Datenschutz

Geltungsbereich und Verantwortung

Dieser Hinweis umfasst krascorp.com, www.krascorp.com und den Dokcheck-Arbeitsbereich für Mitarbeitende auf dokcheck.krascorp.com. Die frühere Adresse portal.krascorp.com leitet zu Dokcheck weiter; die getrennte Testumgebung dient Tests. Krascorp wird von Martin K. Brun, Haldenstrasse 15, 6343 Rotkreuz, Schweiz, geführt. Datenschutzfragen und Anträge richten Sie an martin.brun@krascorp.com. Jede Treuhandfirma bestimmt über ihre im Arbeitsbereich erfassten Mandantendaten und entscheidet, welche Bearbeitungen und Verbindungen sie aktiviert.

Was wir erfassen – im Überblick

Die einzelnen Punkte sind weiter unten genauer erklärt.

• Besuch der Website: IP-Adresse und technische Anfragedaten, verwendet von den Hosting- und Sicherheitssystemen. Keine Analyse, keine Werbung, kein Tracking.
• Anfragen: Name, E-Mail, Telefonnummer und Nachricht, die Sie senden. Die Website-Datenbank speichert nur gehashte Zustelldaten.
• Website-Chat: Ihre Frage, die OpenAI verarbeitet, sowie gehashte Anfragedaten für rund 48 Stunden.
• Firmenregistrierung: Firmenname, Name und E-Mail der Inhaberin oder des Inhabers, Tarif und Sprache. Kartenzahlungen wickelt nach der Freischaltung Stripe ab.
• Teamkonten: Name, E-Mail, gehashtes Passwort, Authenticator-Einstellungen, Sitzungen, Einstellungen und Aktivitätsverlauf.
• Mandantendaten, die eine Firma in Dokcheck ablegt: Mandantenkontakte, E-Mails und Unterlagen, Unterlagenanforderungen und Prüfungen, KI-Erkennungen und erkannte Angaben, Rechnungen und Empfänger sowie für den Belegabgleich importierte Banktransaktionen.
• Betrieb: Anfrage-Logs, Sicherheitsereignisse und verschlüsselte Backups.

Besuch der Website

Die Hostingsysteme erhalten Ihre IP-Adresse, die angeforderte Adresse und technische Browser- und Verbindungsinformationen, um die Website bereitzustellen und zu schützen. Die öffentliche Startseite läuft auf Cloudflare Workers und nutzt eine Cloudflare-D1-Datenbank in Westeuropa für Einträge zu Kontaktformular- und Website-Chat-Anfragen; Dokcheck nutzt Cloudflare Workers, D1 und privaten R2-Speicher. Bilder, Skripte und Gestaltung werden mit der Website ausgeliefert. Der eigene Website- und App-Code enthält keine Werbeanalysen, Marketingpixel oder eingebetteten sozialen Medien.

Kontaktanfragen

Nutzen Sie die E-Mail- oder Telefonangaben auf der Startseite. E-Mail-Anfragen gehen an martin.brun@krascorp.com, ein Microsoft-365-Postfach über GoDaddy. Das Absenden ist keine Marketinganmeldung. Bitte senden Sie keine Passwörter, Zahlungskartendaten oder sensiblen Mandantenunterlagen. Laut Bestätigung des Postfachinhabers darf nur Martin Krassimir Brun dieses Postfach lesen; automatische Weiterleitungen an andere Personen sind nicht eingerichtet. Kontaktanfragen bewahren wir auf, solange wir die Anfrage und Rückfragen bearbeiten oder ein fortbestehender Geschäftszweck besteht. Abgeschlossene Anfragen werden geprüft; Angaben ohne verbleibenden Zweck werden gelöscht, ausser sie werden für eine bestimmte gesetzliche Pflicht oder einen Rechtsanspruch benötigt. Dies ist eine zweckbezogene Überprüfungsregel, keine automatische Postfachlöschung und keine Zusage, dass sämtliche Sicherungen der Anbieter sofort verschwinden.

Bearbeitung von Kontaktformularen

Wird ein unterstütztes Website-Kontaktformular abgesendet, übermittelt Resend Name, Antwort-E-Mail, Telefon und Nachricht als Textanfrage an martin.brun@krascorp.com. Die Website-Datenbank speichert eine zufällige Anfragereferenz, Hashwerte des E-Mail-Inhalts und der IP-Adresse, Zeitpunkte, Wiederholungszähler und den Zustellstatus. Name, Antwort-E-Mail, Telefonnummer und Nachrichtentext werden dort nicht gespeichert. Diese Angaben stehen in der E-Mail, die von den E-Mail-Diensten verarbeitet wird. Einträge über 48 Stunden werden bei der nächsten gültigen, konfigurierten Anfrage entfernt; bei ausbleibenden Anfragen ist dies keine feste Löschfrist. Kontaktformulareingaben bleiben in der geöffneten Seite und werden durch den Kontaktformularcode nicht im Browserspeicher abgelegt. Die Annahme durch den E-Mail-Dienst bestätigt nicht die Zustellung im Posteingang.

Einrichtung des Firmenabos

Die öffentliche Planeinrichtung erfasst Firmenname, Inhabername, Inhaber-E-Mail, gewählten Plan und Sprache. Ein unfertiger Entwurf und eine zufällige Referenz für den Zahlungsversuch bleiben im Sitzungsspeicher dieses Tabs, damit eingegebene Angaben bei gewöhnlichen Wiederholungen erhalten bleiben. Der Entwurf enthält weder Passwort noch Zahlungskartendaten. Die Onlinezahlung ist noch nicht verfügbar. Nach ihrer Aktivierung übermittelt die Zahlungsverbindung notwendige Einrichtungsdaten an den Dokcheck-Rechnungsdienst und Stripe; Kartendaten werden auf Stripes Zahlungsseite eingegeben. Die Planwahl oder das Speichern eines Entwurfs erstellt kein aktives bezahltes Konto.

Privater Teamzugang und Mandantendaten

Dokcheck ist für Mitarbeitende; Mandanten senden Unterlagen per E-Mail und benötigen keine Softwarekonten. Eingeladene Mitarbeitende wählen ihr eigenes Passwort. Passwortprüfwerte werden gehasht; Einrichtungs- und Rücksetzlinks gelten 15 Minuten und funktionieren einmal. Teamsitzungen dauern höchstens zwölf Stunden. Authenticator-Geheimnisse sind verschlüsselt, Wiederherstellungscodes gehasht; eine eingerichtete MFA-Pflicht des Kontos oder der Firma muss erfüllt werden. Die App speichert Firmen- und Mandantenkontakte, Unterlagenanforderungen und Perioden, Dateien und Prüfzustände, Korrekturanfragen, vereinbarte Gebühren, Rechnungsempfänger, Zeitpläne, Rechnungsentwürfe, ausgestellte Belege, Versandzustände und einen Aktivitätsverlauf. Der Teaminhaber bestimmt Dateirechte je Mandant: bearbeiten, Dateien lesen oder nur den Mandanteneintrag sehen. Der KI-Abruf hält dieselben Einschränkungen ein. Vollständige Unterlagen bestätigen keinen Abschluss der Buchhaltung; Arbeits- oder Stundenprotokolle sind nicht erforderlich.

Unterlagen, Anfragen und Rechnungen

E-Mail-Anhänge und Teamuploads werden mit ihren Beleg- und Periodenangaben im Firmenarchiv gespeichert. Dateien ohne Sicherheitsfreigabe sind weder für die Belegprüfung noch für KI verfügbar. Automatische E-Mails fragen nur neu fehlende oder zur Korrektur angefragte Unterlagen an, wenn eine berechtigte Administration dies aktiviert. Hochgeladene Dateien in Sicherheits- oder Teamprüfung werden nicht erneut angefragt. Optionale Rechnungszeitpläne verwenden vom Team erfasste oder freigegebene vereinbarte Gebühren für Entwürfe; vor Nummerierung und Versand muss eine berechtigte Person die Rechnung freigeben. Resend übernimmt den Versand von Konto-, Unterlagenanfrage- und Rechnungs-E-Mails. Die App erfasst Empfänger, Versandzustände und bei Bedarf geschützte E-Mail- und PDF-Inhalte. Die Annahme durch den E-Mail-Dienst bestätigt nicht die Zustellung im Posteingang.

Banktransaktionen für den Belegabgleich

Das Team kann Banktransaktionen eines Mandanten (Datum, Betrag, Beschreibung und Währung) als CSV-Datei importieren, um sie Belegen zuzuordnen.

Malware-Prüfung

Jede hochgeladene oder per E-Mail eingegangene Datei wird von einem für Dokcheck betriebenen ClamAV-Malware-Scanner geprüft, bevor Team, Krascorp AI oder Downloads sie verwenden können. Die Dateien erreichen den Scanner über eine authentifizierte, verschlüsselte Verbindung; der Scanner prüft die Datei und behält danach keine Kopie. Grosse Dateien können vom selben privaten Dienst für die Erkennung aufbereitet werden; dabei entstehen kurzlebige temporäre Kopien, die nach der Verarbeitung entfernt werden. Eine Datei, die nicht geprüft werden kann, bleibt in Quarantäne. Die Malware-Prüfung verringert Risiken, kann aber nicht garantieren, dass jede schädliche Datei erkannt wird.

Support und Administration durch Krascorp

Registrierte Support-Konten von Krascorp können den Arbeitsbereich einer Firma für technischen Support öffnen, mit Administratorrechten und Zugriff auf alle Mandantendateien. Eine bezeichnete Plattformadministration von Krascorp kann zusätzlich Steuerungen auf Inhaberebene verwenden. Beide nutzen ihre eigene Anmeldung, sind im Arbeitsbereich und in den Teamlisten als Support bzw. Administration von Krascorp gekennzeichnet, und jede Änderung wird unter ihrer eigenen E-Mail im Aktivitätsverlauf der Firma erfasst. Sie sehen keine Passwörter, übernehmen keine Inhaberschaft und umgehen weder Authenticator noch Rechnungsfreigabe noch Dokumentsicherheit.

Team-E-Mails und Abwesenheit

Teammitglieder können eine wöchentliche Übersicht per E-Mail abonnieren, mit Fristen, Prüfungen und Posteingangszahlen der Mandanten, auf die sie Zugriff haben; sie enthält keine Anhänge. Während eine Teamperson als abwesend markiert ist, kann Dokcheck Antwortentwürfe auf passende Mandanten-E-Mails vorbereiten; jeder Entwurf muss vor dem Versand von einer Teamperson geprüft und freigegeben werden. Resend stellt diese E-Mails zu.

Gespeicherte KI-Lektionen und Archivsuche

Das Team kann Krascorp AI bitten, sich eine Lektion für einen Mandanten zu merken, etwa wie dessen Kontoauszüge abgelegt werden. Lektionen und bestätigte Teamentscheide werden verschlüsselt für diesen Mandanten gespeichert, samt Änderungsverlauf. Teammitglieder mit Bearbeitungsrecht können sie korrigieren oder vergessen lassen, und Inhaber können das Lernen pausieren. Für die Suche in Mandantenarchiven führt Dokcheck einen Suchindex aus Dokumenttext und erkannten Angaben innerhalb des Arbeitsbereichs der Firma. Das Chatfenster behält die Unterhaltung nur in der geöffneten Seite.

Anfrage-Logs

Dokcheck erfasst Anfrage-Metadaten wie die aufgerufene Adresse, Netzwerkinformationen, Status, Dauer und Fehlermeldungen in Cloudflare Workers Logs, um den Dienst zu schützen und Fehler zu beheben. Diese Logs werden für eine von Cloudflare festgelegte begrenzte Dauer aufbewahrt und danach automatisch gelöscht.

Betriebsdaten und Aufbewahrung bei Anbietern

Die App erfasst Sicherheits- und Betriebsereignisse; Cloudflare kann Anfrage-, Sicherheits- und Betriebsmetadaten auch gemäss seinen eigenen Dienstvereinbarungen bearbeiten. Arbeitsbereichsdaten und Dateien können in geschützten Sicherungen enthalten sein. Anbieterprotokolle, Wiederherstellungskopien, Postfachnachrichten und Backups unterliegen gesonderten Anbietereinstellungen und Aufbewahrungsbedingungen. Sie sind kein automatischer Löschplan für Firmenarchive. Die sofortige Entfernung sämtlicher Anbieterkopien wird nicht zugesagt.

Archive und Aufbewahrung

Das Firmenarchiv erhält Unterlagen- und Rechnungshistorie beim Archivieren eines Mandanten; die Wiederherstellung bewahrt diesen Verlauf. Das Archivieren oder Zurückziehen einer Datei verspricht keine endgültige Löschung. Buchhaltung, gesetzliche Aufbewahrung, Streitfälle oder weitere fortbestehende Pflichten können die Speicherung erfordern. Die Firma muss die anwendbaren Fristen und den berechtigten Umgang mit ihren Daten bestimmen. Bereits versandte oder heruntergeladene Kopien und Anbieter-Backups werden durch eine Archivaktion nicht zurückgerufen.

Speicherung und Anträge

Das Schliessen einer Seite, Abmelden oder Löschen von Cookies entfernt weder gespeicherte Geschäftsdaten noch E-Mails im Postfach. Der Ablauf eines Kontolinks oder einer Sitzung begrenzt die Nutzung, verspricht aber keine Löschung aus sämtlichen Datenbanken oder Sicherungen. Anträge auf Auskunft, Berichtigung oder Löschung richten Sie an martin.brun@krascorp.com. Je nach anwendbarem Recht und Datensatz können Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit bestehen. Aufbewahrung kann wegen Buchhaltung, gesetzlicher Pflichten oder Rechtsansprüchen nötig sein; ein Antrag garantiert nicht die Löschung einer freigegebenen Rechnung. Sie können sich an die zuständige Aufsichtsbehörde wenden, in der Schweiz an den EDÖB.

Bearbeitung im Ausland

Unsere Anbieter können Personendaten ausserhalb der Schweiz bearbeiten. Länder, Dienste und Übermittlungsgarantien werden nachfolgend erläutert. Die Speicherregion eines Dienstes begrenzt nicht sämtliche Netzwerk-, Sicherheits-, Support- oder Sicherungsvorgänge auf diese Region.

Cloudflare

Dokcheck nutzt das weltweite Cloudflare-Netzwerk; für den R2-Dokumentenspeicher ist die EU-Zuständigkeit eingerichtet. Cloudflare verarbeitet zudem betriebliche Metadaten in den USA und Europa. Anfragen können an verfügbaren Netzwerkstandorten weltweit bearbeitet werden. Die standardmässigen Datenbearbeitungsbedingungen enthalten Garantien für anwendbare Übermittlungen, darunter für die Schweiz angepasste Standardvertragsklauseln.

• Cloudflare-Netzwerkstandorte
• Cloudflare-Datenbearbeitungsbedingungen

E-Mail-Anbieter

Resend speichert E-Mail-Inhalte und Protokolle unabhängig von der Versandregion in den USA. Die veröffentlichten Datenbearbeitungsbedingungen enthalten Schweizer Anpassungen der Übermittlungsklauseln. Unser Kontaktpostfach wird mit Microsoft 365 über GoDaddy betrieben. Die genaue Speicherregion des Postfachs und ein allfälliges separates Backup-Abonnement sind nicht verifiziert. Wir versprechen weder ausschliessliche Postfachspeicherung in der Schweiz noch fehlende Backups oder die sofortige Löschung sämtlicher Anbieterkopien. GoDaddy und Microsoft beschreiben internationale Verarbeitung und anwendbare Übermittlungsgarantien in den verlinkten Bedingungen.

• Resend: Verarbeitung und Aufbewahrung
• GoDaddy-Microsoft-365-Bedingungen
• GoDaddy-Datenbearbeitungsbedingungen
• Microsoft: Datenstandorte und Übermittlungen

Import aus Microsoft 365 und Google Workspace

Eine Firmenadministration richtet eine gesonderte, schreibgeschützte Postfachverbindung über Microsoft 365 oder Google Workspace ein und autorisiert sie. Microsoft verlangt Basisprofil-, E-Mail-Lese- und Offlinezugriff; Google verlangt schreibgeschützten Gmail-Zugriff. Die Verbindung verändert das Quellpostfach nicht und erhält keine Berechtigung zum Versand darüber. Die App speichert Postfachadresse, gewählten Ordner oder Label, Importbeginn, Synchronisationsstatus und verschlüsselte Autorisierungsdaten für die Firma. Der Import speichert Absender, Betreff, lesbaren Nachrichtentext, Datums- und Anhangsangaben und kopiert unterstützte Anhänge in privaten Speicher. Nur der Firmeninhaber kann die automatische Ablage eindeutiger Firmen-, Belegart- und Periodenzuordnungen aktivieren; private Absender und unklare Inhalte unterliegen weiterhin den Ablage- und Prüfregeln. Das Trennen entfernt gespeicherte Verbindungsdaten und beendet weitere Importe; bereits importierte Daten, Archivdateien und Nachrichten beim Anbieter bleiben bestehen. Die Anbieterberechtigung widerrufen Sie in den Google- oder Microsoft-Konto- beziehungsweise Administratoreinstellungen. Bearbeitung und Aufbewahrung hängen vom verbundenen Konto und seiner Organisation ab. Die Google-Workspace-Datenbearbeitungsbedingungen und Microsoft-Angaben zu Datenstandorten und Übermittlungen beschreiben die Anbietervereinbarungen.

Einrichtungsentwürfe und Listenimporte

Die dreistufige Mandanteneinrichtung speichert unfertige Firmen- und Kontaktangaben, Unterlagenanforderungen und optionale Rechnungseinstellungen auf dem Server. In der App sind diese Entwürfe innerhalb der Firma nur für die erstellende Person sichtbar. Sie bleiben bis zur ausdrücklichen Prüfung und Aktivierung inaktiv und starten weder Unterlagenanfragen noch Rechnungszeitpläne. Firmenvorlagen speichern Unterlagenanforderungen und relative Perioden; sie übernehmen keine Mandantenkontakte oder Rechnungsgebühren. Excel-.xlsx- und CSV-Mandantenlisten werden im Browser für Spaltenzuordnung und Dublettenprüfung gelesen. Beim Speichern ausgewählter Zeilen gehen geprüfte Einrichtungsfelder und Angaben zur Importquelle an den Server; die ursprüngliche Tabelle wird nicht an einen externen KI-Dienst gesendet.

Krascorp AI und angefragte Änderungen

Die KI-Bearbeitung ist vom Websitehosting getrennt. Sie ist im aktiven Arbeitsbereich automatisch verfügbar, sobald die konfigurierte Verbindung bereit ist; der Inhaber kann sie pausieren oder fortsetzen. Die Unterlagenverarbeitung im Hintergrund und Teamanfragen senden freigegebene Mandantendaten, E-Mail-Angaben oder sicherheitsgeprüfte Dokumentinhalte an OpenAI und nutzen GPT-6 Luna oder GPT-6.1 Sol. Der Abruf bleibt innerhalb der aktiven Firma, beim ausgewählten oder eindeutig genannten Mandanten und innerhalb der Zugriffsrechte der Mitarbeitenden. Unklare Mandanten- oder Aktionszuordnungen müssen präzisiert werden. Klare schriftliche Teamanweisungen können berechtigte Änderungen an Mandantendaten oder Unterlagenanforderungen speichern, Anhänge hinzufügen oder erstellte TXT-Entwürfe anlegen. Der Chat zeigt die erfassten Änderungen; ein erstellter Entwurf wird dadurch nicht zum Mandantenbeleg. Hinzugefügte und erstellte Dateien unterliegen eigenen Sicherheitsprüfungen. Bestehende Einstellungen für Mandantenanfragen steuern den E-Mail-Versand; eine berechtigte Person muss Rechnungen weiterhin vor Nummerierung und Versand freigeben. KI kann keine Rechte erteilen, Rechnungen freigeben oder ausstellen oder Gebühren erfinden. Die App erfasst Bearbeitungsversuche, bekannten Verbrauch, Modellauswahl, Pauseneinstellungen und ausgeführte Änderungen; fertige Antworten können 24 Stunden verschlüsselt zwischengespeichert werden. API-Anfragen setzen store:false; dies verspricht weder fehlende Anbieteraufbewahrung noch ausschliessliche Bearbeitung in der Schweiz. Die Firma bleibt für ihre Bearbeitungsgrundlage, Anbieterbedingungen und Anforderungen an Mandantendaten verantwortlich. Die OpenAI-API-Datenkontrollen erläutern Speicher- und Aufbewahrungsoptionen beim Anbieter.

Öffentlicher Krascorp AI Website-Chat

Der Chat auf der Hauptseite beantwortet Fragen zu Dokcheck-Funktionen, Preisen und Einrichtung anhand öffentlicher Produktinformationen. Er hat keinen Zugriff auf Mitarbeitersitzungen, Firmenarchive, Rechnungen, Postfächer oder Kundendaten. Wenn Sie eine Frage senden, wird sie einzeln von OpenAI verarbeitet. Geben Sie keine Passwörter, privaten Kundendaten oder Dokumenteninhalte ein. Der Browser hält das sichtbare Gespräch nur auf dieser geöffneten Seite; der Chat-Code verwendet keine Cookies und keinen Browserspeicher.

Die Website speichert eine zufällige Anfragekennung in gehashter Form, Hashes der Frage und Netzwerkadresse sowie Zeitstempel und Verarbeitungsstatus zur Vermeidung doppelter Verarbeitung und zur Begrenzung der Nutzung. Eine Antwort kann verschlüsselt zwischengespeichert werden. Nach 48 Stunden werden zwischengespeicherte Antworten und Frage-/Netzwerk-Hashes bei der nächsten gültigen, konfigurierten Anfrage entfernt; ohne weitere Anfragen ist dies keine genaue Löschfrist. Eine anonyme gehashte Anfragekennung, Zeitstempel und Status bleiben erhalten, damit eine alte Anfrage nicht erneut Kosten auslöst. Der geschützte Produkt-Antwortdienst nutzt die bestehende OpenAI-Verbindung ohne private Firmendaten und ohne Aktionswerkzeuge. Anfragen setzen store:false; dies garantiert keine vollständige Abwesenheit einer Speicherung beim Anbieter. Für Verarbeitung und Aufbewahrung bei OpenAI gelten dessen API-Datenkontrollen. OpenAI API data controls.