Datenschutzerklärung

1. Verantwortliche Stelle

Für Personendaten, die Kundinnen und Kunden in ihrem eigenen Mandanten in KompassKarma bearbeiten (z. B. Daten ihrer eigenen Kund:innen aus Bexio), ist die jeweilige Kundin oder der jeweilige Kunde verantwortlich. Die onlineKarma AG handelt insoweit als Auftragsbearbeiterin; es gilt zusätzlich der Vertrag zur Auftragsverarbeitung (AVV).

• onlineKarma AG
• Hebelstrasse 52, 4056 Basel, Schweiz
• hallo@kompasskarma.ch

2. Welche Daten wir bearbeiten

• Kontodaten: Name, E-Mail-Adresse, Passwort (nur als Hashwert), Sprache, Rolle und Berechtigungen
• Firmendaten: Firmenname, Branche, Währung, Einstellungen und Zielwerte
• Nutzungs- und Protokolldaten: Zeitpunkt von Anmeldungen, technische Fehlerprotokolle, IP-Adresse
• Inhaltsdaten des Mandanten: aus Bexio übernommene oder erfasste Kunden-, Rechnungs- und Offertdaten sowie daraus berechnete Kennzahlen
• Kommunikationsdaten: Inhalt von Support-Anfragen und E-Mails

3. Zwecke und Rechtsgrundlagen

Wir bearbeiten Personendaten, um den Vertrag zu erfüllen (Bereitstellung, Betrieb und Support der Anwendung), um gesetzliche Pflichten zu erfüllen (z. B. Buchführung), sowie gestützt auf berechtigte Interessen an Sicherheit, Missbrauchsverhinderung und Weiterentwicklung des Angebots. Wo eine Einwilligung erforderlich ist, holen wir diese ein; sie kann jederzeit widerrufen werden.

4. Mandantentrennung und Support-Zugriff

Jede Firma arbeitet in einem strikt getrennten Bereich. Der Zugriff wird technisch über Sicherheitsregeln der Datenbank durchgesetzt. Mitarbeitende der onlineKarma AG sehen keine Inhaltsdaten fremder Mandanten. Nur wenn eine berechtigte Person in den Einstellungen den Support-Zugriff bewusst freigibt, ist ein Einblick möglich – zeitlich befristet auf 24 Stunden und danach automatisch beendet.

5. Branchenvergleiche (Benchmarks)

Für Branchenvergleiche berechnen wir aggregierte Medianwerte. Ergebnisse werden erst angezeigt, wenn mindestens zehn Firmen derselben Branche teilnehmen (K-Anonymität). Einzelne Firmen sind daraus nicht ableitbar. Es werden keine Kunden-, Rechnungs- oder Personendaten an andere Mandanten weitergegeben.

6. Bexio-Schnittstelle

Wenn Sie Ihr Bexio-Konto verbinden, rufen wir mit Ihrer Autorisierung Kunden-, Rechnungs- und Offertdaten ab, um daraus Kennzahlen zu berechnen. Wir schreiben keine Daten in Ihre Buchhaltung zurück. Die Verbindung kann jederzeit getrennt werden; danach werden keine weiteren Daten abgerufen.

7. Hosting und Datenstandort

• Anwendung und Website werden über die Infrastruktur unseres Plattformanbieters (Lovable) betrieben und über ein weltweites Content-Delivery-Netz ausgeliefert.
• Datenbank, Authentifizierung und Dateispeicher laufen auf Infrastruktur von Supabase bei Amazon Web Services in der Region Irland (EU).
• KI-Analyse (optional, nur auf Anfrage von Inhaber:innen oder Administration): Eine verdichtete Zusammenfassung der ausgewählten Daten (z. B. Monatsumsätze, Offertenstatus und – falls ausgewählt – Kundennamen mit Umsatzanteilen) wird über das KI-Gateway unseres Plattformanbieters Lovable an einen Anbieter von KI-Sprachmodellen (derzeit OpenAI) übermittelt, ausschliesslich um die Antwort zu erzeugen. Einzelne Rechnungen, Adressen, Kontaktpersonen und Zugangsdaten werden nicht übermittelt. Die Daten werden nicht zum Training von KI-Modellen verwendet; die Verarbeitung kann in den USA erfolgen.
• Ihre Inhaltsdaten werden damit in der Europäischen Union gespeichert. Bei Support, Fehlerdiagnose oder Auslieferung kann ein Zugriff aus der Schweiz oder aus Drittstaaten erfolgen.

8. Auftragsbearbeiter und Bekanntgabe ins Ausland

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsbearbeiter ein, insbesondere für Hosting, Datenbank, E-Mail-Versand, Fehleranalyse und die optionale KI-Analyse. Eine aktuelle Liste der Unterauftragsbearbeiter ist im Vertrag zur Auftragsverarbeitung aufgeführt und kann unter hallo@kompasskarma.ch angefordert werden. Erfolgt eine Bekanntgabe in Staaten ohne angemessenes Datenschutzniveau, stützen wir uns auf geeignete Garantien, insbesondere die Standardvertragsklauseln der EU-Kommission mit Schweizer Ergänzungen.

9. Aufbewahrung und Löschung

Wir bewahren Personendaten so lange auf, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen (in der Schweiz in der Regel zehn Jahre für Geschäftsunterlagen). Nach Beendigung des Vertrags werden Mandantendaten innerhalb von 90 Tagen gelöscht oder anonymisiert, sofern keine gesetzliche Pflicht entgegensteht. Ein Export der Daten ist vor der Löschung möglich.

10. Datensicherheit

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung
• Zeilenbasierte Zugriffsregeln (Row Level Security) für jede Tabelle
• Rollen- und Berechtigungskonzept je Benutzerin und Benutzer
• Protokollierung sicherheitsrelevanter Ereignisse
• Regelmässige Sicherungen der Datenbank

11. Ihre Rechte

Sie haben im Rahmen des anwendbaren Rechts insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Widerspruch sowie auf Datenherausgabe oder -übertragung. Wenden Sie sich dafür an hallo@kompasskarma.ch. Sie haben zudem das Recht, sich bei einer Aufsichtsbehörde zu beschweren – in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei der jeweils zuständigen Datenschutzbehörde.

12. Cookies und Reichweitenmessung

Neben technisch notwendigen Cookies (Anmeldung, Sprachwahl) nutzen wir Google Tag Manager, Google Analytics 4 und Google Ads Conversion-Tracking (Google Ireland Ltd., Verarbeitung ggf. in den USA mit Standardvertragsklauseln) sowie das Measurement Pixel für Werbung in ChatGPT (OpenAI, Verarbeitung ggf. in den USA). Zweck: Reichweitenmessung und Optimierung von Werbeanzeigen. Erfasst werden besuchte Seiten, Verweildauer, Herkunft, Gerätetyp und die Ereignisse Konto erstellt, Bexio verbunden und Abo gekauft. Namen, E-Mail-Adressen, Firmen- und Finanzdaten werden nicht an Google oder OpenAI übermittelt, und es findet kein Abgleich von Kundendaten statt. Besuchende aus EU, EWR und UK werden nur mit Einwilligung gemessen. Sie können Ihre Wahl jederzeit im Cookie-Hinweis ändern oder widerrufen.

13. Änderungen

Wir können diese Datenschutzerklärung jederzeit anpassen. Massgebend ist die jeweils auf dieser Seite veröffentlichte Fassung.