Datenschutzerklärung

1. Verantwortliche Stelle und Kontakt

Verantwortliche Stelle im Sinne von Art. 5 lit. j revFADP ist die dekla GmbH (in Gründung), Zürich, Schweiz, UID: [PENDING_HR_REGISTRATION]. Postanschrift und definitive Geschäftsadresse werden nach Eintragung im Handelsregister des Kantons Zürich an dieser Stelle publiziert.

Für sämtliche Anfragen betreffend den Datenschutz, insbesondere Auskunfts-, Berichtigungs- und Löschbegehren, ist der nachfolgend genannte Kontakt zuständig:

E-Mail: [email protected]

Die dekla GmbH bestellt eine externe, unabhängige Datenschutzberaterin bzw. einen externen Datenschutzberater nach Art. 10 revDSG ([PENDING_APPOINTMENT]). Die Bestellung ist freiwillig; sie ermöglicht den Verzicht auf die Konsultation des EDÖB nach Art. 23 Abs. 4 revDSG bei einer Datenschutz-Folgenabschätzung. Sobald die Bestellung formell erfolgt ist, werden Name und Erreichbarkeit an dieser Stelle bekanntgegeben.

2. Architektur und Verarbeitungsmodell

dekla ist eine reine Client-Anwendung (Static Single-Page-App). Nach dem einmaligen Laden des Programmcodes im Browser erfolgt die gesamte steuerliche Berechnung ausschliesslich auf dem Endgerät der Nutzerin oder des Nutzers. Im Standardmodus stellt die Anwendung nach dem Laden keine ausgehenden Netzwerkverbindungen mehr her, mit einer Ausnahme: nur nach Ihrem Klick auf «QR-Code anzeigen» beim optionalen Handy-Scan verbindet sich Ihr Browser mit unserem Pairing-Relay (siehe Ziff. 14). Dies ist im Netzwerk-Tab des Browsers sowie durch die öffentlich publizierten End-to-End-Tests (`tests/e2e/privacy.spec.ts`, `tests/e2e/privacy-phone-scan.spec.ts`, `tests/e2e/privacy-offline.spec.ts`) jederzeit überprüfbar. Ein Service Worker derselben Website speichert die Anwendung, damit sie ohne Verbindung öffnet. Er kontaktiert keinen anderen Host und sendet keine Tresordaten. Eine Prüfung auf eine neuere Fassung läuft nur, wenn Sie sie auslösen. Der Browser kann die eigenen Dateien von dekla.ch beim Öffnen neu anfragen.

dekla bietet zwei Datenschutzmodi an, die beim erstmaligen Erstellen des Tresors gewählt und im Tresor festgeschrieben werden:

(a) Anonymer Modus: Name, Wohnadresse und AHV-Nr. werden in der Anwendung nicht erfasst. Die Berechnung erfolgt rein zahlenbasiert; die Identitätsangaben tragen Sie nach dem Export offline in das Berechnungsblatt ein.

(b) Vollständiger Modus: Sie geben Name, Wohnadresse und AHV-Nr. ein, damit das Berechnungsblatt vollständig ausgefüllt ausgegeben werden kann. Diese Daten verlassen Ihre Geräte auch im vollständigen Modus zu keinem Zeitpunkt unverschlüsselt; sie werden unmittelbar nach Eingabe mit XChaCha20-Poly1305 (AEAD) verschlüsselt und in einem mit Argon2id abgeleiteten Schlüssel-Container (KEK/DEK-Envelope) lokal abgelegt. Beim optionalen Handy-Scan passieren gescannte Seiten ein verschlüsseltes Relay (siehe Ziff. 14).

Die Betreiberin (dekla GmbH) hat zu keinem Zeitpunkt Zugriff auf Ihre Steuerdaten — weder im anonymen noch im vollständigen Modus. Das beim Handy-Scan verwendete Relay kann gescannte Seiten nicht lesen.

3. Kategorien bearbeiteter Personendaten

Die Betreiberin bearbeitet ausschliesslich die folgenden Kategorien von Personendaten:

(a) Verbindungs-Metadaten beim Laden der Webseite: IP-Adresse, User-Agent (Browser- und Betriebssystemkennung), Datum und Uhrzeit des Zugriffs sowie aufgerufene URL. Diese Daten fallen technisch zwangsläufig bei der Auslieferung des statischen Bundles über das Content-Delivery-Netzwerk unseres Hosting-Dienstleisters (Vercel Inc.) an. Rechtsgrundlage ist das überwiegende berechtigte Interesse an Betrieb, Sicherheit und Missbrauchsabwehr der Webseite (Art. 31 Abs. 1 revFADP).

(b) Inhalt freiwilliger Kontaktaufnahmen: Wenn Sie uns per E-Mail kontaktieren (z. B. an [email protected] oder [email protected]), bearbeiten wir die in der Nachricht enthaltenen Angaben zur Beantwortung Ihres Anliegens.

(c) E-Mail-Adressen freiwilliger Benachrichtigungs-Anmeldungen («Benachrichtigen, wenn verfügbar»): Wir speichern Ihre E-Mail-Adresse und das gewünschte Feature in einem separaten, vom Tresor getrennten System (Listmonk, selbst gehostet in der EU/Schweiz), um Sie bei Verfügbarkeit zu informieren. Eine Abmeldung ist jederzeit per Link in jeder E-Mail möglich.

(d) Relay-Metadaten, nur wenn Sie den optionalen Handy-Scan nutzen: Für Aufbau und Betrieb der Verbindung bearbeitet das Relay die IP-Adressen und User-Agent-Angaben Ihrer beiden Geräte, Zeitpunkt und Dauer der Sitzung sowie Anzahl und Grösse der übertragenen Nachrichten (siehe Ziff. 14). Wir nutzen diese Daten nicht für Analyse oder Werbung und verknüpfen sie mit keiner Person. Rechtsgrundlage ist Ihre Anfrage (Klick und Scan) sowie unser überwiegendes Interesse am Betrieb einer sicheren Verbindung (Art. 31 revFADP).

Keine Bearbeitung steuerlicher Daten: Steuerdaten, einschliesslich AHV-Nr., Lohnausweis-Angaben, Vermögensaufstellungen, Belege und Berechnungsergebnisse, gelangen unter keinen Umständen in lesbarer Form an die Betreiberin oder einen ihrer Dienstleister. Gescannte Seiten, die Sie mit dem optionalen Handy-Scan senden, passieren das Relay ausschliesslich Ende-zu-Ende-verschlüsselt; weder das Relay noch dessen Infrastruktur-Anbieter können sie lesen. Diese Daten verbleiben verschlüsselt auf Ihrem Endgerät.

4. Empfänger und Auftragsbearbeiter

Verbindungs-Metadaten gemäss Ziff. 3 lit. a werden über die Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, ausgeliefert. Mit Vercel besteht ein Auftragsbearbeitungsvertrag (Data Processing Agreement) sowie die Schweizer Standardvertragsklauseln-Ergänzung (CH-SCC Addendum) gemäss Empfehlung des EDÖB. Vercel ist nach dem Swiss-US Data Privacy Framework zertifiziert; der Zertifizierungsstatus wird vor jeder Produktionsfreigabe überprüft.

Relay-Metadaten gemäss Ziff. 3 lit. d werden, nur wenn Sie den optionalen Handy-Scan nutzen, auf der Infrastruktur der Cloudflare, Inc., USA (Cloudflare Workers und Durable Objects), als unserer Auftragsbearbeiterin gestützt auf einen Auftragsbearbeitungsvertrag sowie durch deren Unterauftragsbearbeiter bearbeitet. Cloudflare kann für ihre Netzwerke betriebliche und sicherheitsrelevante Protokolle nach eigenen Aufbewahrungsregeln führen. [ENTWURF: Auftragsbearbeitungsvertrag und Zertifizierungsstatus vor Veröffentlichung prüfen]

Über die in Ziff. 3 genannten Daten hinaus erfolgt keine Weitergabe an Dritte. Insbesondere bestehen keine Werbenetzwerke, Analytics-Dienste, A/B-Test-Plattformen, Tag-Manager, Schriftarten-CDNs oder sonstige Drittanbieter-Skripte. Die Content Security Policy (`connect-src 'self'`, zuzüglich der Origin unseres Pairing-Relays für den optionalen Handy-Scan) verhindert technisch die Übermittlung von Daten an andere Origins.

