Anmelden Kostenlos testen

Datenschutzerklärung

Entwurf. Dieser Text wurde noch nicht juristisch geprüft.

Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche personenbezogenen Daten wir im Zusammenhang mit der Website https://calio.at und der Software Calio verarbeiten. Sie richtet sich nach der Datenschutz-Grundverordnung der EU (DSGVO) und dem österreichischen Datenschutzgesetz (DSG); für den Anbieter gilt daneben das Recht an seinem Sitz.

1. Verantwortlicher und Vertreter in der EU

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO ist:
Calio GmbH in Gründung, Churerstrasse 47, 8808 Pfäffikon SZ, Schweiz
Kontakt für Datenschutzanliegen: info@calio.ch

Vertreter in der Europäischen Union nach Art. 27 DSGVO: [fehlt: Vertreter in der EU (Art. 27 DSGVO)]

Wichtig: Für die Belege und Buchhaltungsdaten, die unsere Kundinnen und Kunden in die Software hochladen, ist das jeweilige Unternehmen der Verantwortliche. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Auftragsverarbeitungsvertrags. Personen, deren Daten in solchen Belegen vorkommen (z.B. Kundinnen, Lieferanten oder Mitarbeitende unserer Kunden), wenden sich für ihre Rechte in erster Linie an dieses Unternehmen.

2. Welche Daten wir verarbeiten

Konto und Vertrag: Firmenname, Vor- und Nachname, E-Mail-Adresse, Passwort (nur als kryptografischer Hashwert, nie im Klartext), Zeitpunkte der Registrierung, der E-Mail-Bestätigung und der letzten Anmeldung, akzeptierte Version der Nutzungsbedingungen und Zeitpunkt jeder Zustimmung, Status der Testphase bzw. des Abonnements.

Sitzungen und Sicherheit: Für angemeldete Sitzungen speichern wir IP-Adresse sowie Beginn und Ablauf der Sitzung. Zur Abwehr von Missbrauch zählen wir fehlgeschlagene Anmelde- und Registrierungsversuche pro IP-Adresse und E-Mail-Adresse kurzzeitig im Arbeitsspeicher.

Zugriffsprotokoll: Bei jedem Aufruf der Website und der Software hält unser Server fest: Zeitpunkt, IP-Adresse, aufgerufene Adresse ohne Parameter (also ohne alles nach einem «?»), Anfragemethode, Antwortstatus, Größe und Dauer der Antwort sowie — wenn Sie angemeldet sind — die interne Kennung Ihres Kontos und Ihres Unternehmens. Nicht festgehalten werden Inhalte von Anfragen und Antworten, Formulareingaben, Dateinamen, Passwörter, Cookies und die Kennungen in Links. Das Protokoll dient dazu, Angriffe und Verletzungen der Datensicherheit zu erkennen und aufzuklären (Art. 32 und 33 DSGVO); es liegt nur auf unserem Server und wird nach 30 Tagen gelöscht.

Ereignis- und Versandprotokoll der Plattform: Unser Server hält außerdem fest, wer wann Benutzer eingeladen, Rechte oder die Zwei-Faktor-Anmeldung geändert, den Nutzungsbedingungen zugestimmt oder ein Unternehmen eröffnet hat, welche Mitteilungen über Auftragsverarbeiter versandt wurden und welche Befehle unser Support ausgeführt hat — mit den internen Kennungen von Konten und Unternehmen —, und für jede System-E-Mail Zeitpunkt, Empfängeradresse, Betreff und Ergebnis des Versands. Beide Protokolle enthalten keine Belege und keine Zahlen aus den Büchern; wie lange sie bleiben, steht in Abschnitt 7.

Sicherheitsprotokoll: Wer (interne Kennung des Kontos und des Unternehmens) wann Daten in der Software gespeichert, verändert, abgerufen, offengelegt oder gelöscht hat, sich an- oder abgemeldet, eine Anmeldung nicht bestanden, den zweiten Faktor verwendet, einen Export oder eine KI-Anfrage ausgelöst hat, halten wir in einem eigenen Protokoll fest — mit der Kennung des betroffenen Datensatzes und gegebenenfalls dem Empfänger, ohne Namen, Inhalte und IP-Adresse; denselben Abruf derselben Person höchstens einmal je zehn Minuten. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und nachvollziehbaren Verarbeitung (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO) und daran, die Protokollierungspflicht am Sitz des Anbieters zu erfüllen (Art. 4 der schweizerischen Datenschutzverordnung). Es wird täglich verschlüsselt an ein vom Server getrenntes Sicherungsziel übertragen und 365 Tage nach dem jeweiligen Ereignis gelöscht, auch nach dem Ende des Vertrags und der Löschung eines Unternehmens.

