Datenschutzerklärung

Verantwortlicher

Zwei Rollen, und warum der Unterschied zählt

Für dein Konto ist Bilanzi verantwortlich: deine E-Mail-Adresse, deine Anmeldungen, dein zweiter Faktor, deine Spracheinstellung. Diese Daten braucht Bilanzi, um dich einzulassen und dein Konto zu führen.

Für die Buchhaltung deines Betriebs ist Bilanzi es nicht. Die Belege, Kontakte, Rechnungen und Buchungen gehören dem Betrieb. Bilanzi bearbeitet sie in seinem Auftrag und nach seinen Weisungen und benutzt sie für nichts anderes, nicht für Auswertungen, nicht für Werbung, nicht für die Verbesserung eines Modells.

Praktisch heisst das: Fragen zu deinem Konto beantwortet der Betreiber. Fragen zu den Zahlen eines Betriebs beantwortet dieser Betrieb; er allein entscheidet über Rollen, Mandate und darüber, wer welche Zeile sieht.

Welche Daten, wozu

Was Bilanzi nicht erhebt: keine Werbe-Kennungen, keine Profilbildung, keinen Verkauf und keine Weitergabe an Werbetreibende oder Datenhändler. Auf den öffentlichen Seiten werden Besuche gezählt, im Arbeitsbereich nicht; wie das geschieht, steht weiter unten.

Wo die Daten liegen, und wer sie sonst berührt

Bilanzi setzt für den Betrieb einige Dienste ein. Jeder, der dabei Personendaten berührt, steht hier mit dem, wofür er zuständig ist, und mit dem Ort, an dem er verarbeitet.

Nicht in Gebrauch ist Twilio, weil Bilanzi keine SMS versendet: der zweite Faktor ist eine Authenticator-App auf deinem Gerät.

Ausserhalb der Schweiz verarbeiten Railway, Cloudflare, Resend, Umami, Google, Apple, Stripe und das Entwicklungswerkzeug mit KI. Cloudflare, Resend, Google, Apple, Stripe und das Entwicklungswerkzeug bearbeiten Daten auch in den USA. Das steht hier, weil es ein Unterschied ist, den du kennen sollst, bevor du dich darauf einlässt.

Anmeldung mit Google und mit Apple

Neben E-Mail und Passwort kannst du dich mit Google oder mit Apple anmelden. Das steht hier gesondert, weil dabei ein anderes Unternehmen erfährt, dass es dich bei Bilanzi gibt.

Bilanzi erhält deine E-Mail-Adresse, die Bestätigung, dass sie dir gehört, und die Kennung, unter der Google oder Apple dein Konto führt. Von Google kommen zusätzlich dein Name und dein Profilbild, sofern hinterlegt. Apple schickt keinen Namen. Mehr wird nicht angefordert: kein Zugriff auf Kontakte, Kalender, Dateien oder Mails.

Google beziehungsweise Apple erfährt, dass du dich bei Bilanzi angemeldet hast, und wann. Was du danach in Bilanzi tust, erfährt keines der beiden Unternehmen.

Wählst du bei Apple «E-Mail verbergen», erhält Bilanzi eine Weiterleitungsadresse statt deiner eigenen. Das funktioniert, führt aber zu einem eigenen Konto, das mit einem bestehenden nicht zusammenfällt.

Dein Passwort erfährt Bilanzi in keinem Fall, und Google und Apple erfahren nie eines. Die Anmeldung läuft über auth.bilanzi.ch, die Anmeldeadresse von Bilanzi bei Supabase. Der Austausch läuft über ein einmal gültiges Geheimnis, das den Browser nie erreicht.

Die Bearbeitung dieser Angaben beruht auf dem Vertrag über dein Konto. Dass Google oder Apple dabei mitwirken, beruht auf deiner Einwilligung: du wählst diesen Weg bei jeder Anmeldung selbst. Du bist darauf nicht angewiesen, denn mit E-Mail und Passwort kommst du an dieselbe Stelle.

Für die Anmeldedaten sind Google und Apple selbst verantwortlich. Für Personen in der Schweiz sind das nach ihren eigenen Angaben die Google Ireland Limited und die Apple Distribution International Ltd., beide in Irland. Beide bearbeiten Daten auch in den USA.

