Verantwortliche Stelle
KMU base GmbH (in Gründung), vertreten durch Susanne Egger, Fichtenweg 6, 4537 Wiedlisbach, Schweiz. Telefon +41 31 561 10 90, E-Mail datenschutz@hrbase.ch. Ansprechperson für den Datenschutz: Andreas Toscan. Die KMU base GmbH (in Gründung) ist Verantwortliche im Sinne des Schweizer Datenschutzgesetzes (DSG) und, soweit anwendbar, der DSGVO. Bis zur Eintragung im Handelsregister ist die KMU base GmbH (in Gründung), vertreten durch Susanne Egger, Verantwortliche; danach die eingetragene KMU base GmbH.
Geltungsbereich
Websites der Produktfamilie (kmubase.ch, hrbase.ch, financebase.ch, qmsbase.ch, docubase.ch, salesbase.ch), die Anwendung (app.hrbase.ch) sowie die Mitarbeiter-Apps für iOS und Android. (a) Wir als Verantwortliche für Websites, Anfragen und Kundenkonten; (b) wir als Auftragsverarbeiterin für die Daten, die Kundenfirmen in der Anwendung verarbeiten (z. B. Personaldaten in ) – verantwortlich ist dort die jeweilige Kundenfirma; Grundlage ist ein Auftragsverarbeitungsvertrag (Art. 9 DSG / Art. 28 DSGVO).
Hosting und Speicherort
Die Anwendung, die Websites und alle Sicherungen laufen auf einem eigenen virtuellen Server (VPS) bei der Infomaniak Network SA in Genf, in Rechenzentren in der Schweiz. Infomaniak ist nach ISO 27001 (Informationssicherheit), ISO 9001 (Qualitätsmanagement), ISO 14001 (Umweltmanagement) und ISO 50001 (Energiemanagement) zertifiziert. Daten der Anwendung werden ausschliesslich in der Schweiz gespeichert; die täglichen Sicherungen ebenfalls. Es gelten das Schweizer DSG und, soweit anwendbar, die DSGVO.
Websites
Server-Logdateien (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser) zur Sicherheit, Speicherdauer 14 Tage (Art. 6 Abs. 1 lit. f DSGVO). Keine Analyse- oder Werbe-Tracker. Cookies setzen wir auf den Websites nur, wenn Sie die Sprache wechseln: ein technisch notwendiges Cookie merkt sich die gewählte Sprache (Laufzeit 12 Monate). Schriften werden lokal ausgeliefert, keine Übermittlung an Google.
Kontakt-, Demo- und Offertanfragen
Name, Firma, E-Mail, Telefon, Nachricht; Zweck Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b und f DSGVO); Speicherung bis zur Erledigung, längstens 24 Monate ohne Vertragsabschluss; Missbrauchsschutz über Begrenzung je IP-Adresse.
Demo zum Ausprobieren
Für die Demo zum Ausprobieren verarbeiten wir Firma, Vorname, Nachname, Telefon und E-Mail-Adresse, freiwillig Branche und Sprache, sowie Zeitpunkt der Einwilligung und IP-Adresse (Missbrauchsschutz). Zweck: Ihnen den Link zur Demo-Firma zu schicken, die Demo bereitzustellen und Sie dazu zu kontaktieren. Den Link erhalten Sie per E-Mail; erst damit gelangen Sie in die Demo-Firma. Die Demo-Firma enthält nur erfundene Daten und wird nach 7 Tagen automatisch gelöscht; einen Tag vorher erhalten Sie eine Erinnerung. Ihre Kontaktdaten führen wir als Interessent in unserem Verkauf (), bis Sie die Löschung verlangen (datenschutz@hrbase.ch). Bitte geben Sie in der Demo keine echten Personaldaten ein.
Vorregistrierung und Vorbestellung
Auf der Website können Sie sich für den Start vorregistrieren oder Apps unverbindlich vorbestellen. Wir speichern Ihre E-Mail-Adresse und, falls Sie sie angeben, Name, Firma, Anzahl Mitarbeitende, Telefon und Nachricht, bei einer Vorbestellung zusätzlich Adresse, UID, gewünschten Start und Ihre Auswahl (Apps, Datenübernahme, Empfehlungscode) sowie Zeitpunkt der Einwilligung und IP-Adresse (Missbrauchsschutz). Zweck: Sie vor dem Start zu kontaktieren, zuerst einzurichten und bei einer Vorbestellung Ihr Konto mit der gewählten Auswahl anzulegen. Grundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Bestätigungslink in der E-Mail bestätigen (Double-Opt-in). Mit dem Löschlink in jeder E-Mail oder per Nachricht an datenschutz@hrbase.ch löschen wir alle Angaben sofort. Unbestätigte Einträge löschen wir spätestens nach 90 Tagen, bestätigte spätestens 24 Monate nach dem Start, sofern kein Vertrag zustande kommt.
