Datenschutz

1.1 Diese Datenschutzerklärung erläutert, wie die Solodesk Sàrl («Solodesk», «wir», «uns») Personendaten erhebt und bearbeitet, wenn du die Solodesk-Anwendung und die Website solodesk.ch (der «Dienst») nutzt.

1.2 Wir bearbeiten Personendaten in Übereinstimmung mit dem revidierten Schweizer Bundesgesetz über den Datenschutz (revDSG, in Kraft seit dem 1. September 2023) und seiner Verordnung. Da der Dienst ausschliesslich in der Schweiz registrierten Unternehmen und in der Schweiz ansässigen Einzelunternehmern zur Verfügung steht, unterliegt unsere Bearbeitung dem Schweizer Recht. Soweit die EU-Datenschutz-Grundverordnung (DSGVO) dennoch auf deine Personendaten Anwendung findet, erläutern §2.3 und §10 die zusätzlichen Rechte, die dir zustehen.

1.3 Für die Personendaten deines Kontos und deines Unternehmens ist Solodesk der Verantwortliche. Für die Informationen, die du über deine eigenen Kunden und Lieferanten hochlädst, unterscheidet sich deine Rolle von unserer — siehe §6.

2.1 Diese Erklärung erfasst Personendaten von: (a) den natürlichen Personen, die den Dienst im Namen eines Unternehmens registrieren und nutzen (Kontoinhaber und deren Nutzer); (b) Besuchern unserer Website; und (c) Personen, die uns kontaktieren (zum Beispiel für Support oder Verkaufsanfragen).

2.2 Terminologischer Hinweis: Das revidierte DSG schützt ausschliesslich Personendaten natürlicher Personen. Daten, die sich ausschliesslich auf juristische Personen (Unternehmen) beziehen, gelten nach Schweizer Recht nicht als «Personendaten».

2.3 Geltungsbereich und DSGVO. Der Dienst wird ausschliesslich in der Schweiz registrierten Unternehmen und in der Schweiz ansässigen selbstständig Erwerbenden angeboten (siehe die Nutzungsbedingungen), und unsere Bearbeitung unterliegt dem Schweizer Recht. Findet in deinem konkreten Fall die EU-DSGVO auf deine Personendaten Anwendung, erläutert §10 die entsprechenden Rechte, die dir zustehen, und wie du Beschwerde führen kannst.

Wir erheben folgende Kategorien von Personendaten:

3.2 Der Dienst ist für geschäftliche und buchhalterische Dokumente gedacht und erfordert keine besonderen Kategorien schützenswerter Personendaten. Erscheinen solche Daten dennoch in einem Dokument, das du hochlädst, bist du dafür als Verantwortlicher zuständig (siehe §6).

Wir bearbeiten Personendaten, um:

• (a) den Dienst bereitzustellen — dein Konto zu erstellen und zu verwalten, deine Dokumente und Daten zu hosten und zu bearbeiten, KI-Klassifikation und -Extraktion durchzuführen, deine Buchhaltung zu führen, Rechnungen und Auswertungen zu erstellen und die Funktionen deines Tarifs zu aktivieren;
• (b) die Rechnungsstellung abzuwickeln — Abonnements, Testphasen, Fakturierung und Zahlung über Stripe zu verwalten;
• (c) mit dir zu kommunizieren — dienst-, sicherheits-, transaktions- und kontobezogene Nachrichten zu senden und auf deine Anfragen zu antworten;
• (d) den Dienst zu sichern und zu warten — Authentifizierung, Betrugs- und Missbrauchsprävention (auch via reCAPTCHA), Protokollierung, Fehlerbehebung und Datensicherungen;
• (e) den Dienst zu verbessern — mithilfe von Nutzungsdaten und aggregierten oder anonymisierten Statistiken;
• (f) Marketing-Kommunikation zu versenden — sofern du eingewilligt hast (siehe §13.4);
• (g) rechtlichen Vorgaben zu entsprechen und unsere Bedingungen durchzusetzen sowie Rechtsansprüche geltend zu machen, auszuüben oder abzuwehren.

5.1 Das revidierte DSG verlangt für jede Bearbeitungshandlung keine spezifische «Rechtsgrundlage», wie es die EU-DSGVO tut. Nach Schweizer Recht darf ein privates Unternehmen Personendaten bearbeiten, sofern es die Bearbeitungsgrundsätze von Art. 6 DSG beachtet — Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit und Datensicherheit — und nicht widerrechtlich in die Persönlichkeitsrechte der betroffenen Person eingreift (Art. 30 DSG).

