Datenschutzerklärung

Stand: Oktober 2026

1. Anbieterin

Anbieterin des Service und Ansprechpartnerin für den Datenschutz im Sinne des schweizerischen Datenschutzgesetzes (DSG) und, soweit anwendbar, der EU-Datenschutz-Grundverordnung (DSGVO) ist:

2. Geltungsbereich und Rollen

Diese Datenschutzerklärung gilt für die Nutzung der Cloud-Software «ValueRocket CRM» (nachfolgend «Service»). Sie informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten.

Die Anbieterin bearbeitet Personendaten in zwei Rollen:

• Als Verantwortliche für die Daten, die sie für den Betrieb des Service selbst benötigt: Konto- und Firmendaten der Kunden sowie technische Daten (Abschnitte 3.1, 3.2 und 3.8).
• Als Auftragsbearbeiterin für die Daten, die Kunden im Service über ihre eigenen Kunden, Geschäftspartner und Reisenden erfassen (Abschnitte 3.3 bis 3.7). Für diese Daten ist der jeweilige Kunde verantwortlich; er informiert die betroffenen Personen und stellt sicher, dass er die Daten erfassen darf. Die Anbieterin bearbeitet sie nur zur Erbringung des Service.

3. Bearbeitete Personendaten

Im Rahmen der Nutzung des Service werden folgende Datenkategorien verarbeitet:

3.1 Kontodaten

Bei der Registrierung: Name, E-Mail-Adresse, Passwort (verschlüsselt gespeichert als bcrypt-Hash), Zeitpunkt der AGB-Akzeptanz. Für Benutzer, die zu einem Unternehmen eingeladen werden, zusätzlich: Rolle, einladende Person, Zeitpunkt von Einladung, Annahme und letzter Anmeldung.

3.2 Firmendaten

Firmenname, Adresse, PLZ, Ort, Land, MwSt-Nummer, Bankverbindung (IBAN, QR-IBAN, Bankname), Firmenlogo.

3.3 Kontaktdaten

Name, E-Mail-Adresse, Telefonnummer, Adresse und weitere geschäftliche Kontaktinformationen von Kunden und Geschäftspartnern, dazu Notizen, Termine und Wiedervorlagen.

3.4 Reisedaten

Angaben zu Reisenden: Anrede, Name, Geburtsdatum, Nationalität, E-Mail-Adresse, Telefonnummer, Pass- und Ausweisdaten (Nummer, Ausstellungsland, Ausstellungs- und Ablaufdatum), Kopien von Reisedokumenten, Angaben zur Reiseversicherung, Vielfliegernummern sowie Essens- und Sitzplatzwünsche. Buchungsdetails: Reisedaten, Destinationen, Buchungskomponenten (Hotels, Mietwagen, Flüge, Versicherungen), Dokumente.

Soweit für die Durchführung der Reise nötig, können zu Reisenden auch Allergien und Ernährungseinschränkungen, gesundheitliche Hinweise und besondere Bedürfnisse (z.B. Rollstuhl) erfasst werden. Diese Angaben sowie Pass- und Ausweisdaten gibt der Service nicht an KI-Anbieter weiter.

3.5 Finanzdaten

Rechnungen, Angebote, Ausgaben, Belege (als Dateien), Buchungsjournale, Zahlungsinformationen.

3.6 Daten aus KI-Funktionen

Konversationen mit dem integrierten KI-Assistenten werden in der Datenbank gespeichert. Inhalte, die mit einer KI-Funktion bearbeitet werden (Nachrichten, hochgeladene Belege und Buchungsbestätigungen, vom Assistenten abgefragte CRM-Daten), werden zur Verarbeitung an den KI-Anbieter übermittelt (siehe Abschnitte 6.4 und 12).

3.7 Anfragen über das Intake-Formular

Name, Firma, E-Mail-Adresse, Beschreibung und Dringlichkeit der Anfrage sowie eine optionale Videoaufnahme, die als Datei gespeichert wird.

3.8 Technische Daten und Schnittstelle

IP-Adresse, Browser-Typ und -Version, Betriebssystem, Zugriffszeiten — diese werden automatisch durch die Hosting-Infrastruktur in Server-Logs erfasst. Bei Nutzung der Programmierschnittstelle (API): API-Schlüssel (nur als Hash gespeichert), Zeitpunkt und IP-Adresse der letzten Nutzung sowie ein Protokoll der über die Schnittstelle ausgelösten Aktionen.

4. Zweck der Datenverarbeitung

Die erhobenen Daten werden für folgende Zwecke verarbeitet:

• Bereitstellung und Betrieb des CRM-Service
• Benutzerauthentifizierung und Kontoverwaltung
• Erstellung von Angeboten, Rechnungen und QR-Rechnungen
• Verwaltung von Reisebuchungen und Reisedokumenten
• Buchhaltung und Ausgabenverwaltung
• KI-gestützte Funktionen: Hilfe-Assistent, Auslesen von Belegen, Import von Buchungsbestätigungen, Textvorschläge für Reisebausteine
• Entgegennahme von Anfragen (Intake)
• Versand von transaktionalen E-Mails (z.B. Angebote)
• Berechnung von Entfernungen und Geocoding für Reiserouten
• Sicherstellung der technischen Funktionsfähigkeit und Sicherheit

5. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Grundlagen:

• Vertragserfüllung (Art. 31 Abs. 2 lit. a DSG) — Verarbeitung ist für die Erbringung des Service erforderlich.
• Auftrag des Kunden (Art. 9 DSG) — Daten, die Kunden über Dritte erfassen, bearbeitet die Anbieterin nur so, wie es der Kunde selbst dürfte.
• Auslösung durch den Nutzer — KI-Funktionen werden nur ausgeführt, wenn ein Nutzer sie aktiv verwendet.
• Berechtigtes Interesse — Technische Logs zur Sicherstellung des Betriebs und der Sicherheit.

6. Drittanbieter und Datenübermittlung ins Ausland

Zur Erbringung des Service werden Daten an folgende Drittanbieter übermittelt. Die Daten werden in der EU und in den USA bearbeitet, nicht in der Schweiz. Die EU verfügt aus Schweizer Sicht über einen angemessenen Datenschutz; für Übermittlungen in die USA gelten Standardvertragsklauseln (SCCs).

6.1 Vercel Inc. (USA)

Zweck: Hosting und Ausführung der Webanwendung. Sämtliche Anfragen an den Service und die darin enthaltenen Daten werden über die Infrastruktur von Vercel verarbeitet; dauerhaft gespeichert werden dort technische Zugriffsdaten (IP-Adresse, Browser-Info). Datenschutz wird durch SCCs gewährleistet.

6.2 Neon Inc. (USA, EU-Infrastruktur)

Zweck: PostgreSQL-Datenbankbetrieb. Übermittelte Daten: Alle Geschäftsdaten werden in der Datenbank gespeichert. Die Datenbank-Server befinden sich in der EU (Region eu-central-1, Frankfurt). Datenschutz wird durch SCCs gewährleistet.

6.3 Hetzner Online GmbH (Deutschland)

Zweck: Speicherung von Dateien mittels Object Storage. Übermittelte Daten: Hochgeladene Dateien (Reisedokumente, Kopien von Pässen und Ausweisen, Belege, Videoaufnahmen). Serverstandort: Nürnberg, Deutschland. Verarbeitung innerhalb der EU/des EWR.

6.4 Anthropic (Irland / USA)

Vertragspartnerin ist Anthropic Ireland, Limited; die Verarbeitung erfolgt durch Anthropic PBC in den USA. Zweck: KI-Funktionen des Service (Claude API). Übermittelt werden:

• Hilfe-Assistent: die eingegebenen Nachrichten sowie die CRM-Daten, die der Assistent zur Beantwortung abfragt (z.B. Kontakte, Buchungen, Name, Geburtsdatum und Nationalität von Reisenden).
• Beleg-Scan: die hochgeladenen Belege (Bild oder PDF).
• Import von Buchungsbestätigungen: die hochgeladenen PDF-Dokumente bzw. Flugdaten; sie können Namen von Reisenden enthalten.
• Textvorschläge für Reisebausteine: Angaben zur Leistung (z.B. Hotelname, Destination), keine Angaben zu Reisenden.

Anthropic verwendet über die API übermittelte Daten gemäss ihren Geschäftsbedingungen nicht zum Training von KI-Modellen und löscht Eingaben und Ausgaben in der Regel innert 30 Tagen. Datenschutz wird durch eine Vereinbarung zur Auftragsbearbeitung mit SCCs gewährleistet.

Wichtiger Hinweis: Nutzer sollten keine sensiblen personenbezogenen Daten (wie Passnummern, Gesundheitsangaben, Bankdaten oder Passwörter) in den Assistenten eingeben und keine Dokumente mit solchen Angaben über die KI-Funktionen hochladen.

6.5 Resend Inc. (USA)

Zweck: Versand von transaktionalen E-Mails (z.B. Angebote an Kunden, Einladungen an Teammitglieder). Übermittelte Daten: E-Mail-Adressen der Empfänger, E-Mail-Inhalte. Datenschutz wird durch SCCs gewährleistet.

6.6 OpenRouteService / HeiGIT (Deutschland)

Zweck: Geocoding und Routenberechnung für Reisebuchungen (optional). Übermittelte Daten: Adressen und Ortsnamen zur Entfernungsberechnung. Verarbeitung innerhalb der EU.

6.7 SerpApi LLC (USA)

Zweck: Websuche nach der offiziellen Website eines Hotels oder einer Aktivität beim Erstellen von Reisebausteinen. Übermittelte Daten: Name der Leistung und Destination. Es werden keine Personendaten von Reisenden übermittelt.

6.8 Google Fonts (Google Ireland Limited / Google LLC, USA)

Zweck: Darstellung von Schriften in der Druckansicht von Reiseunterlagen. Beim Öffnen dieser Ansicht lädt der Browser Schriften von Servern von Google; dabei wird die IP-Adresse an Google übermittelt.

7. Datenweitergabe

Personenbezogene Daten werden nicht verkauft, vermietet oder zu Werbezwecken an Dritte weitergegeben. Eine Weitergabe erfolgt ausschliesslich an die in Abschnitt 6 genannten Auftragsverarbeiter sowie bei rechtlichen Verpflichtungen (z.B. behördliche Anordnungen).

8. Datensicherheit

Die Anbieterin trifft angemessene technische und organisatorische Massnahmen zum Schutz personenbezogener Daten:

• Verschlüsselte Datenübertragung mittels TLS/HTTPS
• Passwörter werden als bcrypt-Hash gespeichert (nicht im Klartext)
• Mandantentrennung: Jedes Unternehmen hat eine isolierte Datenumgebung
• Dateizugriff über zeitlich begrenzte, signierte URLs (Presigned URLs)
• JWT-basierte Sitzungsverwaltung mit verschlüsselten Tokens
• Rollen innerhalb eines Unternehmens (Admin, Büro, Arbeiter) mit abgestuften Zugriffsrechten
• API-Schlüssel und Einladungslinks werden nur als Hash gespeichert

9. Aufbewahrungsdauer

Personenbezogene Daten werden so lange aufbewahrt, wie das Konto des Kunden aktiv ist und der Service genutzt wird. Nach Kündigung werden die Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Für Finanzdaten (Rechnungen, Buchungen, Belege) gilt die gesetzliche Aufbewahrungspflicht von 10 Jahren gemäss Art. 958f OR.

10. Rechte der betroffenen Personen

Gemäss dem DSG und der DSGVO haben betroffene Personen folgende Rechte:

• Auskunftsrecht: Sie können Auskunft über die Verarbeitung Ihrer personenbezogenen Daten verlangen.
• Berichtigungsrecht: Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht: Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Datenportabilität: Sie können die Herausgabe Ihrer Daten in einem gängigen Format verlangen.
• Widerspruchsrecht: Sie können der Verarbeitung Ihrer Daten widersprechen.

Anfragen richten Sie bitte an: hello@valuerocket.ch

Betrifft Ihre Anfrage Daten, die ein Kunde der Anbieterin über Sie erfasst hat (z.B. als Reisende oder Kontakt), wenden Sie sich bitte an diesen Kunden; die Anbieterin unterstützt ihn bei der Beantwortung.

Sie haben zudem das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen.

11. Cookies und Tracking

Der Service verwendet ausschliesslich technisch notwendige Cookies für die Benutzerauthentifizierung (Session-Cookies). Es werden keine Analyse-, Marketing- oder Tracking-Cookies eingesetzt. Es sind keine Drittanbieter-Tracking-Dienste (wie Google Analytics) integriert. Einzige Ausnahme beim Laden fremder Inhalte ist die Druckansicht von Reiseunterlagen (Google Fonts, siehe Abschnitt 6.8).

12. KI-Funktionen

Der Service enthält KI-Funktionen auf Basis der Claude API von Anthropic: einen Hilfe-Assistenten, das Auslesen von Belegen, den Import von Buchungsbestätigungen und Textvorschläge für Reisebausteine. Bei der Nutzung werden die jeweiligen Inhalte zur Verarbeitung an Anthropic in die USA übermittelt (Abschnitt 6.4).

Der Hilfe-Assistent kann auf Wunsch des Nutzers Daten des eigenen Unternehmens im Service suchen und Buchungen anlegen; die dabei abgefragten Daten sind Teil der Übermittlung. Die KI-Funktionen sind Hilfsmittel und ersetzen keine professionelle Beratung; Ergebnisse sind vom Nutzer zu prüfen.

13. Änderungen

Die Anbieterin behält sich vor, diese Datenschutzerklärung jederzeit anzupassen. Die jeweils aktuelle Version ist unter crm.valuerocket.ch/datenschutz abrufbar.

14. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an: