Datenschutzerklärung

Diese Datenschutzerklärung informiert darüber, wie Werkli Software Herrmann («Werkli», «wir») Personendaten bearbeitet. Sie gilt für die Website werkli.ch, die Web-Applikation my.werkli.ch, die Werkli Mobile-App für iOS und Android, die Portalseiten für Endkunden (z. B. Offertenannahme, Rapportfreigabe, Anfrageformular, Terminbestätigung) sowie für Kontakt, Vertrag, Abrechnung und Support (zusammen «Angebote»). Massgebend ist das Schweizer Datenschutzgesetz (DSG). Soweit wir Personen in Liechtenstein oder im EU/EWR-Raum ansprechen, gilt ergänzend die Datenschutz-Grundverordnung (DSGVO). Teil B enthält die Auftragsbearbeitungsvereinbarung für unsere Kunden.

1. Verantwortlicher und Kontakt

Verantwortlich für die Bearbeitung von Personendaten im Zusammenhang mit Website, Konto, Vertrag, Abrechnung und Support ist Werkli Software Herrmann, Paul-Simon Herrmann, Risiweg 18, 8810 Horgen, Schweiz, UID CHE-469.371.750.

Kontakt für Datenschutzanliegen: info@werkli.ch, Telefon +41 78 609 87 82.

2. Rollen: Wer ist wofür verantwortlich?

2.1 Für Daten, die unsere Kunden in der Werkli Software erfassen («Inhaltsdaten», z. B. Daten von Mitarbeitenden, Endkunden, Lieferanten, Projekten, Belegen und Kontoauszügen), ist der jeweilige Kunde Verantwortlicher. Werkli bearbeitet diese Daten als Auftragsbearbeiter nach Art. 9 DSG ausschliesslich zur Erbringung der Leistungen und zur Sicherstellung von Betrieb und Sicherheit. Die Einzelheiten regelt Teil B.

2.2 Sind Sie Mitarbeitende, Endkunde oder Lieferant eines Werkli-Kunden, richten Sie Fragen zu Ihren Daten in erster Linie an diesen Kunden. Anfragen, die uns direkt erreichen, leiten wir an ihn weiter.

2.3 Für Website, Kontaktformular, Konto, Vertrag, Abrechnung, Support, Nutzungsanalyse und die Sicherheit unserer Systeme sind wir selbst Verantwortlicher.

3. Welche Daten wir bearbeiten

3.1 Website-Besuch: IP-Adresse, Datum und Zeit, aufgerufene Seiten, Referrer, Browser- und Gerätetyp, Sprache (Server-Protokolle). Cookies und Analyse: siehe Ziff. 9.

3.2 Kontaktformular und Demo-Anfragen: Name, Firma, E-Mail, Telefon, Thema, Nachricht, aufgerufene Seite, IP-Adresse und Zeitpunkt. Die Angaben werden per E-Mail an uns übermittelt und zur Bearbeitung der Anfrage verwendet.

3.3 Konto und Vertrag: Name, Firma, Adresse, E-Mail, Telefon, Login-Daten, Rollen und Berechtigungen, Abonnement und Lizenzen, Rechnungen, Zahlungsstatus und Transaktionsreferenzen des Zahlungsdienstleisters (wir erhalten keine vollständigen Kartendaten), Kommunikation mit dem Support, Protokolle zu Einwilligungen und zur Annahme der AGB.

3.4 Inhaltsdaten in der Werkli Software (als Auftragsbearbeiter): Kontakte und Ansprechpersonen, Projekte und Baustellenadressen, Offerten, Rechnungen, Mahnungen, Regie- und Tagesrapporte, Zeiteinträge und Stunden von Mitarbeitenden, Aufmasse, Aufgaben und Prüfprotokolle, Fotos und Anhänge, Projekt-Chat, Eingangsrechnungen und Belegbilder, Kontoauszüge (camt-Dateien) mit Zahlungsdaten Dritter, IBAN des Kunden, Zugangsdaten für den eigenen SMTP-Server des Kunden, Unterschriften, E-Mail-Inhalte und Empfänger sowie Aktivitätsprotokolle (z. B. Zeitpunkt, zu dem eine Offerte angesehen wurde).

