Datenschutz

Was Zeffio speichert, wozu, wo es liegt und wie Sie es wieder loswerden. Diese Seite beschreibt den tatsächlichen Stand der Software, nicht eine Absichtserklärung.

Verantwortliche Stelle

Benjamin Brodwolf, Spiegelbergstrasse 23, 4059 Basel — Kontakt: hallo@zeffio.app. Vollständige Angaben im Impressum.

Zwei Rollen, die man auseinanderhalten muss

In Zeffio gibt es zwei Arten von Daten, und die Verantwortung dafür liegt an verschiedenen Stellen:

• Ihre Kontodaten — Name, E-Mail, Anmeldungen, Einstellungen. Dafür sind wir verantwortlich.
• Ihre Geschäftsdaten — Ihre Kundinnen und Kunden, deren Kontakte, Ihre Rechnungen, Zeiten und Belege, Ihre Projekte samt Dateien, Ihre Aufgaben samt Kommentaren und Dateien, die Abwesenheiten Ihres Teams. Diese Daten geben Sie ein; Sie sind dafür verantwortlich, wir verarbeiten sie in Ihrem Auftrag. Zeffio wertet sie nicht aus, gibt sie nicht weiter und nutzt sie nicht für eigene Zwecke.

Welche Daten verarbeitet werden

Was Zeffio nicht tut

• In der App: kein Zählskript, gar keines. In app.zeffio.app läuft nichts, was Ihr Verhalten aufzeichnet. Wie viele Personen Zeffio nutzen, zählen wir dort aus den Anmeldedaten, die für den Betrieb ohnehin entstehen, und nur als Tagessummen — siehe Nutzungszahlen.
• Der Meldeknopf zeichnet keinen Weg auf. Damit eine Fehlermeldung brauchbar ist, merkt sich die App die letzten Fehler — fehlgeschlagene Anfragen und Programmfehler, je mit der Seite, auf der sie auftraten. Keine besuchten Seiten, keine Klicks, nichts, was Sie eingetippt haben, und keine Bildschirmaufnahme. Diese Liste liegt im Arbeitsspeicher Ihres Browsers, ist nach dem Neuladen weg und verlässt ihn nur, wenn Sie selbst eine Meldung absenden. Vorher zeigt der Dialog, was mitgeht.
• Auf dieser Website: wir zählen Besuche, aber selbst. Auf zeffio.app läuft eine Besucherzählung auf unserem eigenen Server — kein Google Analytics, kein Dienst eines Dritten, keine Werbenetzwerke. Ihr Browser lädt dafür nichts von einer fremden Adresse. Was dabei gezählt wird, steht unten unter Besuche dieser Website. Das ist der einzige Unterschied zwischen Website und App — und er steht hier, statt in einer gemeinsamen Formulierung unterzugehen.
• Keine Weitergabe zu Werbezwecken. Ihre Daten werden nicht verkauft und nicht für Profile genutzt.
• Kein Mitlesen. Ihre Geschäftsdaten werden nicht ausgewertet, um daraus Kennzahlen über Sie zu gewinnen.

Was im Browser gespeichert wird

Auf dieser Website setzen wir keine Cookies — weder eigene noch fremde. Auch die Besucherzählung kommt ohne aus; sie erkennt Sie nicht wieder (siehe Besuche dieser Website). Es gibt darum kein Cookie-Banner.

In der App gibt es genau ein Cookie, und es dient allein dazu, Sie angemeldet zu halten. Es zählt nichts, es misst nichts, und es verlässt Zeffio nicht:

• zeffio_refresh — das einzige Cookie. Damit verlängert die App Ihre Anmeldung, ohne dass Sie das Passwort erneut eingeben müssen. Es ist als HttpOnly gesetzt, kann also von keinem Skript im Browser gelesen werden, und es wird nur an genau eine Adresse mitgeschickt (den Verlängerungsaufruf), nicht an jede. Laufzeit 30 Tage; beim Abmelden wird es gelöscht und die Sitzung auch serverseitig beendet.

Daneben liegt im Speicher Ihres Browsers:

• zeffio_token — Ihr Anmeldeschlüssel für den laufenden Zugriff, gültig 15 Minuten. Beim Abmelden wird er gelöscht.
• zeffio_lang — die Sprache, die Sie vor der Anmeldung gewählt haben.
• zeffio_theme — ob die App hell oder dunkel erscheint, falls Sie das unter Einstellungen › Darstellung gewählt haben. Solange «Wie das System» gilt, wird nichts gespeichert. Der Eintrag gehört zum Browser, nicht zum Konto, und bleibt beim Abmelden stehen.
• Ein Zwischenspeicher der Anwendung selbst (damit sie schnell startet und offline erfasste Zeiten nicht verloren gehen). Zwischengespeicherte Daten sind pro Konto getrennt und werden beim Abmelden verworfen.

