Stand: 16. Oktober 2026

1. Verantwortliche Stelle

Verantwortlich für die Bearbeitung Ihrer Personendaten bei Sumavela ist:

Philippe Tschumi
Büntackerstrasse 9
4566 Kriegstetten
E-Mail: [email protected]

Diese Erklärung folgt dem Schweizer Datenschutzgesetz (DSG). Soweit die Datenschutz-Grundverordnung der EU (DSGVO) anwendbar ist, stützen wir uns auf Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertrag) und lit. f (berechtigte Interessen) DSGVO.

2. Was Sumavela ist

Sumavela ist eine persönliche Finanzübersicht: Konten, Buchungen, Budgets, Sparziele, Anlagen und Vorsorge an einem Ort, als Website und als App für iPhone und Android. Sumavela ist mit keiner Bank verbunden. Daten gelangen nur in die Anwendung, wenn Sie sie selbst erfassen oder als Datei importieren.

3. Welche Daten wir bearbeiten

Konto

Name, E-Mail-Adresse und Anmeldemittel (Passwort als Hash, Passkeys, Authenticator-App oder E-Mail-Codes). Bei einer Anmeldung über Google, Microsoft oder Apple erhalten wir vom Anbieter eine Kennung, Ihren Namen und Ihre E-Mail-Adresse; der Anbieter erfährt, dass Sie sich bei Sumavela anmelden. Sicherheitsrelevante Vorgänge wie Anmeldungen protokollieren wir mit Zeitpunkt und IP-Adresse.

Finanzdaten

Alles, was Sie erfassen oder importieren: Konten und Kreditkarten, Buchungen und Kategorien, Budgets, Sparziele, Daueraufträge, Anlagen, Vorsorge, Belege und Lohnausweise. Beträge werden in unserer Datenbank verschlüsselt gespeichert. Diese Daten bearbeiten wir ausschliesslich, um Ihnen die Anwendung bereitzustellen. Wir werten sie nicht für eigene Zwecke aus und geben sie nicht an Dritte weiter, ausser an die unten genannten Auftragsbearbeiter.

Belege und Dokumente mit KI

Wenn Sie einen Beleg, eine Quittung oder einen Lohnausweis hochladen, wird das Bild oder Dokument an einen KI-Dienst übermittelt, der den Inhalt in Positionen liest. Je nach Konfiguration ist das Anthropic (Claude), Google (Gemini) oder OpenAI, jeweils mit Sitz in den USA. Übermittelt wird nur das hochgeladene Dokument; die Anbieter verwenden Daten aus Programmierschnittstellen gemäss ihren Bedingungen nicht zum Training ihrer Modelle. Die Übermittlung geschieht nur, wenn Sie das Hochladen auslösen.

Haushalt und Teilen

Wenn Sie Budgets oder Konten mit anderen Personen teilen, sehen diese Personen die von Ihnen freigegebenen Daten. Was geteilt wird, bestimmen Sie in der Anwendung.

Abo und Zahlung

Für die Tarife Plus und Premium wickeln wir Zahlungen über Stripe ab (Stripe Payments Europe Ltd., Dublin, Irland). Kartendaten werden direkt bei Stripe eingegeben und erreichen unsere Systeme nicht. Wir erhalten Zahlungsstatus, Betrag und eine Referenz.

E-Mails

Anmeldecodes, Erinnerungen und Antworten auf Anfragen versenden wir über Mailjet (Sinch Mailjet SAS, Paris, Frankreich).

Besuch der Website und Statistik

Beim Aufruf einer Seite verarbeiten unsere Systeme technisch notwendige Angaben wie IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser, für Auslieferung, Sicherheit und Fehlersuche; Protokolldaten werden nur so lange aufbewahrt, wie das nötig ist. Besuche der öffentlichen Seiten zählen wir mit einer eigenen, cookiefreien Statistik ohne IP-Adresse; Besuchende werden pro Tag über einen nicht umkehrbaren Hash gezählt, Rohdaten nach 90 Tagen zu Tageswerten zusammengefasst. Innerhalb der Finanzanwendung findet keine Besuchsstatistik statt. Google Analytics wird nur geladen, wenn es aktiviert ist und Sie in der Kategorie «Statistik» eingewilligt haben.

App

Die App für iPhone und Android zeigt dieselbe Anwendung. Exporte, die Sie in der App speichern, liegen in Ihrem Dokumentenordner auf dem Gerät; Belege, die Sie aus anderen Apps teilen, werden erst nach Ihrer Bestätigung hochgeladen.

4. Cookies und lokaler Speicher

Wir setzen nur technisch notwendige Cookies: ein Sitzungscookie nach der Anmeldung, kurzlebige Cookies zum Schutz der Anmeldung über Drittanbieter sowie den Nachweis Ihrer Einwilligungsentscheidung. Im lokalen Speicher des Browsers bleiben Darstellungseinstellungen wie das Farbschema. Marketing-Cookies setzen wir nicht.

5. Hosting, Auftragsbearbeiter und Übermittlung ins Ausland

Sumavela läuft auf der Plattform Aruven, die auf eigener Infrastruktur in der Schweiz betrieben wird. Folgende Dienstleister bearbeiten Daten in unserem Auftrag:

• Cloudflare, Inc. (USA): Schutz, Beschleunigung und Zwischenspeicherung; dabei werden Verbindungsdaten wie die IP-Adresse verarbeitet. Cloudflare ist unter dem Swiss-U.S. Data Privacy Framework zertifiziert.
• Microsoft Azure (Region Schweiz Nord): Verwahrung von Schlüsseln und Sicherungskopien.
• Sinch Mailjet SAS (Frankreich): Versand von E-Mails.
• Stripe Payments Europe Ltd. (Irland): Zahlungsabwicklung.
• Anthropic, Google, OpenAI (USA): Lesen hochgeladener Belege und Dokumente, nur wenn Sie es auslösen.
• Google, Microsoft, Apple: nur bei Anmeldung über den jeweiligen Anbieter.

Wo Daten in Länder ohne angemessenen Datenschutz gelangen können, stützen wir die Übermittlung auf die Zertifizierung des Anbieters unter dem Data Privacy Framework oder auf die Standardvertragsklauseln der EU, ergänzt für die Schweiz.

6. Aufbewahrung und Löschung

Ihre Daten bleiben gespeichert, solange Ihr Konto besteht. Sie können Buchungen, Belege und Konten jederzeit in der Anwendung löschen und Ihr Konto als Ganzes löschen lassen; danach werden die Daten entfernt und Sicherungskopien nach spätestens 35 Tagen überschrieben. Zahlungsbelege bewahren wir so lange auf, wie das Gesetz es verlangt.

7. Sicherheit

Verbindungen sind verschlüsselt (TLS). Beträge, Zugangsdaten und Geheimnisse werden verschlüsselt gespeichert, Passwörter nur als Hash. Die Anmeldung kann mit Passkeys oder einem zweiten Faktor geschützt werden.

8. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Personendaten, auf Berichtigung, Löschung und Herausgabe in einem gängigen Format (Exporte als CSV und PDF stehen in der Anwendung bereit) sowie das Recht, einer Bearbeitung zu widersprechen oder eine Einwilligung zu widerrufen. Wenden Sie sich dafür an [email protected]. Sie können sich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden; in der EU an die für Sie zuständige Aufsichtsbehörde.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die Bearbeitung oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung.