Datenschutzerklärung Appnity CRM

Stand: 20. Juli 2026

1. Verantwortliche Stelle

Verantwortlich für Appnity CRM ist die appnity GmbH, c/o Fehr Legal GmbH, Lättichstrasse 6, 6340 Baar, Schweiz, UID CHE-318.760.046. Kontakt: info@appnity.ch.

1a. Vertreter in der Europäischen Union (Art. 27 DSGVO)

Soweit die DSGVO auf unsere Datenbearbeitung anwendbar ist (Art. 3 Abs. 2 DSGVO), haben wir als Unternehmen mit Sitz in der Schweiz ohne Niederlassung in der EU einen Vertreter in der Union benannt: [PLATZHALTER: EU-Vertreter nach Art. 27 — wird benannt]. Betroffene Personen und Aufsichtsbehörden in der EU können sich zusätzlich zu uns auch an den Vertreter wenden.

2. Bearbeitete Daten

Wir bearbeiten insbesondere Konto- und Login-Daten, Firmen- und Rechnungsdaten, CRM-Inhalte wie Leads, Kontakte, Aufgaben, Offerten, Verträge, Rechnungen, Kommunikationsdaten, Nutzungs- und Protokolldaten sowie Zahlungs- und Abrechnungsinformationen. Bei Nutzung der Telefonie zusätzlich Rufnummern (inkl. der vom Nutzer hinterlegten eigenen Weiterleitungsnummer), Anrufmetadaten (Zeitpunkt, Dauer, Richtung, Gesprächspartner) sowie — nur bei aktivierter Transkription und bestätigter Einwilligung — Gesprächsaufnahmen und Transkripte.

3. Zwecke der Bearbeitung

Die Daten werden bearbeitet, um Appnity CRM bereitzustellen, Nutzer zu authentifizieren, Organisationen und Rollen zu verwalten, Abos und Zahlungen abzuwickeln, Support zu leisten, Sicherheit zu gewährleisten, Missbrauch zu verhindern und gesetzliche Pflichten zu erfüllen.

3a. Rechtsgrundlagen der Bearbeitung

Wir bearbeiten Personendaten nach Schweizer Datenschutzrecht (revDSG). Soweit die DSGVO anwendbar ist, stützen wir uns je Zweck auf folgende Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Betrieb und Bereitstellung von Appnity CRM — Konto- und Organisationsverwaltung, CRM-Funktionen, Abo-Abwicklung und Zahlungsabwicklung, Support sowie vorvertragliche Massnahmen (z. B. Testphase).
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit der Plattform, Missbrauchsschutz (z. B. Rate-Limits, Protokollierung, Audit-Logs) sowie anonyme Reichweitenmessung ohne Cookies und ohne Geräte-Identifikatoren (vgl. Ziff. 9).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Marketing-E-Mails, öffentliche Formulare (Landingpages, Website-Formulare, Bewerbungen, Terminbuchungen), die optionale Freigabe der US-KI-Verarbeitung (Ziff. 5a) sowie Anruf-Aufnahmen und -Transkriptionen (Ziff. 5a). Erteilte Einwilligungen können jederzeit widerrufen werden (vgl. Ziff. 8).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): gesetzliche Aufbewahrungs- und Nachweispflichten, insbesondere nach OR (Art. 958f), GeBüV, MWSTG und AHVG (Buchhaltungs-, Beleg- und Lohndaten).

4. Auftragsbearbeiter und Empfänger

Wir setzen die folgenden Dienstleister (Auftragsbearbeiter) ein, soweit die jeweilige Funktion genutzt wird:

• Google Firebase / Google Cloud (EU/USA; Verarbeitung in der Region Zürich, europe-west6) — Hosting, Datenbank, Dateispeicher, Authentifizierung.
• Stripe (USA/Irland) — Zahlungs- und Abrechnungsabwicklung.
• Infomaniak (Schweiz) — KI-Dienste: KI-Assistent, Text-/E-Mail-Verarbeitung und Anruf-Transkription (Whisper), in der Schweiz gehostet (Standard-Konfiguration).
• OpenAI / Anthropic (USA) — US-KI-Dienste; kommen nur zum Einsatz, wenn die verantwortliche Organisation die US-KI-Verarbeitung ausdrücklich freigegeben hat (siehe Ziff. 5a).
• Twilio (USA) — Telefonie (Rufnummern, Anrufe, Aufnahmen), soweit Telefonie genutzt wird.
• Aircall (Frankreich/USA) — Telefonie und Anrufmetadaten/-Transkripte, soweit genutzt.
• Skribble (Schweiz) — qualifizierte elektronische Signatur.
• Zefix (Schweiz, Handelsregister-Behörde) — Abfrage öffentlicher Firmendaten.
• E-Mail-/SMTP-Anbieter: Hostpoint (Schweiz) — Versand von Plattform-E-Mails (Empfängeradresse und Inhalt, z. B. Offerten, Termine, System- und Informations-Mails). Nutzt eine Organisation einen eigenen SMTP-/IMAP-Anbieter, ist dieser ein von der Organisation gewählter Dienstleister.
• Daily.co (USA) — Videocall-Räume, nur soweit die Videocall-Funktion mit Daily.co genutzt wird (optional, mit organisationseigenem API-Schlüssel).
• Jitsi — Videocalls, soweit genutzt (optional); Standard-Server ist meet.ffmuc.net (Deutschland), die Organisation kann einen eigenen Jitsi-Server hinterlegen.
• Google reCAPTCHA / Firebase App Check (Google, EU/USA) — Schutz öffentlicher Formulare und der App-Zugriffe vor Missbrauch; dabei werden technische Verbindungsdaten an Google übermittelt (Auslieferung u. a. über gstatic.com).
• Firebase Authentication (Google, global) — Login-/Kontodaten (E-Mail, Passwort-Hash); dieser Google-Dienst wird global und ohne feste Regionszuweisung betrieben (vgl. Ziff. 5).

