Datenschutzerklärung

Zuletzt aktualisiert: 29. Oktober 2026

Diese Datenschutzerklärung informiert die betroffenen Personen über die von ark.swiss sàrl durchgeführten Bearbeitungen personenbezogener Daten, gemäss Art. 19 des Bundesgesetzes über den Datenschutz (DSG, revidiert und in Kraft seit 1. September 2023) und Art. 13 der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

ark.swiss sàrl
Chemin de la Duchesne 13, 1806 St-Légier, canton de Vaud, Suisse
Allgemeine E-Mail: info@arkflow.ch
Datenschutz-E-Mail: privacy@ark.swiss

2. Betroffene Personen und erhobene Daten

Besucher von arkflow.ch: technische Serverlogs (gekürzte IP, User-Agent, besuchte Seite, Datum und Dauer).
Interessenten (Anmeldeformular): Vorname, Name, E-Mail, allenfalls Telefon, Organisationsname, gewünschte Subdomain, gewähltes Produkt und Plan.
Kunden: Zugangsdaten, Einstellungen, Rechnungsverlauf, Supportkorrespondenz.
Buchhaltungs- und Treuhanddaten des Kunden (Drittdaten): Buchungen, Belege, Kontakt- und Mandantendaten, die im Auftrag des Kunden bearbeitet werden, welcher Verantwortlicher ist; ark.swiss sàrl handelt als Auftragsverarbeiter.

3. Zwecke der Bearbeitung

Erfüllung des Abonnementvertrags und Erbringung des Dienstes (Compta, Fiduciaire).
Rechnungsstellung und Inkasso.
Technischer Support und transaktionale Kommunikation.
Sicherheit, Missbrauchsprävention und Integrität des Dienstes.
Verbesserung des Dienstes auf Basis aggregierter Statistiken.
Einhaltung gesetzlicher Pflichten (Buchhaltung, Steuern, GwG soweit für Treuhand-Klientel anwendbar).

4. Rechtsgrundlage

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO; Art. 31 Abs. 2 lit. a DSG) — Konto-, Rechnungs- und Supportdaten.
Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO; Art. 958f OR) — 10-jährige Aufbewahrung der Rechnungen.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 DSG) — Sicherheit des Dienstes, Missbrauchsprävention, aggregierte Produktverbesserung.
Vertragserfüllung und berechtigtes Interesse (Art. 6 Abs. 1 lit. b und f DSGVO; Art. 31 Abs. 1 und Abs. 2 lit. a DSG) — in den Dienst integrierte KI-Funktionen, in dieser Erklärung beschrieben und auf Anfrage deaktivierbar.
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Art. 31 Abs. 1 DSG) — nicht streng vertragliche Kommunikation.

5. Empfänger und Unterauftragsverarbeiter

Unterauftragsverarbeiter	Standort	Zweck
netcup GmbH	Karlsruhe, Deutschland; Server in Wien, Österreich (EU)	Anwendungsproduktion und Datenbank von ark.flow Compta
Infomaniak Network SA	Genf, Schweiz	Produktion von ark.flow Fiduciaire, warmer Ausweichstandort von ark.flow Compta, transaktionales SMTP und in der Schweiz gehostete KI-Modelle (auf Anfrage deaktivierbar)
Stripe Payments Europe Ltd.	Dublin, Irland (EU)	Kartenzahlungsabwicklung
Cloudflare, Inc.	San Francisco, USA	CDN, DNS, Netzwerkschutz (SCC + Angemessenheit)
Anthropic, OpenAI, Google (Gemini-API)	USA	KI-Modelle für Buchhaltungskategorisierung, Belegerkennung und Assistenz (auf Anfrage deaktivierbar)
OpenRouter	USA	Weiterleitung an KI-Modelle Dritter, wenn konfiguriert (auf Anfrage deaktivierbar)
Umami (selbst gehostet durch ark.swiss sàrl)	Europäische Union	Cookieloses Analytics

ark.swiss sàrl setzt keine kommerziellen Drittdienste zur Verhaltensanalyse ein (kein Google Analytics, kein Meta Pixel, kein LinkedIn Insight, kein Hotjar, kein Intercom). KI-Anbieter werden gemäss ihren API-Bedingungen genutzt, die ein Training mit den übermittelten Daten grundsätzlich ausschliessen. KI-Funktionen lassen sich auf Anfrage deaktivieren.

6. Übermittlungen ins Ausland

Unsere Anwendungsinfrastruktur, ihre Betriebskontinuität und ihre Backups werden ausschliesslich in Europa gehostet. Die Produktion von ark.flow Compta betreibt netcup GmbH auf einem Server in Wien (Österreich, Europäische Union), mit einem warmen Ausweichstandort bei Infomaniak Network SA in Genf. ark.flow Fiduciaire läuft produktiv bei Infomaniak Network SA in Genf (Schweiz). Die historischen Borg-Backups liegen auf einer ark.swiss-eigenen Infrastruktur in der Schweiz. Die für die Zahlungsabwicklung strikt erforderlichen Daten werden über Stripe Payments Europe Ltd. (Irland, Europäische Union) im Rahmen der anwendbaren Angemessenheitsbeschlüsse übermittelt. Werden KI-Funktionen genutzt, gehen die benötigten Auszüge an den konfigurierten Anbieter: Bei Infomaniak erfolgt die Verarbeitung in der Schweiz, bei Anthropic, OpenAI, Google (Gemini-API) oder OpenRouter kann sie in den USA stattfinden. Übermittlungen in die USA (Cloudflare) erfolgen im Rahmen des EU-US Data Privacy Framework und, subsidiär, der Standardvertragsklauseln der Europäischen Kommission.

7. Aufbewahrungsfristen

Kontodaten: Dauer des Abonnements + 30 Tage nach Kündigung.
Kundeninhalte: Dauer des Abonnements + 30 Tage (Exportfenster).
Rechnungen und Buchhaltungsbelege: 10 Jahre (Art. 958f OR). Diese gesetzliche Pflicht geht dem Löschrecht vor.
Zentral gesammelte technische Logs: 14 Tage.
Interessentendaten: maximal 24 Monate ab letztem Kontakt.

8. Sicherheit

Die technischen und organisatorischen Massnahmen umfassen: HTTPS-Verbindungen über Cloudflare mit HSTS, Verschlüsselung ruhender Credentials und Tokens in AES-256-GCM, eine eigene Datenbank pro Instanz, tägliche verschlüsselte Borg-Backups mit Integritätsprüfung, Protokollierung sensibler Aktionen in der Anwendung, Trivy- und Semgrep-Sicherheitsanalysen bei jedem Build. Einzelheiten stehen auf der Seite Sicherheit und im AVV.

9. Rechte der betroffenen Personen

Gemäss Art. 25 ff. DSG und Art. 15 bis 22 DSGVO haben Sie folgende Rechte:

Auskunftsrecht (Art. 25 DSG / Art. 15 DSGVO).
Recht auf Berichtigung (Art. 32 DSG / Art. 16 DSGVO).
Recht auf Löschung (Art. 32 DSG / Art. 17 DSGVO), unter Vorbehalt der 10-jährigen gesetzlichen Aufbewahrung von Rechnungen.
Recht auf Datenübertragbarkeit (Art. 28 DSG / Art. 20 DSGVO) — JSON/CSV-Export und nativer Crésus-Export für ark.flow Compta.
Widerspruchsrecht (Art. 30 DSG / Art. 21 DSGVO).
Recht auf Widerruf der Einwilligung (Art. 30 DSG / Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte schreiben Sie an privacy@ark.swiss. Eine Antwort erfolgt innerhalb von höchstens 30 Tagen. Bei begründeten Zweifeln an der Identität kann ein Identitätsnachweis verlangt werden.

10. Automatisierte Entscheidungen und Profiling

ark.swiss sàrl trifft keine automatisierten Einzelentscheidungen mit Rechtswirkung im Sinne von Art. 21 DSG und Art. 22 DSGVO. Von KI-Modellen generierte Vorschläge zur Buchhaltungskategorisierung prüft der Kunde oder sein Buchhalter vor dem Import; keine Buchung wird ohne diese Bestätigung erfasst, und Vorschläge unter 95 % Konfidenz bleiben bis zur Freigabe im Entwurf.

11. Cookies

Cookies und Tracker werden in der Cookie-Richtlinie beschrieben.

12. Datenschutzverletzungen

Führt eine Verletzung der Datensicherheit voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen, meldet ark.swiss sàrl dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch wie möglich (Art. 24 DSG). Ist die DSGVO anwendbar, wird die zuständige Aufsichtsbehörde innert 72 Stunden nach Kenntnisnahme benachrichtigt, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko (Art. 33 DSGVO). Die betroffenen Personen werden informiert, wenn das Gesetz es verlangt (Art. 24 Abs. 4 DSG, Art. 34 DSGVO).

13. Aufsichtsbehörde

Sie haben das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen:

Schweiz — Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch.
Europäische Union — Aufsichtsbehörde Ihres Wohnsitzlandes (z.B. BfDI in Deutschland).

14. Datenschutz-Kontakt

ark.swiss sàrl ist nicht gesetzlich verpflichtet, eine/n Datenschutzbeauftragte/n zu ernennen. Anfragen werden an eine dedizierte Kontaktstelle gerichtet: privacy@ark.swiss.

Für B2B-Kunden (Treuhänder, Kanzleien, Unternehmen, die der DSGVO/nDSG unterliegen) steht ein formeller Auftragsverarbeitungsvertrag (AVV) gemäss Art. 28 DSGVO und Art. 9 nDSG zur Verfügung; er wird bei Vertragsabschluss automatisch angenommen. Eine von beiden Parteien unterzeichnete PDF-Fassung kann auf Anfrage an privacy@ark.swiss bereitgestellt werden.

15. Änderungen

Diese Datenschutzerklärung kann geändert werden. Wesentliche Änderungen werden per E-Mail mitgeteilt, eine archivierte Fassung bleibt auf Anfrage verfügbar.

Bei Abweichungen zwischen den Sprachversionen ist die französische Fassung massgebend.