Für die USA hat der Bundesrat ein angemessenes Datenschutzniveau nur für Unternehmen festgestellt, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Wie Google und Apple die Übermittlung absichern, steht in ihren Datenschutzerklärungen:

• Google: https://policies.google.com/privacy
• Apple: https://www.apple.com/legal/privacy/

Was wir bei der Registrierung fragen

Beim Registrieren stellt Bilanzi ein paar freiwillige Fragen: ob du einen eigenen Betrieb führst, für eine Treuhand arbeitest oder etwas anderes tust, mit welchem Programm du heute buchst, und ob du uns etwas mitteilen willst. Du kannst jede Frage leer lassen. Die Registrierung funktioniert trotzdem.

Dazu speichert Bilanzi die Sprache, in der du dich registriert hast, und die Quelle aus dem Link, über den du gekommen bist, falls er eine trägt. Das ist ein Wort im Link selbst, etwa der Name eines Newsletters.

Der Betreiber liest diese Angaben, um zu verstehen, woher die Leute kommen und was sie brauchen. Sie gehen an niemanden weiter und dienen weder der Werbung noch einem Profil. Sie liegen in der Datenbank in Zürich.

Die Angaben bleiben, bis dein Konto gelöscht wird. Willst du sie früher löschen lassen, genügt eine Nachricht an den Betreiber.

Vom 15. bis 22. September 2026 gab es auf dieser Website ein Formular für Testanfragen. Es ist nicht mehr in Betrieb. Anfragen, die darüber eingegangen sind, bleiben gespeichert, bis du ihre Löschung verlangst: Name, E-Mail-Adresse, Firma, Rolle, Nachricht und Sprache.

Wenn du eine Rückmeldung gibst

Im Arbeitsbereich kannst du über «Rückmeldung geben» einen Fehler melden oder etwas vorschlagen. Bilanzi speichert deinen Text und die Art der Rückmeldung. Dazu kommen der Bildschirm und die Adresse, auf der du warst, der Name des offenen Betriebs, dein Browser, die Fenstergrösse, die Sprache und deine E-Mail-Adresse.

Der Betreiber liest jede Rückmeldung und entscheidet, ob sie umgesetzt wird. Öffentlich zeigt Bilanzi nur Nummer und Bereich einer Rückmeldung und wie viele es gibt, nie ihren Text.

Nimmt der Betreiber eine Rückmeldung an, geht sie zur Umsetzung an die KI-Agenten, mit denen Bilanzi entwickelt wird. Diese laufen bei einem Anbieter in den USA. Weitergegeben werden Nummer, Art, Text, Bildschirm und Datum. Deine E-Mail-Adresse und der Name des Betriebs bleiben in Bilanzi.

Wird deine Rückmeldung umgesetzt oder beantwortet, bekommst du eine E-Mail. Eine persönliche Antwort des Betreibers kann auch aus dessen eigenem Postfach kommen.

Rückmeldungen bleiben gespeichert, bis du ihre Löschung verlangst.

Erfolgsmessung von Google-Anzeigen

Bilanzi wirbt mit Anzeigen in der Google-Suche und will wissen, welche davon etwas bringen. Dafür läuft auf bilanzi.ch kein Skript von Google, und dein Browser spricht mit keiner Adresse von Google.

Kommst du über eine Google-Anzeige, trägt der Link eine Klick-Kennung, die Google vergeben hat, und Angaben zur Kampagne. Dein Browser behält beides lokal unter «bz_attr», dazu die Seite, auf der du gelandet bist, den Namen der Seite davor ohne ihren Pfad und den Zeitpunkt. Der Eintrag bleibt dort bis zur Registrierung und verfällt nach 90 Tagen. Aus der Adresszeile nimmt Bilanzi die Angaben gleich nach dem Laden heraus, damit sie in keinem geteilten Link landen.

Registrierst du dich, gehen diese Angaben an Bilanzi und werden bei deinem Konto gespeichert, in der Datenbank in Zürich. Die Angaben zur Kampagne liest der Betreiber, um zu sehen, welche Kampagne Registrierungen bringt. Das gilt auch für Links mit Kampagnenangaben, die nicht von Google stammen, etwa aus einem Newsletter.

Trägt dein Konto eine Klick-Kennung, meldet Bilanzi Google, dass aus deinem Klick eine Registrierung, eine eingerichtete Firma oder ein Abo wurde. Darauf weist ein Satz unter dem Knopf «Konto erstellen» hin. Du kannst jederzeit widersprechen, wie unten beschrieben.

Google erhält dabei die Klick-Kennung, den Zeitpunkt, die Art des Ereignisses und bei einem Abo den Betrag der ersten Zahlung. Keine E-Mail-Adresse, keinen Namen und nichts aus deinen Büchern. Google holt die Angaben einmal am Tag als Datei bei bilanzi.ch ab. Für personalisierte Werbung gibt Bilanzi sie nicht frei.

Empfängerin ist für Personen in der Schweiz die Google Ireland Limited in Irland. Google bearbeitet die Angaben auch bei der Google LLC in den USA. Für die USA hat der Bundesrat ein angemessenes Datenschutzniveau für Unternehmen festgestellt, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Die Google LLC ist das nach eigenen Angaben.

Die Klick-Kennung löscht Bilanzi 90 Tage nach dem Klick. Die Angaben zur Kampagne bleiben bei deinem Konto, bis es gelöscht wird.

Du kannst der Messung jederzeit widersprechen: im Arbeitsbereich unter Mehr › Konto › Datenschutz, mit dem Kästchen «Nicht für die Messung von Google-Anzeigen verwenden», oder per E-Mail an die Adresse oben. Danach meldet Bilanzi nichts mehr über dich. Was Google schon erhalten hat, bleibt bei Google.

Bezahlen mit Stripe

Die bezahlten Pläne und die KI-Pakete bezahlst du über Stripe Payments Europe Ltd. in Dublin, Irland. Zum Bezahlen und zum Ändern des Zahlungsmittels leitet Bilanzi dich auf Seiten von Stripe weiter. Dort gibst du deine Karte oder TWINT an. Auf bilanzi.ch läuft kein Skript von Stripe.

Den Plan wählst, wechselst und kündigst du in Bilanzi. Das dürfen nur Personen, die die Organisation verwalten, und nur sie sehen die Zahlungen. Die Verlängerung belastet Bilanzi automatisch auf dem gespeicherten Zahlungsmittel. Läuft ein Plan jährlich oder ist kein Zahlungsmittel gespeichert, kommt eine Woche vorher eine E-Mail.

Stripe erhält von Bilanzi den Namen der Organisation, die E-Mail-Adresse der Person, die kauft, die Sprache, den Betrag und interne Nummern für Organisation, Zahlung und Plan. Auf den Seiten von Stripe kommen deine Zahlungsangaben dazu. Beim Kauf eines Plans fragt Stripe auch nach der Rechnungsadresse und, wenn du sie angeben willst, nach deiner UID oder MWST-Nummer. Die Quittung schickt Stripe per E-Mail.

Bilanzi speichert die Meldungen von Stripe zu jeder Zahlung vollständig. Darin stehen unter anderem die Kundennummer, der Betrag, der Zustand der Zahlung, die Marke, die letzten vier Ziffern und das Ablaufdatum der Karte oder TWINT und der Link zur Quittung. Eine vollständige Kartennummer sieht Bilanzi nie.

Die Bearbeitung beruht auf dem Vertrag über den bezahlten Plan. Für einen Teil der Daten ist Stripe selbst verantwortlich, etwa für die Abwehr von Betrug und für gesetzliche Pflichten. Stripe bearbeitet Daten auch in den USA. Wie Stripe das absichert, steht in seiner Datenschutzerklärung: https://stripe.com/privacy

Zahlungen und Quittungen gehören in die Buchhaltung des Betreibers und werden zehn Jahre aufbewahrt (OR Art. 958f Abs. 1).

Wenn ein Modell einen Beleg liest

Bilanzi kann einen Beleg von einem Sprachmodell lesen lassen und daraus einen Buchungsvorschlag machen. Das gibt es nur in den bezahlten Plänen und in einer Probezeit mit Starter, solange sie läuft.

Ein Beleg geht an das Modell, sobald du ihn im Belegeingang hochlädst oder mit «Beleg scannen» ablegst. Unter «Belege» geschieht es nur, wenn du es für diesen Beleg auslöst. Lohnabrechnungen gehen nie hinaus.

Mit dem Beleg gehen der Name deines Betriebs, die Währung, das heutige Datum, ob der Betrieb MWST-pflichtig ist, der Dateiname und der Kontenplan hinaus. Diese Angaben braucht das Modell, um eine Buchung vorzuschlagen.

