Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie darüber, wie wir im Rahmen des Dienstes «Katching» Personendaten bearbeiten. Sie richtet sich nach dem revidierten schweizerischen Datenschutzgesetz (revDSG, in Kraft seit dem 1. September 2023) und der zugehörigen Verordnung. Wir bearbeiten Personendaten sorgfältig, nur zu den nachstehend beschriebenen Zwecken und nur im dafür notwendigen Umfang.

Stand: August 2026

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenbearbeitung im Sinne des revDSG ist:

• Katching Accounting Waeber (Einzelunternehmen)
• Industriestrasse 23, 3178 Bösingen, Schweiz
• E-Mail: waebert.business@gmail.com

Für alle Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder für Anliegen im Zusammenhang mit dieser Erklärung können Sie sich jederzeit an die oben genannte E-Mail-Adresse wenden.

2. Was ist Katching und für wen gilt diese Erklärung

Katching ist ein cloudbasiertes, im Browser nutzbares Buchhaltungs-Vorsystem für den Schweizer E-Commerce. Sie als Kundin oder Kunde laden Roh-Exporte hoch (z.B. Bank-, Shopify-, Twint-, PayPal-, Kreditkarten- und Meta-Auszüge sowie Lieferantenbelege). Katching erstellt daraus eine abgestimmte doppelte Buchhaltung, die anschliessend von Ihrem Treuhänder übernommen werden kann.

Unser Angebot richtet sich an Unternehmen (B2B). In den von Ihnen hochgeladenen Daten können jedoch Personendaten Dritter enthalten sein – etwa von Lieferanten oder von Ihren Endkundinnen und Endkunden. Für diese Daten sind Sie datenschutzrechtlich verantwortlich; wir bearbeiten sie in Ihrem Auftrag (siehe Ziffer 5).

Wichtiger Hinweis: Katching ist keine Steuer- oder Rechtsberatung. Der KI-Assistent macht lediglich Vorschläge; Sie entscheiden. Den definitiven, unterschriftsreifen Abschluss erstellt Ihr Treuhänder. Die Verantwortung für die Richtigkeit und Vollständigkeit Ihrer Buchhaltung verbleibt bei Ihnen.

3. Welche Personendaten wir bearbeiten

Je nach Nutzung bearbeiten wir folgende Kategorien von Personendaten:

• Kontodaten: Ihre E-Mail-Adresse sowie Ihr Passwort. Das Passwort wird ausschliesslich als kryptografischer Hash (PBKDF2) gespeichert; wir kennen Ihr Passwort im Klartext nicht.
• Buchhaltungs- und Finanzdaten: die von Ihnen hochgeladenen Exporte und Belege (Bank-, Zahlungs-, Shop- und Lieferantendaten) sowie die daraus erzeugten Buchungen, Abstimmungen und Rückfragen. Diese Daten können Personendaten Dritter enthalten (z.B. Namen und Zahlungsangaben von Lieferanten oder Endkunden).
• Zahlungsdaten: die für Ihr Abonnement erforderlichen Zahlungsangaben. Diese werden über unseren Zahlungsdienstleister Stripe abgewickelt (siehe Ziffer 5). Ihre vollständigen Kreditkartendaten werden nicht auf unseren Systemen gespeichert.
• Technische Nutzungsdaten: im üblichen und für den sicheren Betrieb erforderlichen Umfang, z.B. Angaben, die beim Aufruf des Dienstes anfallen (etwa Zeitpunkt des Zugriffs, technische Protokolle), sowie funktionale Session-Informationen.

4. Zwecke und Rechtsgrundlagen der Bearbeitung

Wir bearbeiten Ihre Personendaten zu folgenden Zwecken:

• Bereitstellung des Dienstes: Erstellen der abgestimmten doppelten Buchhaltung aus Ihren Exporten, Zuordnung von Zahlungen, Erzeugen von Buchungssätzen, Abstimmungs- und Rückfragelisten sowie Export Ihrer Daten.
• Kontoverwaltung und Authentifizierung: Einrichten und Verwalten Ihres Kontos, Anmeldung, Session-Verwaltung und Sicherheit.
• Abwicklung des Abonnements und der Zahlungen: Verwaltung von Trial, Verlängerung und Abbuchung über Stripe.
• KI-Unterstützung und Beleg-OCR: Auswertung einzelner Buchungstexte und Beleg-PDFs, um Vorschläge zur Zuordnung und Klassifikation zu machen (siehe Ziffern 5 und 6).
• Sicherheit, Betrieb und Fehlerbehebung: Gewährleistung eines stabilen, sicheren Betriebs, Erstellen von Backups sowie Missbrauchs- und Störungsabwehr.
• Erfüllung gesetzlicher Pflichten: insbesondere im Zusammenhang mit der Aufbewahrung von Geschäftsunterlagen (siehe Ziffer 7).