Auftragsverarbeiter

Zeffio kommt mit wenigen Dienstleistern aus. Fünf sind im Einsatz, ein sechster (die Alarmierung) nur, wenn der Betreiber ihn einrichtet — auch er ist hier aufgeführt, weil eine Liste, die einen tatsächlich genutzten Dienst auslässt, keine vollständige Liste ist.

Ein Zugangsschlüssel zu diesen Diensten verlässt den Server nie — die Anfragen laufen serverseitig, nicht aus Ihrem Browser.

Die Dienste mit dem Vermerk «EU» sitzen in Frankreich. Die EU-Staaten stehen in Anhang 1 der Datenschutzverordnung (DSV) — der Liste der Staaten mit angemessenem Datenschutz, die der Bundesrat nach Art. 16 Abs. 1 DSG festlegt —, die Übermittlung dorthin braucht darum keine zusätzlichen Garantien. Für Kunden in der EU gilt umgekehrt der Angemessenheitsbeschluss der EU-Kommission für die Schweiz.

Für die Daten, die Sie in Zeffio über Ihre Kundinnen, Kunden und Ihr Team erfassen, gilt unser Auftragsverarbeitungsvertrag (AVV). Diese Liste ist sein Anhang 2: Einen neuen oder anderen Dienstleister kündigen wir Ihnen mindestens 30 Tage im Voraus per E-Mail an. Das vollständige Verzeichnis der technischen und organisatorischen Massnahmen (Art. 32 DSGVO) samt einer offenen Liste dessen, was noch fehlt, steht unter AVV-Grundlage und TOM-Verzeichnis.

E-Mails aus Zeffio

Rechnungen, Gutschriften, Stornierungen, Mahnungen und Offerten werden von send@mail.zeffio.app versendet, mit Ihrer Adresse als Antwortadresse: Die Antwort Ihres Kunden geht direkt an Sie, nicht an uns. Das gilt, solange Sie keine eigene Absenderadresse verbunden haben (Abschnitt darunter). Das gemailte PDF wird als Archivkopie gespeichert, damit Sie den Versand später belegen können. Adressen, die dauerhaft unzustellbar sind oder Werbung abbestellt haben, landen auf einer Sperrliste, damit nicht weiter an sie versendet wird.

Eigene Absenderadresse

In den Einstellungen können Sie eine eigene Absenderadresse verbinden. Ohne diesen Schritt geschieht nichts. Solange sie aktiv ist, gehen Rechnungen, Gutschriften, Stornierungen, Mahnungen und Offerten nicht mehr über unseren Versanddienst, sondern über den Anbieter Ihres Postfachs: über dessen SMTP-Server — etwa Infomaniak, Hostpoint, Swisscom (Bluewin), Sunrise, GMX, WEB.DE, T-Online, IONOS, Strato, Google, Apple oder Ihr Webhoster — oder, nach Ihrer Anmeldung beim Anbieter, über Microsoft 365 bzw. Outlook.com oder über Gmail bzw. Google Workspace. Dieser Anbieter erhält die vollständige Mail: Empfänger, Kopie- und Blindkopie-Empfänger, Betreff, Text und Anhänge. Auch der Bestätigungscode beim Verbinden (bei Microsoft nur für ein geteiltes Postfach) und die Testmail gehen über diesen Weg; über Microsoft bzw. Google legt der Anbieter zudem eine Kopie jeder Mail in den «Gesendeten Elementen» bzw. unter «Gesendet» ab. Über unseren Versanddienst gehen Kundenmails trotz verbundener Adresse nur, solange sie noch nicht bestätigt oder pausiert ist, oder wenn Sie es für eine einzelne Mail ausdrücklich wählen. Alle übrigen Mails an Sie und Ihr Team — Bestätigung, Passwort, Einladung, Sicherheitshinweise, die Warnung bei einem getrennten Absender — gehen weiterhin über unseren Versanddienst.

Ihr Mailanbieter ist kein Auftragsverarbeiter von Zeffio und steht darum nicht in der Liste oben: Sie wählen ihn, und für die Daten dort gelten seine Bedingungen — wie beim Kalender-Abo. Microsoft und Google bearbeiten Mails in der Regel auch ausserhalb der Schweiz; in welchem Land, hängt von Ihrem Konto bei diesem Anbieter ab.