Künftige optionale Funktionen (Phase 5: «BYOK» mit eigenem API-Schlüssel für OpenAI/Anthropic; Phase 6: optionales Sprachmodell im Browser) werden auf einem separaten Origin (app-byok.dekla.ch bzw. models.dekla.ch) mit eigenständiger Einwilligung gemäss Art. 17 revFADP bereitgestellt. Solange Sie diese Funktionen nicht aktiv auf der separaten Origin verwenden, finden keine entsprechenden Übermittlungen statt.

5. Drittland-Übermittlung (Art. 16/17 revFADP)

Im Standardmodus werden Verbindungs-Metadaten an die Vercel Inc. in den Vereinigten Staaten von Amerika übermittelt. Die USA verfügen nach Einschätzung des Bundesrates über keinen mit der Schweiz gleichwertigen Datenschutz im Sinne von Art. 16 revFADP; die Übermittlung ist jedoch gestützt auf die Anerkennung des Swiss-US Data Privacy Framework durch den Bundesrat (in Kraft seit 15. September 2024) zulässig. Vercel Inc. ist im DPF-Register als zertifiziertes Unternehmen geführt. Zusätzlich wurde mit Vercel ein CH-SCC-Addendum vereinbart, das auch bei einem allfälligen Wegfall der DPF-Zertifizierung weiterhin geeignete Garantien im Sinne von Art. 16 Abs. 2 lit. d revFADP bietet.

Wenn Sie den optionalen Handy-Scan nutzen, werden Relay-Metadaten gemäss Ziff. 3 lit. d an die Cloudflare, Inc. in den Vereinigten Staaten und deren Unterauftragsbearbeiter übermittelt. Garantien: Swiss-US Data Privacy Framework und die Standardvertragsklauseln (mit schweizerischer Anpassung) im Auftragsbearbeitungsvertrag von Cloudflare [ENTWURF: Zertifizierungsstatus vor Veröffentlichung prüfen].

Über die vorstehend beschriebenen Übermittlungen hinaus werden im Standardmodus keine Personendaten in andere Drittländer übermittelt.

6. Aufbewahrungsdauer

Verbindungs-Metadaten: Vercel speichert Zugriffsprotokolle gemäss Vertrag während maximal 30 Tagen in einem rotierenden Speicher. Danach werden die Daten automatisch gelöscht.

Relay (optionaler Handy-Scan): Das Relay vergisst die Sitzung nach spätestens 60 Minuten (10 Minuten, wenn kein Handy beitritt, 15 Minuten bei Inaktivität) und speichert keine Inhalte. Cloudflare kann für ihre Netzwerke betriebliche und sicherheitsrelevante Protokolle nach eigenen Aufbewahrungsregeln führen.

Kontakt-E-Mails: Die Korrespondenz wird so lange aufbewahrt, wie dies zur Beantwortung und allfälligen Folgekommunikation erforderlich ist, längstens jedoch zwölf Monate nach Abschluss der Anfrage, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. Art. 958f OR, Art. 70 MWSTG) entgegenstehen.

Daten auf Ihrem Endgerät: Ihre Steuerdaten und Belege liegen ausschliesslich auf Ihrem Gerät. Bewahren Sie Belege so lange auf, wie die Steuerbehörde sie verlangen kann (im Nachsteuerverfahren bis zu zehn Jahre); selbständig Erwerbende und juristische Personen müssen Geschäftsbücher und Belege nach Art. 126 Abs. 3 DBG sowie § 135 StG ZH während zehn Jahren aufbewahren. Diese Aufbewahrung liegt vollumfänglich in Ihrer Verantwortung; die Betreiberin kann verlorene Tresore nicht wiederherstellen. Bitte exportieren Sie den Tresor regelmässig und legen Sie eine Sicherheitskopie an einem sicheren, getrennten Ort ab.

7. Speicherung auf dem Endgerät (FMG Art. 45c)

Hinweis nach Art. 45c des Bundesgesetzes über den Fernmeldeverkehr (FMG): dekla schreibt zur Erbringung der vertraglichen Leistung Daten in den Browser-Speicher Ihres Endgeräts. Konkret verwendet werden:

— Origin Private File System (OPFS): Speicherung des verschlüsselten Tresors einschliesslich Belegen.

— IndexedDB: redundante Zweitkopie des Tresors zur Absicherung gegen plattformspezifische Speicher-Bereinigung (z. B. Safari Intelligent Tracking Prevention).

— CacheStorage: Zwischenspeicherung von Programmcode und Schriftarten zur Offline-Verfügbarkeit.

Nicht eingesetzt werden: Cookies, Tracking-Pixel, Local Storage zu Identifikations- oder Marketingzwecken, Service Worker, die Daten in ein Drittland senden. Ein Service Worker auf dekla.ch selbst speichert die Anwendung für den Betrieb ohne Netz und sendet diesen Speicher nicht weiter, Fingerprinting, Session-Replay oder ähnliche Technologien.

Die genannten Speichermechanismen sind für die Bereitstellung der Leistung technisch erforderlich; eine Einwilligung wäre nach FMG Art. 45c lit. b nicht zusätzlich einzuholen. Sie können die Daten jederzeit über die Browser-Einstellungen löschen («Webseiten-Daten entfernen»). Eine Löschung ohne vorherigen Export führt zum endgültigen und unwiederbringlichen Verlust der Steuerdaten.

8. Ihre Rechte (Art. 25, 28 und 32 revFADP)

Sie haben gegenüber der Betreiberin folgende Rechte:

— Auskunftsrecht (Art. 25 revFADP): Sie können kostenlos Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten. Da wir im Wesentlichen nur Verbindungs-Metadaten verarbeiten, beschränkt sich die Auskunft regelmässig auf diese Datenkategorie.

— Recht auf Datenherausgabe und -übertragung (Art. 28 revFADP): Die Datenherausgabe in einem gängigen elektronischen Format wird auf Anwendungsebene durch die Tresor-Export-Funktion («.swisstax-vault») gewährleistet. Sie können den Export jederzeit eigenständig auslösen; er enthält sämtliche von Ihnen erfassten Daten in maschinenlesbarer Form.

— Recht auf Berichtigung (Art. 32 Abs. 1 revFADP): Unrichtige Daten werden auf Ihr Begehren hin berichtigt. Da Steuerdaten ausschliesslich auf Ihrem Gerät liegen, erfolgt deren Berichtigung selbständig in der Anwendung.

— Recht auf Löschung (Art. 32 Abs. 2 lit. c revFADP): Sie können die Löschung Ihrer bei uns gespeicherten Personendaten verlangen. Löschanfragen für Verbindungs-Metadaten werden binnen sieben (7) Tagen ab Eingang an Vercel weitergeleitet; die vollständige Propagation erfolgt innerhalb der Standard-Log-Rotation von Vercel und ist spätestens 30 Tage ab Eingang Ihrer Anfrage abgeschlossen.

— Widerspruchsrecht (Art. 30 Abs. 2 lit. b revFADP): Sie können der Bearbeitung Ihrer Daten zu Zwecken, die auf überwiegende berechtigte Interessen gestützt sind, jederzeit widersprechen.

Alle Begehren richten Sie bitte an [email protected]. Wir prüfen die Identität der gesuchstellenden Person mit angemessenen Mitteln und beantworten innerhalb von 30 Tagen ab Eingang (Art. 25 Abs. 7 revFADP).

9. Automatisierte Bearbeitung (Art. 21 revFADP)

Die in dekla durchgeführten Steuerberechnungen sind das Ergebnis deterministischer Regeln, die ausschliesslich auf Ihrem Endgerät ablaufen. Sie können jeden Eingabewert und jedes Zwischenergebnis vor Einreichung Ihrer Steuererklärung einsehen, prüfen und übersteuern. Die rechtliche Veranlagung erfolgt nicht durch dekla, sondern durch die zuständige kantonale Steuerbehörde im ordentlichen Veranlagungsverfahren.

Damit stellt die Bearbeitung durch dekla ausdrücklich keine automatisierte Einzelentscheidung im Sinne von Art. 21 revFADP dar, weil (i) die abschliessende Entscheidung über die Steuerfaktoren der kantonalen Steuerbehörde obliegt, (ii) Sie jede Eingabe und jede Zwischengrösse manuell überprüfen und ändern können, und (iii) die Veröffentlichung des Berechnungsergebnisses (Berechnungsblatt) Ihrer aktiven Bestätigung bedarf.

10. Daten Minderjähriger

dekla richtet sich an erwachsene, steuerpflichtige Personen. Soweit Sie als gesetzliche Vertretung Ihrer Kinder im Rahmen Ihrer Steuererklärung Angaben über Ihre Kinder erfassen (z. B. Geburtsjahr, allfällige Einkünfte für die Familienbesteuerung), erfolgt dies in Ausübung Ihrer elterlichen Sorge (Art. 304 ZGB) und steht im Einklang mit Art. 31 Abs. 2 lit. c revFADP. Diese Angaben verlassen Ihre Geräte ebenfalls nie unverschlüsselt.

11. Vertretung in der Europäischen Union (Art. 27 DSGVO)

Soweit dekla auch Personen ansprechen sollte, die in der Europäischen Union ansässig sind, bestellt die Betreiberin eine Vertretung im Sinne von Art. 27 der Verordnung (EU) 2016/679 (DSGVO). Die Vertretung wird voraussichtlich durch die Prighter Group, Wien, Österreich, wahrgenommen; die Bestellung ist im Vollzug. Status: [PENDING_EU_REP_APPOINTMENT — Prighter recommended]. Sobald der Vertretungsvertrag abgeschlossen ist, werden die Kontaktangaben an dieser Stelle publiziert. Bis zur formellen Bestellung richtet sich der Dienst gemäss Ziff. 7 der Nutzungsbedingungen an Personen mit Wohnsitz in der Schweiz.

12. Beschwerderecht beim EDÖB

Sie haben jederzeit das Recht, bei der zuständigen Aufsichtsbehörde eine Anzeige zu erstatten oder eine Untersuchung anzuregen. Zuständig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, https://www.edoeb.admin.ch. Wir empfehlen, vorgängig den Kontakt unter [email protected] zu suchen, damit wir Ihr Anliegen prüfen und allenfalls direkt beheben können.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund von Änderungen der rechtlichen Rahmenbedingungen, der eingesetzten Technik oder unseres Leistungsangebots erforderlich wird. Die jeweils aktuelle Fassung mit Stand-Datum ist unter dekla.ch/privacy abrufbar. Bei wesentlichen Änderungen, die Ihre Rechte oder die Bearbeitungsgrundlage materiell betreffen, werden wir Sie mindestens 30 Tage vor Inkrafttreten in geeigneter Form auf der Webseite informieren (Banner auf der Startseite). Eine individuelle Benachrichtigung ist mangels E-Mail-Adresse im Standardmodus nicht möglich; soweit Sie eine Adresse für die Funktion «Benachrichtigen, wenn verfügbar» hinterlegt haben, informieren wir Sie zusätzlich auf diesem Weg.

14. Handy-Scan (optional)

Wenn Sie auf «QR-Code anzeigen» klicken, baut Ihr Browser eine verschlüsselte Verbindung zu einem Relay der dekla GmbH auf, das auf der Infrastruktur der Cloudflare, Inc. (Cloudflare Workers und Durable Objects) betrieben wird. Ihr Handy sendet die gescannten Seiten über dieses Relay an Ihren Computer. Die Seiten sind Ende-zu-Ende-verschlüsselt mit einem Schlüssel, der nur im QR-Code und auf den beiden Geräten existiert; das Relay und Cloudflare können sie nicht lesen, und das Relay speichert keine Inhalte. Für Aufbau und Betrieb der Verbindung bearbeitet das Relay die IP-Adressen und User-Agent-Angaben Ihrer beiden Geräte, Zeitpunkt und Dauer der Sitzung sowie Anzahl und Grösse der übertragenen Nachrichten. Cloudflare bearbeitet diese Daten als unser Auftragsbearbeiter gestützt auf einen Auftragsbearbeitungsvertrag; Cloudflare kann für seine Netzwerke betriebliche und sicherheitsrelevante Protokolle nach eigenen Aufbewahrungsregeln führen. Wir nutzen diese Daten nicht für Analyse oder Werbung und verknüpfen sie mit keiner Person. Das Relay vergisst die Sitzung nach spätestens 60 Minuten (10 Minuten, wenn kein Handy beitritt, 15 Minuten bei Inaktivität). Rechtsgrundlage: Ihre Anfrage (Klick und Scan) sowie unser überwiegendes Interesse am Betrieb einer sicheren Verbindung (Art. 31 revFADP). Empfänger und Land: Cloudflare, Inc., USA, sowie deren Unterauftragsbearbeiter; Garantien: Swiss-US Data Privacy Framework und die Standardvertragsklauseln (mit schweizerischer Anpassung) im Auftragsbearbeitungsvertrag von Cloudflare [ENTWURF: Zertifizierungsstatus vor Veröffentlichung prüfen]. Ohne Klick werden keine Daten an das Relay gesendet.