauftragsbearbeiter, die nur für eine optionale Funktion beigezogen werden, sind in Anhang 3 als optional bezeichnet. Ihr Beizug gilt erst als genehmigt, wenn die Fachstelle die Funktion freischaltet.
6.1 Die Personendaten werden in der Schweiz gespeichert und bearbeitet. Vorbehalten bleibt Ziffer 6.4.
6.2 Eine Bekanntgabe ins Ausland erfolgt nur mit vorgängiger schriftlicher Zustimmung der Fachstelle und unter Einhaltung von Art. 16 und 17 DSG.
6.3 Bindet die Fachstelle einen eigenen Dienst an, etwa einen Anbieter für Blockchain-Analysen mit eigenem Zugangsschlüssel, übermittelt ComplySwiss die dafür nötigen Angaben (zum Beispiel Wallet-Adressen) auf ihre Weisung. Dieser Anbieter ist kein Unterauftragsbearbeiter von ComplySwiss; den Vertrag mit ihm schliesst die Fachstelle selbst.
6.4 Optionaler KI-Assistent. Die Fachstelle kann in der Plattform einen KI-Assistenten freischalten, der Textentwürfe zu Alerts und Fällen erstellt. Mit der Freischaltung durch eine Person mit Administratorrechten erteilt die Fachstelle die vorgängige schriftliche Zustimmung nach Ziffer 6.2 zur Bekanntgabe an Mistral AI in Frankreich (Anhang 3), auch im Namen der Mandanten, für deren Alerts und Fälle sie den Assistenten nutzt. Sie sichert zu, dass diese Mandanten der Bekanntgabe zugestimmt haben, und informiert sie über einen Widerruf. Es gilt:
a) Übermittelt werden nur die Angaben zu dem Alert oder Fall, für den eine berechtigte Person einen Entwurf anfordert.
b) Namen, Firmennamen, Kundennummern, Adressen, wirtschaftlich Berechtigte, E-Mail-Adressen, IBAN, Wallet-Adressen und Telefonnummern werden vor dem Versand durch Platzhalter ersetzt.
c) Ausweis- und Gesichtsbilder sowie Video- und Tonaufzeichnungen werden nie übermittelt.
d) Mistral AI darf die Daten nicht zum Training von Modellen verwenden und bewahrt sie höchstens 30 Tage zur Missbrauchserkennung auf.
e) Der Entwurf ist ein Hilfsmittel; Beurteilung und Entscheid liegen allein bei der Fachstelle und ihren Mandanten.
f) Die Fachstelle kann die Zustimmung jederzeit in der Plattform oder schriftlich widerrufen. Ab dem Widerruf werden keine Daten mehr übermittelt.
ComplySwiss protokolliert Freischaltung, Widerruf und jede Anfrage mit Zeitpunkt und Benutzer.
7.1 Nutzt die Fachstelle die Funktion zur Ausweis-, Gesichts- und Videoidentifikation, bearbeitet ComplySwiss Ausweisbilder, Gesichtsbilder und Video- und Tonaufzeichnungen der zu identifizierenden Personen. Gesichtsbilder, die zur eindeutigen Identifizierung ausgewertet werden, sind biometrische und damit besonders schützenswerte Personendaten (Art. 5 lit. c Ziff. 4 DSG).
7.2 Die Bearbeitung dient ausschliesslich der Identifizierung der Vertragspartei nach GwG und den Vorgaben der Selbstregulierungsorganisation des jeweiligen Mandanten. Eine Verwendung für andere Zwecke, insbesondere zum Training von Modellen, ist ausgeschlossen.
7.3 Vor der Erfassung wird die zu identifizierende Person über die Bearbeitung informiert und bestätigt diese. Eine Aufzeichnung des Videogesprächs erfolgt nur nach ihrer gesonderten Zustimmung. Die Fachstelle ist dafür verantwortlich, dass Information und Zustimmung den Pflichten des Mandanten genügen.
7.4 Texterkennung, Prüfung der maschinenlesbaren Zone und Gesichtsvergleich laufen auf Servern von ComplySwiss in der Schweiz. Es werden keine externen Dienste für biometrische Auswertungen beigezogen. Videogespräche werden verschlüsselt übertragen; Vermittlungsserver (Relais) betreibt ComplySwiss in der Schweiz.
