1. Parteien und Gegenstand
Dieser Vertrag gilt zwischen Ihnen als Geschäftskunde von Klyrenta (Verantwortlicher) und dem im Impressum genannten Betreiber von Klyrenta (Auftragsbearbeiter). Er umfasst die Personendaten in den Dokumenten, die Sie hochladen oder die Ihre Kunden über einen privaten Upload-Link des Belegeingangs hochladen, zum Beispiel Namen, Adressen, Bankverbindungen und Beträge von Lieferanten, Kunden und Mitarbeitenden.
2. Zweck und Weisungen
Wir bearbeiten diese Daten nur, um den Dienst zu erbringen, den Sie nutzen: die Dokumente lesen, prüfen, Ihnen die Ergebnisse zeigen und sie zum Herunterladen aufbewahren. Ihre Nutzung des Dienstes und Ihre Einstellungen gelten als Ihre Weisungen. Wir verwenden die Daten nicht für eigene Zwecke, verkaufen sie nicht und verwenden sie nicht zum Training von KI-Modellen. Halten wir eine Weisung für datenschutzwidrig, teilen wir Ihnen das mit.
3. Vertraulichkeit
Wir behandeln die Daten vertraulich. Zugriff hat nur der Betreiber von Klyrenta, und nur soweit es für den Betrieb des Dienstes, die Beantwortung Ihrer Fragen oder die Behebung einer Störung nötig ist. Wer von uns beigezogen wird, ist zur gleichen Vertraulichkeit verpflichtet. Uns ist bewusst, dass Treuhandbüros und andere Kunden gegenüber ihren eigenen Kunden an ein Berufsgeheimnis gebunden sein können; wir behandeln die Daten entsprechend.
4. Datensicherheit
Wir treffen dem Risiko angemessene technische und organisatorische Massnahmen (Art. 8 DSG), insbesondere:
- Website und Daten auf Servern in der Schweiz (Hosting durch Infomaniak Network SA); alle Verbindungen verschlüsselt (HTTPS).
- Zugang zum Kundenbereich nur über einen einmaligen Anmeldelink an Ihre E-Mail-Adresse; Upload-Links des Belegeingangs sind lang und zufällig und lassen sich jederzeit erneuern oder sperren.
- Hochgeladene Dateien werden 90 Tage nach der Verarbeitung gelöscht; die Website lädt keine Skripte oder Inhalte anderer Anbieter und verwendet kein Tracking.
- Eine Begrenzung der Versuche und Uploads schützt vor Missbrauch.
5. Unterauftragsbearbeiter
Sie erlauben uns, die folgenden Unterauftragsbearbeiter beizuziehen. Verträge verpflichten sie, die Daten zu schützen und zu sichern:
- Infomaniak Network SA, Schweiz: Hosting der Website und Speicherung der Daten.
- Anthropic Ireland, Limited, Irland, mit Bearbeitung durch Anthropic PBC in den USA: Lesen des Inhalts hochgeladener Dokumente. Anthropic darf die Inhalte nicht zum Training seiner Modelle verwenden; gemäss Anthropic werden Eingaben und Ausgaben innerhalb von 30 Tagen gelöscht, sofern eine längere Aufbewahrung nicht gesetzlich oder zur Durchsetzung seiner Nutzungsrichtlinie nötig ist.
Keine Unterauftragsbearbeiter sind Stripe, das Zahlungen als eigene Verantwortliche abwickelt und Ihre Dokumente nie erhält, und das Bundesamt für Statistik (BFS), das nur die öffentlichen MWST-Nummern von Lieferanten erhält, um sie im UID-Register nachzuschlagen.
Bevor wir einen Unterauftragsbearbeiter hinzufügen oder ersetzen, informieren wir Sie mindestens 30 Tage im Voraus per E-Mail. Sie können widersprechen; finden wir keine Lösung, können Sie den Vertrag auf den Zeitpunkt der Änderung beenden.
6. Bekanntgabe ins Ausland
Irland verfügt nach Feststellung des Bundesrats über einen angemessenen Datenschutz. Für die Bearbeitung in den USA enthält der Datenverarbeitungsvertrag von Anthropic die Standardvertragsklauseln der Europäischen Kommission mit den Anpassungen für die Schweiz, die der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) anerkennt (Art. 16 Abs. 2 Bst. d DSG).
7. Unterstützung
Wir unterstützen Sie, soweit möglich, bei der Beantwortung von Anfragen betroffener Personen (zum Beispiel um Auskunft oder Löschung) und bei Ihren übrigen Pflichten nach dem DSG. Anfragen, die direkt bei uns eingehen, leiten wir an Sie weiter.
8. Verletzungen der Datensicherheit
Erfahren wir von einer Verletzung der Datensicherheit, die Ihre Daten betrifft, informieren wir Sie unverzüglich, spätestens innert 48 Stunden, mit den Angaben, die wir haben, damit Sie beurteilen können, ob Sie sie dem EDÖB melden müssen (Art. 24 DSG).
9. Dauer und Löschung
Dieser Vertrag gilt, solange wir Daten für Sie bearbeiten. Hochgeladene Dateien werden 90 Tage nach der Verarbeitung gelöscht. Bitten Sie uns, Ihr Konto zu schliessen oder Ihre Daten zu löschen, löschen wir Ihre Dokumente und Ergebnisse innert 30 Tagen; laden Sie vorher herunter, was Sie behalten möchten. Ein Konto ohne jede Aktivität während 24 Monaten löschen wir mit seinen Dokumenten und Ergebnissen, ausser ein Monatsplan läuft noch oder bezahltes Guthaben ist noch nicht aufgebraucht. Wir informieren Sie 30 Tage vorher per E-Mail; eine Anmeldung genügt, um das Konto zu behalten. Kopien in Datensicherungen werden nach höchstens 35 Tagen überschrieben. Daten, die wir von Gesetzes wegen aufbewahren müssen (zum Beispiel Zahlungsbelege), bewahren wir nur zu diesem Zweck auf.
10. Auskunft und Kontrollen
Auf Anfrage geben wir Ihnen die Auskünfte, die Sie brauchen, um die Einhaltung dieses Vertrags zu prüfen. Weitergehende Kontrollen, etwa durch eine zur Verschwiegenheit verpflichtete Prüfstelle, sind nach Absprache und auf Ihre Kosten möglich.
11. Schlussbestimmungen
Dieser Vertrag ist Teil der Allgemeinen Geschäftsbedingungen (AGB). Soweit er den Datenschutz genauer regelt, geht er vor. Es gilt Schweizer Recht; der Gerichtsstand richtet sich nach den Allgemeinen Geschäftsbedingungen.