Datenschutzerklärung der App

1. Verantwortlicher und Kontakt

Verantwortlich für die Bearbeitung Ihrer Personendaten in der innovio-App ist:

innoVorsorge AG Joweid Zentrum 1 8630 Rüti ZH Schweiz

E-Mail für Datenschutzanliegen: kontakt@innovio.ch

Die innoVorsorge AG ist im Handelsregister des Kantons Zürich eingetragen, die Unternehmens-Identifikationsnummer (UID) lautet CHE-361.719.286.

Es besteht keine Pflicht, eine Datenschutzberaterin oder einen Datenschutzberater zu bezeichnen (Art. 10 revDSG ist für Private freiwillig); Anfragen richten Sie an die oben genannte Adresse.

Geltungsbereich. Diese Erklärung gilt für die innovio-App (iOS, Android und Web) samt der zugehörigen Programmierschnittstelle. Für die Website innovio.ch gilt die dort veröffentlichte Datenschutzerklärung.

Was innovio tut und was nicht. innovio liefert Informationen und Berechnungen auf Basis gesetzlicher Grundlagen. Der Lebensversicherungs-Check spricht darüber hinaus eine abgestufte Einschätzung zu einer Police aus, die Sie bereits besitzen (Entscheid des CEO vom 03.08.2026, siehe legal/agb.md Ziffer 5). Diese Einschätzung ist eine Entscheidungshilfe; die Entscheidung treffen Sie.

innovio ist von jedem Anbieter unabhängig, vermittelt nichts und erhält keine Provisionen. Das ist auch datenschutzrechtlich von Bedeutung: Ihre Daten dienen der Berechnung und Darstellung Ihrer Situation, nicht der Anbahnung von Produktabschlüssen. Wir geben sie an keinen Versicherer und an keine Bank weiter.

2. Welche Daten wir bearbeiten und woher sie stammen

Fast alle Daten stammen von Ihnen selbst: aus dem Fragebogen, aus Formularen und aus Dokumenten, die Sie hochladen. Wir kaufen keine Daten zu und holen keine Daten bei Dritten ein.

2.1 Konto und Zugang

Daten	Herkunft
E-Mail-Adresse, Passwort (nur als bcrypt-Hash gespeichert, nie im Klartext)	Ihre Registrierung
Zeitpunkt der E-Mail-Bestätigung	System
Zwei-Faktor-Geheimnis und Wiederherstellungscodes (Codes ebenfalls nur als Hash)	Ihre Aktivierung der Zwei-Faktor-Anmeldung
Zeitpunkte von Erstellung, letzter Änderung und allfälliger Löschung	System
Kennung, Ablauf und Einlösung von Links zum Zurücksetzen des Passworts	System
Bei Anmeldung über Google oder Apple: die dauerhafte Kennung Ihres Kontos beim Anbieter und, bei Apple, ob Sie eine private Weiterleitungsadresse nutzen (Ihr Passwort dort erhalten wir nie)	Ihre Wahl der Anmeldeart, siehe Abschnitt 5.5

2.2 Profil und Vorsorge-Dossier

Im Profil: Vorname, Geburtsdatum, Zivilstand, Zahl der Kinder, Wohnkanton und Wohngemeinde, neu auch die Postleitzahl und die amtliche Nummer der zugeordneten Gemeinde. Die Zuordnung von Postleitzahl zu Gemeinde stammt aus dem amtlichen Ortschaftenverzeichnis von swisstopo; dabei werden keine Daten von Ihnen an swisstopo übermittelt. Dazu Erwerbssituation und Einkommen aus dem Fragebogen sowie die Vertiefungsfelder, die einzelne Module bedarfsgesteuert nachfragen.

Warum so genau: Steuerfuss und Tarif werden in der Schweiz kantonal und kommunal festgelegt, eine Steuerwirkung ohne Wohnort ist geschätzt und nicht gerechnet. Mit der Postleitzahl rechnen wir mit dem Steuerfuss Ihrer Gemeinde statt mit einer Spanne über den Kanton. Das Geburtsdatum bestimmt den Zeitpunkt des Referenzalters. Der Vorname dient allein der Anrede in der App und geht in keine Berechnung ein.

Dazu die Angaben aus Ihren Vorsorgeunterlagen: Pensionskassendaten (Vorsorgeeinrichtung, Jahreslohn, versicherter Lohn, Altersguthaben, projiziertes Kapital und projizierte Rente, Umwandlungssatz, Einkaufspotenzial, Risikoleistungen bei Invalidität und Tod, WEF-Vorbezug, Beschäftigungsgrad), Daten aus dem individuellen Konto der AHV (Jahrestabelle mit Einkommen und Beitragsmonaten, fehlende Jahre) sowie Guthaben und Einzahlungen der Säule 3a.

Konfession, freiwillig. Die Kirchensteuer gehört zur Steuerrechnung und lässt sich ohne die Konfession nicht beziffern. Das Feld steht deshalb im Profil, die Angabe ist aber freiwillig: Lassen Sie es leer, rechnet die App ohne Kirchensteuer weiter und weist das im Ergebnis aus. Gespeichert wird die Angabe nur, wenn Sie ausdrücklich einwilligen, und wir halten den Zeitpunkt dieser Einwilligung fest, damit belegbar bleibt, worauf sich die Speicherung stützt. Die Konfession ist ein besonders schützenswertes Personendatum; Einzelheiten in Abschnitt 4.