7.5 Erfassungen und Aufzeichnungen werden bei ComplySwiss nur vorübergehend gespeichert und nach Ablauf der in der Anwendung angezeigten Frist von 24 Stunden automatisch gelöscht. Die Fachstelle lädt die Unterlagen, die als Nachweis benötigt werden, innerhalb dieser Frist herunter und bewahrt sie selbst geschützt auf oder übergibt sie dem Mandanten. Der temporäre Speicher von ComplySwiss ist kein Archiv im Sinne von Art. 7 GwG.
7.6 Die Ergebnisse der automatischen Auswertung sind Hilfsmittel. Sie belegen weder die Echtheit eines Ausweises noch die Lebendigkeit oder Identität einer Person. Der Entscheid über die Identifizierung liegt bei der Fachstelle beziehungsweise beim Mandanten.
8.1 ComplySwiss unterstützt die Fachstelle im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (insbesondere Auskunft, Berichtigung, Löschung und Datenherausgabe nach Art. 25 ff. DSG). Anfragen, die direkt bei ComplySwiss eingehen, leitet ComplySwiss unverzüglich an die Fachstelle weiter; diese leitet sie an den betroffenen Mandanten weiter. Einschränkungen des Auskunftsrechts, insbesondere zur Wahrung des Informationsverbots nach GwG, beurteilen Fachstelle und Mandant.
8.2 ComplySwiss stellt der Fachstelle auf Anfrage die Informationen zur Verfügung, die sie oder ihre Mandanten für eine Datenschutz-Folgenabschätzung (Art. 22 DSG) und für das Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG) benötigen.
8.3 Aufwand, der über die normale Nutzung der Plattform hinausgeht, kann ComplySwiss nach vorgängiger Ankündigung zu den Ansätzen des Hauptvertrags verrechnen.
9.1 ComplySwiss meldet der Fachstelle eine Verletzung der Datensicherheit, welche Daten der Fachstelle oder ihrer Mandanten betrifft, so rasch als möglich (Art. 24 Abs. 3 DSG), spätestens innert 48 Stunden nach Kenntnis. Die Meldung nennt die betroffenen Mandanten.
9.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen, mögliche Folgen sowie ergriffene und vorgeschlagene Massnahmen. Fehlende Angaben werden nachgereicht.
9.3 Die Fachstelle informiert die betroffenen Mandanten unverzüglich. Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die Information betroffener Personen obliegen dem jeweiligen Verantwortlichen. ComplySwiss unterstützt dabei.
10.1 Die Fachstelle kann die Einhaltung dieses Vertrags überprüfen. ComplySwiss stellt ihr auf Anfrage die nötigen Auskünfte und Unterlagen zur Verfügung, auch zuhanden ihrer Mandanten, deren Selbstregulierungsorganisationen und GwG-Prüfgesellschaften oder der FINMA.
10.2 Weitergehende Prüfungen, auch durch eine von der Fachstelle oder einem Mandanten beauftragte, zur Verschwiegenheit verpflichtete Prüfstelle, sind nach Absprache mit einer Vorankündigung von mindestens 14 Tagen möglich. Sie werden über die Fachstelle koordiniert und finden höchstens einmal pro Jahr statt, ausser bei begründetem Verdacht auf eine Verletzung dieses Vertrags oder auf Verlangen einer Aufsichtsbehörde.
11.1 Dieser Vertrag gilt für die Dauer des Hauptvertrags.
11.2 Die Fachstelle kann die Daten jedes Mandanten während der Vertragsdauer selbst exportieren oder bei ComplySwiss einen Export in einem gängigen Format verlangen.
11.3 Endet das Mandat mit einem Mandanten, exportiert die Fachstelle dessen Daten, übergibt sie ihm, soweit der Mandatsvertrag dies vorsieht, und entfernt die Zugänge seiner Benutzer. Auf Verlangen der Fachstelle löscht ComplySwiss die Daten dieses Mandanten innert 30 Tagen und bestätigt die Löschung schriftlich.