Zwei-Faktor-Anmeldung (freiwillig): Wer die Anmeldung mit einem zweiten Faktor einschaltet, für den speichern wir das Geheimnis der Authenticator-App verschlüsselt (der Schlüssel dazu liegt nicht in unserer Datensicherung), die Wiederherstellungscodes nur als Prüfwert (Hash), den Zeitpunkt des Einschaltens, die Zahl fehlgeschlagener Versuche und eine allfällige Sperre sowie — falls Sie ein Gerät merken lassen — den Zeitpunkt und einen Prüfwert des Gerätemerkmals. Wir löschen alles davon, sobald Sie den zweiten Faktor ausschalten oder er zurückgesetzt wird.

Inhalte in der Software: hochgeladene Belege (z.B. Rechnungen, Quittungen, Kontoauszüge, Lohnunterlagen, Verträge) und die daraus erzeugten Daten wie Buchungen, offene Posten, Kunden- und Lieferantenangaben, Aufgaben, Notizen und Verläufe. Lohnunterlagen können besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO enthalten (z.B. Angaben zu Gesundheit bei Absenzen oder zur Religionszugehörigkeit).

Abonnement und Zahlung: gewählter Plan, Abrechnungsperiode, Rechnungsadresse und Referenz, Zahlungsstatus.

Kommunikation: E-Mails, die Sie uns senden, und die von uns versandten System-E-Mails (Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Einladungen, Sicherheitshinweise, Hinweise zur Testphase und zum Abonnement, Ankündigung einer Löschung, Mitteilungen über Änderungen der Nutzungsbedingungen).

Kontaktformular: Die Angaben, die Sie im Kontaktformular auf unserer Website eingeben (Name, Firma, E-Mail-Adresse, allenfalls Telefonnummer und Anzahl Mandanten sowie Ihre Nachricht), verarbeiten wir ausschließlich, um Ihre Anfrage zu beantworten; sie werden dazu über unseren E-Mail-Versanddienst (Infomaniak Network SA, Schweiz) an unsere Kontaktadresse zugestellt und danach so lange aufbewahrt, wie es die Bearbeitung und allfällige Rückfragen erfordern.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten die Daten, um das Konto bereitzustellen, den Vertrag zu erfüllen, die Software zu betreiben und zu sichern, Missbrauch zu verhindern, mit Ihnen zu kommunizieren und gesetzliche Pflichten zu erfüllen. Rechtsgrundlagen sind:

  • Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags mit Ihnen (Konto, Software, Abrechnung, Support);
  • Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren, missbrauchsfreien Betrieb (Sitzungsprotokolle, Zugriffsprotokoll, Sicherheitsprotokoll, Begrenzung von Anmeldeversuchen, Datensicherungen);
  • Art. 6 Abs. 1 lit. c DSGVO — gesetzliche Pflichten aus dem Unionsrecht oder dem österreichischen Recht, insbesondere aus dem Steuer- und Rechnungswesen (Art. 6 Abs. 3 DSGVO); Pflichten aus dem Recht am Sitz des Anbieters stützen wir auf lit. f, unser berechtigtes Interesse, sie zu erfüllen.

Wir verwenden Ihre Daten nicht für Werbung, verkaufen sie nicht, erstellen keine Profile und setzen sie nicht zum Training von KI-Modellen ein.

4. Cookies, Speicher im Browser und Website

Wir verwenden keine Analyse-, Tracking- oder Werbe-Cookies und binden keine Inhalte von Drittanbietern ein (z.B. Schriftarten, Karten, Social-Media-Plugins). Beim bloßen Besuch unserer Website speichern wir nichts auf Ihrem Endgerät. Gespeichert wird nur Folgendes, und nichts davon macht Sie über andere Websites hinweg wiedererkennbar:

  • Cookie «__Host-calio_session» — hält Sie in der Software angemeldet, sobald Sie sich anmelden. Es gilt nur für die Adresse der Software (app.calio.at): Ihr Browser sendet es an keine andere Adresse, und keine andere kann es setzen. Es enthält eine zufällige Kennung und ist für Skripte nicht lesbar. Es ist ein Sitzungs-Cookie: Es endet, wenn Sie den Browser schließen oder sich abmelden, die Anmeldung spätestens nach 12 Stunden. Ohne dieses Cookie können wir Ihnen die Software, die Sie mit der Anmeldung ausdrücklich verlangen, nicht bereitstellen; es ist dafür unbedingt erforderlich, und eine Einwilligung ist nicht nötig (§ 165 Abs. 3 dritter Satz TKG 2021).
  • Cookie «calio_mfa_device» — nur wenn Sie die Zwei-Faktor-Anmeldung nutzen und bei der Anmeldung das Kästchen «Dieses Gerät merken» selbst ankreuzen; das Kästchen ist nie vorausgewählt, sein Text sagt, dass es dieses Cookie für 30 Tage setzt, und mit Ihrem Klick willigen Sie in dieses Cookie ein (§ 165 Abs. 3 TKG 2021). Es enthält eine zufällige Kennung, die uns nur sagt, dass dieses Gerät den zweiten Faktor bereits bestanden hat, ist für Skripte nicht lesbar und gilt 30 Tage. Ihre Einwilligung widerrufen Sie, indem Sie das Gerät im Konto entfernen.
  • Cookie «calio_lang» — nur wenn Sie auf einer unserer Seiten eine Sprache anklicken (Deutsch oder Englisch): Es enthält das Kürzel dieser Sprache, damit die Startseite, die Seiten der Anmeldung und die Kontaktseite in ihr erscheinen, und gilt ein Jahr. Ohne diesen Klick setzen wir es nicht; die Sprache einer Seite steht sonst nur in ihrer Adresse, und ein neu eröffnetes Konto startet in der Sprache der Seite, auf der Sie es eröffnen. Mit Ihrem Klick wählen Sie die Sprache ausdrücklich (§ 165 Abs. 3 dritter Satz TKG 2021). Sie löschen es mit den Websitedaten in Ihrem Browser.
  • Lokaler Speicher «calio-upload.prefs» — nur wenn Sie in der Software eine Anzeige-Einstellung ändern, etwa das helle oder dunkle Design wählen, den Assistenten öffnen oder schließen, eine Gruppe des Menüs ein- oder ausklappen oder im Umschalter einen Mandanten oder einen Reiter wählen. Er hält Ihre Anzeige-Einstellungen, darunter den zuletzt gewählten Mandanten als interne Kennung, aber weder Ihren Namen noch Ihre E-Mail-Adresse noch die Kennung Ihres Kontos, und bleibt in Ihrem Browser, bis Sie die Websitedaten löschen. Ohne eine solche Änderung legen wir dort nichts ab. Die Einstellung wählen Sie damit ausdrücklich (§ 165 Abs. 3 dritter Satz TKG 2021).

Außerdem speichert Ihr Browser von sich aus die Programmdateien der Website und der Software in seinem gewöhnlichen Zwischenspeicher, mit einer Prüfkennung (ETag), an der er beim nächsten Aufruf erkennt, ob sich eine Datei geändert hat; und weil unsere Seiten nur verschlüsselt erreichbar sind, merkt er sich das für ein Jahr (HSTS). Beides enthält keine Angaben über Sie. Cookies und Speicher, die frühere Fassungen der Software gesetzt haben (etwa «calio_session», «calio_site_lang», «calio_site», die damals gespeicherten Anzeige-Einstellungen und der Zwischenspeicher des Service Workers), löschen wir beim nächsten Aufruf.

Ablehnen können Sie diese Speicherungen in den Einstellungen Ihres Browsers, indem Sie Cookies und Websitedaten für diese Website blockieren oder löschen. Die Website funktioniert auch dann; die gewählte Sprache und Ihre Anzeige-Einstellungen werden nur nicht gespeichert. Ohne das Cookie «__Host-calio_session» ist keine Anmeldung möglich — die Software können Sie dann nicht nutzen.

5. Empfänger und Auftragsverarbeiter

Zugriff auf Ihre Daten haben nur Mitarbeitende des Anbieters, soweit es für Betrieb und Support nötig ist. Wir setzen folgende Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein, die vertraglich zu Vertraulichkeit und Datensicherheit verpflichtet sind:

  • Hosting: Infomaniak Network SA, Serverstandort Schweiz — Speicherung und Betrieb sämtlicher Daten.
  • E-Mail-Versand: Infomaniak Network SA, Schweiz — erhält E-Mail-Adresse, Name und den Inhalt der System-E-Mails, jedoch keine Belege oder Buchhaltungsdaten.
  • KI-Verarbeitung: Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (RCS Paris 952 418 325) — erhält die für eine Auswertung nötigen Inhalte (z.B. einen Beleg als Datei oder als Text, Ausschnitte der Buchhaltungsdaten), wenn Sie den Assistenten verwenden oder einen Beleg verarbeiten lassen. Jede Anfrage enthält nur die Daten Ihres Unternehmens; mehrstufige Aufgaben laufen in einer abgeschotteten Umgebung, die nur Ihren Arbeitsbereich enthält. Der KI-Anbieter bewahrt Ein- und Ausgaben nach der Auswertung 30 Tage auf, um Missbrauch zu erkennen; für diese Aufbewahrung ist er selbst Verantwortlicher, nicht unser Auftragsverarbeiter. Zum Training seiner Modelle verwendet er die Inhalte nicht: Diese Verwendung ist in unserem Konto bei ihm ausgeschaltet. Bis zum 4. Oktober 2026 war Anthropic Ireland, Limited, Dublin, Irland, unser KI-Anbieter. Nach dessen eigenen Angaben (Stand 1. Juli 2026) hat er das, was bis dahin dorthin übermittelt wurde, in den USA gespeichert, löscht Ein- und Ausgaben innerhalb von 30 Tagen, bewahrt Inhalte, die seine Sicherheitssysteme markieren, bis zu 2 Jahre und deren Klassifizierungswerte bis zu 7 Jahre auf, und länger, wo ein Gesetz es von ihm verlangt; das ist seine Angabe, keine Zusage von uns. Ein Unternehmen kann die KI-Auswertung in den Einstellungen ausschalten («KI-Auswertung aus»); dann geht keine Anfrage mit seinen Daten an den KI-Anbieter, weder beim Hochladen noch über «Jetzt auswerten», den Assistenten oder bei mehrstufigen Aufgaben. Untersteht es einer gesetzlichen Verschwiegenheitspflicht seines Berufsrechts (etwa § 80 WTBG 2017) oder führt es Bücher für Dritte, ist die KI-Auswertung zunächst aus und lässt sich erst einschalten, wenn es bestätigt, dass seine Mandanten den Beizug vorgängig genehmigt haben — diese Bestätigung halten wir fest; für Berufe nach Art. 321 des schweizerischen Strafgesetzbuchs ist sie aus und lässt sich nicht einschalten, ebenso für die Daten eines Mandanten, für den es Revisionsstelle nach schweizerischem Recht ist.

Einen Zahlungsanbieter setzen wir nicht ein: Pläne werden auf Rechnung bezahlt.

An Behörden geben wir Daten nur heraus, wenn wir gesetzlich dazu verpflichtet sind.

6. Übermittlung in Drittländer

Liegt der Serverstandort (Schweiz) in der Schweiz, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz (Art. 45 DSGVO); eine zusätzliche Garantie ist dafür nicht erforderlich.

Unser Vertragspartner für die KI-Auswertung ist Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich (RCS Paris 952 418 325), ein Unternehmen mit Sitz in der EU. Bei der Nutzung der KI-Funktionen werden ihm Inhalte übermittelt. Wir senden sie nur an seinen regionalen Zugang für Europa (api.eu.mistral.ai); für diesen nennt er Rechenzentren in Staaten der EU und der EFTA. Im EWR gilt die DSGVO; für Rechenzentren in der Schweiz gilt der Angemessenheitsbeschluss 2000/518/EG (Art. 45 DSGVO). Steuerungsdaten seines Dienstes («control-plane data») können nach seinen Angaben auch außerhalb dieser Staaten verarbeitet werden. Seine Unterauftragsverarbeiter veröffentlicht er unter trust.mistral.ai/subprocessors; dort nennt er unter anderem für die Weiterleitung des Datenverkehrs Cloudflare mit dem Ort «Worldwide» (weltweit) und für die Sicherheit CrowdStrike mit «EEA, United States» (EWR und USA). Nach seinen Angaben können Inhalte auch an seine verbundenen Gesellschaften («Mistral AI Affiliates») gelangen; deren Liste (gültig ab 28. Juli 2026) nennt Gesellschaften in Frankreich, Luxemburg, Singapur, dem Vereinigten Königreich, den USA, Spanien, der Schweiz, Polen, Deutschland, Österreich, Australien, den Vereinigten Arabischen Emiraten und den Niederlanden, ohne zu sagen, welche davon für welches Produkt Inhalte erhält; wir nennen deshalb alle diese Staaten als mögliche Empfängerstaaten. Befinden sich weitere unserer Dienstleister außerhalb des EWR, stellen wir ein angemessenes Schutzniveau ebenfalls durch einen Angemessenheitsbeschluss oder geeignete Garantien sicher (insbesondere Standardvertragsklauseln). Eine Kopie der Garantien erhalten Sie auf Anfrage.

7. Speicherdauer

Kontodaten bewahren wir für die Dauer des Vertrags auf. Unsere eigenen Rechnungs- und Zahlungsbelege bewahren wir zehn Jahre ab dem Ende des Kalenderjahres, in dem unser Geschäftsjahr endet, und darüber hinaus, solange sie für ein anhängiges Gerichts-, Behörden- oder Abgabenverfahren von Bedeutung sind auf; Rechtsgrundlage ist unser berechtigtes Interesse, unsere Aufbewahrungspflichten zu erfüllen und Ansprüche nachzuweisen (Art. 6 Abs. 1 lit. f DSGVO), und, soweit uns österreichisches Recht zur Aufbewahrung verpflichtet, diese Pflicht (Art. 6 Abs. 1 lit. c DSGVO). Nach Vertragsende geben wir Inhalte auf Verlangen innerhalb von 30 Tagen heraus und löschen sie danach; was dann noch bleibt, nennen Ziffer 10 der AGB und Ziffer 9 des AVV. Datensicherungen werden spätestens nach 30 Tagen überschrieben. Das Ereignis- und das Versandprotokoll der Plattform (Abschnitt 2) kürzen wir derzeit nicht nach einer festen Frist: Sie bleiben, solange wir die Software betreiben, auch nach der Löschung eines Unternehmens, als Nachweis von Zustimmungen, Einladungen, Änderungen von Rechten und versandten Mitteilungen (Art. 6 Abs. 1 lit. f DSGVO). Das Sicherheitsprotokoll (Abschnitt 2) löschen wir 365 Tage nach dem jeweiligen Ereignis, auch nach dem Ende des Vertrags (Art. 6 Abs. 1 lit. f DSGVO); in Datensicherungen bleibt es höchstens 30 Tage länger. Eine Kopie jedes abgeschlossenen Tages bewahren wir zusätzlich getrennt vom System auf einem zweiten Server in der Schweiz auf, auf dem sie sich vom System aus weder ändern noch löschen lässt; dort löschen wir sie, sobald seit dem Ende des jeweiligen Tages 372 Tage vergangen sind, spätestens 30 Tage nach der Löschung auf dem System. Das Zugriffsprotokoll löschen wir nach 30 Tagen; in Datensicherungen bleibt es höchstens 30 Tage länger. Einmal verwendete oder abgelaufene Links zur Bestätigung und zum Zurücksetzen werden nicht weiter verwendet; Sitzungen verfallen spätestens nach ihrer Laufzeit.

8. Datensicherheit

Wir schützen die Daten mit angemessenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem: verschlüsselte Übertragung (HTTPS), Speicherung von Passwörtern nur als gesalzener Hashwert (scrypt), getrennte Arbeitsbereiche pro Unternehmen, isolierte Ausführung der KI-Auswertungen pro Unternehmen, Schutz vor Anfragen fremder Websites, Begrenzung von Anmeldeversuchen, Protokollierung von Änderungen, ein Zugriffsprotokoll ohne Inhalte, eine tägliche Prüfung jedes gespeicherten Belegs auf unbemerkte Veränderung, die Protokollierung der Zugriffe unseres Supports, eine Überwachung des Servers auf dem Server selbst sowie regelmäßige Datensicherungen.

9. Keine automatisierte Entscheidung im Einzelfall

Die Software erstellt mit Hilfe von KI Vorschläge — etwa einen Buchungsentwurf oder einen Hinweis auf einen fehlenden Beleg. Diese Vorschläge werden erst wirksam, wenn eine Person sie freigibt. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung, die wir auf ein berechtigtes Interesse stützen (Art. 21). Wenden Sie sich dazu an info@calio.ch. Wir können einen Identitätsnachweis verlangen und antworten innerhalb eines Monats.

Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40—42, 1030 Wien, www.dsb.gv.at; Sie können sich auch an die Behörde Ihres Aufenthaltsorts oder Arbeitsplatzes wenden.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung ändert, zum Beispiel beim Wechsel eines Auftragsverarbeiters. Über den Beizug oder Wechsel eines Auftragsverarbeiters informieren wir unsere Kundinnen und Kunden mindestens 30 Tage im Voraus per E-Mail und in der Software; ab der Mitteilung steht er in Abschnitt 5, mit dem Tag, ab dem er frühestens eingesetzt wird. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 6. Oktober 2026 · Version 2026-10-06.1