3.5 Daten von Endkunden über Portalseiten: Wer eine Offerte annimmt oder ablehnt, einen Rapport oder ein Prüfprotokoll freigibt, ein Anfrageformular ausfüllt oder einen Termin bestätigt, hinterlässt Name, Kontaktdaten, Entscheidung, gegebenenfalls Unterschrift, Zeitpunkt und IP-Adresse. Diese Daten gehören zu den Inhaltsdaten des jeweiligen Kunden.

3.6 Nutzungs- und Gerätedaten: Push-Token des Geräts, App-Version, Betriebssystem, Fehler- und Sicherheitsprotokolle, Zeitpunkt der letzten Synchronisation.

4. Zwecke und Rechtsgrundlagen

Wir bearbeiten Personendaten, um unsere Angebote bereitzustellen und den Vertrag abzuwickeln (Konto, Lizenzen, Abrechnung, Support, Onboarding), um Sicherheit, Missbrauchsprävention und Nachweisführung zu gewährleisten, um unsere Angebote zu analysieren und weiterzuentwickeln, um gesetzliche Pflichten zu erfüllen und um Rechtsansprüche durchzusetzen oder abzuwehren. Marketing-Cookies setzen wir nur mit Ihrer Einwilligung.

Soweit die DSGVO anwendbar ist, stützen wir uns auf die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), auf unsere berechtigten Interessen an Sicherheit, Betrieb und Weiterentwicklung (lit. f), auf Ihre Einwilligung bei Analyse- und Marketing-Cookies (lit. a) sowie auf gesetzliche Pflichten (lit. c).

5. Mobile-App und Gerätezugriffe

Die Werkli Mobile-App fragt folgende Zugriffe an. Sie können diese in den Systemeinstellungen Ihres Geräts jederzeit entziehen; betroffene Funktionen stehen dann nicht zur Verfügung.

Die App greift nicht auf Standort, Kontakte oder Kalender des Geräts zu und enthält keine Werbe- oder Tracking-SDKs. Für den Bezug über die App-Stores gelten zusätzlich die Datenschutzbestimmungen der jeweiligen Store-Betreiber.

6. KI-Funktionen

6.1 Die Werkli Software enthält Funktionen, die mit künstlicher Intelligenz arbeiten: Diktat und Transkription (inklusive Schweizerdeutsch und Übersetzung fremdsprachiger Diktate), Erstellung von Zeiteinträgen, Regie- und Tagesrapporten, Aufmassen, Aufgaben, Offerten und Rechnungen aus Text, Auslesen von Belegen und Eingangsrechnungen, Import von Ausschreibungen und Prüfprotokollen aus PDF, der KI-Assistent sowie der Hilfe-Chat. Alle KI-Funktionen werden nur ausgeführt, wenn ein Benutzer sie aktiv auslöst; es findet keine KI-Auswertung im Hintergrund statt.

6.2 Dafür übermitteln wir die jeweils nötigen Inhalte an spezialisierte KI-Dienstleister, die als unsere Auftragsbearbeiter handeln:

6.3 Die KI-Dienstleister sind vertraglich verpflichtet, die übermittelten Inhalte nicht zum Training ihrer Modelle zu verwenden und sie nur zur Erbringung der Leistung zu bearbeiten. Ein- und Ausgaben werden spätestens nach 30 Tagen gelöscht; Audioaufnahmen für die Transkription werden nicht gespeichert. Wir selbst trainieren keine KI-Modelle mit Kundendaten.

6.4 Die KI-Dienstleister bearbeiten die Daten in den USA. Die Bekanntgabe stützt sich auf das Swiss-U.S. Data Privacy Framework, soweit der Dienstleister zertifiziert ist, andernfalls auf die Standardvertragsklauseln der EU mit Schweizer Anpassungen (Ziff. 8).

6.5 KI-Ausgaben sind Vorschläge. Sie werden erst wirksam, wenn ein Benutzer sie prüft und freigibt. Es finden keine automatisierten Einzelentscheidungen im Sinne von Art. 21 DSG statt.

6.6 Kunden steuern die Nutzung: Der KI-Assistent kann pro Mitarbeitenden freigeschaltet oder gesperrt werden. Wir empfehlen, in Diktaten, Fotos und Chat-Anfragen keine besonders schützenswerten Personendaten (z. B. Gesundheitsdaten) zu erfassen. Kunden informieren ihre Mitarbeitenden über die KI-Funktionen und die damit verbundene Datenübermittlung.

7. Empfänger: Dienstleister und Dritte

7.1 Wir setzen Dienstleister der folgenden Kategorien ein. Auftragsbearbeiter sind vertraglich an unsere Weisungen gebunden; eigenständig Verantwortliche bearbeiten die Daten nach ihren eigenen Datenschutzbestimmungen. Kunden erhalten die Liste der Subbearbeiter auf Anfrage (Teil B, Ziff. B5).

7.2 Auf Weisung unserer Kunden übermitteln wir Inhaltsdaten an von ihnen bestimmte Empfänger, etwa Rechnungen und Belege per E-Mail an Treuhänder oder an Buchhaltungs- und Dokumentenplattformen, Offerten und Rapporte an Endkunden sowie Lesezugänge für Treuhänder. Verantwortlich dafür ist der jeweilige Kunde.

7.3 Weitere Empfänger können sein: Behörden und Gerichte, soweit wir gesetzlich verpflichtet sind oder es zur Rechtsdurchsetzung nötig ist; Treuhand- und Rechtsberater unter Geheimhaltungspflicht; eine Rechtsnachfolgerin bei Übertragung des Geschäfts.

8. Auslandsbekanntgabe

8.1 Kundendaten und Inhaltsdaten werden in der Schweiz gespeichert. Einzelne Dienstleister bearbeiten Daten im Ausland, insbesondere in der EU, im Vereinigten Königreich und in den USA (Ziff. 7).

8.2 Staaten der EU und des EWR sowie das Vereinigte Königreich verfügen über einen vom Bundesrat anerkannten angemessenen Datenschutz. Für die USA stützen wir uns auf das Swiss-U.S. Data Privacy Framework, das der Bundesrat am 14. August 2024 als angemessen anerkannt hat (in Kraft seit 15. September 2024; Quelle), soweit der Empfänger dafür zertifiziert ist. In den übrigen Fällen schliessen wir die Standardvertragsklauseln der Europäischen Kommission mit den für die Schweiz erforderlichen Anpassungen ab und prüfen die Rechtslage im Empfängerstaat (Art. 16 DSG). In Einzelfällen stützen wir uns auf die gesetzlichen Ausnahmen (Art. 17 DSG), etwa wenn die Bekanntgabe für die Vertragserfüllung unerlässlich ist.

9. Cookies und Tracking

9.1 Website werkli.ch: Beim ersten Besuch fragen wir Ihre Einwilligung für Analyse- und Marketing-Cookies ab. Ohne Einwilligung werden nur notwendige Cookies gesetzt. Ihre Auswahl gilt 12 Monate und kann jederzeit über den Link «Cookie-Einstellungen» im Seitenfuss geändert werden.

Analyse- und Marketingdienste werden erst nach Ihrer Einwilligung aktiviert. Vorher werden keine entsprechenden Cookies gesetzt; es können aber cookielose Statussignale ohne Kennung übermittelt werden. Eingebettete Videos von Videoplattformen werden erst nach einem Klick geladen; ab dann gelten die Datenschutzbestimmungen der jeweiligen Plattform.

9.2 Web-App und Mobile-App: Hier verwenden wir nur technisch notwendige Cookies und lokale Speicher (Login-Sitzung, Sicherheit, Einstellungen, Offline-Datenbank). Analyse- oder Marketing-Tracker setzen wir in der Werkli Software nicht ein. Sollten wir künftig eine Produktanalyse einführen, informieren wir in der Software und in dieser Erklärung.

10. Datensicherheit

Wir schützen Personendaten mit technischen und organisatorischen Massnahmen nach Risiko und Schutzbedarf, insbesondere: verschlüsselte Übertragung (TLS); zusätzliche Verschlüsselung besonders sensibler Felder wie IBAN und SMTP-Zugangsdaten; Mandantentrennung auf Datenbankebene (Row Level Security); Rollen- und Berechtigungskonzept mit Freischaltung einzelner Funktionen pro Mitarbeitenden; Bot-Schutz bei Registrierung und Formularen; Protokollierung sicherheitsrelevanter Ereignisse; tägliche Backups in der Schweiz; laufende Aktualisierung von Systemen und Abhängigkeiten. Zugriffe unserer Mitarbeitenden auf Kundendaten erfolgen nur, soweit sie für Support, Betrieb oder Sicherheit nötig sind.

11. Aufbewahrung und Löschung

Längere Aufbewahrung erfolgt nur, soweit gesetzliche Pflichten oder die Durchsetzung oder Abwehr von Rechtsansprüchen dies erfordern; in diesem Fall werden die Daten gesperrt.

12. Ihre Rechte

12.1 Sie haben das Recht auf Auskunft über die Bearbeitung Ihrer Personendaten (Art. 25 DSG), auf Berichtigung unrichtiger Daten (Art. 32 DSG), auf Löschung oder Vernichtung, auf Herausgabe oder Übertragung Ihrer Daten in einem gängigen elektronischen Format (Art. 28 DSG), auf Widerspruch gegen eine Bearbeitung sowie auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft. Soweit die DSGVO anwendbar ist, haben Sie zusätzlich das Recht auf Einschränkung der Verarbeitung.

12.2 Wenden Sie sich dafür an info@werkli.ch. Zur Vermeidung von Missbrauch können wir einen Identitätsnachweis verlangen. Wir antworten in der Regel innert 30 Tagen; die Auskunft ist grundsätzlich kostenlos.

12.3 Betrifft Ihr Anliegen Inhaltsdaten, die ein Werkli-Kunde über Sie erfasst hat (z. B. als Mitarbeitende oder Endkunde), wenden Sie sich an diesen Kunden; wir unterstützen ihn bei der Beantwortung.

12.4 Sie können sich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, beschweren. Personen in Liechtenstein können sich an die Datenschutzstelle des Fürstentums Liechtenstein wenden, Personen im EU-Raum an die für sie zuständige Aufsichtsbehörde.

13. Automatisierte Einzelentscheidungen und Profiling

Wir treffen keine automatisierten Einzelentscheidungen im Sinne von Art. 21 DSG. KI-Funktionen liefern Vorschläge, die ein Mensch prüft und freigibt. Die Website-Analyse erfolgt pseudonymisiert und dient nicht der Bewertung einzelner Personen.

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Angebote, die eingesetzten Dienstleister oder die Rechtslage ändern. Massgebend ist die auf werkli.ch veröffentlichte Fassung. Über wesentliche Änderungen, insbesondere neue Subbearbeiter, informieren wir unsere Kunden per E-Mail oder in der Software.

Teil B: Auftragsbearbeitungsvereinbarung (AVV)

Diese Vereinbarung regelt die Bearbeitung von Inhaltsdaten durch Werkli im Auftrag des Kunden. Sie ist Bestandteil des Vertrags und wird mit der Annahme der AGB abgeschlossen (Art. 9 DSG; soweit anwendbar Art. 28 DSGVO).

B1. Gegenstand, Dauer und Weisungen

Werkli bearbeitet Inhaltsdaten ausschliesslich zur Erbringung der vertraglichen Funktionen der Werkli Software sowie zur Sicherstellung von Betrieb, Stabilität und Sicherheit (inklusive Fehlerbehebung sowie Missbrauchs- und Angriffserkennung). Die Vereinbarung gilt für die Dauer des Vertrags und bis zur Löschung der Daten. Weisungen ergeben sich aus dem Vertrag, den AGB, den Konfigurationen im Kundenkonto (z. B. Weiterleitungen, Lesezugänge, Freischaltung von KI-Funktionen) sowie aus dokumentierten Instruktionen des Kunden. Werkli informiert den Kunden, wenn eine Weisung nach seiner Ansicht gegen Datenschutzrecht verstösst, und darf deren Umsetzung bis zur Klärung aussetzen.

B2. Art der Daten und betroffene Personen

Bearbeitet werden die in Ziff. 3.4 und 3.5 beschriebenen Inhaltsdaten, insbesondere Stamm-, Kontakt- und Adressdaten, Vertrags- und Finanzdaten (Offerten, Rechnungen, Zahlungen, Belege, Kontoauszüge), Arbeitszeit- und Leistungsdaten von Mitarbeitenden, Fotos, Unterschriften, Kommunikationsdaten und Freitexte. Betroffen sind Mitarbeitende des Kunden, Endkunden und deren Ansprechpersonen, Lieferanten, Treuhänder und weitere Geschäftspartner des Kunden. Besonders schützenswerte Personendaten sind nicht Gegenstand der Leistung; der Kunde vermeidet deren Erfassung.

B3. Pflichten von Werkli

Werkli bearbeitet Inhaltsdaten nur auf Weisung des Kunden und nicht für eigene Zwecke; ausgenommen sind anonymisierte Nutzungsdaten gemäss AGB Ziff. 19.3. Werkli verpflichtet alle mit der Bearbeitung betrauten Personen zur Vertraulichkeit, trifft die in Ziff. 10 beschriebenen technischen und organisatorischen Massnahmen und passt sie dem Stand der Technik an. Werkli unterstützt den Kunden mit den in der Software vorhandenen Funktionen (Export, Berichtigung, Löschung, Berechtigungen) bei der Wahrung der Rechte betroffener Personen und leitet direkt eingehende Begehren an den Kunden weiter.

B4. Datensicherheitsverletzungen

Wird Werkli eine Verletzung der Datensicherheit bekannt, die Inhaltsdaten des Kunden betrifft (z. B. Verlust, unbeabsichtigte Offenlegung, unbefugter Zugriff, Veränderung oder Nichtverfügbarkeit), informiert Werkli den Kunden ohne unangemessene Verzögerung, in der Regel innert 72 Stunden nach Kenntnis. Die Mitteilung enthält, soweit bekannt: Art der Verletzung und betroffene Systeme, Kategorien und ungefähre Zahl der betroffenen Daten und Personen, voraussichtliche Folgen, ergriffene und geplante Massnahmen, Zeitpunkt oder Zeitraum sowie eine Kontaktstelle. Werkli aktualisiert die Information, sobald wesentliche neue Erkenntnisse vorliegen. Die Meldung an den EDÖB und die Information betroffener Personen obliegen dem Kunden als Verantwortlichem.

B5. Subbearbeiter

Der Kunde genehmigt den Einsatz von Subbearbeitern der in Ziff. 7 aufgeführten Kategorien; die aktuelle Liste stellt Werkli auf Anfrage zur Verfügung. KI-Subbearbeiter erhalten Inhaltsdaten nur, wenn Benutzer des Kunden eine KI-Funktion aktiv auslösen. Werkli verpflichtet Subbearbeiter vertraglich zu Vertraulichkeit und Datensicherheit auf dem Niveau dieser Vereinbarung und bleibt dem Kunden gegenüber für deren Leistungen verantwortlich. Über den Wechsel oder die Aufnahme von Subbearbeitern, die Inhaltsdaten bearbeiten, informiert Werkli den Kunden mindestens 30 Tage im Voraus per E-Mail oder in der Software. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innert dieser Frist widersprechen; kommt keine Einigung zustande, kann er den Vertrag auf den Zeitpunkt der Änderung kündigen.

B6. Bearbeitung im Ausland

Inhaltsdaten werden in der Schweiz gespeichert. Eine Bearbeitung im Ausland erfolgt nur durch die in Ziff. 7 genannten Subbearbeiter und unter den in Ziff. 8 beschriebenen Garantien (Angemessenheitsentscheid, Swiss-U.S. Data Privacy Framework oder Standardvertragsklauseln).

B7. Nachweise und Prüfungen

Werkli stellt dem Kunden auf Anfrage Informationen über die technischen und organisatorischen Massnahmen und die eingesetzten Subbearbeiter zur Verfügung. Der Kunde kann einmal jährlich, mit einer Ankündigung von 30 Tagen und auf eigene Kosten, die Einhaltung dieser Vereinbarung prüfen, in erster Linie anhand von Dokumentation und schriftlichen Auskünften. Darüber hinausgehende Mitwirkung (z. B. individuelle Auswertungen, Audit-Unterlagen, Datenschutz-Folgenabschätzungen) erbringt Werkli gegen Aufwandentschädigung, soweit zumutbar.

B8. Rückgabe und Löschung

Während der Vertragsdauer und bis 30 Tage nach Vertragsende kann der Kunde seine Inhaltsdaten über die Exportfunktionen beziehen oder deren Herausgabe verlangen (AGB Ziff. 8). Danach löscht Werkli die Inhaltsdaten einschliesslich Kopien bei Subbearbeitern, soweit keine gesetzlichen Pflichten oder überwiegenden berechtigten Interessen (insbesondere Nachweis- und Anspruchsabwehr) eine längere, gesperrte Aufbewahrung erfordern. Auf Anfrage bestätigt Werkli die Löschung schriftlich.

B9. Haftung und Rangfolge

Für die Haftung gilt AGB Ziff. 17. Soweit diese Vereinbarung für die Auftragsbearbeitung besondere Regeln enthält, gehen sie den AGB vor.