Bei uns gespeichert werden die Adresse, der Absendername und die Antwortadresse, der Weg (Server, Port und Benutzername bzw. das Microsoft- oder Google-Konto, das zugestimmt hat, bei Google mit seiner festen Kennung) und der Zustand (bestätigt, zuletzt erfolgreich, letzter Fehler). Dazu das Passwort Ihres Postfachs bzw. bei Microsoft und Google ein erneuerbarer Zugangsschlüssel — verschlüsselt, nur für den Versand und die Prüfung der Anmeldung verwendet, nie angezeigt und nie in einer Antwort der Anwendung. Bei Microsoft erhält Zeffio nur Rechte zum Senden — in Ihrem Namen (Mail.Send) und, nur wenn Sie ein geteiltes Postfach verbinden, aus diesem Postfach, für das Sie «Senden als» oder «Senden im Auftrag von» haben (Mail.Send.Shared, nur bei Firmen- und Schulkonten) — und liest dafür Ihren Namen und Ihre Adresse; Ihr Postfach liest Zeffio nicht. Bei Google erhält Zeffio nur das Recht, in Ihrem Namen zu senden (gmail.send), und liest dafür die Adresse Ihres Google-Kontos (openid, email); auch hier liest Zeffio keine Mails, Kontakte oder Einstellungen. Über Google verbindet Zeffio nur die Adresse des Kontos selbst, keinen Alias.

Daten von Google. «The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements.» Das heisst: Die Nutzung von Informationen, die Zeffio über Google-APIs erhält, und deren Weitergabe an andere Apps halten sich an die Google API Services User Data Policy und die Google Workspace API User Data and Developer Policy, einschliesslich der Anforderungen zur eingeschränkten Nutzung («Limited Use»). Konkret: Zeffio verwendet den Zugang zu Gmail ausschliesslich, um die Mails zu senden, die Sie in Zeffio auslösen. Adresse und Kennung Ihres Google-Kontos verwendet Zeffio, um zu prüfen, dass das Konto zur verbundenen Absenderadresse gehört, um es in den Einstellungen zu nennen und um eine Freigabe beim Trennen nur zurückzuziehen, wenn sie kein anderer Absender mehr braucht. Damit der Zugang nicht verfällt, erneuert Zeffio ihn bei Google wie bei Microsoft mindestens einmal im Monat; gesendet wird dabei nichts. Diese Daten werden nicht an Dritte weitergegeben, nicht für Werbung verwendet, nicht verkauft und nicht zum Trainieren von KI-Modellen genutzt; Menschen bei Zeffio lesen sie nicht, ausser Sie bitten ausdrücklich darum, aus Sicherheitsgründen oder weil das Gesetz es verlangt.

Zu jeder versendeten Mail halten wir zusätzlich den Weg und die Adresse im «Von» fest. Meldungen zur Zustellung, etwa über unzustellbare Mails, gehen auf diesem Weg an Ihr Postfach, nicht an uns.

Mit «Trennen» löschen wir die Verbindung samt Passwort bzw. Zugangsschlüssel sofort; danach gehen die Mails wieder über send@mail.zeffio.app. Erhalten bleibt, was den Versand belegt: bei jeder versendeten Mail der Weg und die Absenderadresse, und im Team-Protokoll, wer wann welche Adresse verbunden, geändert oder getrennt hat — mit dem Server bzw. dem Microsoft-Konto, über das sie lief. Bei Microsoft löscht «Trennen» den Zugangsschlüssel bei uns; widerrufen kann ihn nur Microsoft. Entfernen Sie Zeffio darum auch dort: bei einem privaten Konto im Microsoft-Konto unter «Datenschutz» › «Apps und Dienste», bei einem Firmen- oder Schulkonto unter myapplications.microsoft.com. Bei Google ziehen wir mit «Trennen» auch die Freigabe bei Google zurück — ausser dasselbe Google-Konto ist noch in einem anderen Zeffio-Konto als Absender verbunden; dann bleibt sie, bis auch dort getrennt ist. Endet die Verbindung auf anderem Weg (die Person verlässt das Team, ein Konto wird gelöscht), löschen wir den Zugangsschlüssel bei uns, und die Freigabe entfernen Sie im Google-Konto unter «Sicherheit» › «Drittanbieter-Apps und -Dienste». Mit Ihrem Konto wird auch die Absenderadresse gelöscht, und wechselt Ihr Team den Inhaber, geht sie nicht mit. Verlässt die Person, die die Adresse verbunden hat, Ihr Team oder löscht sie ihr Konto, trennen wir die Adresse ebenso — in ihr steckt das Passwort bzw. die Zustimmung dieser Person —, und Sie erhalten einen Hinweis in der App.