5.2 Ein Rechtfertigungsgrund (Art. 31 DSG) ist nur dann erforderlich, wenn eine Bearbeitungshandlung andernfalls deine Persönlichkeitsrechte verletzen würde — zum Beispiel für die Bekanntgabe besonders schützenswerter Personendaten an Dritte oder für eine Bearbeitung, die über das hinausgeht, was du vernünftigerweise erwarten würdest. Ist ein Rechtfertigungsgrund erforderlich, stützen wir uns auf einen der folgenden: deine Einwilligung; ein überwiegendes privates Interesse, insbesondere eine Bearbeitung, die unmittelbar mit dem Abschluss oder der Erfüllung unseres Vertrags mit dir zusammenhängt (Art. 31 Abs. 2 lit. a DSG); oder eine gesetzliche Verpflichtung.

5.3 Wo wir dich um Einwilligung bitten (zum Beispiel für Marketing-E-Mails oder nicht essenzielle Cookies), kannst du sie jederzeit widerrufen; der Widerruf berührt bereits erfolgte Bearbeitungen nicht.

6.1 Um deine Buchhaltung zu führen, lädst du Dokumente hoch und erfasst Informationen zu deinen Geschäftspartnern (Kunden und Lieferanten) — zum Beispiel Rechnungen, Belege, Kontoauszüge, Namen, Adressen, UIDs und IBANs. Das sind überwiegend geschäftliche Informationen zu Unternehmen.

6.2 Das Schweizer Datenschutzrecht unterscheidet juristische Personen von natürlichen Personen:

• Informationen über eine juristische Person (zum Beispiel eine SA, eine Sàrl/GmbH oder eine AG) sind keine Personendaten nach dem revidierten DSG und fallen nicht in den Anwendungsbereich des Schweizer Datenschutzrechts.
• Informationen über eine natürliche Person sind geschützt — und dazu zählt auch die Einzelfirma / das Einzelunternehmen (raison individuelle, Einzelunternehmen), die auch bei geschäftlicher Tätigkeit eine natürliche Person (personne physique) bleibt, sowie jede namentlich genannte natürliche Person im Zusammenhang mit einem Unternehmen (eine Kontaktperson, ein Zeichnungsberechtigter oder ein Mitarbeitender).

Da viele Schweizer Unternehmen Einzelfirmen sind und auf Rechnungen, Belegen und Kontoauszügen regelmässig natürliche Personen namentlich erscheinen, bildet ein erheblicher Teil der von dir hochgeladenen Geschäftspartner-Informationen geschützte Personendaten.

6.3 Für diese geschützten Personendaten gilt:

• Du bist der Verantwortliche und bestimmst, warum und wie sie bearbeitet werden; und
• Solodesk handelt in deinem Auftrag als dein Dienstleister (Auftragsbearbeiter) und bearbeitet sie ausschliesslich zur Bereitstellung des Dienstes und nach deinen Weisungen.

6.4 Als Verantwortlicher dieser Daten bist du dafür verantwortlich, eine Rechtsgrundlage für ihre Erhebung und ihren Upload zu haben und allfällige Informations- oder andere Pflichten gegenüber den betroffenen Personen zu erfüllen. Wir stellen den Dienst bereit, damit du sie sicher speichern und bearbeiten kannst, und handeln ausschliesslich nach deinen Weisungen. Wir verwenden diese Geschäftspartner-Daten nicht für unsere eigenen Zwecke; eine solche Verwendung für eigene Zwecke (zum Beispiel für unsere eigenen Auswertungen oder zum Trainieren von KI-Modellen) würde uns zum Verantwortlichen für diese Verwendung machen, was wir nicht tun.

6.5 Wenn wir als dein Auftragsbearbeiter handeln, richtet sich diese Bearbeitung nach einem Auftragsbearbeitungsvertrag (auf Anfrage erhältlich). Kontaktiere uns unter privacy@solodesk.ch, um einen abzuschliessen.

7.1 Um Dokumente zu klassifizieren und Daten daraus zu extrahieren (Geschäftspartner, Beträge, Datumsangaben, Positionen, Text), übermittelt der Dienst die relevanten Dokumente und ihre Inhalte an unseren KI-Bearbeitungsanbieter, Google Cloud Vertex AI (Gemini-Modelle), der strukturierte Ergebnisse zurückgibt. Dies ist eine Kernfunktion des Dienstes.

7.2 KI-Ergebnisse sind probabilistisch und können Fehler enthalten; der Dienst hebt unsichere Ergebnisse zur Überprüfung hervor, und du solltest sie verifizieren.

7.3 Keine Aufbewahrung, kein Modelltraining. Gemäss unserer Vertex-AI-Konfiguration (Zero Data Retention) bewahrt Google deine Inhalte nach der Rückgabe des Ergebnisses an uns nicht auf und verwendet — gemäss seinen Enterprise-Bedingungen — deine Inhalte nicht zum Training seiner Foundation-KI-Modelle. Deine Inhalte werden ausschliesslich bearbeitet, um dir Ergebnisse zurückzugeben.

7.4 Zur Durchführung dieser Bearbeitung werden deine Inhalte an Google Cloud Vertex AI übermittelt, was eine Bearbeitung ausserhalb der Schweiz beinhalten kann (siehe §8 und §11).

7.5 Keine ausschliesslich automatisierten Entscheidungen. Wir treffen keine Entscheidungen, die dir gegenüber Rechtswirkungen entfalten oder dich in ähnlich erheblicher Weise beeinträchtigen und ausschliesslich auf einer automatisierten Bearbeitung beruhen (Art. 21 DSG / Art. 22 DSGVO). Unsere KI klassifiziert und extrahiert Informationen aus Dokumenten für deine Überprüfung; sie trifft keine Entscheidungen über dich.

8.1 Wir verkaufen keine Personendaten. Wir teilen sie ausschliesslich mit Dienstleistern, die sie in unserem Auftrag vertraglich bearbeiten, und nur soweit es zum Betrieb des Dienstes erforderlich ist. Unsere wichtigsten Unter-Auftragsbearbeiter sind:

8.2 Wir können Personendaten auch offenlegen, wenn dies gesetzlich vorgeschrieben ist oder eine rechtmässige behördliche Anordnung vorliegt, um unsere Bedingungen durchzusetzen, um unsere Rechte, unsere Sicherheit und unser Eigentum oder diejenigen anderer zu schützen, oder im Rahmen einer Fusion, Übernahme oder eines Verkaufs von Vermögenswerten (vorbehaltlich angemessener Schutzmassnahmen).

8.3 Eine aktuelle Liste der Unter-Auftragsbearbeiter ist auf Anfrage unter privacy@solodesk.ch erhältlich.

8.4 Unsere öffentliche Marketing-Website verwendet Plausible und Mautic, die wir selbst auf unserer eigenen Google-Cloud-Infrastruktur in der Schweiz hosten — sodass die von ihnen bearbeiteten Daten bei uns bleiben und nicht an Dritte weitergegeben werden — sowie Google Tag Manager, der Google-Mess- und Werbetags lädt. Diese sind in §13 beschrieben.

9.1 Hosting-Standort. Der Kern-Dienst — einschliesslich der Datenbank und deiner hochgeladenen Dokumente — wird auf Google-Cloud-Infrastruktur in der Schweiz (Region Zürich) gehostet.

9.2 Digitale Kopien, nicht deine Originalunterlagen. Solodesk speichert digitale Kopien der Dokumente und Daten, die du hochlädst, als Hosting- und Bearbeitungshilfe. Die Originaldokumente und -unterlagen verbleiben bei dir, und die gesetzliche Pflicht zur Aufbewahrung der Buchhaltungsunterlagen und Geschäftskorrespondenz — insbesondere die 10-jährige Aufbewahrungspflicht nach Art. 958f OR — bleibt deine Verantwortung. Du solltest dich nicht auf Solodesk als einzige Ablage für Unterlagen verlassen, zu deren Aufbewahrung du gesetzlich verpflichtet bist.

9.3 Aufbewahrung. Wir bewahren Personendaten so lange auf, wie dein Konto aktiv ist und wie es zur Bereitstellung des Dienstes erforderlich ist, und danach nur so lange, wie es zur Erfüllung unserer eigenen gesetzlichen Pflichten (einschliesslich unserer eigenen Buchhaltungs- und MWST-Aufbewahrungspflichten für die von uns erstellten Geschäftsunterlagen wie Rechnungsunterlagen), zur Beilegung von Streitigkeiten und zur Durchsetzung unserer Vereinbarungen notwendig ist. Server-Protokolle und Sicherheitsdaten werden nur für eine begrenzte Zeit aufbewahrt.

9.4 Löschung und Export. Du kannst Daten innerhalb des Dienstes löschen und die Löschung deines Kontos beantragen. Bei Kontoschliessung wird dein Konto deaktiviert und deine Daten werden 30 Tage aufbewahrt; in dieser Zeit kannst du sie exportieren. Danach löschen wir sie (vorbehaltlich §9.3). Exportiere vor der Schliessung deines Kontos die Daten und Dokumente, die du behalten musst (§10 lit. e), denn Solodesk verwahrt nur Kopien, und die gesetzliche Aufbewahrungspflicht liegt bei dir (§9.2).

10.1 Nach dem revidierten DSG hast du das Recht auf:

• (a) Auskunft — Bestätigung zu erhalten, ob wir deine Personendaten bearbeiten, sowie eine Kopie und die zugehörigen Informationen zu erhalten;
• (b) Berichtigung — unrichtige Daten berichtigen zu lassen;
• (c) Löschung — die Löschung deiner Personendaten zu verlangen, vorbehaltlich unserer überwiegenden gesetzlichen Pflichten und berechtigter Aufbewahrungsgründe;
• (d) Widerspruch / Einschränkung — bestimmten Bearbeitungen zu widersprechen und Direktmarketing jederzeit zu widersprechen (siehe §13.4);
• (e) Datenübertragbarkeit — die von dir bereitgestellten Personendaten in einem gängigen elektronischen Format zu erhalten oder übertragen zu lassen, sofern die Voraussetzungen des DSG erfüllt sind;
• (f) Widerruf der Einwilligung — sofern die Bearbeitung auf Einwilligung beruht, jederzeit, ohne dass die bisherige Bearbeitung berührt wird;
• (g) keine ausschliesslich automatisierten Entscheidungen, die Rechtswirkungen entfalten oder dich in ähnlich erheblicher Weise beeinträchtigen (siehe §7.5).

10.2 Zur Ausübung deiner Rechte kontaktiere privacy@solodesk.ch. Wir müssen möglicherweise deine Identität überprüfen; wir antworten innerhalb der gesetzlich vorgeschriebenen Fristen (in der Regel innerhalb von 30 Tagen).

10.3 Findet die EU-DSGVO auf dich Anwendung, stehen dir gleichwertige Rechte zu (u. a. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch), und du kannst zusätzlich zur Schweizer Aufsichtsbehörde (unten) eine Beschwerde bei deiner örtlichen EU/EWR-Datenschutzaufsichtsbehörde einreichen.

10.4 Schweizer Aufsichtsbehörde. Du kannst ein Datenschutzanliegen dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern (www.edoeb.admin.ch), melden. Der EDÖB überwacht die Einhaltung des DSG und kann Untersuchungen einleiten und korrigierende Massnahmen anordnen, spricht jedoch keine individuellen Rechtsbehelfe zu. Du kannst deine Rechte auch vor den Zivilgerichten geltend machen. Wir würden es begrüssen, dein Anliegen zuerst mit dir zu klären.

11.1 Unsere Kern-Infrastruktur — die Datenbank und deine hochgeladenen Dokumente — befindet sich in der Schweiz (§9.1). Einige unserer Anbieter (zum Beispiel Stripe, SendGrid, Sentry und Google im Zusammenhang mit KI-Bearbeitung, Support oder Administration) sind jedoch internationale Organisationen, die auf Personendaten ausserhalb der Schweiz zugreifen oder sie dort bearbeiten können. Der Zugriff auf Personendaten aus dem Ausland gilt ebenfalls als Bekanntgabe ins Ausland.

11.2 Wir geben Personendaten nur dann ins Ausland bekannt, wenn dies das DSG erlaubt, und stützen uns dabei auf:

• die vom Bundesrat erstellte Länderliste mit angemessenem Datenschutz (die den EWR umfasst und für die USA jene Empfänger einschliesst, die unter dem Swiss–U.S. Data Privacy Framework zertifiziert sind); oder
• sofern keine Angemessenheit vorliegt, geeignete Garantien — insbesondere die EU-Standardvertragsklauseln mit den vom EDÖB für das Schweizer Recht geforderten Anpassungen, verbunden mit einer Transfer Impact Assessment; oder
• eine gesetzliche Ausnahme nach Art. 17 DSG (zum Beispiel eine Bekanntgabe, die zur Erfüllung unseres Vertrags mit dir erforderlich ist).

11.3 Die wichtigsten Empfängerstaaten sind die Europäische Union / der EWR und die Vereinigten Staaten. Details zu den Garantien, auf die wir uns stützen, kannst du unter privacy@solodesk.ch anfordern.

12.1 Wir treffen technische und organisatorische Massnahmen, die dem Risiko angemessen sind, u. a.: Hosting in der Schweiz; Verschlüsselung der Personendaten während der Übertragung und im ruhenden Zustand; Zugangskontrollen und Authentifizierung; privater Dokumentenspeicher; Sitzungsverwaltung und -widerruf; Protokollierung und Überwachung; und Beschränkung des Zugriffs unserer Mitarbeitenden auf das Notwendige.

12.2 Kein System ist vollständig sicher. Du bist dafür verantwortlich, deine Zugangsdaten vertraulich zu behandeln und die Sicherheit deiner eigenen Geräte zu wahren.

13.1 In der Solodesk-Anwendung. Innerhalb des authentifizierten Produkts verwenden wir nur die Cookies und ähnlichen Technologien, die für den Betrieb des Dienstes und dessen Sicherheit erforderlich sind — zum Beispiel Authentifizierungs- und Sitzungs-Cookies sowie den Google-reCAPTCHA-Mechanismus zur Missbrauchsprävention (der zu diesem Zweck begrenzte Daten mit Google teilt). Wir setzen weder Werbung noch seitenübergreifendes Tracking in der Anwendung ein.

13.2 Auf unserer öffentlichen Marketing-Website. Unsere Website verwendet:

• Essenzielle Cookies — erforderlich, damit die Website funktioniert und sicher bleibt;
• Plausible — datenschutzfreundliche, cookielose Analyse, selbst gehostet auf unserer eigenen Schweizer Infrastruktur; sie misst die Website-Nutzung aggregiert, setzt keine Tracking-Cookies und identifiziert dich nicht;
• Mautic — unser Marketing-Automation-Werkzeug, selbst gehostet auf unserer eigenen Schweizer Infrastruktur; es kann ein Cookie setzen, um dich wiederzuerkennen und zu messen, wie du mit unserer Website und unseren E-Mails interagierst (diese Daten bleiben bei uns);
• Google Tag Manager — der Google-Mess- und Werbetags lädt, die Cookies setzen und Daten mit Google teilen können, u. a. zur Konversionsmessung und für Werbung.

13.3 Deine Wahlmöglichkeiten (Cookies). Nach Schweizer Recht (Art. 45c FMG) dürfen wir Cookies verwenden, sofern wir dich informieren und du sie ablehnen kannst. Wir holen deine Einwilligung über ein Cookie-Banner ein, bevor wir nicht essenzielle Cookies für Marketing oder Werbung setzen (Mautic-Tracking und Google-Werbetags); essenzielle Cookies und cookielose Analyse erfordern keine Einwilligung. Findet die DSGVO auf dich Anwendung, holen wir für nicht essenzielle Cookies eine vorherige Opt-in-Einwilligung ein. Du kannst Cookies auch über deine Browsereinstellungen steuern.

13.4 Marketing-E-Mails. Wir versenden Marketing-E-Mails nur, wenn du eingewilligt hast — zum Beispiel über das Marketing-E-Mail-Kontrollkästchen bei der Registrierung. Du kannst deine Einwilligung jederzeit widerrufen und dich abmelden — über den Link in jeder Marketing-E-Mail oder per Kontakt an privacy@solodesk.ch. Dienst-, Sicherheits- und Transaktionsnachrichten sind Teil des Dienstes und stellen keine Marketing-Kommunikation dar.

14.1 Der Dienst ist ein Geschäftswerkzeug für Erwachsene, die in geschäftlicher Eigenschaft handeln, und richtet sich nicht an Kinder. Wir bearbeiten wissentlich keine Personendaten von Kindern im Zusammenhang mit dem Dienst.

15.1 Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wir veröffentlichen die aktualisierte Fassung mit einem neuen Datum des Inkrafttretens und informieren dich bei wesentlichen Änderungen auf angemessenem Weg. Die fortgesetzte Nutzung des Dienstes nach Inkrafttreten der Änderung gilt als Kenntnisnahme der aktualisierten Erklärung.

Solodesk Sàrl
Chemin des Coquelicots 16, 1214 Vernier, Schweiz
Datenschutzkontakt: privacy@solodesk.ch