Résumé en anglais. Lorsqu’un OAR utilise ComplySwiss, l’OAR est le responsable du traitement des données de ses membres et ComplySwiss traite ces données uniquement pour le compte de l’OAR (art. 9 de la loi fédérale suisse sur la protection des données, LPD). ComplySwiss suit les instructions de l’OAR, conserve les données de manière confidentielle et en Suisse, utilise uniquement les sous-traitants ultérieurs énumérés à l’annexe 3, signale les violations de sécurité dans les 48 heures, aide l’OAR à traiter les demandes des personnes concernées et supprime toutes les données au plus tard 90 jours après la fin du contrat.
Le texte allemand ci-dessous fait foi.
Version 1.0 · Stand 02.10.2026
Dieser Vertrag gilt zwischen der Selbstregulierungsorganisation, die das SRO-Modul von ComplySwiss nutzt (nachfolgend «SRO»), und dem Betreiber von ComplySwiss gemäss Impressum (nachfolgend «ComplySwiss»). Die SRO schliesst ihn ab, indem sie ihn im Antragsformular bestätigt oder eine unterzeichnete Fassung einreicht.
1.1 Die SRO nutzt das SRO-Modul der Plattform ComplySwiss zur Führung ihres Mitgliederregisters und zur Durchführung ihrer Aufsichtstätigkeit nach dem Geldwäschereigesetz (GwG). Grundlage ist der Nutzungsvertrag zwischen den Parteien (nachfolgend «Hauptvertrag»).
1.2 Dabei bearbeitet ComplySwiss Personendaten im Auftrag der SRO. Dieser Vertrag regelt die Pflichten der Parteien nach Art. 9 des Datenschutzgesetzes (DSG) und der Datenschutzverordnung (DSV). Gegenstand, Zweck, Datenkategorien und betroffene Personen sind in Anhang 1 beschrieben.
1.3 Die SRO ist Verantwortliche im Sinne von Art. 5 lit. j DSG. Sie ist allein verantwortlich für die Rechtmässigkeit der Bearbeitung, die Information der betroffenen Personen und die Einhaltung ihrer Aufbewahrungspflichten.
2.1 ComplySwiss bearbeitet die Personendaten ausschliesslich zur Erbringung der vereinbarten Leistungen und nach den Weisungen der SRO. Der Hauptvertrag, dieser Vertrag und die Nutzung der Funktionen der Plattform durch die SRO gelten als Weisungen.
2.2 ComplySwiss bearbeitet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter. Ausgenommen sind gesetzliche Pflichten; in diesem Fall informiert ComplySwiss die SRO vorgängig, soweit das Gesetz dies nicht verbietet.
2.3 Hält ComplySwiss eine Weisung für rechtswidrig, teilt sie dies der SRO unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
3.1 ComplySwiss behandelt alle Daten der SRO vertraulich. Personen mit Zugriff auf die Daten sind schriftlich zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer gesetzlichen Schweigepflicht unterliegen.
3.2 ComplySwiss greift nur auf Daten der SRO zu, soweit dies für Betrieb, Wartung, Fehlerbehebung oder Support erforderlich ist. Supportzugriffe auf Inhalte erfolgen nur auf Anfrage oder mit Zustimmung der SRO.
3.3 Die Vertraulichkeitspflicht gilt über das Ende dieses Vertrags hinaus.
4.1 ComplySwiss trifft die technischen und organisatorischen Massnahmen nach Art. 8 DSG und Art. 1 ff. DSV, die dem Risiko der Bearbeitung angemessen sind (Anhang 2).
4.2 ComplySwiss darf die Massnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt ComplySwiss der SRO mit.
4.3 Die SRO ist für die sichere Nutzung auf ihrer Seite verantwortlich, insbesondere für die Vergabe von Rollen an ihre Mitarbeitenden und Prüfer, den Schutz der Zugangsdaten und die Entfernung von Zugängen ausgeschiedener Personen.
5.1 Die SRO genehmigt den Beizug der in Anhang 3 aufgeführten Unterauftragsbearbeiter.
5.2 ComplySwiss informiert die SRO mindestens 30 Tage im Voraus über den beabsichtigten Beizug oder Wechsel eines Unterauftragsbearbeiters. Die SRO kann innert dieser Frist aus wichtigem Grund widersprechen. Können sich die Parteien nicht einigen, kann die SRO den Hauptvertrag auf den Zeitpunkt des Wechsels kündigen.
5.3 ComplySwiss überbindet ihre Pflichten aus diesem Vertrag auf jeden Unterauftragsbearbeiter und bleibt gegenüber der SRO für dessen Pflichterfüllung verantwortlich.
6.1 Die Personendaten werden in der Schweiz gespeichert und bearbeitet.
6.2 Eine Bekanntgabe ins Ausland erfolgt nur mit vorgängiger schriftlicher Zustimmung der SRO und unter Einhaltung von Art. 16 und 17 DSG.
7.1 ComplySwiss unterstützt die SRO im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (insbesondere Auskunft, Berichtigung, Löschung und Datenherausgabe nach Art. 25 ff. DSG). Anfragen, die direkt bei ComplySwiss eingehen, leitet ComplySwiss unverzüglich an die SRO weiter.
7.2 ComplySwiss stellt der SRO auf Anfrage die Informationen zur Verfügung, die sie für eine Datenschutz-Folgenabschätzung (Art. 22 DSG) und für ihr Verzeichnis der Bearbeitungstätigkeiten (Art. 12 DSG) benötigt.
7.3 Aufwand, der über die normale Nutzung der Plattform hinausgeht, kann ComplySwiss nach vorgängiger Ankündigung zu den Ansätzen des Hauptvertrags verrechnen.
8.1 ComplySwiss meldet der SRO eine Verletzung der Datensicherheit, welche Daten der SRO betrifft, so rasch als möglich (Art. 24 Abs. 3 DSG), spätestens innert 48 Stunden nach Kenntnis.
8.2 Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen, mögliche Folgen sowie ergriffene und vorgeschlagene Massnahmen. Fehlende Angaben werden nachgereicht.
8.3 Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und die Information betroffener Personen obliegen der SRO. ComplySwiss unterstützt sie dabei.
9.1 Die SRO kann die Einhaltung dieses Vertrags überprüfen. ComplySwiss stellt ihr auf Anfrage die nötigen Auskünfte und Unterlagen zur Verfügung.
9.2 Weitergehende Prüfungen, auch durch eine von der SRO beauftragte, zur Verschwiegenheit verpflichtete Prüfstelle, sind nach Absprache mit einer Vorankündigung von mindestens 14 Tagen möglich, höchstens einmal pro Jahr, ausser bei begründetem Verdacht auf eine Verletzung dieses Vertrags.
10.1 Dieser Vertrag gilt für die Dauer des Hauptvertrags.
10.2 Die SRO kann ihre Daten während der Vertragsdauer und bis 30 Tage nach Vertragsende selbst exportieren oder bei ComplySwiss einen Export in einem gängigen Format verlangen.
10.3 Spätestens 90 Tage nach Vertragsende löscht ComplySwiss sämtliche Daten der SRO, einschliesslich hochgeladener Dokumente. Kopien in Datensicherungen werden im ordentlichen Rotationszyklus überschrieben. Auf Verlangen bestätigt ComplySwiss die Löschung schriftlich.
10.4 Ihre Aufbewahrungspflichten, insbesondere nach dem GwG, erfüllt die SRO durch rechtzeitigen Export. Eine Archivierung über das Vertragsende hinaus kann separat vereinbart werden.
Die Haftung richtet sich nach dem Hauptvertrag. Fehlt dort eine Regelung, gelten die gesetzlichen Bestimmungen.
12.1 In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor.
12.2 ComplySwiss kann diesen Vertrag anpassen, etwa bei Gesetzesänderungen oder neuen Unterauftragsbearbeitern. Änderungen werden der SRO mindestens 30 Tage im Voraus mitgeteilt; Ziffer 5.2 gilt sinngemäss. Abweichende Vereinbarungen bedürfen der Schriftform; eine elektronische Signatur oder ein unterzeichneter Scan genügt.
12.3 Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen gültig.
12.4 Es gilt schweizerisches Recht. Gerichtsstand ist der Sitz von ComplySwiss.
| Leistung | Bereitstellung, Betrieb und Wartung des SRO-Moduls als Webanwendung, inkl. Hosting, Datensicherung, Support und E-Mail-Benachrichtigungen. |
|---|---|
| Zweck | Mitgliederregister; Risikoeinstufung der Mitglieder (mit Vieraugenprinzip); Planung und Dokumentation periodischer Prüfungen; Beanstandungen und deren Behebung; jährliche Selbstdeklarationen; Dokumentenaustausch zwischen SRO, Prüfern und Mitgliedern; Erinnerungen an Fristen. |
| Art der Bearbeitung | Erfassen, Speichern, Anzeigen, Ändern, Exportieren, Versenden von Benachrichtigungen, Protokollieren, Sichern und Löschen. |
| Betroffene Personen | Kontaktpersonen, Organe und verantwortliche Personen der Mitglieder (Finanzintermediäre); Benutzer der Mitglieder im Mitgliederportal; Mitarbeitende der SRO; Prüferinnen und Prüfer. |
| Datenkategorien | Firmendaten der Mitglieder (Name, Rechtsform, UID, Adresse, Tätigkeitskategorien, Mitgliedschaftsstatus); Personendaten (Name, Funktion, E-Mail, Telefon); Risikoklasse und deren Verlauf; Prüfberichte, Beanstandungen und Nachweise; Selbstdeklarationen und Dokumente; Benutzerkonten (Login, Rolle, Zwei-Faktor-Status); Protokolldaten (Zeitpunkt, Benutzer, Aktion, IP-Adresse). |
| Besonders schützenswerte Daten | Möglich, sofern Prüfberichte, Beanstandungen oder Dokumente Angaben zu verwaltungs- oder strafrechtlichen Verfahren oder Sanktionen enthalten (Art. 5 lit. c Ziff. 5 DSG). Die SRO entscheidet, welche solchen Angaben sie erfasst. |
| Mandantentrennung | Jede SRO ist ein eigener Mandant. Alle Abfragen sind auf den Mandanten der angemeldeten Person beschränkt; die Trennung wird bei jeder Code-Änderung automatisiert getestet. |
|---|---|
| Zugriffskontrolle | Rollenbasierte Berechtigungen (SRO-Administration, Fallbearbeitung, Nur-Lesen, Prüfer). Prüfer sehen nur die ihnen zugewiesenen Mitglieder, Prüfungen und Dateien; Mitglieder nur ihre eigenen Daten. |
| Authentisierung | Persönliche Benutzerkonten; Passwörter nur als Hash gespeichert; Zwei-Faktor-Anmeldung für SRO-Mitarbeitende und Prüfer; Schutz gegen wiederholte Fehlanmeldungen. |
| Vieraugenprinzip | Änderungen der Risikoklasse eines Mitglieds müssen von einer zweiten berechtigten Person freigegeben werden. |
| Übertragung und Speicherung | Verschlüsselte Übertragung über HTTPS. Hochgeladene Dokumente liegen ausserhalb des öffentlichen Webverzeichnisses und sind nur nach Berechtigungsprüfung abrufbar. Zwei-Faktor-Geheimnisse werden verschlüsselt gespeichert. |
| Protokollierung | Änderungen an Mitgliederdaten, Risikoklassen, Prüfungen und Beanstandungen werden mit Zeitpunkt und Benutzer protokolliert. |
| Verfügbarkeit | Hosting in der Schweiz; regelmässige Datensicherungen; Sicherung der Datenbank vor jeder Datenbankänderung. |
| Änderungsmanagement | Neue Versionen werden zuerst in einer separaten Testumgebung mit fiktiven Daten geprüft. |
| Organisation | Vertraulichkeitsverpflichtung aller Personen mit Zugriff; Zugriff auf Inhalte nur für Betrieb und Support; Meldeprozess für Sicherheitsvorfälle gemäss Ziffer 8. |
| hosttech GmbH, Seestrasse 15a, 8805 Richterswil | Hosting von Webanwendung, Datenbank und Dateien; Versand der E-Mail-Benachrichtigungen. Ort: Schweiz. |
|---|
Voir aussi : Politique de confidentialité · Mentions légales.