Anwendung
Technisch notwendige Cookies: Sitzungs-Cookie (httpOnly, endet mit dem Browser bzw. nach 12 Stunden Inaktivität) und Sprach-Cookie (gewählte Sprache, 12 Monate). Anmeldedaten (E-Mail, Passwort nur als Argon2-Hash), Zugriffsprotokoll (wer hat wann welche Personendaten gesehen oder geändert), Aufbewahrung gemäss Vorgaben der Kundenfirma. Bewerbungen: Löschung nach der von der Kundenfirma festgelegten Frist (Standard 6 Monate), Talent-Pool nur mit Einwilligung.
Mitarbeiter-App
In der Mitarbeiter-App und im Browser nutzen wir Funktionen Ihres Geräts nur für den genannten Zweck, nur mit Ihrer Zustimmung (Abfrage durch das Betriebssystem) und – wo vermerkt – nur, wenn Ihr Arbeitgeber die Funktion einschaltet: • Kamera: Scannen Ihres QR-Badges und von Codes, Fotos von Belegen, Dokumenten und Visitenkarten. Am Stempel-Terminal kann Ihr Arbeitgeber ein Belegfoto beim Stempeln einschalten: Es zeigt die stempelnde Person, wird nach der von der Firma festgelegten Frist gelöscht (Standard 30 Tage) und nur von berechtigten Personen nach dem Vier-Augen-Prinzip eingesehen. • Mikrofon: nur für das Diktat an den KI-Assistenten; die Aufnahme wird bei Infomaniak (Schweiz) in Text umgewandelt und nicht gespeichert. • Standort: nur im Moment des Stempelns, wenn Ihr Arbeitgeber dies aktiviert – keine Hintergrundortung. • Face ID, Touch ID oder Fingerabdruck: nur zum Bestätigen auf Ihrem Gerät; biometrische Daten verlassen das Gerät nie und erreichen uns nicht. • NFC: Lesen Ihres Badges am Stempel-Terminal (nur die Badge-Kennung). • Mitteilungen: Push über Apple Push Notification Service bzw. Firebase Cloud Messaging (Google), ohne vertrauliche Inhalte; SMS (Einladung, Anmeldecode) über ASPSMS (Schweiz). Anmelde-Tokens liegen im geschützten Gerätespeicher. Keine Tracker oder Werbe-SDKs.
KI-Assistent
Der KI-Assistent ist nur aktiv, wenn Ihre Firma ihn eingeschaltet und der Datenbearbeitung ausdrücklich zugestimmt hat. Er arbeitet ausschliesslich mit Ihren Rechten. Ihre Frage, die dafür nötigen Daten aus der Anwendung und Diktate werden an Infomaniak AI Services (Infomaniak Network SA, Schweiz) übermittelt und dort verarbeitet; laut Anbieter werden Anfragen weder aufgezeichnet noch zum Training verwendet, eine vorübergehende Speicherung zur Bearbeitung ist möglich. Ihre Daten werden nie zum Training verwendet. Jede KI-Aktion wird protokolliert; Gesprächsverläufe werden nach der von der Firma eingestellten Frist gelöscht.
App (iOS und Android)
Die App (Paketname ch.kmubase.app) wird über den Apple App Store und Google Play vertrieben. Für den Download, Ihr Store-Konto und allfällige Absturzberichte des Betriebssystems sind Apple bzw. Google verantwortlich; es gelten deren Datenschutzbestimmungen. Push-Mitteilungen laufen über den Apple Push Notification Service (APNs) bzw. Firebase Cloud Messaging (FCM, Google) und enthalten keine vertraulichen Inhalte. Die App verfolgt Sie nicht über Apps oder Websites anderer Anbieter (kein Tracking), enthält keine Werbung und keine Werbe- oder Analyse-SDKs. Kamera, Mikrofon, Standort, Face ID bzw. Fingerabdruck, NFC und Mitteilungen nutzt sie nur wie in den Abschnitten «Mitarbeiter-App» und «KI-Assistent» beschrieben und nur mit Ihrer Zustimmung. Wie Sie Ihr Konto und Ihre Daten löschen lassen, steht im Abschnitt «Daten löschen».
Daten löschen
So beantragen Sie die Löschung: • Mitarbeitende und Bewerbende: Ihre Daten in der Anwendung und der App verwaltet Ihr Arbeitgeber als Verantwortlicher. Wenden Sie sich zuerst an ihn; er löscht oder anonymisiert Ihre Angaben in . Sie können sich auch direkt an datenschutz@hrbase.ch wenden – wir leiten Ihr Begehren an Ihren Arbeitgeber weiter. • Firmenkonten (Kundinnen und Kunden): Die Kündigung bzw. Löschung des gesamten Kontos beantragt eine berechtigte Person per E-Mail an info@kmubase.ch oder datenschutz@hrbase.ch. • Vorregistrierung und Anfragen: Über den Link in jeder E-Mail oder per E-Mail an datenschutz@hrbase.ch – wir löschen sofort. Was gelöscht wird und was bleibt: Wir löschen Ihre Personen- und Kontodaten. Gesetzlich aufzubewahrende Unterlagen – insbesondere Lohnabrechnungen und Buchhaltungsbelege – bleiben während der gesetzlichen Frist von 10 Jahren erhalten (Art. 958f OR, GeBüV) und werden danach gelöscht. Wie lange es dauert: Nach Vertragsende können Firmenkonten ihre Daten noch 30 Tage exportieren; danach löschen wir sie. Lokale Sicherungen werden 14 Tage aufbewahrt. Die externe Gesamtsicherung wird täglich erstellt; tägliche Kopien werden 30 Tage, monatliche Kopien 12 Monate aufbewahrt. Gelöschte Daten können bis zu 12 Monate in Sicherungen verbleiben. Sie werden ausschliesslich für die Wiederherstellung verwendet, sind zugriffsbeschränkt und werden nach einer Wiederherstellung erneut gelöscht.
E-Mail-Versand
Für den Versand von Systemmitteilungen (z. B. Einladungen, Passwort-Links, Benachrichtigungen) setzen wir einen spezialisierten Versanddienstleister als Auftragsverarbeiter ein, der vertraglich zur Vertraulichkeit verpflichtet ist. Mails enthalten keine vertraulichen Personaldaten, sondern Hinweise mit Link in die Anwendung. Falls Ihr Arbeitgeber dies einrichtet, erfolgt der Versand über dessen eigenen Mailserver oder dessen Microsoft-365-Konto.
Empfängerinnen und Empfänger sowie Auftragsverarbeiter
Infomaniak Network SA (Hosting, Sicherungen sowie KI-Assistent und Diktat, Schweiz); ein spezialisierter Versanddienstleister (Versand von System-E-Mails); ASPSMS (SMS-Versand, Schweiz); Apple Inc. und Google Ireland Ltd. (Push, nur technische Kennungen); für die Verrechnung an Kundenfirmen: Invoice Ninja (selbst betriebene Instanz) und PayPal (bei Zahlung per PayPal); auf Wunsch der Kundenfirma: SwissSalary/Microsoft Business Central (Lohn), JobCloud AG (Stelleninserate). Pingen GmbH (Schweiz): Druck und Postversand von Briefen auf Auftrag der Kundenfirma; übermittelt werden Dokumentinhalt und Empfängeradresse. Die Server befinden sich in der Schweiz; für Auslandssendungen werden auch Druckzentren im Ausland eingesetzt.
Drittländer
Die Daten der Anwendung werden in der Schweiz gespeichert und verarbeitet; Entwicklung, Betrieb und Betreuung erfolgen aus der Schweiz. Eine Bekanntgabe ins Ausland erfolgt nur an die oben genannten Dienste (Mailversand, Push, Zahlung) und nur in Staaten mit angemessenem Datenschutz oder auf Grundlage von Standardvertragsklauseln (Art. 16 DSG / Art. 46 DSGVO).
Sicherheit
TLS-Verschlüsselung der Übertragung, verschlüsselte Dokumentenablage und verschlüsselte Geheimnisse, Zwei-Faktor-Anmeldung (TOTP, je Kunde aktivierbar), Rollen- und Rechtekonzept, Zugriffsprotokoll sowie tägliche Sicherungen in der Schweiz; Betrieb in nach ISO 27001 zertifizierten Rechenzentren von Infomaniak.
Ihre Rechte
Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf von Einwilligungen (Art. 25 ff. DSG, Art. 15–21 DSGVO). Mitarbeitende und Bewerbende wenden sich für Daten in der Anwendung zuerst an ihren Arbeitgeber.
Beschwerde
In der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei einer Datenschutz-Aufsichtsbehörde.
Stand
Oktober 2026.