Dasselbe Modell beantwortet Fragen, die du Bilanzi zu deinen Büchern stellst. Dann geht die Frage mit einem Auszug aus den Büchern hinaus, und zwar nur mit dem, was du selbst sehen darfst. Der Auszug kann Namen von Kunden, Lieferanten und Gegenparteien auf der Bank enthalten, dazu Zahlungszwecke, Zahlen aus der Erfolgsrechnung und die Summe des letzten Lohnlaufs.

Der Anbieter ist Infomaniak Network SA in Genf, und die Verarbeitung findet in der Schweiz statt. Im Arbeitsbereich nennt Bilanzi Anbieter, Modell und Länder auf dem Bildschirm, auf dem gearbeitet wird. Hinaus geht nur, was auf einer erfassten, nachgewiesenen und freigegebenen Route ausdrücklich freigegeben ist; sonst verweigert die Datenbank den Aufruf. Nicht der Bildschirm, sondern die Datenbank.

Nach eigenen Angaben speichert Infomaniak die Anfragen nicht und verwendet sie nicht, um Modelle zu trainieren. Es gelten die Vertragsbedingungen, die der Betreiber mit Infomaniak abgeschlossen hat.

Für das Kontingent des Plans hält Bilanzi fest, wann die KI benutzt wurde, wofür, was das gekostet hat und wer die Nutzung ausgelöst hat. Frage, Beleg und Antwort stehen darin nicht.

Der Vorschlag bleibt ein Vorschlag. Gebucht wird erst, wenn ein Mensch ihn annimmt, und die Annahme wird im Prüfpfad festgehalten.

Wie Besuche gezählt werden

Auf den öffentlichen Seiten zählt Bilanzi, welche Seite aufgerufen wird. Im Arbeitsbereich wird nicht gezählt: ein Weg dort kann die Kennung eines Belegs oder einer Rechnung tragen, und so ein Weg gehört in keine Statistik.

Gezählt wird ohne Cookie und ohne Kennung, die in deinem Browser zurückbleibt. Deshalb steht auf diesen Seiten kein Zustimmungsbanner.

Dein Browser spricht dafür mit keiner fremden Adresse. Das Zählskript wird von bilanzi.ch ausgeliefert, und die Messung nimmt dieser Server entgegen und reicht sie an Umami weiter. Übermittelt wird dabei:

• die aufgerufene Seite und die Seite, von der du gekommen bist
• Sprache, Bildschirmgrösse, Browser und Betriebssystem
• deine IP-Adresse, damit Umami einen Besuch vom nächsten unterscheiden kann; Bilanzi speichert sie nicht

Wer im Browser Do Not Track eingeschaltet hat, wird nicht gezählt. Das Zählskript lädt der Browser trotzdem, und dabei reicht bilanzi.ch deine IP-Adresse und die Kennung deines Browsers an Umami weiter.

Aus deinen Büchern ist nie etwas Teil einer Messung: kein Betrag, kein Name, kein Beleg.

Cookies und was im Browser bleibt

Bilanzi setzt weder ein Werbe-Cookie noch ein Cookie für die Zählung: die Zählung oben kommt ohne aus, und im Arbeitsbereich wird gar nicht gezählt. Deshalb steht hier auch kein Zustimmungsbanner: die vier Cookies unten sind für die Anmeldung nötig, und nötige Cookies sind nicht zustimmungspflichtig.

Diese vier Cookies sind nötig, damit eine Anmeldung überhaupt funktioniert:

Dazu hält dein Browser einige Angaben lokal fest: mit welchem Weg du dich zuletzt angemeldet hast, welchen Betrieb und welchen Bildschirm du zuletzt offen hattest, welche Hinweise du weggeklickt hast und welche Einträge im Changelog du schon kennst. Diese Angaben erreichen Bilanzi nie.

Bis zur Registrierung merkt er sich den gewählten Plan, bis zur Annahme eine Einladung. Beides geht mit der Registrierung oder der Annahme an Bilanzi.

Solange ein Tab offen ist, hält er Aktionen, deren Ausgang noch offen ist, und die Antworten von Bilanzi auf deine Fragen. Beides verschwindet mit dem Tab.

Ob eine Hilfe auf- oder zugeklappt ist, speichert Bilanzi bei deinem Konto, damit sie auf jedem Gerät so bleibt, wie du sie verlassen hast. Der Browser hält davon eine Abschrift.

Kamst du über eine Anzeige oder einen Link mit Kampagnenangaben, merkt sich dein Browser diese Angaben unter «bz_attr» bis zur Registrierung, höchstens 90 Tage. Sie erreichen Bilanzi erst, wenn du dich registrierst. Mehr dazu im Abschnitt zur Erfolgsmessung von Google-Anzeigen.

Wie lange etwas bleibt

Buchhaltungsdaten unterliegen einer gesetzlichen Aufbewahrungspflicht: die Bücher, die Belege und die Geschäftskorrespondenz zehn Jahre (OR Art. 958f Abs. 1), Unterlagen zu unbeweglichen Gegenständen zwanzig Jahre (MWSTG Art. 70 Abs. 3).

Bilanzi behandelt das nicht als Hinweis, sondern als Regel: Innerhalb der Frist verweigert die Datenbank das Vernichten eines Belegs, der an einer Buchung oder einer Spesenabrechnung hängt. Eine Buchung wird nie überschrieben; eine Korrektur ist eine sichtbare, verknüpfte Gegenbuchung.

Dein Konto kannst du jederzeit auflösen lassen. Die Bücher deines Betriebs bleiben davon unberührt, solange die Frist läuft. Das ist keine Entscheidung von Bilanzi, sondern die Pflicht des Betriebs.

Für Angaben ausserhalb der Aufbewahrungspflicht gibt es heute keine automatische Löschung: Einladungen, Rückmeldungen und die Angaben zur Nutzung der KI bleiben gespeichert. Willst du, dass etwas davon gelöscht wird, genügt eine Nachricht an den Betreiber. Den Text gesendeter E-Mails speichert Bilanzi nicht.

Was zum Schutz dieser Daten durchgesetzt wird

Die folgenden Punkte sind im Code durchgesetzt und durch automatisierte Tests abgesichert, nicht bloss Absicht:

• Die Trennung zwischen Betrieben liegt in der Datenbank und wird bei jeder einzelnen Abfrage geprüft, nicht in der Anwendung davor.
• Dein Zugriffsmerkmal erreicht den Browser nie als lesbaren Wert: es liegt in einem Cookie, an das kein Skript herankommt.
• Der zweite Faktor ist freiwillig und gehört zur Anmeldung: wer eine Authenticator-App einrichtet, bestätigt einmal nach dem Passwort. Was eine Person danach tun darf, entscheiden ihre Rolle und ihr Mandat.
• Der Prüfpfad ist verkettet: eine nachträgliche Änderung wäre aus den Daten allein erkennbar.
• Die Übertragung läuft ausschliesslich verschlüsselt, und der Browser spricht nur mit bilanzi.ch. Cloudflare nimmt diese Verbindung entgegen und reicht sie an Bilanzi weiter. Aus deiner Sitzung heraus geht keine Verbindung zu einem anderen Dienst, ausser bei einer Weiterleitung, die du selbst auslöst, etwa zur Anmeldung bei Google oder Apple oder zum Bezahlen bei Stripe.

Deine Rechte

Du kannst Auskunft darüber verlangen, welche Daten über dich bearbeitet werden, Berichtigung falscher Angaben verlangen, deine Daten in einem gängigen Format herausverlangen und der Bearbeitung widersprechen, soweit sie nicht auf einer gesetzlichen Pflicht beruht.

Für dein Konto wendest du dich an den Betreiber, oben genannt. Für die Buchhaltung eines Betriebs wendest du dich an diesen Betrieb; Bilanzi handelt dort auf seine Weisung und leitet ein Anliegen weiter, das bei ihm eingeht.

Die Herausgabe ist kein Gefallen, sondern eingebaut: unter «Bücher herausholen» gibt der Arbeitsbereich die Bücher eines Betriebs als Datei heraus, ohne dass jemand gefragt werden muss.

Ausserdem steht dir der Weg zum Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten offen.

Änderungen

Diese Erklärung wird nachgeführt, wenn sich die Bearbeitung ändert, etwa wenn ein Dienst angebunden oder abgelöst wird. Das Datum oben nennt den Stand, und wesentliche Änderungen werden den angemeldeten Betrieben mitgeteilt.