11.4 Nach Ende des Hauptvertrags kann die Fachstelle ihre Daten noch 30 Tage exportieren oder einen Export verlangen. Spätestens 90 Tage nach Vertragsende löscht ComplySwiss sämtliche Daten der Fachstelle und ihrer Mandanten, einschliesslich hochgeladener Dokumente. Kopien in Datensicherungen werden im ordentlichen Rotationszyklus überschrieben. Auf Verlangen bestätigt ComplySwiss die Löschung schriftlich.
11.5 Die Aufbewahrungspflichten der Mandanten, insbesondere die zehnjährige Aufbewahrung nach Art. 7 Abs. 3 GwG, werden durch rechtzeitigen Export und Übergabe erfüllt; dafür sorgt die Fachstelle. Eine Archivierung über das Vertragsende hinaus kann separat vereinbart werden.
12.1 Die Haftung richtet sich nach dem Hauptvertrag. Fehlt dort eine Regelung, gelten die gesetzlichen Bestimmungen.
12.2 Die Fachstelle stellt ComplySwiss von Ansprüchen ihrer Mandanten frei, die darauf beruhen, dass eine Genehmigung nach Ziffer 1.4 fehlt oder eine Weisung der Fachstelle dem Mandatsvertrag widerspricht.
13.1 In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.
13.2 ComplySwiss kann diesen Vertrag anpassen, etwa bei Gesetzesänderungen oder neuen Unterauftragsbearbeitern. Änderungen werden der Fachstelle mindestens 30 Tage im Voraus mitgeteilt; Ziffer 5.2 gilt sinngemäss. Abweichende Vereinbarungen bedürfen der Schriftform; eine elektronische Signatur oder ein unterzeichneter Scan genügt.
13.3 Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen gültig.
13.4 Es gilt schweizerisches Recht. Gerichtsstand ist der Sitz von ComplySwiss.
| Leistung | Bereitstellung, Betrieb und Wartung des Fachstellen-Moduls als Webanwendung, inkl. Verwaltung mehrerer Mandanten unter einem Firmenkonto, Teamverwaltung, Hosting, Datensicherung, Support und E-Mail-Benachrichtigungen; gegebenenfalls Ausweis-, Gesichts- und Videoidentifikation; auf Wunsch der optionale KI-Assistent (Ziffer 6.4). |
|---|---|
| Zweck | Erfüllung der GwG-Sorgfaltspflichten der Mandanten durch die Fachstelle: Identifizierung der Vertragspartei und Feststellung der wirtschaftlich berechtigten und kontrollierenden Personen; Risikoeinstufung; Prüfung auf politisch exponierte Personen und Sanktionen; Transaktionsüberwachung und Regelwerk; Alerts, Abklärungen und Fallführung (mit optionalem Vieraugenprinzip); periodische Überprüfungen; Dokumentation und Exporte für Prüfungen; Verwaltung der Mandate. |
| Art der Bearbeitung | Erfassen, Importieren, Entgegennehmen über Onboarding-Links, Speichern, Anzeigen, Ändern, automatisiertes Auswerten (Risiko, Regeln, Texterkennung, Gesichtsvergleich), Exportieren, Versenden von Benachrichtigungen, Protokollieren, Sichern und Löschen; auf Anforderung Erstellen von Textentwürfen durch den optionalen KI-Assistenten. |
| Betroffene Personen | Kundinnen und Kunden der Mandanten und deren Vertreter; wirtschaftlich berechtigte und kontrollierende Personen; Bevollmächtigte; Gegenparteien von Transaktionen, soweit erfasst; Organe und Kontaktpersonen der Mandanten; Benutzer der Fachstelle und der Mandanten. |
| Datenkategorien | Identifikationsdaten (Name, Geburtsdatum, Nationalität, Adresse, Ausweisdaten); Kontaktdaten; Angaben zu Beruf, Herkunft der Vermögenswerte und Zweck der Geschäftsbeziehung; Firmendaten juristischer Personen; Mandatsdaten (Firma, Branche, Status); Transaktionsdaten und Wallet-Adressen; Risikoeinstufung und deren Verlauf; PEP- und Sanktionsprüfungen samt Ergebnissen; Alerts, Fallnotizen und Abklärungsergebnisse; hochgeladene Dokumente; Ausweis- und Gesichtsbilder sowie Video- und Tonaufzeichnungen (temporär); Benutzerkonten (Login, Rolle, Zwei-Faktor-Status); Protokolldaten (Zeitpunkt, Benutzer, Aktion, IP-Adresse). |
| Besonders schützenswerte Daten | Biometrische Daten bei der Gesichtserfassung (Art. 5 lit. c Ziff. 4 DSG). Möglich sind zudem Angaben zu verwaltungs- oder strafrechtlichen Verfolgungen oder Sanktionen (Art. 5 lit. c Ziff. 5 DSG), etwa in Abklärungen oder Sanktionstreffern. Die Fachstelle entscheidet, welche solchen Angaben sie erfasst. |
| Mandantentrennung | Jede Fachstelle hat ein eigenes Firmenkonto; jeder ihrer Mandanten wird als eigene Organisation geführt. Benutzer mit Firmenzugang sehen nur die Organisationen ihrer Fachstelle, Benutzer einer Organisation nur diese. Alle Abfragen sind serverseitig auf diese Berechtigungen beschränkt. |
|---|---|
| Zugriffskontrolle | Rollenbasierte Berechtigungen (Firmenadministration, Administration, Compliance Officer, Mitarbeitende, Revision, Ausbildung); jede ändernde Aktion wird serverseitig geprüft. Revisions- und Ausbildungsrollen haben nur Lesezugriff. |
| Authentisierung | Persönliche Benutzerkonten; Passwörter nur als Hash gespeichert; Zwei-Faktor-Anmeldung verfügbar, Geheimnisse verschlüsselt gespeichert; Schutz gegen wiederholte Fehlanmeldungen; zeitlich begrenzte, einmalige Links zum Zurücksetzen von Passwörtern. |
| Vieraugenprinzip | Auf Wunsch der Fachstelle kann dieselbe Person einen Fall oder Alert nicht zugleich eröffnen und abschliessen; die Einstellung gilt für alle Mandanten der Fachstelle. |
| Übertragung und Speicherung | Verschlüsselte Übertragung über HTTPS. Hochgeladene Dokumente sind nur nach Berechtigungsprüfung abrufbar. Videogespräche werden verschlüsselt übertragen; Erfassungen und Aufzeichnungen werden nach 24 Stunden automatisch gelöscht. |
| Protokollierung | Anmeldungen und Änderungen an Kunden, Risikoeinstufungen, Alerts, Fällen und Regeln werden mit Zeitpunkt und Benutzer im Audit-Log protokolliert. |
| Verfügbarkeit | Hosting in der Schweiz; regelmässige Datensicherungen; Sicherung der Datenbank vor jeder Datenbankänderung. |
| Änderungsmanagement | Neue Versionen werden zuerst in einer separaten Testumgebung mit fiktiven Daten geprüft. |
| Organisation | Vertraulichkeitsverpflichtung aller Personen mit Zugriff; Zugriff auf Inhalte nur für Betrieb und Support; Meldeprozess für Sicherheitsvorfälle gemäss Ziffer 9. |
| KI-Assistent (optional) | Nur nach Freischaltung durch die Fachstelle; Maskierung von Namen, Firmen, Kundennummern, Adressen, wirtschaftlich Berechtigten, E-Mail-Adressen, IBAN, Wallet-Adressen und Telefonnummern vor dem Versand; verschlüsselte Übertragung (HTTPS); Training beim Anbieter deaktiviert; Protokoll jeder Anfrage mit Benutzer, Zeitpunkt und Modell; monatliches Kontingent. |
| hosttech GmbH, Seestrasse 15a, 8805 Richterswil | Hosting von Webanwendung, Datenbank und Dateien; Versand der E-Mail-Benachrichtigungen; virtueller Server für Ausweis-, Gesichts- und Videoidentifikation einschliesslich Vermittlungsserver für Videogespräche. Ort: Schweiz. |
|---|---|
| Mistral AI, 15 rue des Halles, 75001 Paris, Frankreich (optional) | Erstellung von Textentwürfen zu Alerts und Fällen durch den KI-Assistenten; nur nach Freischaltung durch die Fachstelle (Ziffer 6.4). Ort: Frankreich (EU). Kein Training; Aufbewahrung beim Anbieter bis 30 Tage zur Missbrauchserkennung. |
Siehe auch: Datenschutzerklärung · Impressum · Auftragsbearbeitungsvertrag (Intermediär-Modul).
