Datenschutzerklärung

Dies ist eine Übersetzung zu Informationszwecken. Massgebend ist die englische Fassung.

Zuletzt aktualisiert: Juli 2026

Kurzfassung

Bevor wir ins Detail gehen, hier das Wichtigste zum Umgang mit Ihren Daten.

• 🚫 Wir verkaufen Ihre Daten nicht. Niemals. Punkt.
• 🔒 Ihre Daten gehören Ihnen. Wir überwachen weder Ihre Rechnungen noch Kundeninformationen
• 🇨🇭 Schweizer Datenschutzstandards. DSG-, DSGVO- und CCPA-konform
• 🏦 Bankdaten nur mit Ihrer Einwilligung. Nur lesende bLink-Verbindungen, jederzeit widerrufbar
• 🎛️ Sie kontrollieren Ihre Daten. Konto jederzeit löschbar
• 🛡️ Eingebaute Sicherheit. Verschlüsselung schützt Daten bei Übertragung und Speicherung

Wer wir sind

Magic Heidi wird betrieben von der Magic Heidi AG, Route de Vaux 1, 1126 Vaux, Schweiz, UID CHE-215.620.945. Die Magic Heidi AG ist Verantwortliche für die in dieser Erklärung beschriebenen Bearbeitungen.

Kontakt für Datenschutzanfragen:

• E-Mail: hello@magicheidi.ch
• Website: https://magicheidi.ch

Für Beschwerden können Sie sich auch an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden: https://www.edoeb.admin.ch

Geltungsbereich

Diese Datenschutzerklärung gilt für:

• die Magic Heidi Mobile-Apps (iOS und Android);
• die Magic Heidi Desktop-Apps (Mac und Windows);
• die Magic Heidi Web-App;
• unsere Website unter https://magicheidi.ch.

Mit dem Zugriff auf den Dienst akzeptieren Sie unsere Nutzungsbedingungen und diese Datenschutzerklärung. Die Nutzung von Magic Heidi erfordert die Zustimmung zu beiden.

Welche Daten wir erfassen

Als Rechnungs- und Buchhaltungssoftware benötigt Magic Heidi bestimmte Informationen. Hier genau, was wir erfassen und warum:

• Geschäftsdaten. Firmenname, Adresse, IBAN, Zahlungsdaten und MWST-Nummer.
• Rechnungsdaten. Produkte und Dienstleistungen, Preise, Zahlungsbedingungen und Rechnungshistorie.
• Kundeninformationen. Kundennamen, Adressen, Kontaktdaten und Zahlungshistorie.
• Kontoinformationen. E-Mail-Adresse, verwendete Anmeldemethode und Abonnementstatus.
• Hochgeladene Dokumente. Belege, Rechnungen und Ausgabenanhänge, die Sie hochladen oder an uns weiterleiten.
• Bankkontodaten (nur wenn Sie eine Bank verbinden). Wenn Sie ein Bankkonto über bLink verbinden, erhalten wir Kontoinformationen von Ihrer Bank: Kontoidentifikatoren (etwa die IBAN), Kontostände und Transaktionsdaten (Datum, Betrag, Währung, Gegenpartei und Zahlungsreferenz). Siehe «Open Banking über SIX bLink» unten.

Automatisch erfasste Daten

Nutzungsdaten:

• genutzte App-Funktionen;
• Fehlerprotokolle und Absturzberichte;
• Gerätetyp und Betriebssystem.

Wir erfassen nicht:

• Standortdaten;
• Kontaktlisten;
• Fotos (ausser Sie laden Belege hoch);
• Browserverlauf;
• Ihre E-Banking-Zugangsdaten — Sie authentifizieren sich direkt bei Ihrer Bank, wir sehen Ihre Login-Daten nie.

Wie wir Ihre Daten nutzen

Wir verwenden Ihre Daten für diese spezifischen Zwecke:

Zur Bereitstellung unserer Dienste

• Erstellung rechtskonformer Rechnungen;
• Synchronisierung Ihrer Daten über alle Geräte;
• Abwicklung Ihrer Zahlungen und Abonnements;
• Versand von Rechnungen und Zahlungserinnerungen an Ihre Kunden;
• Abruf der von Ihnen verbundenen Bankkontoinformationen und Abgleich der Transaktionen mit Ihren Rechnungen und Ausgaben (Reconciliation).

Zur Verbesserung von Magic Heidi

• Behebung von Fehlern und technischen Problemen;
• Analyse verbesserungswürdiger Funktionen;
• Test neuer Funktionen.

Zur Kommunikation mit Ihnen

• Beantwortung von Supportanfragen;
• Versand wichtiger Produktupdates;
• Tipps zur App-Nutzung (nur bei Opt-in).

KI-Verarbeitung für Belegscans

Wenn Sie einen Beleg, eine Rechnung oder einen Ausgabenanhang hochladen, verarbeiten wir die Datei, um Felder wie Anbieter, Datum, Währung, MWST, Betrag und Kategorievorschläge zu extrahieren.

• Belegbilder, PDFs, Screenshots und weitergeleitete E-Mail-Anhänge können zur Extraktion an Anthropic gesendet werden.
• Diese Verarbeitung erfolgt nur, um die von Ihnen angeforderte Funktion bereitzustellen.
• Wir verwenden Ihre hochgeladenen Belegdaten nicht, um eigene Magic-Heidi-Modelle zu trainieren.
• Die KI-Verarbeitung ändert Ihre Buchhaltungsdaten nie automatisch ohne Ihre Prüfung.
• Originaldateien bleiben Teil Ihrer Unterlagen, bis Sie sie löschen lassen oder Ihr Konto löschen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Open Banking über SIX bLink

Wenn Sie ein Bankkonto verbinden möchten, erfolgt die Verbindung über bLink, die von SIX betriebene Schweizer Open-Banking-Plattform. So funktioniert es:

• Was wir abrufen. Lesende Kontoinformationen von Ihrer Bank: Kontoidentifikatoren, Kontostände und Transaktionen. Wir lösen keine Zahlungen aus.
• Ihre Einwilligung. Eine Verbindung wird nur mit Ihrer ausdrücklichen Einwilligung hergestellt, die Sie über den Einwilligungsprozess von SIX («Consent as a Service») und/oder Ihrer Bank erteilen. Umfang und Dauer Ihrer Einwilligung werden Ihnen bei der Erteilung angezeigt.
• Aktualisierung im Hintergrund. Soweit Ihre Einwilligung dies abdeckt, rufen wir Kontoinformationen periodisch im Hintergrund ab (Offline-Zugriff), damit Ihre Unterlagen aktuell bleiben, ohne dass Sie angemeldet sein müssen.
• Ihre Zugangsdaten bleiben bei Ihrer Bank. Sie authentifizieren sich direkt bei Ihrer Bank. Magic Heidi erhält oder speichert Ihre E-Banking-Zugangsdaten nie.
• Wer beteiligt ist. SIX verarbeitet Verbindungs- und Einwilligungsdaten, um die bLink-Plattform zu betreiben; Ihre Bank weiss, dass Magic Heidi in Ihrem Auftrag Daten abruft. Beide handeln in eigener Verantwortung und nach eigenen Bedingungen.
• Widerruf. Sie können eine Bankverbindung jederzeit in Magic Heidi oder bei Ihrer Bank widerrufen. Der Widerruf stoppt jeden künftigen Abruf. Bereits abgerufene Transaktionsdaten bleiben Teil Ihrer Buchhaltungsunterlagen und werden gemäss «Datenspeicherung» unten aufbewahrt.

Rechtsgrundlage der Verarbeitung

Nach Schweizer Recht und DSGVO verarbeiten wir Ihre Daten auf Basis von:

• Vertrag: Wir benötigen Ihre Daten zur Erbringung des gebuchten Dienstes;
• Einwilligung: für Bankverbindungen und optionale Mitteilungen — Sie entscheiden;
• Berechtigtes Interesse: für Sicherheit, Betrugsprävention und Serviceverbesserung;
• Gesetzliche Pflicht: für Unterlagen, die wir von Gesetzes wegen aufbewahren müssen.

Drittanbieter

Wir arbeiten mit vertrauenswürdigen Partnern zusammen. Jeder erfüllt strenge Sicherheits- und Compliance-Standards; alle Dritten, die personenbezogene Daten für uns verarbeiten, sind vertraglich an Datenschutzpflichten gebunden.

Benannte Auftragsverarbeiter und Partner

• Firebase (Google): Authentifizierung, Anwendungsdaten und Synchronisierung. ISO 27001 zertifiziert, SOC konform.
• Google Cloud: Speicherung hochgeladener Dateien wie Belege und Anhänge. ISO 27001 zertifiziert.
• SIX (bLink): Open-Banking-Plattform, über die Bankkontoinformationen mit Ihrer Einwilligung abgerufen werden, einschliesslich Einwilligungsverwaltung («Consent as a Service»).
• Anthropic: KI-Extraktion für Beleg- und Spesenscans.
• RevenueCat: Abonnementverwaltung. DSGVO konform.
• Stripe: Zahlungsabwicklung im Web, falls anwendbar.
• Apple App Store / Google Play: mobile Abrechnung und Vertrieb.
• Postmark: transaktionale E-Mails. ISO 27001, SOC 2 Type II konform.
• Mixpanel: anonymisierte Produktanalysen. DSGVO konform mit Datenanonymisierung.
• Vercel Analytics: Website-Analysen.
• Sentry: Fehlermonitoring und Diagnose.

Wenn Sie optionale Integrationen aktivieren (z. B. Stripe, Shopify oder Zapier), verarbeiten wir Daten aus diesen Diensten gemäss Ihrer Konfiguration.

Internationale Datenübermittlungen

Unsere primären Anwendungsdaten werden in der Schweiz gehostet. Einige Dienstleister können jedoch begrenzte Daten in anderen Ländern verarbeiten, darunter die USA und die EU, je nach betroffenem Dienst.

Beispiele:

• Schweiz: primäres Anwendungshosting, gespeicherte Kundendaten und die SIX-bLink-Plattform;
• USA: Anthropic, Mixpanel, RevenueCat, Stripe, Sentry, Postmark und Vercel Analytics;
• EU und andere unterstützte Regionen: bestimmte Google-Infrastruktur und Auslieferungsnetze können Daten näher bei Ihnen verarbeiten.

Wenn personenbezogene Daten ausserhalb der Schweiz oder Ihres Landes übermittelt werden, stützen wir uns auf Standardvertragsklauseln, Angemessenheitsbeschlüsse oder andere gesetzlich zulässige Transfermechanismen.

Datenspeicherung

Wir speichern Ihre Daten nur so lange wie nötig:

Wenn Sie Ihr Konto löschen, entfernen oder sperren wir nicht mehr benötigte personenbezogene Daten innerhalb von 30 Tagen. Gesetzlich erforderliche Unterlagen, etwa Buchhaltungs- oder Zahlungsdaten, können wir weiter aufbewahren. Verschlüsselte Backups können bis zu 90 Tage bestehen bleiben, bevor sie endgültig gelöscht werden.

Ihre Rechte — Sie kontrollieren Ihre Daten

Das können Sie jederzeit mit Ihren Daten tun:

• Zugriff & Export. Fordern Sie eine Kopie aller Daten an und laden Sie Rechnungen, Kundenlisten und Geschäftsdaten in Standardformaten herunter.
• Berichtigen & Aktualisieren. Aktualisieren Sie fehlerhafte Informationen direkt in der App oder kontaktieren Sie uns.
• Löschen & Einschränken. Nutzen Sie die Kontolöschung in der App oder schreiben Sie uns. Wir löschen Ihre Daten innerhalb von 30 Tagen unwiderruflich, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Widerspruch & Beschwerde. Widersprechen Sie Marketing-Mitteilungen und bestimmten Verarbeitungen. Bei Unzufriedenheit können Sie sich an den EDÖB oder Ihre lokale Datenschutzbehörde wenden.
• Bankverbindungen widerrufen. Widerrufen Sie Ihre Einwilligung zu jeder Bankverbindung jederzeit, in der App oder bei Ihrer Bank.

Schweizer Datenschutzrechte (DSG)

Als Schweizer Einwohner haben Sie Rechte nach dem Bundesgesetz über den Datenschutz (DSG), in Kraft seit September 2023:

• Recht auf Information über die Datenbearbeitung;
• Recht auf Zugang zu Ihren Personendaten;
• Recht auf Datenübertragbarkeit;
• Recht auf Berichtigung unrichtiger Daten;
• Recht auf Löschung («Recht auf Vergessenwerden»);
• Recht auf Einschränkung der Bearbeitung;
• Recht auf Widerspruch gegen die Bearbeitung.

Das DSG verpflichtet zu Privacy by Design und Privacy by Default. Wir setzen dies um, indem wir nur notwendige Daten erfassen und datenschutzfreundliche Standardeinstellungen verwenden.

Rechte in der Europäischen Union (DSGVO)

Wenn Sie in der EU, UK, Liechtenstein, Norwegen oder Island ansässig sind, haben Sie zusätzliche Rechte nach der DSGVO:

• alle oben genannten Rechte;
• Recht auf Beschwerde bei Ihrer lokalen Aufsichtsbehörde;
• Recht auf jederzeitigen Widerruf der Einwilligung;
• Recht, keiner automatisierten Entscheidungsfindung unterworfen zu werden.

Wir treffen keine automatisierten Entscheidungen, die Sie wesentlich betreffen.

Kalifornische Rechte (CCPA/CPRA)

Einwohner Kaliforniens haben folgende Rechte:

• Recht auf Auskunft: welche personenbezogenen Daten wir erfassen und warum;
• Recht auf Löschung: Löschung Ihrer personenbezogenen Daten beantragen;
• Recht auf Opt-out: Wir verkaufen keine personenbezogenen Daten, daher ist kein Opt-out nötig;
• Recht auf Nichtdiskriminierung: Wir behandeln Sie nicht anders, wenn Sie Ihre Rechte ausüben.

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir geben sie nicht für Geld oder andere wertvolle Gegenleistungen weiter.

Sicherheitsmassnahmen

Wir schützen Ihre Daten durch mehrere Sicherheitsebenen:

• Verschlüsselung. Alle Daten verschlüsselt bei Übertragung (TLS 1.2+) und Speicherung (AES-256).
• Zugriffskontrollen. Zugriff nur nach Bedarf mit Multi-Faktor-Authentifizierung.
• Infrastruktur. Regelmässige Sicherheitsaudits, automatisierte Schwachstellenanalyse.
• Privacy by Design. Wir erfassen nur das Nötige mit datenschutzfreundlichen Standardeinstellungen.

Meldung von Datenschutzverletzungen

Bei einer Sicherheitsverletzung, die Ihre personenbezogenen Daten betrifft, werden wir:

1. den EDÖB ohne unangemessene Verzögerung benachrichtigen — und, wo erforderlich, innerhalb von 72 Stunden;
2. Sie direkt kontaktieren bei hohem Risiko für Ihre Rechte;
3. erklären, was passiert ist und welche Massnahmen wir ergreifen.

Cookies und Tracking

Auf unserer Website

Wir verwenden eine kleine Anzahl notwendiger und messender Technologien auf unserer Website:

• Essentielle Cookies: für die Funktionalität der Website erforderlich;
• Mixpanel: misst Produkt- und Verweisaktivitäten auf der Website;
• Vercel Analytics: liefert aggregierte Website- und Leistungsmetriken;
• Sentry: erfasst technische Fehler und Diagnosedaten bei Problemen.

Sie können nicht notwendige Website-Cookies in Ihren Browsereinstellungen blockieren oder löschen.

In unseren Apps

Unsere Mobile- und Desktop-Apps verwenden keine Browser-Cookies, können aber begrenzte Analyse- und Fehlertelemetrie über SDKs wie Mixpanel und Sentry senden. Für die Anmeldung verwenden wir sichere Authentifizierungs-Tokens statt Browser-Cookies.

Datenschutz für Kinder

Magic Heidi ist für die geschäftliche Nutzung konzipiert. Wir erfassen wissentlich keine Daten von Personen unter 16 Jahren. Falls Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte umgehend.

Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung aktualisieren, wenn sich Gesetze ändern oder wir unsere Dienste anpassen. Bei wesentlichen Änderungen:

1. aktualisieren wir das «Zuletzt aktualisiert»-Datum;
2. benachrichtigen wir Sie über die App oder per E-Mail;
3. holen wir Ihre Einwilligung ein, falls erforderlich.

Die weitere Nutzung von Magic Heidi nach Inkrafttreten der Änderungen bedeutet, dass Sie die aktualisierte Erklärung akzeptieren.

Fragen?

Wir erklären Ihnen gerne alles in dieser Erklärung. Kontaktieren Sie uns:

E-Mail: hello@magicheidi.ch

Postadresse: Magic Heidi AG Route de Vaux 1, 1126 Vaux Schweiz

Bei ungelösten Datenschutzanliegen wenden Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten:

• Website: https://www.edoeb.admin.ch
• E-Mail: info@edoeb.admin.ch