Datenschutzerklärung
Stand: [DATUM BESTÄTIGEN] (Entwurf vom 24.10.2026)
Diese Datenschutzerklärung erklärt, wie wir Personendaten bearbeiten, wenn du die Website ardax24.ch besuchst («Website») und wenn du die Buchhaltungsanwendung Ardax24 inklusive mobiler App nutzt («App»). Sie richtet sich nach dem Schweizer Bundesgesetz über den Datenschutz (nDSG) und der Datenschutzverordnung (DSV). Soweit die EU-Datenschutz-Grundverordnung (DSGVO) anwendbar ist, gelten zusätzlich die Hinweise in Ziffer 11.
1. Verantwortliche Stelle
Toklu & Partner Rechtsberatung & Treuhand, Inhaber Kalender Toklu
Kontakt für Datenschutzanfragen: info@toklu.ch, +41 76 545 33 22, Neue Bahnhofstrasse 144, 4132 Muttenz.
Vertretung in der EU (Art. 27 DSGVO): [PRÜFEN, ob erforderlich]
2. Datenbearbeitung auf der Website
Server-Logfiles: Beim Aufruf speichert unser Hoster Infomaniak technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser und Betriebssystem. Zweck: sicherer und stabiler Betrieb, Abwehr von Missbrauch. Aufbewahrung: [LOG-DAUER BEI INFOMANIAK BESTÄTIGEN].
Kontaktformular und E-Mail: Name, Firma, E-Mail, Telefon und Nachricht, um deine Anfrage oder deinen Testzugang zu bearbeiten. Formular-Dienst: [FORMULAR-DIENST BESTÄTIGEN].
Keine Cookies, kein Tracking: Die Website setzt keine Cookies, keine Analyse- oder Marketing-Tools und keine Social-Media-Plugins ein. Schriften werden von unserem eigenen Server geladen (keine Google Fonts oder andere Drittanbieter-Server). Deshalb braucht die Website kein Cookie-Banner. Wenn wir das ändern, passen wir diese Erklärung vorher an.
3. Datenbearbeitung in der App
- Kontodaten: Name, E-Mail, Telefonnummer, Firma, Rolle, Login-Daten (Passwörter nur als Hash gespeichert), Zwei-Faktor-Einstellungen.
- Buchhaltungs- und Geschäftsdaten: Buchungen, Belege, Rechnungen, Kunden- und Lieferantendaten, Bankbewegungen (CAMT-Import), Zahlungsdateien, MWST-Daten.
- Lohndaten: Personalien der Mitarbeitenden, AHV-Nummer, Lohn, Sozialversicherungen, Quellensteuer, Kinderzulagen, Bankverbindung. Dies kann besonders schützenswerte Personendaten umfassen.
- Zahlungsdaten: Abo und Rechnungsstatus. Kartendaten gibst du direkt bei Stripe ein; wir sehen und speichern keine vollständigen Kartennummern.
- Nutzungs- und Sicherheitsdaten: Login-Zeitpunkte, IP-Adresse, Gerät, Prüfprotokoll (wer hat wann was gebucht oder geändert).
In der App bearbeiten wir Buchhaltungs- und Lohndaten im Auftrag unserer Kundinnen und Kunden (Auftragsbearbeitung). Verantwortlich für diese Daten ist das jeweilige Kundenunternehmen; die Einzelheiten regelt ein Auftragsbearbeitungsvertrag (AVV). [AVV ERSTELLEN]
4. Zwecke
- Bereitstellung, Betrieb und Sicherheit von Website und App
- Vertragsabschluss und -abwicklung, Abo-Abrechnung
- Support und Kommunikation, inkl. SMS-Codes für die Zwei-Faktor-Anmeldung
- Erfüllung gesetzlicher Pflichten (z. B. Aufbewahrung nach Obligationenrecht und GeBüV)
- Verbesserung und Fehleranalyse der App
5. Rechtsgrundlagen
Nach nDSG bearbeiten wir Personendaten rechtmässig, verhältnismässig und zweckgebunden; eine Rechtfertigung ergibt sich insbesondere aus Vertragserfüllung, gesetzlichen Pflichten und überwiegenden berechtigten Interessen (z. B. IT-Sicherheit). Für EU-Nutzende stützen wir uns auf Art. 6 Abs. 1 lit. b (Vertrag), lit. c (rechtliche Pflicht) und lit. f DSGVO (berechtigtes Interesse) sowie, wo nötig, auf deine Einwilligung (lit. a).
6. Auftragsbearbeiter
| Dienstleister | Zweck | Bereich |
|---|---|---|
| Infomaniak Network SA, Schweiz | Hosting der Website | Website |
| Hetzner Online GmbH, Deutschland | Replikat-Server und Failover der App | App |
| Amazon Web Services (AWS), Region Zürich (eu-central-2) | Primärserver und Datenbank der App, Backups | App |
| Cloudflare, Inc. | DDoS-Schutz, Web Application Firewall, Verkehrsweiterleitung | App [BESTÄTIGEN, ob auch Website] |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung und Abo-Abrechnung | App |
| Twilio Inc. [BESTÄTIGEN] | Versand von SMS-Codes (Zwei-Faktor-Anmeldung) | App |
| [E-MAIL-ANBIETER BESTÄTIGEN] | E-Mail-Versand und -Empfang | Website und App |
Mit allen Auftragsbearbeitern bestehen bzw. werden Verträge zur Auftragsbearbeitung abgeschlossen. [VERTRÄGE PRÜFEN]
7. Bekanntgabe ins Ausland
Die App-Daten werden primär in der Schweiz gespeichert (AWS Region Zürich, eu-central-2). Ein Replikat für Ausfallsicherheit liegt bei Hetzner in Deutschland; Deutschland hat als EU-Staat nach Anhang 1 DSV ein angemessenes Datenschutzniveau. Die Website wird bei Infomaniak in der Schweiz gehostet. Bei Übermittlungen in die USA (z. B. an Cloudflare, Stripe, Twilio oder AWS) stützen wir uns auf das Swiss-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist, oder auf die Standardvertragsklauseln der EU-Kommission mit den vom EDÖB anerkannten Anpassungen. [ZERTIFIZIERUNG/SCC JE ANBIETER BESTÄTIGEN]
8. Aufbewahrung
- Buchhaltungsdaten, Belege und Geschäftsbücher: 10 Jahre nach Art. 958f OR und GeBüV. Tägliche verschlüsselte Backups.
- Lohndaten: 10 Jahre (Geschäftsunterlagen) bzw. gemäss sozialversicherungsrechtlichen Vorgaben.
- Kontaktanfragen ohne Vertragsabschluss: [FRIST FESTLEGEN, z. B. 12 Monate].
- Server-Logfiles: siehe Ziffer 2.
- Nach Vertragsende kannst du deine Daten exportieren; danach werden sie unter Beachtung der gesetzlichen Aufbewahrungspflichten gelöscht. [LÖSCHFRIST NACH VERTRAGSENDE FESTLEGEN]
9. Datensicherheit
Verschlüsselte Übertragung (TLS), Cloudflare-Schutz, redundante Server mit automatischem Failover, regelmässige Backups, Rollen und Rechte, Zwei-Faktor-Anmeldung, Prüfprotokoll. Mehr unter Sicherheit & Datenschutz.
10. Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung und Datenherausgabe bzw. -übertragung (Datenübertragbarkeit) sowie das Recht, einer Bearbeitung zu widersprechen und eine Einwilligung zu widerrufen. Gesetzliche Aufbewahrungspflichten können einer Löschung entgegenstehen. Anfragen an info@toklu.ch; wir können einen Identitätsnachweis verlangen. Beschwerden kannst du beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einreichen.
11. Hinweise für Nutzende in der EU (DSGVO)
Soweit die DSGVO anwendbar ist, hast du zusätzlich das Recht auf Einschränkung der Bearbeitung (Art. 18) und auf Beschwerde bei einer Aufsichtsbehörde in deinem Wohnsitzland. Die Schweiz gilt laut Angemessenheitsbeschluss der EU-Kommission als Land mit angemessenem Datenschutzniveau.
12. Änderungen
Wir können diese Datenschutzerklärung anpassen. Es gilt die auf ardax24.ch veröffentlichte Fassung.