2.3 Budget, Vermögen und Planung

Haushaltstyp, Nettoeinnahmen pro Monat, Ausgabenkategorien, Liquiditätsreserve. Vermögenspositionen einzeln mit Kategorie, Bezeichnung, Anbieter, Wert, Kosten, von Ihnen angegebener Rendite, Verfügbarkeit, Stichtag und Notiz. Gespeicherte Planungsszenarien enthalten ausschliesslich Ihre Eingaben, nicht die Ergebnisse; das Durchrechnen selbst geschieht zustandslos und hinterlässt keine Spur.

2.4 Massnahmen und Verlauf

Status, Termin, Erledigungsdatum, Wiedervorlage und Notiz je Massnahme. Eine Tageshistorie Ihrer Kennzahlen (Score, Lücken, Guthaben). Lebensereignisse, die Sie erfassen, mit Art und Datum – etwa Heirat, Geburt eines Kindes, Hauskauf, Jobwechsel, Scheidung oder Todesfall der Partnerin oder des Partners.

2.5 Dokumente

Hochgeladene Belege (Vorsorgeausweis, IK-Auszug, Steuererklärung, Budget- und Vermögensausweise, Policenbelege, Sonstiges). Gespeichert werden der Dateiinhalt in verschlüsselter Form sowie Dateiname in bereinigter Fassung, Ablageort, Dateigrösse, Dokumentdatum und Verarbeitungsstatus. Ihren ursprünglichen Dateinamen übernehmen wir nicht.

2.6 Lebensversicherungs-Check

Der Policendatensatz: Art und Säule der Police, Beginn und Ablauf, Prämie, technischer Zins, Überschussbeteiligung, versicherte Leistungen, Aufteilung der Prämie, Guthaben und Rückkaufswert, Fonds, Vertragskosten, der Versicherer sowie Ihre persönlichen Eckwerte (Alter, geplantes Pensionsalter, Einkommen, Zivilstand, Kinder, finanziell abhängige Personen) und das Analyseergebnis. Dazu die Angabe zur Versicherbarkeit – siehe Abschnitt 4.

Auslesen aus Foto und PDF. Fotografieren Sie Ihre Police oder laden Sie ein PDF hoch, lesen wir die Werte automatisch aus und schlagen sie Ihnen zur Prüfung vor. Kein vorgeschlagener Wert gelangt in Ihren Policendatensatz, bevor Sie ihn bestätigt haben. Dabei entsteht je Seite ein erkannter Text, den wir verschlüsselt speichern (Abschnitt 9). Bei Fotos erkennt Ihr Telefon den Text selbst (iOS: Vision, Android: ML Kit mit Modell in der App); das Bild verlässt das Gerät nur als Beleg an unseren Server. PDFs liest unser Server.

Der erkannte Text geht anschliessend an das Sprachmodell unseres Schweizer Auftragsbearbeiters (Abschnitt 5.1), das die Werte den Feldern zuordnet. Vorher entfernen wir AHV-Nummer, Policen-, Vertrags- und Kundennummern, IBAN, E-Mail- Adressen, Telefonnummern und Ihr Geburtsdatum aus dem Text; vom Geburtsdatum bleibt nur Ihr Alter. Versicherer, Produktname und Fondsbezeichnungen bleiben stehen, weil die Auswertung sie braucht. Ihren Namen können wir nicht in jedem Fall erkennen; das Modell ist angewiesen, keine Namen zu übernehmen, und der Policendatensatz hat für sie kein Feld. Was der Anbieter mit dem Text tun darf, steht in Abschnitt 5.1: kein Training, Verarbeitung nur in der Schweiz.

2.7 Zahlungen

Gekaufte Werkzeuge und Abonnemente, Status und Laufzeitende, dazu die Kennungen, unter denen Sie bei unserem Zahlungsdienstleister oder beim Store geführt werden. Ihre Kreditkarten- oder Kontodaten gelangen nie zu uns: Die Zahlung läuft auf einer Seite des Zahlungsdienstleisters oder im Store, wir erhalten von dort nur die Bestätigung, die Kennungen und die Rechnungsangaben.

Das Abonnement für den Finanzbot. Gespeichert wird, ob es läuft, seit wann, wann die laufende Periode endet und wie viele Fragen Sie darin gestellt haben, dazu die Kennung des Kaufs beim Store, gegen die wir den Beleg prüfen. Am Konto hängt ausserdem der Zähler der drei kostenlosen Fragen, die einmalig zur Verfügung stehen – ohne ihn liesse sich die Freigrenze nicht führen. Der Kauf selbst läuft über den App Store beziehungsweise über Google Play, siehe Abschnitt 5.4.

2.8 Fragen an den Finanzbot

Ihre Frage, die Antwort und der Gesprächsverlauf.

Der Bot sieht einen Ausschnitt Ihres Profils. Bis zur Fassung 2 stand hier das Gegenteil. Seit dem 09.08.2026 bekommt er zu Ihrer Frage sechs Angaben aus Abschnitt 2.2 mit: Geburtsjahr, Wohnkanton, Wohngemeinde, Konfession, Zivilstand und Zahl der Kinder. Ihren Vornamen bekommt er nicht, Ihr Geburtsdatum nur als Jahr. Ihr Vorsorge-Dossier, Ihr Budget, Ihre Vermögenspositionen, Ihre Policen und Ihre Dokumente bleiben aussen vor; der Bot kann sie nicht abrufen.

Was er mit diesem Ausschnitt tun darf, ist eng gefasst: Er schneidet die Antwort auf Ihre Lage zu – der Abzug Ihres Kantons statt dreier Beispielkantone –, er rechnet damit aber nichts. Beträge, Renten und Fristen stammen ausschliesslich aus den geprüften Rechnern, die auch die übrigen Werkzeuge verwenden. Diese laufen auf unseren Servern; an das Sprachmodell geht das fertige Ergebnis, nicht die Rechnung.

Die Konfession geht nur mit, wenn Sie sie erfasst und in die Speicherung eingewilligt haben. Fehlt sie, arbeitet der Bot ohne sie.

Was Sie ihm darüber hinaus schreiben, kann persönlich sein, etwa "ich bin 54 und will früher aufhören". Diese Angaben behandeln wir wie alle anderen: verschlüsselt gespeichert, nach 90 Tagen gelöscht.

2.9 Technische Daten

Bei jedem Aufruf protokolliert der Server Zeitpunkt, Methode, aufgerufenen Pfad, Statuscode, Bearbeitungsdauer, eine Aufrufkennung und die IP-Adresse. Diese Protokolle dienen dem Betrieb und der Sicherheit. Vollständige E-Mail-Adressen werden nicht protokolliert, sondern nur in maskierter Form.

Die App verwendet keine Analyse- oder Tracking-Werkzeuge, keine Werbe-Kennungen und keine Dienste Dritter zur Reichweitenmessung. Für die Auslieferung von Aktualisierungen prüft die App beim Start bei Expo, ob eine neue Fassung vorliegt (Abschnitt 5.6); das ist keine Reichweitenmessung.

2.10 Streak und Tages-Challenge

Die App führt einen Zähler der Tage, an denen Sie sie hintereinander öffnen (die Streak), samt Ihrer bisher längsten Serie, sowie für die tägliche Wissensfrage, welche Frage Sie an welchem Tag beantwortet haben und ob die Antwort richtig war. Gespeichert werden dafür das Datum Ihres letzten Öffnens, der aktuelle und der höchste Streak-Wert sowie je erledigter Tagesfrage deren Kennung, das Datum und das Ergebnis. Diese Angaben dienen allein der Motivation; sie fliessen in keine Vorsorgeberechnung ein und gehen an niemanden.

3. Zwecke und Rechtsgrundlagen

Die Bearbeitung richtet sich nach dem revidierten Schweizer Datenschutzgesetz (revDSG). Private dürfen Personendaten grundsätzlich bearbeiten, solange sie die Grundsätze von Art. 6 revDSG einhalten und die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzen. Wo für Sie zusätzlich die europäische Datenschutz-Grundverordnung (DSGVO) gilt, nennen wir die dortige Rechtsgrundlage in Klammern.

Zweck	Datenkategorien	Grundlage
Konto führen, anmelden, Zugang sichern	Abschnitt 2.1	Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
Vorsorgesituation berechnen und darstellen, Massnahmen ableiten	2.2 bis 2.5	Vertragserfüllung (lit. b); für die Konfession Ihre ausdrückliche Einwilligung (Art. 6 Abs. 7 lit. a revDSG, Art. 9 Abs. 2 lit. a DSGVO)
Lebensversicherungs-Check durchführen und Bericht erstellen	2.6	Vertragserfüllung (lit. b); für die Gesundheitsangabe zusätzlich Ihre Einwilligung (Art. 9 Abs. 2 lit. a DSGVO)
Fragen des Finanzbots beantworten und die Antwort auf Ihre Lage zuschneiden	2.8, dazu der Profilausschnitt aus 2.2	Vertragserfüllung (lit. b); für die persönliche Antwort Ihre Einwilligung je Sitzung (Art. 6 Abs. 1 lit. a DSGVO); für die Konfession Ihre ausdrückliche Einwilligung (Art. 6 Abs. 7 lit. a revDSG, Art. 9 Abs. 2 lit. a DSGVO)
Zahlungen und Abonnemente abwickeln, Rechnungen und Buchhaltung	2.7	Vertragserfüllung (lit. b) und gesetzliche Pflicht nach Art. 957 ff. OR (lit. c)
Betrieb, Fehlersuche, Missbrauchsabwehr, Sicherheit	2.9	Überwiegendes Interesse an einem sicheren Dienst (lit. f)
Transaktionsmails (Bestätigung, Passwort zurücksetzen)	2.1	Vertragserfüllung (lit. b)
Streak und Tages-Challenge anzeigen und fortschreiben	2.10	Vertragserfüllung (lit. b), ergänzend berechtigtes Interesse an einer verständlichen, motivierenden App (Art. 31 revDSG, Art. 6 Abs. 1 lit. f DSGVO)

Wir bearbeiten Ihre Daten nicht zu Werbezwecken, geben sie nicht zu Marketingzwecken weiter und verkaufen sie nicht.

Automatisierte Auswertung. innovio berechnet aus Ihren Angaben Kennzahlen, einen Vorsorge-Score, Massnahmenvorschläge und beim Lebensversicherungs-Check ein Analyseergebnis. Diese Auswertungen sind vollständig automatisiert. Sie führen zu keiner Entscheidung mit Rechtswirkung und zu keinem Vertragsabschluss: Was Sie mit dem Ergebnis tun, entscheiden Sie. Sie können jederzeit die Sicht einer Person verlangen und Ihren Standpunkt darlegen (Art. 21 revDSG, Art. 22 DSGVO); melden Sie sich dazu unter kontakt@innovio.ch.

4. Besonders schützenswerte Personendaten

Drei Bereiche berühren Daten, die das Gesetz besonders schützt.

Gesundheitsangaben im Lebensversicherungs-Check. Der Fragebogen stellt eine Frage zur Versicherbarkeit: ob sich Ihr Gesundheitszustand seit dem Vertragsabschluss so verändert hat, dass eine neue Versicherung schwieriger würde. Die Frage ist nötig, weil eine Kündigung nicht rückgängig zu machen ist und der Check ohne diese Angabe zu einer Kündigung raten könnte, die Sie sich nicht leisten können.

Gespeichert wird ausschliesslich der abgeleitete Status in vier Stufen – gegeben, eingeschränkt, nicht gegeben, unbekannt. Wir erfassen keine Diagnose, keinen Befund, keinen Arztbericht und keinen Freitext zu Ihrer Gesundheit. Sie können die Frage unbeantwortet lassen; der Check läuft dann mit dem Status "unbekannt" weiter und spricht keine Kündigung an.

Gesundheitsangaben sind besonders schützenswerte Personendaten nach Art. 5 lit. c Ziff. 2 revDSG (Art. 9 DSGVO). Sie bearbeiten wir nur mit Ihrer ausdrücklichen Einwilligung, die Sie mit der Beantwortung der Frage erteilen und jederzeit für die Zukunft widerrufen können.

Die Konfession im Profil. Wer einer Landeskirche angehört, zahlt Kirchensteuer; sie wird als Zuschlag auf die einfache Staatssteuer erhoben und ist je nach Kirchgemeinde verschieden hoch. Eine Steuerrechnung ohne diese Angabe fällt entweder zu tief aus oder beruht auf einer Annahme, die wir nicht belegen können. Deshalb fragen wir danach – und nur so grob wie nötig: gespeichert wird die Zugehörigkeit zu einer der Konfessionen, für die Ihr Kanton eine Kirchensteuer erhebt, oder "keine". Wir erfassen keine Kirchgemeinde und keinen Freitext zu Ihrem Glauben.

Daten über religiöse Ansichten sind besonders schützenswerte Personendaten nach Art. 5 lit. c Ziff. 1 revDSG (Art. 9 DSGVO). Wir bearbeiten sie nur mit Ihrer ausdrücklichen Einwilligung nach Art. 6 Abs. 7 lit. a revDSG (Art. 9 Abs. 2 lit. a DSGVO). Sie erteilen diese Einwilligung, indem Sie das Feld ausfüllen und den Hinweis dazu bestätigen; den Zeitpunkt halten wir fest. Widerrufen können Sie jederzeit mit Wirkung für die Zukunft: Wer das Feld leert, löscht damit die Angabe und den Vermerk zur Einwilligung.

Ohne die Angabe läuft alles Übrige weiter. Die App rechnet dann ohne Kirchensteuer und schreibt das ins Ergebnis, statt eine Konfession anzunehmen und die Annahme zu verschweigen.

Der Policendatensatz insgesamt. Weil er Alter, Einkommen, Zivilstand, Gesundheitsstatus und den Versicherer zusammenführt, behandeln wir ihn durchgehend wie besonders schützenswerte Daten: Er liegt in der Datenbank nur verschlüsselt (siehe Abschnitt 9), und der Versicherer steht ausdrücklich nicht im lesbaren Teil der Zeile.

Weitergabe. Besonders schützenswerte Personendaten geben wir keinem Dritten zu eigenen Zwecken bekannt. Sie liegen ausschliesslich bei uns und bei unserem Hosting-Dienstleister, der sie als Auftragsbearbeiter nur auf unsere Weisung speichert.

Eine Bewegung gibt es dennoch, und sie gehört hierher: Die Konfession geht als Teil des Profilausschnitts an das Sprachmodell, das den Finanzbot beantwortet. Dieses läuft auf der Infrastruktur desselben Auftragsbearbeiters in der Schweiz (Abschnitt 5.1). Die Angabe verlässt damit weder unseren Auftrag noch das Land, sie wird aber verarbeitet – deshalb steht sie in der Einwilligung, die Sie beim Erfassen des Feldes erteilen.

5. Empfänger und Auftragsbearbeiter

Ein Auftragsbearbeiter bearbeitet Daten ausschliesslich in unserem Auftrag und nach unserer Weisung; er darf sie nicht für eigene Zwecke nutzen. Mit jedem Auftragsbearbeiter besteht ein Vertrag nach Art. 9 revDSG und Art. 28 DSGVO.

5.1 Infomaniak Network SA, Genf

Grundlage: Auftragsbearbeitungsvertrag vom 03.08.2026, Schweizer Recht, Gerichtsstand Genf.

Dienst	Wofür	Daten
VPS-Hosting	Anwendung und Datenbank	alle Daten aus Abschnitt 2
Swiss Backup	verschlüsselte Sicherungskopien	Datenbank und Dokumente
AI Services (Programmierschnittstelle)	Antworten des Finanzbots	Ihre Frage und der ihr beigegebene Zusammenhang
AI Services (Programmierschnittstelle)	Auslesen einer Police aus Foto oder PDF (Abschnitt 2.6)	der erkannte Text Ihrer Policenseiten, ohne Kennnummern und Geburtsdatum

Zur KI-Verarbeitung liegen zwei schriftliche Auskünfte von Infomaniak vom 03.08.2026 vor. Belegt ist:

Ihre Anfragen werden nicht zum Training von KI-Modellen verwendet.
Die Verarbeitung findet ausschliesslich in der Schweiz statt, nicht in der EU, nicht im EWR, nicht in den USA.
Die Modelle laufen auf der eigenen Infrastruktur des Anbieters; in dieser Verarbeitungskette steht kein weiterer Unterauftragnehmer, der Ihre Daten einsehen könnte. Es werden keine fremden KI-Schnittstellen aufgerufen.

Was wir nicht behaupten: Wir sagen nicht, dass beim KI-Anbieter nichts gespeichert wird. Für Betrieb, Abrechnung und Missbrauchsabwehr fallen dort Protokolle an. Eine feste Aufbewahrungsdauer für diese Protokolle im laufenden Betrieb hat uns der Anbieter nicht zugesichert. Was zugesichert ist: Nach Ende des Dienstverhältnisses löscht Infomaniak alle Kopien Ihrer Daten innerhalb von 30 Tagen und bestätigt das schriftlich (Art. 7 des Auftragsbearbeitungsvertrags). Das ist die belegte Obergrenze für alles, was dort liegt.

Neue oder ausgewechselte Unterauftragnehmer meldet Infomaniak uns vorab; wir können innert 30 Tagen widersprechen (Art. 5.2 des Vertrags).

5.2 Hostinger International Ltd., Larnaca

Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Der Anbieter bearbeitet Daten als Auftragsbearbeiter nach unseren Weisungen.

Dienst	Wofür	Daten
Mailversand (SMTP)	Bestätigungs- und Systemmails	E-Mail-Adresse, Inhalt der Mail
Webhosting	die Website innovio.ch	Server-Protokolle der Website

Der Versand läuft über Rechenzentren in der Europäischen Union, nicht in der Schweiz. Übermittelt wird dabei Ihre E-Mail-Adresse und der Text der jeweiligen Nachricht; Vorsorgedaten, Policenangaben und Dokumente sind darin nicht enthalten und verlassen die Schweiz nicht.

Die EU verfügt nach Anhang 1 der Datenschutzverordnung über einen angemessenen Datenschutz. Es braucht für diese Übermittlung deshalb keine zusätzlichen Garantien nach Art. 16 Abs. 2 revDSG.

5.3 Zahlungsdienstleister

Die Käufe in der App – der Lebensversicherungs-Check und das Abonnement für den Finanzbot – laufen über den App Store beziehungsweise Google Play (Abschnitt 5.4); dabei erreicht Stripe keine Ihrer Daten. Stripe setzen wir nur ein, wenn Sie auf der Website mit Karte bezahlen. In diesem Fall gehen an Stripe Ihre E-Mail-Adresse, eine interne Konto-Kennung, das gekaufte Produkt und der Betrag. Ihre Zahlungsmittel geben Sie direkt bei Stripe ein; sie erreichen uns nie.

Stripe ist Teil einer international tätigen Unternehmensgruppe. Daten können dabei auch ausserhalb der Schweiz bearbeitet werden, unter anderem in einem Land ohne Angemessenheitsbeschluss. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission mit den ergänzenden Garantien nach schweizerischem Recht sowie auf Art. 17 Abs. 1 lit. a revDSG, weil die Bearbeitung zur Abwicklung des von Ihnen abgeschlossenen Vertrags erforderlich ist.

5.4 App-Stores

Wenn Sie die App über den App Store von Apple oder Google Play beziehen, bearbeiten diese Anbieter Daten in eigener Verantwortung, nicht in unserem Auftrag. Es gelten deren Datenschutzerklärungen.

Für Käufe innerhalb der App – den Lebensversicherungs-Check und das Abonnement für den Finanzbot – sind die Stores zugleich Ihre Vertragspartner für die Zahlung. Wir schicken den Kaufbeleg zur Prüfung an Apple beziehungsweise Google und erhalten zurück, ob er gültig ist, welches Produkt gekauft wurde und wann die Periode endet. Diese Prüfung läuft auf Servern der beiden Anbieter, nicht in der Schweiz. Ihre E-Mail-Adresse und Ihre Vorsorgedaten gehen dabei nicht mit: Der Beleg trägt eine Kennung des Kaufs, nicht Ihren Namen.

Darüber hinaus erhalten wir von dort keine personenbezogenen Nutzungsdaten.

5.5 Anmeldung über Google und Apple

Sie können sich statt mit E-Mail und Passwort auch über Ihr Google- oder Apple-Konto anmelden. Diese Anmeldung wickeln Google und Apple in eigener Verantwortung ab, nicht in unserem Auftrag; es gelten deren Datenschutzerklärungen. Der Anbieter prüft Ihre Identität und übermittelt uns eine dauerhafte Kennung Ihres Kontos sowie, sofern Sie zustimmen, Ihre E-Mail-Adresse; bei Apple kann das eine private Weiterleitungsadresse sein. Ihr Vorsorge-Dossier, Ihre Policen und Ihre Dokumente gehen dabei nicht an Google oder Apple.

Die Anmeldung wird auf Servern der beiden Anbieter bearbeitet, auch ausserhalb der Schweiz, unter anderem in den USA. Die Übermittlung stützt sich auf deren Zertifizierung unter dem Swiss-U.S. Data Privacy Framework sowie auf Art. 17 Abs. 1 lit. a revDSG, weil sie für die von Ihnen gewählte Anmeldeart erforderlich ist. Die Anmeldung über Google oder Apple ist freiwillig; Sie können sich stattdessen jederzeit mit E-Mail und Passwort anmelden.

5.6 Auslieferung von App-Aktualisierungen (Expo)

Damit wir Korrekturen und Verbesserungen rasch ausliefern, prüft die App beim Start bei Expo (betrieben durch 650 Industries, Inc., USA), ob eine neue Fassung vorliegt. Dabei gehen technische Angaben mit – Plattform, App- und Laufzeitversion, eine zufällige Installationskennung und die IP-Adresse –, aber keine Ihrer Inhalts- oder Vorsorgedaten. Grundlage ist unser berechtigtes Interesse an einer sicheren, aktuellen App (Art. 31 revDSG, Art. 6 Abs. 1 lit. f DSGVO). Die Prüfung läuft auf Servern in den USA; die Übermittlung stützt sich auf die Zertifizierung des Anbieters unter dem Swiss-U.S. Data Privacy Framework beziehungsweise auf die Standardvertragsklauseln.

5.7 Behörden und Rechtsverfolgung

Wir geben Daten an Behörden oder Gerichte weiter, soweit wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung unserer Rechte erforderlich ist. Erfährt unser Hosting-Dienstleister von einer solchen Anfrage, informiert er uns, soweit ihm das erlaubt ist, und beschränkt die Herausgabe auf das ausdrücklich Verlangte (Art. 2.1.13 des Auftragsbearbeitungsvertrags).

6. Datenstandort

Anwendung, Datenbank, hochgeladene Dokumente, Sicherungskopien und KI-Verarbeitung liegen in der Schweiz, auf Infrastruktur von Infomaniak in Schweizer Rechenzentren. Ihre Vorsorgedaten, Ihre Policenangaben, Ihre Dokumente und Ihre Fragen an den Finanzbot verlassen die Schweiz nicht.

Fünf Ausnahmen, jeweils auf die genannten Daten begrenzt. Ihre Vorsorgedaten, Ihre Policenangaben, Ihre Dokumente und Ihre Fragen an den Finanzbot sind in keiner davon enthalten:

Was	Wo	Abschnitt
Versand der Bestätigungs- und Systemmails	Europäische Union	5.2
Zahlungsabwicklung (Kartenzahlung auf der Website)	siehe dort	5.3
Prüfung der Kaufbelege aus den Stores	Server von Apple und Google	5.4
Anmeldung über Google oder Apple	USA	5.5
Prüfung auf App-Aktualisierungen (technische Angaben)	USA (Expo)	5.6

7. Aufbewahrung und Löschung

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck nötig ist, und in keinem Fall länger als die folgenden Obergrenzen.

Daten	Aufbewahrung, längstens	Woraus sich die Grenze ergibt
Konto und Zugangsdaten	bis zur Löschung des Kontos, spätestens 24 Monate nach Ihrer letzten Anmeldung	eigene Festlegung
Profil, Vorsorge-Dossier, Budget, Vermögen, Planungsszenarien, Massnahmen, Kennzahlenverlauf, Lebensereignisse	wie Konto	eigene Festlegung
Konfession und der Vermerk zu Ihrer Einwilligung	wie Konto, oder bis Sie das Feld leeren	eigene Festlegung
Status des Abonnements, laufende Periode, Zähler der gestellten Fragen	wie Konto	eigene Festlegung
Hochgeladene Dokumente und erzeugte Berichte	wie Konto, oder bis Sie das einzelne Dokument löschen	eigene Festlegung
Policendaten und Analyseergebnis	wie Konto, oder bis Sie die Police löschen	eigene Festlegung
Streak-Stand und beantwortete Tages-Challenges	wie Konto	eigene Festlegung
Gesprächsverläufe des Finanzbots	90 Tage ab der einzelnen Nachricht	eigene Festlegung
Serverprotokolle mit IP-Adresse	30 Tage	eigene Festlegung, technisch erzwungen
Links zum Zurücksetzen des Passworts	Link 1 Stunde gültig, Kennung längstens 7 Tage nach Ablauf	eigene Festlegung, technisch erzwungen
Zahlungs-, Rechnungs- und Buchhaltungsdaten	10 Jahre ab Ablauf des Geschäftsjahres	Aufbewahrungspflicht für Geschäftsbücher und Belege, Art. 958f OR
Sicherungskopien der Datenbank	30 Tage ab dem Sicherungslauf	eigene Festlegung, technisch erzwungen
Sicherungskopien der Dokumente	100 Tage ab dem Sicherungslauf	eigene Festlegung, technisch erzwungen
Alle Kopien bei Infomaniak nach Ende des Dienstverhältnisses	30 Tage	Art. 7 des Auftragsbearbeitungsvertrags vom 03.08.2026

Warum 24 Monate für Konto und Inhalte. Ein Vorsorge-Dossier, das zwei Jahre nicht angefasst wurde, ist rechnerisch überholt – Lohn, Guthaben und gesetzliche Parameter haben sich verändert –, und ungenutzte Daten aufzubewahren erhöht nur das Risiko. Vor der Löschung werden Sie an die von Ihnen angegebene Adresse erinnert und können Ihr Konto durch eine Anmeldung erhalten.

Warum 90 Tage für die Bot-Verläufe. Der Verlauf dient dazu, dass der Bot Anschlussfragen versteht und Sie ältere Antworten nachlesen können. Ein Chat über die eigene Vorsorge muss dafür nicht jahrelang liegen.

Was beim Löschen des Kontos passiert. Die Löschung im Konto wirkt sofort und verlangt Ihr Passwort. Dabei werden alle Inhaltsdaten in der Datenbank gelöscht – Profil samt Konfession, Dossier, Budget, Vermögen, Szenarien, Massnahmen, Kennzahlenverlauf, Ereignisse, Policen, Dokumente, Streak und beantwortete Tages-Challenges – und die hochgeladenen Dateien sowie die erzeugten Berichte werden von der Ablage entfernt. Ihre Kontozeile wird nicht nur als gelöscht markiert, sondern im selben Vorgang anonymisiert: Die E-Mail-Adresse wird durch einen Platzhalter ersetzt, der Passwort-Hash durch einen Zufallswert, die Zwei-Faktor-Daten und die Wiederherstellungscodes werden entfernt. Danach besteht kein Personenbezug mehr, und Ihre Adresse ist wieder für eine Neuregistrierung frei.

Sicherungskopien. Sicherungskopien lassen sich nicht gezielt durchsuchen und einzeln bereinigen. Ihre Daten können deshalb nach der Löschung noch in Sicherungskopien enthalten sein, längstens 30 Tage (Datenbank) beziehungsweise 100 Tage (Dokumente) ab dem jeweiligen Sicherungslauf. Sicherungskopien sind verschlüsselt, werden nur zur Wiederherstellung nach einem Ausfall verwendet und laufen nach Ablauf dieser Fristen automatisch aus.

Zahlungsdaten. Rechnungen und Zahlungsbelege müssen wir 10 Jahre aufbewahren (Art. 958f OR). Diese Aufbewahrung überdauert die Löschung Ihres Kontos. Sie umfasst nur, was die Buchhaltung braucht – Betrag, Produkt, Datum, Rechnungsangaben –, nicht Ihre Vorsorge- oder Policendaten.

8. Ihre Rechte

Sie haben gegenüber der innoVorsorge AG folgende Rechte:

Auskunft darüber, ob und welche Daten wir über Sie bearbeiten (Art. 25 revDSG, Art. 15 DSGVO). In der App bekommen Sie diese Auskunft sofort und ohne Umweg: Der Export im Konto liefert alle gespeicherten Felder als Datei.
Berichtigung unrichtiger Daten (Art. 32 revDSG, Art. 16 DSGVO). Die meisten Angaben können Sie direkt in der App ändern.
Löschung Ihrer Daten (Art. 32 Abs. 2 revDSG, Art. 17 DSGVO). Auch das können Sie selbst auslösen, siehe Abschnitt 7.
Herausgabe und Übertragung Ihrer Daten in einem gängigen elektronischen Format (Art. 28 revDSG, Art. 20 DSGVO). Der Export im Konto erfüllt das.
Widerspruch gegen eine Bearbeitung sowie Widerruf einer erteilten Einwilligung, jederzeit und mit Wirkung für die Zukunft. Der Widerruf berührt die Rechtmässigkeit der bis dahin erfolgten Bearbeitung nicht.
Einschränkung der Bearbeitung, soweit die Voraussetzungen vorliegen (Art. 18 DSGVO).

Für Auskunft, Löschung und Export brauchen Sie sich nicht an uns zu wenden; die Funktionen stehen im Konto zur Verfügung. Für alles Übrige schreiben Sie an kontakt@innovio.ch. Wir antworten in der Regel innert 30 Tagen. Um zu verhindern, dass jemand Ihre Daten unter Ihrem Namen abfragt, können wir einen Identitätsnachweis verlangen.

Die Auskunft ist grundsätzlich kostenlos.

Aufsicht und Beschwerde. Sie können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, melden. Wenn für Sie die DSGVO gilt, steht Ihnen zusätzlich die Beschwerde bei der Aufsichtsbehörde Ihres Wohnsitzstaates offen.

9. Sicherheit

Wir treffen technische und organisatorische Massnahmen nach Art. 8 revDSG und Art. 3 DSV. Die wichtigsten:

Übertragung ausschliesslich verschlüsselt über TLS.
Passwörter werden mit bcrypt gehasht gespeichert, nie im Klartext. Auf Wunsch schützen Sie Ihr Konto zusätzlich mit einer Zwei-Faktor-Anmeldung (TOTP) samt Wiederherstellungscodes, die ebenfalls nur als Hash liegen.
Trennung der Konten in der Datenbank. Jede Tabelle mit Personenbezug ist mit Row-Level Security geschützt – einer Regel in der Datenbank selbst, die jede Abfrage auf die Zeilen des angemeldeten Kontos begrenzt. Sie greift auch dann, wenn im Anwendungscode ein Filter vergessen ginge, und sie gilt ausdrücklich auch für den Eigentümer des Datenbankschemas.
Verschlüsselung ruhender Daten. Hochgeladene Dokumente und der Policendatensatz samt Analyseergebnis werden mit AES-256-GCM verschlüsselt abgelegt, jeder Datensatz mit einem eigenen Schlüssel; dieser Schlüssel ist seinerseits mit einem Hauptschlüssel verschlüsselt, der nur auf dem Anwendungsserver liegt und nie in die Ablage oder ins Backup gelangt. Der Policendatensatz ist zusätzlich kryptografisch an Ihr Konto und die einzelne Police gebunden und lässt sich nicht auf ein anderes Konto umhängen.
Sicherungskopien werden vor dem Verlassen des Servers ein zweites Mal und mit einem anderen Schlüssel verschlüsselt. Der Hauptschlüssel wird bewusst nicht mitgesichert.
Zugriffsbegrenzung: Anfragebegrenzung gegen automatisierte Angriffe, Prüfung und Grössenbegrenzung von Uploads, keine Übernahme Ihrer Dateinamen, keine vollständigen E-Mail-Adressen in Protokollen, keine Ausgabe technischer Fehlerdetails an die App.

Eine Restunsicherheit bleibt bei jeder Datenübertragung über das Internet. Einen absoluten Schutz kann niemand zusichern, und wir sichern ihn nicht zu.

Erfahren wir von einer Verletzung der Datensicherheit, die für Sie ein hohes Risiko bedeutet, melden wir das dem EDÖB und informieren Sie (Art. 24 revDSG). Unser Hosting-Dienstleister ist vertraglich verpflichtet, uns solche Vorfälle unverzüglich zu melden (Art. 8 des Auftragsbearbeitungsvertrags).

10. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die App, die eingesetzten Dienste oder die Rechtslage ändern. Massgebend ist die jeweils in der App veröffentlichte Fassung mit dem angegebenen Stand. Bei wesentlichen Änderungen – etwa einem neuen Empfänger, einem neuen Bearbeitungszweck oder einer längeren Aufbewahrungsfrist – informieren wir Sie vorgängig in der App oder per E-Mail.

Was sich mit Fassung 4 geändert hat. Neu offengelegt sind die Anmeldung über Google und Apple (Abschnitte 2.1 und 5.5), die Prüfung auf App-Aktualisierungen über Expo (Abschnitte 2.9 und 5.6) sowie die Streak und die tägliche Challenge (Abschnitt 2.10, dazu Zweck in 3 und Aufbewahrung in 7). Abschnitt 5.3 stellt klar, dass die Käufe in der App über die Stores laufen und Stripe nur bei einer Kartenzahlung auf der Website eingesetzt wird; Abschnitt 6 zählt entsprechend fünf statt drei Ausnahmen beim Datenstandort auf. Abschnitt 2.6 beschreibt, dass hochgeladene Policenseiten ausgelesen werden und was vor dem Sprachmodell aus dem Text entfernt wird. Abschnitt 2.2 nennt neu die Postleitzahl und die amtliche Gemeindenummer; sie erlauben, die Steuerwirkung mit dem Steuerfuss Ihrer Gemeinde zu rechnen statt mit einer kantonalen Spanne. Die Zuordnung stammt aus einem öffentlichen amtlichen Verzeichnis, das wir bei uns führen; es findet keine Übermittlung an Dritte statt. Der Finanzbot erhält die Postleitzahl nicht.

Was sich mit Fassung 3 geändert hat. Bis Fassung 2 stand in Abschnitt 2.8, der Finanzbot greife nicht auf Ihr Profil zu. Das trifft seit dem 09.08.2026 nicht mehr zu; welche sechs Felder er erhält und was er damit tun darf, steht dort. Neu sind ausserdem die Profilfelder in Abschnitt 2.2, die Konfession als besonders schützenswertes Datum in Abschnitt 4, das Abonnement für den Finanzbot in Abschnitt 2.7 und die Prüfung der Kaufbelege in Abschnitt 5.4.

Stand dieser Fassung: 13.09.2026. Sie löst die Fassung 3 vom 09.08.2026 ab.