5. Bearbeitung im Ausland

Ein Teil der genannten Dienstleister verarbeitet Daten in den USA (Twilio, Stripe; OpenAI/Anthropic nur bei ausdrücklicher Freigabe gemäss Ziff. 5a) bzw. in Frankreich/USA (Aircall). Für diese Übermittlungen in Staaten ohne von der Schweiz/EU anerkanntes angemessenes Datenschutzniveau stützen wir uns auf geeignete Garantien (EU-Standardvertragsklauseln mit Schweizer Ergänzung bzw. gleichwertige vertragliche Schutzmechanismen). Skribble, Zefix und die KI-Verarbeitung (Infomaniak) laufen in der Schweiz; die Kern-Infrastruktur (Firebase) wird in der Schweiz-Region betrieben. Bei Nutzung der Videocall-Funktion mit Daily.co (USA) gilt Entsprechendes. Firebase Authentication (Login-Daten) sowie Google reCAPTCHA/App Check sind globale Google-Dienste ohne feste Regionszuweisung; auch hierfür stützen wir uns auf die genannten Garantien (Google-Auftragsverarbeitungsvertrag inkl. Standardvertragsklauseln).

5a. Künstliche Intelligenz, Sprachaufnahmen und Direktwerbung

KI-Verarbeitung: KI-Funktionen (z. B. KI-Assistent, Beleg-/Vertrags-Erkennung, Antwortentwürfe, Anruf-Transkription) laufen in der Standard-Konfiguration über einen in der Schweiz gehosteten KI-Dienst (Infomaniak) — es findet dabei keine Übermittlung an US-KI-Dienste statt. Eine Verarbeitung durch US-KI-Dienste (OpenAI bzw. Anthropic) ist standardmässig deaktiviert und findet nur statt, wenn die verantwortliche Organisation sie ausdrücklich freigibt; die Freigabe wird protokolliert und ist widerrufbar.

Telefonie: Bei Nutzung der Telefonie-Funktion werden Rufnummern und Anrufmetadaten durch Twilio (USA) verarbeitet; die Anrufe werden den entsprechenden CRM-Kontakten zugeordnet. Anrufe direkt aus dem Browser erfordern eine lokale Mikrofon-Freigabe; der Audiostrom wird für die Gesprächsführung übertragen und ausserhalb einer aktivierten Aufzeichnung nicht gespeichert.

Anrufaufnahmen/-Transkripte: Gespräche werden nur aufgezeichnet, wenn die verantwortliche Organisation die Transkriptionsfunktion aktiviert hat. Bei ausgehenden Anrufen aus dem CRM beginnt die Aufnahme erst, nachdem die Einwilligung der Gesprächsteilnehmenden im laufenden Gespräch bestätigt wurde — vorher existiert kein Mitschnitt. Die Aufnahme wird beim Telefonie-Anbieter (Twilio, USA) gespeichert und an den in der Schweiz gehosteten Transkriptionsdienst (Infomaniak) übermittelt. Bei eingehenden Anrufen wird ein allfälliger Mitschnitt bis zur bestätigten Einwilligung zurückgehalten; ohne Einwilligung wird der Gesprächsinhalt nicht übermittelt und das zurückgehaltene Material verworfen. Die Einholung der Einwilligung obliegt der verantwortlichen Organisation (vgl. Ziff. 10).

Direktwerbung: Marketing-E-Mails enthalten einen Abmeldelink. Ein Widerspruch (Abmeldung) wird technisch erfasst und vor jedem weiteren Versand berücksichtigt; als gesperrt markierte Kontakte erhalten keine Werbung.

5b. Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Es findet keine automatisierte Entscheidungsfindung im Einzelfall einschliesslich Profiling im Sinne von Art. 22 DSGVO statt. Die KI-Funktionen von Appnity CRM sind reine Unterstützungswerkzeuge (z. B. Entwürfe, Vorschläge, Erkennung); Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung trifft stets der Nutzer bzw. die verantwortliche Organisation.

6. Speicherdauer

Wir speichern Daten so lange, wie dies für die genannten Zwecke, für Vertragsabwicklung, Nachweise, Sicherheitszwecke oder gesetzliche Aufbewahrungspflichten erforderlich ist. Kunden können Inhalte im Rahmen der Funktionen löschen oder eine Löschung anfragen, soweit keine Aufbewahrungspflichten entgegenstehen.

Für die wichtigsten Datenkategorien gelten folgende konkrete Speicherfristen (danach automatische Löschung bzw. Anonymisierung):

7. Sicherheit

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz der Daten. Dazu gehören rollenbasierte Zugriffe, Authentifizierung, Protokollierung, verschlüsselte Übertragung und der Einsatz etablierter Cloud-Infrastruktur.

8. Rechte betroffener Personen

Betroffene Personen können im Rahmen des anwendbaren Datenschutzrechts Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung oder Herausgabe von Daten verlangen. Anfragen richten Sie bitte an info@appnity.ch. Die Ausübung dieser Rechte kann eingeschränkt sein, wenn gesetzliche Pflichten oder überwiegende Interessen entgegenstehen.

Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung (z. B. für Marketing-E-Mails, Formulare, Anruf-Aufnahmen oder die US-KI-Freigabe) kann jederzeit mit Wirkung für die Zukunft widerrufen werden — per E-Mail an info@appnity.ch, über den Abmeldelink in Marketing-E-Mails bzw. über die entsprechende Einstellung in der App. Die Rechtmässigkeit der bis zum Widerruf erfolgten Bearbeitung bleibt vom Widerruf unberührt.

Beschwerderecht bei einer Aufsichtsbehörde: Betroffene Personen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch. Soweit die DSGVO anwendbar ist, besteht zudem das Beschwerderecht nach Art. 77 DSGVO bei einer EU-Aufsichtsbehörde, insbesondere im EU-Mitgliedstaat des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmasslichen Verstosses.

9. Cookies, Fonts und externe Ressourcen

Appnity CRM kann technisch notwendige Speichermechanismen wie Local Storage oder Cookies verwenden. Zudem können externe Skripte oder Bibliotheken geladen werden, soweit dies für Darstellung, Authentifizierung, Zahlungen oder App-Funktionen erforderlich ist.

Schriftarten: Schriftarten werden lokal von unseren eigenen Servern ausgeliefert. Es finden keine Abrufe von Google Fonts oder anderen externen Schriftarten-Diensten statt; beim Laden der Schriften wird keine IP-Adresse an Dritte übermittelt.

Reichweitenmessung: Wir setzen eine eigene, first-party betriebene Reichweitenmessung ein. Diese arbeitet anonym: ohne Cookies, ohne Geräte-Identifikatoren und ohne seitenübergreifende Wiedererkennung; es werden keine Nutzerprofile gebildet und keine Daten an Drittanbieter-Analysedienste übermittelt. Die Messdaten werden nach 120 Tagen automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (vgl. Ziff. 3a).

10. Kundeninhalte und eigene Informationspflichten

Kunden sind verantwortlich, ihre eigenen Mitarbeitenden, Leads, Kunden und sonstigen betroffenen Personen über die Bearbeitung ihrer Daten in Appnity CRM zu informieren und erforderliche Rechtsgrundlagen sicherzustellen.

9a. Nutzungs- und Arbeitszeiterfassung im CRM (Mitarbeitende)

Für angemeldete Nutzerinnen und Nutzer erfasst Appnity CRM je Person und Kalendertag eine aggregierte aktive Nutzungszeit (Sekunden, in 30-Sekunden-Schritten) sowie den Zeitpunkt der letzten Aktivität. Gezählt wird nur, wenn das CRM im Vordergrund geöffnet ist und tatsächlich damit gearbeitet wird.

Bewusst nicht erfasst: keine einzelnen Klicks, Tastatureingaben oder Mausbewegungen, keine Bildschirmaufnahmen, keine Inhalte aufgerufener Seiten und keine Standortdaten. Es entsteht kein Bewegungs- oder Verhaltensprofil.

Zweck und Rechtsgrundlage: Nachvollziehbarkeit der Arbeitszeit im System, Betreuung von Testkunden und Kapazitätsplanung (Art. 6 Abs. 1 lit. b und lit. f DSGVO; in der Schweiz Art. 26 ArGV 3 — eine Verhaltens- oder Leistungsüberwachung ist ausdrücklich nicht bezweckt). Transparenz: Jede Person sieht ihre eigenen Werte im eigenen Dashboard; die Firmenadministration sieht die Team-Auswertung. Speicherdauer: 365 Tage, danach automatische Löschung.

10a. Auftragsverarbeitung (AVV/DPA)

Soweit wir Personendaten im Auftrag unserer Kunden bearbeiten (Inhalte, die Kunden in Appnity CRM erfassen), sind unsere Kunden Verantwortliche und wir Auftragsverarbeiterin. Dafür gilt der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO und Art. 9 revDSG; er ist Bestandteil des Vertrags und enthält unter anderem die vollständige Liste der Unterauftragsverarbeiter sowie die technischen und organisatorischen Massnahmen. Er kann auf Wunsch auch gesondert unterzeichnet werden.

11. Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Datenbearbeitung oder die Rechtslage ändert. Die jeweils aktuelle Version ist auf dieser Seite verfügbar.