Vertrauen
Wo läuft Ihre Automatisierung? Schweiz, FADP-konform, klar geregelt.
Viele KMU behandeln KI und Automatisierung als Black Box: Daten gehen rein, etwas passiert, Resultate kommen raus. Das ist nicht gut genug, wenn es um Mandantendaten, Lohnlisten oder Patientendossiers geht. Wir erklären in einfacher Sprache, wo Ihre Daten physisch liegen, wer sie sieht und wie unsere Standardpraxis dem revidierten Schweizer Datenschutzgesetz (FADP) entspricht. Die meisten Antworten sind weniger kompliziert als befürchtet, müssen aber sauber dokumentiert sein. Diese Seite ist Ihr Einstiegspunkt, bevor wir gemeinsam einen Workflow bauen.
Wo Ihre Daten physisch leben
Wir bieten drei Hosting-Varianten an. Welche für Sie passt, hängt davon ab, wie sensibel die verarbeiteten Daten sind und ob branchenspezifische Anforderungen wie FINMA-Outsourcing oder Berufsgeheimnis greifen.
Schweiz, ISO 27001
Self-hosted bei Infomaniak
Unser Standard für Treuhand, Anwaltskanzleien und das Gesundheitswesen. Die Daten verlassen die Schweiz nie, der Anbieter ist nach ISO 27001 zertifiziert und die Rechenzentren stehen ausschliesslich in der Schweiz (Kanton Genf, ein weiterer Standort im Kanton Zürich ist im Aufbau). Geeignet, wenn Mandantendaten oder Personendossiers im Spiel sind.
Schweiz, FINMA-konform
Self-hosted bei Exoscale
Die Wahl für Finanzdienstleister, Vermögensverwalter und Kunden mit FINMA-Outsourcing-Anforderungen. Exoscale ist ein Schweizer Cloud-Anbieter mit FINMA-konformen Verträgen und dedizierten VMs in Zürich und Genf.
EU, kein Schweizer Hosting
Cloud-Variante (EU-gehostet)
Geeignet für nicht-sensible Workflows: Marketing-Automatisierung, interne Reminder, einfache Integrationen ohne Personendaten. Die Daten liegen in der EU. Wir empfehlen diese Variante nur, wenn keine besonders schützenswerten Daten verarbeitet werden.
FADP-Konformität in der Praxis
Das revidierte Schweizer Datenschutzgesetz (FADP) ist seit September 2023 in Kraft. Statt der Theorie hier die fünf Punkte, die in jedem unserer Projekte konkret umgesetzt werden.
Datenminimierung
Ein Workflow bekommt nur die Felder, die er tatsächlich braucht. Wenn die Automatisierung eine Rechnung verbucht, sieht sie keine Lohnliste.
Read-only Zugriffe wo möglich
Wir arbeiten bevorzugt mit beschränkten API-Tokens. Bei Bexio zum Beispiel mit Token-Scopes, die nur Lesen oder gezieltes Schreiben erlauben, nicht Vollzugriff.
Verschlüsselung
Übertragung über TLS, Speicherung mit AES-256. Credentials liegen verschlüsselt in der Workflow-Plattform und sind nie im Workflow-Code sichtbar.
Aufbewahrungsfristen
Die Lösch- oder Anonymisierungsfrist wird direkt in den Workflow geschrieben. Logs und Zwischendaten werden nicht ewig aufbewahrt, sondern nach klarer Regel entfernt.
Auftragsbearbeitungsvertrag
Auf Anfrage liefern wir einen Auftragsbearbeitungsvertrag (AVV) gemäss Art. 9 revDSG. Standardvorlage vorhanden, individuelle Anpassungen sind möglich.
Wenn KI im Spiel ist, wo gehen Ihre Inhalte hin?
Sobald ein Workflow eine grosse Sprachmodell-Komponente nutzt (Klassifikation, Zusammenfassung, Mailentwurf), verlassen die Inhalte standardmässig die Schweiz. Das muss explizit geregelt sein, sonst ist es ein Datenschutzproblem.
- Für unser eigenes Analyse-Tool nutzen wir Anthropic Claude unter einem Vertrag mit Zero-Data-Retention. Anthropic darf Ihre Eingaben nicht speichern und nicht für Training verwenden.
- Für Mandate, die keine Daten ausserhalb der Schweiz tolerieren, betreiben wir auf Wunsch selbst gehostete Sprachmodelle (Llama, Apertus). Die Modelle laufen dann auf derselben Schweizer Infrastruktur wie der Workflow.
- Was wir nicht mit Ihren Daten machen: kein Modelltraining, kein Weiterverkauf an Dritte, keine Profilbildung über Mandanten oder Mitarbeitende.
Mandanten-NDA-konform arbeiten
Im Treuhandbereich gelten Standesregeln und vertragliche Mandanten-NDAs, bei Anwaltskanzleien zusätzlich das Anwaltsgeheimnis nach Art. 321 StGB. Unsere Arbeitsweise ist darauf ausgerichtet:
- Wo möglich greifen Workflows read-only auf Ihre Systeme zu, statt Datenkopien anzulegen. Was nicht kopiert wird, kann nicht verlorengehen.
- Logs und Zwischendaten werden nach 30 Tagen automatisch gelöscht, sofern Sie keine längere Aufbewahrungsfrist verlangen.
- Mandanten-NDAs unterzeichnen wir auf Anfrage. In der Regel reicht die Hinzunahme zu unserem Standardvertrag inklusive AVV. Auch IT-Dienstleister mit eigenen Endkundenverträgen können das so abbilden.
Was, wenn etwas schiefgeht?
Datenschutzvorfälle sind selten, aber sie passieren. Unser Vorgehen ist standardisiert, damit im Ernstfall niemand improvisieren muss.
- Erkennung erfolgt über Monitoring-Alerts auf den Workflow-Servern (Fehlerrate, ungewöhnliche Zugriffe, fehlgeschlagene Auth-Versuche).
- Meldung an Sie innert 24 Stunden, mit allen bis dahin bekannten Fakten: was passiert ist, welche Daten betroffen sind, welche Sofortmassnahmen laufen.
- Bei meldepflichtigen Vorfällen nach FADP Art. 24 unterstützen wir Sie bei der Meldung an den EDÖB innert der gesetzlichen Frist.
Häufige Fragen
Bin ich der Datenverantwortliche?
Ja. Sie bleiben Verantwortliche im Sinne des FADP, wir sind Auftragsbearbeiter. Das heisst: Sie entscheiden, welche Daten verarbeitet werden, wir setzen es im Auftrag um und dürfen die Daten nicht für eigene Zwecke verwenden.
Was passiert bei Beendigung der Zusammenarbeit?
Sie bekommen den vollständigen Workflow-Export als JSON. Alle Daten in unseren Systemen werden innert 30 Tagen gelöscht, auf Wunsch mit schriftlicher Löschbestätigung.
Sind Sie ISO-zertifiziert?
Aktuell nicht. Wir hosten konsequent auf zertifizierten Schweizer Anbietern (Infomaniak ISO 27001, Exoscale ISO 27001 und FINMA-konform), womit die zugrunde liegende Infrastruktur den Anforderungen genügt.
Können Sie meinen bestehenden Datenschutzbeauftragten einbeziehen?
Ja, gerne. Wir liefern alle Unterlagen für die Prüfung: Datenflussdiagramm, Liste der eingesetzten Dienste, Aufbewahrungsfristen, AVV-Entwurf und technische Sicherheitsmassnahmen.
Die formale Datenschutzerklärung von nullklick.ch finden Sie unter /datenschutz. Wenn Sie zuerst sehen wollen, was sich an Ihrem Prozess automatisieren lässt, starten Sie hier: kostenlose Prozessanalyse.
Lassen Sie uns über Ihren Prozess sprechen.
Beschreiben Sie Ihren Ablauf in 60 Sekunden. Sie erhalten eine kostenlose ROI-Analyse in CHF und einen konkreten Automatisierungsplan.
Kostenlos Prozess analysieren