Kalender-Abo

In den Einstellungen können Sie einen privaten Kalender-Link erzeugen und ihn in Google Calendar, Apple Kalender oder Outlook eintragen. Ohne diesen Schritt geschieht nichts. Ist er eingetragen, ruft Ihr Kalenderanbieter den Link von seinen eigenen Servern ab, ohne Anmeldung, alle paar Stunden. Er erhält dabei Projektnamen mit Deadline, Titel von Meilensteinen und Aufgaben mit Fälligkeits- oder Beginndatum (bei einer Aufgabe mit Uhrzeit auch diese) und einen Link auf das Projekt in Zeffio — nur, was Sie in Zeffio selbst sehen dürfen. Bei einer Aufgabe stehen ausserdem ihr Abschnitt im Projekt und die Namen aller Personen dabei, die an ihr arbeiten; was erledigt ist, trägt den Vermerk «erledigt». Gehören Sie zu mehr als einem Team, steht zusätzlich der Name des jeweiligen Teams dabei. Abwesenheiten gibt der Link nicht heraus, auch Ihre eigenen nicht.

Ihr Kalenderanbieter ist kein Auftragsverarbeiter von Zeffio und steht darum nicht in der Liste oben: Sie wählen ihn, und für die Daten dort gelten seine Bedingungen. Google verarbeitet sie in der Regel auch ausserhalb der Schweiz. Trägt einer dieser Titel den Namen einer Kundin oder eines Kunden, landet dieser Name dort. Gespeichert wird bei uns nur ein Hash des Links; wer den Link hat, sieht die Termine. Mit «Abo beenden» oder einem neuen Link gilt der alte sofort nicht mehr; dasselbe passiert automatisch, wenn Sie Ihr Passwort ändern oder zurücksetzen.

Nutzungszahlen

Wir möchten wissen, ob und wie stark Zeffio genutzt wird. Dafür ist kein Analysedienst und kein Zählpixel im Einsatz — gezählt wird aus den Sitzungs- und Kontodaten, die für die Anmeldung ohnehin entstehen.

• Was gezählt wird: pro Kalendertag die Anzahl aktiver Konten, davon wiederkehrende, neue Registrierungen, gestartete Demo-Zugänge und die Zahl der Anmeldungen. Zusätzlich sehen wir, wie viele Konten gerade aktiv sind, wie viele Konten es insgesamt gibt und wie viele davon ihre E-Mail-Adresse bestätigt haben — Letzteres, weil ein Konto ohne bestätigte Adresse keine Rechnungsmail versenden kann und wir merken müssen, wenn unsere Bestätigungsmails nicht ankommen.
• Was nicht gezählt wird: Ihre Geschäftsdaten. Wie viele Rechnungen Sie schreiben, für wen und über welche Beträge, fliesst in keine Statistik ein. Diese Daten verarbeiten wir in Ihrem Auftrag und werten sie nicht aus.
• Form: Es werden ausschliesslich Summen gespeichert — eine Zeile pro Tag mit Zahlen darin. Keine Kontokennungen, keine IP-Adressen, keine Namen. Aus einer solchen Zeile lässt sich niemand zurückverfolgen.
• Warum überhaupt gespeichert: Die Sitzungszeiten werden laufend überschrieben und abgelaufene Demo-Zugänge gelöscht. Ohne diese Tageszusammenfassung wäre jeder vergangene Tag dauerhaft unbekannt.

Besuche dieser Website

Der Abschnitt oben betrifft die App. Auf zeffio.app — also hier — zählen wir zusätzlich die Seitenaufrufe, damit wir wissen, ob überhaupt jemand vorbeikommt und welche Hilfe-Artikel gelesen werden.

• Womit: GoatCounter, eine quelloffene Zählsoftware, die auf unserem eigenen Server läuft. Auch das Zählskript selbst liegt auf unserem Server. Ihr Browser stellt dafür also keine einzige Anfrage an einen fremden Anbieter, und niemand ausser uns bekommt die Zahlen zu sehen.
• Keine Cookies, kein Wiedererkennen. Es wird nichts in Ihrem Browser abgelegt, um Sie beim nächsten Besuch wiederzuerkennen. Um zu schätzen, ob zwei Aufrufe zum selben Besuch gehören, bildet die Software für höchstens acht Stunden eine Zufallskennung — die Grundlage dafür (Ihre IP-Adresse und die Browserkennung) wird dabei nicht gespeichert, weder in der Datenbank noch auf der Festplatte.
• Was gespeichert wird: die aufgerufene Seite, die verweisende Seite, das Land, die Bildschirmbreite, Browser und Betriebssystem — als Summen. Dazu einzelne Ereignisse: welche Schaltflächen auf der Startseite geklickt werden, welche häufigen Fragen aufgeklappt werden, ob ein Hilfe-Artikel als hilfreich bewertet wurde, und welche Suchbegriffe im Hilfebereich nichts gefunden haben. Der letzte Punkt ist der eigentliche Grund für die ganze Übung: er sagt uns, welche Anleitung fehlt.
• Was nicht gespeichert wird: keine IP-Adresse, kein Name, keine Kennung, mit der sich ein einzelner Besuch nachverfolgen liesse. Die Einzelaufzeichnung von Seitenaufrufen, die die Software optional anbietet, ist ausgeschaltet.
• Hilfreich-Bewertungen: Ein Klick auf «Ja» oder «Nein» unter einem Hilfe-Artikel zählt eine Stimme zu diesem Artikel — eine Meinung über einen Text, nicht über eine Person. Wer geklickt hat, wissen wir nicht. Wenn Sie zusätzlich schreiben möchten, was gefehlt hat, geschieht das über eine ganz normale E-Mail, die Sie selbst absenden.
• Sich selbst ausnehmen: Sie können sich von der Zählung ausschliessen. Dabei — und nur dabei — wird ein Merker in Ihrem Browser gesetzt, der nichts weiter enthält als die Angabe, nicht gezählt zu werden.

Rechtsgrundlage ist unser berechtigtes Interesse daran zu wissen, ob und wie diese Website genutzt wird. Da nichts in Ihrem Browser abgelegt und keine IP-Adresse gespeichert wird, holen wir dafür keine Einwilligung ein — es gibt nichts, dem zuzustimmen wäre. Sie können der Zählung jederzeit widersprechen: eine Nachricht an hallo@zeffio.app genügt.

Speicherdauer

• Konto und Geschäftsdaten: solange Ihr Konto besteht. Sie können Daten jederzeit selbst löschen; Belege, die Ihr Kunde hat oder die abgeschlossen sind, legt Zeffio dabei in ein Archiv (nächster Punkt). Datenbank-Sicherungen werden standardmässig 14 Tage aufbewahrt, ausgelagerte Kopien davon höchstens 60 Tage; so lange kann eine gelöschte Zeile noch in einer Sicherung liegen. Hochgeladene Dateien (Belege, Anhänge) können in einem getrennten Speicher liegen; eine gelöschte Datei bleibt dort höchstens 21 Tage und danach höchstens 60 Tage in einer ausgelagerten Kopie.
• Archivierte Belege: Löschen Sie einen Beleg, den Ihr Kunde hat oder der abgeschlossen ist (etwa eine bezahlte oder stornierte Rechnung), löscht Zeffio ihn nicht sofort, sondern legt ihn in ein Archiv innerhalb Ihres Kontos. Dort ist er aus Ihren Arbeitslisten ausgeblendet und nur lesbar, zählt aber in MWST-Abrechnung, Berichten und Exporten weiter; Sie können ihn jederzeit zurückholen. Eine noch offene Rechnung wird dabei zuerst storniert, und auf Wunsch geht dem Kunden die Stornierung per Mail zu. Zeffio rechnet das Ende der Aufbewahrungsfrist aus — zehn Jahre ab Ende des Geschäftsjahres (Art. 958f OR), bei Ausgaben zwanzig Jahre (Art. 70 Abs. 3 MWSTG: Unterlagen zu Liegenschaften, die Zeffio nicht von anderen unterscheiden kann), wobei Zeffio das Kalenderjahr als Geschäftsjahr annimmt (fällt der Tag in ein in der Buchhaltung erfasstes Geschäftsjahr, dessen Ende) — und löscht den Beleg ein Jahr danach von selbst, in einem nächtlichen Lauf. Das zusätzliche Jahr ist eine Reserve für ein abweichendes Geschäftsjahr (Beispiel: Fristende 31. Dezember 2036, Löschung ab 1. Januar 2038). Mit dem Beleg werden unter anderem seine Positionen, Zahlungen, Mahnungen, versendeten Mails samt PDF, Portal-Zugriffe, Anhänge und die auf der Rechnung verrechneten Zeiteinträge gelöscht; bestehen bleiben die Belegnummer (sie wird nie wieder vergeben) und eine Protokollzeile mit den Belegnummern und ihrer Anzahl, ohne Beträge und ohne Kundendaten; aus den früheren Zeilen des Team-Protokolls zu diesen Belegen entfernt Zeffio dabei den Namen des Kunden bzw. des Lieferanten. Ein Beleg, der den Kunden nie erreicht hat, wird dagegen sofort gelöscht. Das Archiv besteht nur, solange Ihr Konto besteht: Mit dem Konto wird auch das Archiv gelöscht. Anleitung: Belege löschen und das Archiv.
• Konten ohne bestätigte E-Mail-Adresse: nach 30 Tagen. Wer sich registriert, aber den Bestätigungslink nie anklickt, kann sich nicht anmelden — ein solches Konto enthält nur Name, E-Mail-Adresse und das verschlüsselte Passwort. Nach 7 Tagen erhalten Sie eine Erinnerung mit einem neuen Bestätigungslink und dem Datum der Löschung, nach 30 Tagen löschen wir das Konto samt E-Mail-Adresse. Sie müssen dafür nichts tun; wurde die Adresse versehentlich von jemand anderem eingetragen, verschwindet der Eintrag von selbst. Meldet unser Mailversand irgendeine Mail an die Adresse dieses Kontos als unzustellbar, löschen wir schon 3 Tage nach dieser Meldung, im nächsten nächtlichen Lauf — ohne weitere Erinnerung, denn eine solche könnte ohnehin nie ankommen. Das gilt für jede Mail, die Zeffio für dieses Konto an seine Adresse schickt: die Bestätigung, die Erinnerung und auch den Link zum Zurücksetzen des Passworts. Und es gilt gleich, ob es die Adresse nicht gibt oder der Versanddienst die Mail endgültig verworfen hat. Nur ein Rückläufer, der einer bereits bestätigten Zustellung widerspricht, zählt nicht. Enthält ein solches Konto wider Erwarten Geschäftsdaten, wird es nicht automatisch gelöscht.
• Sitzungen: bis Sie sich abmelden oder die Sitzung abläuft.
• Eigene Absenderadresse: bis Sie sie trennen, Ihr Konto löschen oder die Person, die sie verbunden hat, Ihr Team verlässt; Passwort bzw. Zugangsschlüssel verschwinden dabei sofort mit. Die versendeten Mails behalten den Vermerk, über welchen Weg und mit welcher Adresse sie hinausgingen — er gehört zum Versandnachweis.
• Sicherheits- und Team-Protokoll: es bleibt bestehen, solange das Konto besteht — ein Protokoll, das sich löschen lässt, wäre keines.
• Zugriffsprotokoll des Betreiberbereichs: eine Löschfrist gibt es noch nicht. Es bleibt bestehen — auch wenn Ihr Konto gelöscht wird, denn es beschreibt, was wir getan haben, nicht Ihr Konto. Im Datenexport ist es nicht enthalten; Auskunft darüber geben wir auf Anfrage.
• Abwesenheiten im Team: bis ein Jahr nach ihrem letzten freien Tag. Danach löscht Zeffio eine vergangene Abwesenheit von selbst, in einem nächtlichen Lauf — auch einen Tag des ganzen Teams, etwa einen Feiertag. Beispiel: eine Abwesenheit bis zum 20. Juli 2026 wird in der Nacht auf den 21. Juli 2027 gelöscht. Das Jahr gibt dem Team einen Rückblick, etwa auf die Ferien im Vorjahr; für die Planung braucht es eine vergangene Abwesenheit nicht. Einzeln löschen kann eine Abwesenheit, wer das Team verwaltet, und die eigene jede Person, die Aufgaben bearbeiten darf. Verlässt eine Person das Team oder wird sie daraus entfernt, werden ihre Abwesenheiten dort gelöscht; löscht sie ihr Konto, ihre Abwesenheiten in jedem Team.
• Ihre Beiträge im Team eines anderen Kontos: sie bleiben dort bestehen — auch wenn Sie Ihr Konto löschen. Sie gehören zu den Unterlagen dieses Teams. Kommentare, die Sie dort an Aufgaben geschrieben haben, bleiben mit ihrem Text und Ihrem Namen stehen; dasselbe gilt für Ihren Namen im Team-Protokoll. Zeiteinträge und Dateien, die Sie dort erfasst oder hochgeladen haben, bleiben ohne Verweis auf Ihr Konto, ebenso eine Abwesenheit, die Sie dort für eine andere Person oder das ganze Team eingetragen haben. Ihre eigenen Abwesenheiten dort bleiben dagegen nicht (siehe «Abwesenheiten im Team»). Einzeln entfernen kann einen solchen Kommentar danach nur, wer das Team verwaltet. Solange Ihr Konto besteht, gibt «Meine Daten herunterladen» Ihre Kommentare und Ihre eigenen Abwesenheiten heraus, auch aus fremden Teams.
• Meldungen aus der App: sie bleiben bestehen — auch wenn Sie Ihr Konto löschen. Dabei fällt der Verweis auf Ihr Konto weg; Ihr Text, die technischen Angaben und eine Kontaktadresse, die im Meldedialog stand, bleiben in der Meldung. Der Grund ist der Zweck: Wer sein Konto wegen eines Fehlers löscht, ist genau die Person, deren Meldung diesen Fehler noch beschreibt. Soll auch die Meldung weg, genügt eine Nachricht an hallo@zeffio.app — wir löschen sie von Hand.
• Versandnachweise und archivierte PDFs: so lange, wie Sie sie als Beleg brauchen können — gehört das PDF zu einem archivierten Beleg, bis dieser nach Ablauf der Frist gelöscht wird (siehe «Archivierte Belege»). Buchhaltungsunterlagen unterliegen in der Schweiz einer zehnjährigen Aufbewahrungspflicht — das betrifft Ihre Pflichten als Unternehmen, nicht unsere.
• Demo-Zugänge: ein Demo-Start erzeugt einen eigenen, kurzlebigen Testbereich, der nicht mit anderen geteilt wird und wieder verschwindet.
• Nutzungszahlen: die Tageszeilen bleiben bestehen. Sie enthalten nur Summen und keinen Personenbezug — es gibt daher nichts, das gelöscht werden müsste.
• Besuche dieser Website: ebenfalls nur Summen, ebenfalls ohne Personenbezug. Die Zuordnung zweier Aufrufe zum selben Besuch besteht höchstens acht Stunden und nur im Arbeitsspeicher — sie überlebt keinen Neustart und wird nie gespeichert.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenübertragbarkeit und Widerspruch. Vieles davon erledigen Sie in der App direkt:

• Auskunft und Übertragbarkeit: Unter Einstellungen → Konto löschen gibt «Meine Daten herunterladen» Ihre gespeicherten Daten als CSV in einer ZIP-Datei heraus — Kunden, Projekte, Zeiten, Aufgaben samt Kommentaren und dem Vermerk, worauf sie warten, die Abwesenheiten in Ihrem Team, Rechnungen samt Positionen, Offerten samt Positionen, Verträge, Ausgaben samt Aufteilungen, Zahlungen, Ihre über den Meldeknopf abgeschickten Meldungen samt unserer internen Notiz dazu, die Angaben zu Ihrer eigenen Absenderadresse (ohne Passwort bzw. Zugangsschlüssel) sowie Ihr Mail-, Sicherheits- und Zugriffsprotokoll. Dazu jeden Kommentar, den Sie an einer Aufgabe geschrieben haben, Ihre eigenen Abwesenheiten und Ihre Mitgliedschaften in Teams (Team, Rolle, seit wann, Sollzeit je Woche) — alles auch in den Teams anderer Konten. Als Inhaberin bzw. Inhaber eines Teams erhalten Sie dazu die Mitgliedschaften Ihres Teams samt Rolle und Sollzeit jeder Person. Ohne Anfrage und ohne Wartezeit. Nicht enthalten sind die Dateien selbst — Belegbilder und Dateien an Aufgaben und an Projekten stehen dort nur mit ihrer Grösse, Rechnungs-PDFs fehlen ganz. Belegbilder und Rechnungs-PDFs liegen im Periodenexport, der Buchhaltungsübergabe für Ihre Treuhand, zusammen mit Journal und Prüfsummen; wer alles braucht, lädt beides. Die Dateien an Aufgaben und an Projekten enthält keiner der beiden Exporte — Sie laden sie an der Aufgabe bzw. am Projekt einzeln herunter. Die beiliegende LIESMICH-Datei trägt die Angaben, die eine Auskunft nach Art. 25 DSG in jedem Fall umfasst — Verantwortlicher, Zweck, Herkunft, Aufbewahrungsdauer, Empfänger samt Staat —, und den Zeitpunkt Ihres vorherigen Exports.
• Berichtigung: Ihre Stamm- und Geschäftsdaten sind jederzeit bearbeitbar.
• Löschung: Einzelne Daten löschen Sie selbst; Belege, die Ihr Kunde hat oder die abgeschlossen sind, legt Zeffio dabei in das Archiv Ihres Kontos und löscht sie nach Ablauf der Frist von selbst (siehe «Speicherdauer»). Verlangt eine Kundin oder ein Kunde von Ihnen die Löschung der eigenen Daten, nutzen Sie «Kunde löschen»: Zeffio löscht Entwürfe und Belege ohne Zustellnachweis — auch solche, die nur als versendet markiert sind —, sofern keine Zahlung darauf gebucht ist, sie in keiner abgeschlossenen MWST-Periode liegen und keine Schlussrechnung sie abzieht (dieselbe Regel wie beim einzelnen Löschen), zieht offene Offerten zurück, legt alle übrigen Belege ins Archiv, widerruft die Portal-Links zu den Belegen und Verträgen des Kunden und merkt ihn zur Löschung vor. Solange er vorgemerkt ist, nimmt Zeffio auf seinen Projekten keine neuen Zeiten, Aufgaben, Ausgaben und Dateien an, und neue Portal-Links für ihn lassen sich nicht anlegen. Ist der letzte seiner Belege nach Ablauf der Frist gelöscht, löscht Zeffio auch den Kunden samt Kontakten, Verträgen und seinen Projekten mit Zeiteinträgen und Aufgaben; aus den Zeilen des Team-Protokolls zu dem, was dabei gelöscht wird, entfernt es die Namen des Kunden und seiner Projekte. Solange eine Rechnung offen ist, ein Dauervertrag aktiv oder pausiert ist, ein Guthaben mit Rest besteht, eine Überzahlung nicht als Guthaben gebucht ist, eine Gutschrift, die aufbewahrt werden muss oder schon im Archiv liegt, nicht als Guthaben gebucht ist oder verrechenbare Zeiten oder Auslagen zum Weiterverrechnen noch auf keiner ausgestellten Rechnung liegen, lehnt Zeffio das ab. Das ganze Konto löschen Sie unter Einstellungen → Konto löschen — mit Passwortbestätigung, selbst und endgültig. Eine Vorbedingung: Enthält Ihr Konto Belege (eine ausgestellte Rechnung, eine Ausgabe, ein Kundenguthaben), verlangt die Löschung zuerst «Meine Daten herunterladen» aus der letzten Stunde — ein Klick. Der Grund ist Ihre eigene zehnjährige Aufbewahrungspflicht (Art. 958f OR): Nach der Löschung sind die Unterlagen hier nicht mehr zu holen. Ein Konto ohne Belege löschen Sie ohne diesen Schritt. Gehört Ihnen ein Team mit weiteren Mitgliedern, übergeben Sie es vorher; deren Daten gehören nicht Ihnen allein.

Was die App nicht direkt beantwortet, beantworten wir auf eine Nachricht an hallo@zeffio.app — innert 30 Tagen (Art. 25 Abs. 7 DSG; Art. 12 Abs. 3 DSGVO: ein Monat), kostenlos. Zeffio trifft keine automatisierten Einzelentscheidungen über Sie (Art. 21 DSG, Art. 22 DSGVO).

Sie können sich ausserdem bei der zuständigen Aufsichtsbehörde beschweren — in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Sicherheit

• Übertragung ausschliesslich verschlüsselt (HTTPS).
• Passwörter werden nie im Klartext gespeichert, sondern nur als Hash.
• Optionale Zwei-Faktor-Anmeldung mit Wiederherstellungscodes.
• Eine eigene Absenderadresse spricht Zeffio nur verschlüsselt an: per SMTP ausschliesslich über Port 465 oder 587 mit TLS und geprüftem Zertifikat, und nur Server im Internet, nie ein internes Netz; Microsoft und Google über HTTPS. Das Passwort bzw. der Zugangsschlüssel liegt verschlüsselt ab und lässt sich nur schreiben, nicht wieder abrufen.
• Jede Auswertung ist an Ihr Konto gebunden: Es gibt keinen Weg, über die API Daten eines anderen Kontos zu lesen — das wird bei jeder Abfrage geprüft, nicht nur in der Oberfläche.
• Im Team lassen sich heikle Aktionen (Rechnungsversand, Storno, Export, Zahlungskorrekturen) an eine Freigabe binden.

Änderungen dieser Seite

Ändert sich, was Zeffio verarbeitet, wird diese Seite mitgeführt. Sie gehört zum selben Stand wie die Software; die laufende Version steht in der App unten in der Navigation.