Stand: 6. Juli 2026
Stand: 6. Juli 2026. Diese Version gilt ab dem 6. Juli 2026. Bei wesentlichen Änderungen an diesem Auftragsverarbeitungsvertrag werden Sie rechtzeitig benachrichtigt. Dieser Auftragsverarbeitungsvertrag ("AVV") regelt die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Lokbox-Dienste. Er erfüllt die gesetzlichen Anforderungen nach Art. 28 DSGVO sowie nach dem Schweizer Datenschutzgesetz (revDSG / nDSG). Änderungshistorie: Version 2026-07-06 – Ergänzung der Datenkategorien und der Kategorien betroffener Personen (§ 2), Präzisierung der EU-Datenhaltung (§ 5), Aufnahme einer Gerichtsstandsklausel (§ 11), Klarstellungen zu Weisungen und Unterauftragsverarbeitern (§§ 3, 4). Version 2026-06-16 – Erstfassung.
Verantwortlicher (Kunde): Der Nutzer der Lokbox-Dienste, der personenbezogene Daten im Rahmen seines Kontos verarbeitet. Auftragsverarbeiter (Anbieter): bubloo, Kubilé, Lischenweg 7, 4915 St. Urban, Schweiz (UID: CHE-190.821.402).
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen zur Erbringung der Lokbox-Dienste (KI-gestützte Browser-Automatisierung, Textverarbeitung und API-Integrationen). Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Auslesen, Abfragen und Löschen von Daten. Kategorien personenbezogener Daten: Mandanten-Stammdaten (Namen, Adressen, Kontaktdaten, Firmen- und Rechtsformangaben); Identifikatoren (z.B. UID, Handelsregister-, Steuer- und Sozialversicherungsnummern, soweit vom Verantwortlichen eingegeben); sowie Portal-Aufgabendaten (die vom Verantwortlichen erteilten Aufgabentexte, hochgeladene Dokumente, Zugangs-Kontext und die vom Agenten erzeugten Ergebnis- und Protokolldaten). Kategorien betroffener Personen: Mandanten des Verantwortlichen und deren vertretungsberechtigte bzw. Kontaktpersonen, Mitarbeitende und Endnutzer des Verantwortlichen sowie sonstige natürliche Personen, deren Daten der Verantwortliche im Rahmen einer Aufgabe eingibt.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Verantwortlichen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO, das revDSG oder sonstige Datenschutzbestimmungen verstösst, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung berechtigten Personen (Mitarbeiter) zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Auftragsverarbeiter setzt für die Erbringung der Dienste insbesondere folgende Unterauftragsverarbeiter ein: Infomaniak Network SA (Frontend- & Backend-Hosting, Schweiz/Zürich); Amazon Web Services (AWS) (Bedrock-Inferenzplattform). Für die aktuelle Claude-Verarbeitung nutzt Lokbox das geografische EU-Inferenzprofil von AWS Bedrock mit Frankfurt als primärer Ausgangsregion. AWS kann Anfragen in den für dieses Profil dokumentierten europäischen Zielregionen verarbeiten. Bei der aktuellen Claude-Verarbeitung über Amazon Bedrock erhalten Modellanbieter laut AWS keinen Zugriff auf Kunden-Prompts oder -Antworten. Eine mögliche Aufbewahrung durch AWS richtet sich nach dem konfigurierten Bedrock-Aufbewahrungsmodus und den von AWS dokumentierten Ausnahmen. Supabase (Datenbank & Speicherung, EU eu-central-1 Frankfurt); Stripe (Zahlungsabwicklung, EU/Irland); Sentry (Fehler-Monitoring, EU de.sentry.io). Die vollständige und jeweils aktuelle Liste der Unterauftragsverarbeiter ist unter lokbox.ch/subprocessors abrufbar und für den Umfang der erteilten Zustimmung massgeblich; der Verantwortliche stimmt dem Einsatz der dort aufgeführten Unterauftragsverarbeiter hiermit zu. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den in diesem AVV vereinbarten im Wesentlichen gleichwertig sind (Art. 28 Abs. 4 DSGVO). Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung); der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
Lokbox ist ein Schweizer Anbieter; die Datenverarbeitung und -speicherung findet jedoch auf europäischer Infrastruktur in der EU/im EWR (insbesondere Frankfurt) statt. Ein produktives Hosting personenbezogener Daten in der Schweiz erfolgt im Rahmen der Cloud-Dienste nicht. Sofern durch die Nutzung bestimmter Integrationen (z.B. Notion) Daten in die USA übermittelt werden, stützt sich der Auftragsverarbeiter auf die Standardvertragsklauseln (SCC) der EU-Kommission (sowie den entsprechenden Schweizer Anpassungen) und das Data Privacy Framework (DPF), um ein angemessenes Datenschutzniveau gemäss Art. 46 DSGVO sicherzustellen.
Der Auftragsverarbeiter hat geeignete technische und organisatorische Massnahmen gemäss Art. 32 DSGVO ergriffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören unter anderem: Verschlüsselung: Alle Datenübertragungen (TLS/SSL) sowie gespeicherte Daten (Data at Rest) sind verschlüsselt; Isolierung: Browser-Automatisierungen laufen in kurzlebigen, isolierten Sandbox-Umgebungen; Zugangs- und Zugriffskontrolle: Physischer und logischer Zugriff ist restriktiv geregelt.
Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei der Beantwortung von Anfragen zur Wahrnehmung von Betroffenenrechten (Auskunft, Berichtigung, Löschung etc.). Im Falle einer Verletzung des Schutzes personenbezogener Daten (Data Breach) meldet der Auftragsverarbeiter dies dem Verantwortlichen unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen gesetzlichen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) sowie bei Datenschutz-Folgenabschätzungen.
Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in diesem AVV niedergelegten Pflichten nachzuweisen. Der Verantwortliche (oder ein von ihm beauftragter unabhängiger Prüfer) hat das Recht, nach rechtzeitiger Ankündigung angemessene Überprüfungen (Audits) durchzuführen.
Bei Beendigung werden das Benutzerkonto und eigene Workspaces zunächst deaktiviert. Memory-Konversationsbeiträge werden als gelöscht markiert und nach einer 30-tägigen Schonfrist planmässig endgültig gelöscht. Andere personenbezogene Daten werden gelöscht oder zurückgegeben, soweit die verfügbaren Export- und Löschfunktionen dies unterstützen und keine gesetzliche oder Audit-Aufbewahrungspflicht entgegensteht. Den aktuellen Status und verfügbare Optionen weist Lokbox in den Workspace-Einstellungen aus.
Dieser AVV wird auf unbestimmte Zeit geschlossen und endet automatisch mit der Beendigung des Hauptvertrages über die Nutzung der Lokbox-Dienste.
Auf diesen AVV findet ausschliesslich schweizerisches Recht Anwendung, unter Ausschluss der Kollisionsnormen und des UN-Kaufrechts. Ausschliesslicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Luzern, Schweiz, soweit keine zwingenden gesetzlichen Gerichtsstände entgegenstehen.