Rechtsgrundlagen: Nach schweizerischem Recht ist die Bearbeitung von Personendaten grundsätzlich zulässig, sofern sie nach den Grundsätzen des revDSG (u.a. Treu und Glauben, Verhältnismässigkeit, Zweckbindung) erfolgt. Wir stützen unsere Bearbeitung insbesondere auf die Vertragserfüllung (Erbringung des Dienstes gemäss unseren Nutzungsbedingungen), auf gesetzliche Pflichten sowie auf unsere berechtigten Interessen an einem sicheren und funktionsfähigen Betrieb. Soweit für eine bestimmte Bearbeitung ausnahmsweise Ihre Einwilligung erforderlich ist, holen wir diese gesondert ein; eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

5. Bekanntgabe an Auftragsbearbeiter (Subprozessoren)

Für den Betrieb von Katching setzen wir sorgfältig ausgewählte Dienstleister als Auftragsbearbeiter ein. Diese bearbeiten Personendaten ausschliesslich in unserem Auftrag und nach unseren Weisungen. Wir geben nicht mehr Daten weiter als für den jeweiligen Zweck erforderlich.

• fly.io – Hosting und Infrastruktur. Datenverarbeitung im Rechenzentrum Frankfurt (EU). Die von Ihnen hochgeladenen Daten und die erzeugte Buchhaltung werden auf verschlüsselten Speicher-Volumes abgelegt.
• Stripe – Abwicklung der Zahlungen und des Abonnements. Stripe verarbeitet die dafür notwendigen Zahlungsdaten als eigenverantwortlicher bzw. mitverantwortlicher Anbieter gemäss seinen eigenen Datenschutzbestimmungen.
• Anthropic (USA) – KI-Assistent und Beleg-OCR. Einzelne Buchungstexte und Beleg-PDFs werden zur Auswertung an Anthropic in den USA übermittelt, um Zuordnungs- und Klassifikationsvorschläge zu erzeugen. Näheres zur Auslandbekanntgabe finden Sie in Ziffer 6.

Mit unseren Auftragsbearbeitern bestehen die datenschutzrechtlich erforderlichen Vereinbarungen, die eine dem revDSG entsprechende Datenbearbeitung sicherstellen.

6. Bekanntgabe ins Ausland

Ein Teil der Datenbearbeitung findet im Ausland statt:

• EU (Frankfurt): Das Hosting durch fly.io erfolgt in Deutschland. Für Staaten des Europäischen Wirtschaftsraums besteht nach schweizerischem Recht ein angemessener Datenschutz.
• USA (Anthropic): Zur KI-Auswertung und Beleg-OCR werden Daten in die USA übermittelt. Für Übermittlungen in die USA stützen wir uns auf eine vom revDSG anerkannte Grundlage – namentlich das Swiss–US Data Privacy Framework und/oder die von der schweizerischen Datenschutzbehörde anerkannten Standardvertragsklauseln mit ergänzenden Schutzmassnahmen. [Vom Betreiber noch zu bestätigen: konkrete Transfergrundlage für Anthropic USA verbindlich festlegen und benennen.]

Sie können bei uns nähere Informationen zur jeweiligen Transfergrundlage anfragen.

7. Aufbewahrung und Löschung

Wir bewahren Personendaten nur so lange auf, wie dies für die genannten Zwecke oder aufgrund gesetzlicher Vorgaben erforderlich ist.

• Geschäftsunterlagen: Buchhaltungsrelevante Unterlagen unterliegen der gesetzlichen Aufbewahrungspflicht von 10 Jahren (Art. 958f OR sowie Geschäftsbücherverordnung, GeBüV). Für die Einhaltung dieser Pflicht in Bezug auf Ihre eigene Buchhaltung sind Sie als verantwortliches Unternehmen zuständig.
• Datenexport: Sie können Ihre Daten jederzeit als Datei exportieren.
• Zugang bei Zahlungsverzug oder Kündigung: Der Zugang zu Ihren Daten für den Export bleibt auch bei Zahlungsverzug oder nach einer Kündigung erhalten, damit Sie Ihre Unterlagen sichern können.
• Löschung: Daten, die für die genannten Zwecke nicht mehr benötigt werden und keiner Aufbewahrungspflicht unterliegen, werden gelöscht oder anonymisiert.

8. Datensicherheit (technische und organisatorische Massnahmen)

Wir treffen angemessene technische und organisatorische Massnahmen, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen. Dazu gehören insbesondere:

• Verschlüsselung der gespeicherten Daten («at rest») auf den Speicher-Volumes;
• Speicherung von Zugangsdaten und Schlüsseln ausschliesslich als Umgebungsvariablen (Secrets), nicht im Code;
• Speicherung von Passwörtern nur als PBKDF2-Hash, nie im Klartext;
• Möglichkeit des Session-Widerrufs;
• Schutzmassnahmen gegen typische Angriffe wie Pfad-Traversal;
• tägliche Backups zur Absicherung gegen Datenverlust.

Trotz sorgfältiger Massnahmen kann keine Datenübertragung über das Internet und keine Speicherung absolute Sicherheit garantieren.

9. Ihre Rechte als betroffene Person

Im Rahmen des anwendbaren Datenschutzrechts stehen Ihnen insbesondere folgende Rechte zu:

• Auskunft: Sie können Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten.
• Berichtigung: Sie können die Berichtigung unrichtiger Personendaten verlangen.
• Löschung: Sie können die Löschung Ihrer Personendaten verlangen, soweit keine gesetzliche Aufbewahrungspflicht oder ein anderer Rechtfertigungsgrund entgegensteht.
• Datenherausgabe und -übertragung: Sie können die Herausgabe der von Ihnen bereitgestellten Personendaten in einem gängigen elektronischen Format verlangen; einen Export Ihrer Daten können Sie zudem jederzeit selbst vornehmen.
• Widerspruch und Widerruf: Sie können einer bestimmten Bearbeitung widersprechen und eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung dieser Rechte wenden Sie sich bitte an waebert.business@gmail.com. Zum Schutz Ihrer Daten können wir zur Identifikation angemessene Nachweise verlangen. Sie haben zudem das Recht, sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu beschweren.

Sofern Sie einen Auskunfts- oder Löschungswunsch zu Personendaten stellen, die ein Kunde von Katching als eigener Verantwortlicher hochgeladen hat (Daten Dritter), leiten wir Ihr Anliegen an den betreffenden Kunden weiter bzw. verweisen Sie an diesen, da dieser über die Bearbeitung entscheidet.

10. Cookies

Katching verwendet ausschliesslich funktionale Session-Cookies, die für den Betrieb und die sichere Anmeldung erforderlich sind. Wir setzen keine Tracking-, Analyse- oder Werbe-Cookies ein. Aus diesem Grund ist kein Cookie-Banner erforderlich.

11. Datenstandort

Wir legen Wert auf Transparenz: Die Daten werden im Rechenzentrum von fly.io in Frankfurt (Deutschland, EU) gehostet und dort verschlüsselt gespeichert. Es besteht kein Schweizer Serverstandort. Für die KI-Auswertung und Beleg-OCR werden zusätzlich einzelne Daten in die USA übermittelt (siehe Ziffern 5 und 6).

12. Mehrwertsteuer / Hinweis zum Angebot

Das Abonnement kostet CHF 79.95 pro Monat mit einer Gratisphase von 7 Tagen; danach erfolgt eine automatische monatliche Verlängerung. Aktuell sind wir nicht mehrwertsteuerpflichtig; die Preise werden ohne MWST-Ausweis ausgewiesen. Eine Anpassung bei Eintritt der MWST-Pflicht bleibt vorbehalten. Einzelheiten zu Abo und Zahlung ergeben sich aus unseren Nutzungs- und Abonnementbedingungen.

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung jederzeit anpassen, um sie an geänderte rechtliche Vorgaben oder an Änderungen unseres Dienstes anzupassen. Es gilt jeweils die zum Zeitpunkt der Nutzung veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir Sie in geeigneter Weise.

Bei Fragen zu dieser Datenschutzerklärung erreichen Sie uns unter waebert.business@gmail.com.