← crosstax

La versión alemana es la vinculante.

Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie die Plattform crosstax Personendaten bearbeitet. Sie richtet sich an Steuerkanzleien und ihre Mitarbeitenden, an die Mandantinnen und Mandanten dieser Kanzleien, an Personen, die einen Fragebogen ohne Konto ausfüllen, und an Besucherinnen und Besucher dieser Website. Massgebend sind das Schweizer Datenschutzgesetz (DSG) und, soweit anwendbar, die Datenschutz-Grundverordnung der EU (DSGVO).

1. Verantwortliche Stelle und Kontakt

NC Labs GmbH
Maneggstrasse 83
8041 Zürich
Schweiz
E-Mail: support@crosstax.online

Unter dieser Adresse erreichen Sie uns für alle Fragen zum Datenschutz und für die Ausübung Ihrer Rechte.

2. Wer wofür verantwortlich ist

Steuerkanzleien nutzen crosstax, um Angaben und Unterlagen ihrer Mandantinnen und Mandanten zu erfassen und zu bearbeiten. Daraus ergeben sich zwei Rollen:

  • Mandantendaten: verantwortlich ist die Kanzlei. Für die Daten, die im Rahmen eines Mandats erfasst werden (Angaben in Fragebögen, hochgeladene Unterlagen, Fälle, Nachrichten), ist die Kanzlei verantwortlich, mit der Sie zusammenarbeiten. Die NC Labs GmbH bearbeitet diese Daten in ihrem Auftrag, als Auftragsbearbeiterin nach Art. 9 DSG bzw. Auftragsverarbeiterin nach Art. 28 DSGVO. Welche Daten die Kanzlei erhebt, wozu sie sie nutzt und wie lange sie sie aufbewahrt, bestimmt die Kanzlei. Wenden Sie sich mit Fragen dazu bitte zuerst an Ihre Kanzlei.
  • Eigene Verantwortung der NC Labs GmbH. Selbst verantwortlich ist die NC Labs GmbH für Benutzerkonten und die Anmeldung, für die Konten und Einstellungen der Kanzleien, für Ihren persönlichen Bereich „Meine Daten“ (Abschnitt 4), für diese Website, für Kontakt- und Demoanfragen, Rückmeldungen und Support-E-Mails sowie für den sicheren Betrieb der Plattform.

3. Welche Daten wir bearbeiten

  • Konto und Anmeldung: Name, E-Mail-Adresse, Sprache, Rolle in der Kanzlei, freiwillig ein Profilbild und ein Passwort sowie die Merkmale einer Zwei-Faktor-Anmeldung (Authenticator-App oder Passkey).
  • Kanzleidaten: Name, Logo und Gestaltung der Kanzleiseite, Kontaktangaben, Mitarbeitende und Einstellungen; nutzt die Kanzlei die elektronische Unterschrift, zusätzlich der Zugangsschlüssel zu ihrem wesign-Konto.
  • Mandantendaten (im Auftrag der Kanzlei): Personalien wie Name, Geburtsdatum, Adresse, Kontaktangaben, Nationalität, Zivilstand und Angaben zu Kindern; Identifikationsnummern wie AHV-Nummer oder Steuer-Identifikationsnummer; Angaben zu Arbeit, Einkommen, Bankkonten (z. B. IBAN), Vermögen, Wertschriften und Vorsorge; die Antworten in Fragebögen; hochgeladene Unterlagen wie Lohnausweise, Kontoauszüge, Vorsorgebelege, Ausweise, Vollmachten und Behördenschreiben; daraus ausgelesene Werte; Nachrichten, Notizen und Aufgaben zu einem Fall; elektronische Unterschriften mit ihrem Nachweis.
  • Besonders schützenswerte Personendaten: Je nach Auftrag gehören dazu Angaben wie die Religionszugehörigkeit (für die Kirchensteuer), der Grad einer Behinderung oder Belege zu Krankheitskosten.
  • Protokoll- und Sicherheitsdaten: ein Änderungsprotokoll (wer hat wann was angelegt oder geändert), der Zustellstatus versandter E-Mails, technische Verbindungsdaten beim Aufruf der Website (z. B. IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp) und Fehlerberichte.
  • Kontakt, Demoanfragen und Rückmeldungen: was Sie uns mitteilen, etwa den Namen der Kanzlei, Ihre E-Mail-Adresse, Telefonnummer und Nachricht; bei Rückmeldungen über das Formular auf der Website zusätzlich die Seite, die Sprache und die Browserkennung.

4. Zwecke

  • Bereitstellung der Plattform für die Kanzleien: Fragebögen und Upload-Seiten, Fallbearbeitung, Einladungen, Erinnerungen und Benachrichtigungen, Ablage von Unterlagen, Formulare und elektronische Unterschrift.
  • Einordnen hochgeladener Unterlagen und Auslesen von Werten mit Hilfe von KI (Abschnitt 6).
  • „Meine Daten“: Haben Sie als Mandantin oder Mandant ein Konto, speichern wir Ihre Angaben und hochgeladenen Unterlagen zusätzlich in Ihrem persönlichen Bereich „Meine Daten“. Dort können Sie Ihre Angaben ansehen, ändern und löschen. In späteren Fragebögen, auch denen einer anderen Kanzlei, schlagen wir Ihnen passende Werte daraus vor. Eine andere Kanzlei erhält einen Wert erst, wenn Sie den Vorschlag übernehmen.
  • Anmeldung, Schutz vor Missbrauch, Sicherheit der Plattform und Fehleranalyse.
  • Beantwortung von Anfragen, Rückmeldungen und Support.

5. Rechtsgrundlagen

Für Mandantendaten legt die Kanzlei als Verantwortliche die Rechtsgrundlage fest. Soweit die NC Labs GmbH selbst verantwortlich ist und die DSGVO gilt, stützen wir uns auf die Erfüllung des Vertrags mit Ihnen oder Ihrer Kanzlei (Art. 6 Abs. 1 lit. b DSGVO), auf unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb und an der Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO) sowie auf gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Nach dem DSG bearbeiten wir Personendaten im Rahmen der Grundsätze von Art. 6 DSG.

6. KI-Funktionen

crosstax nutzt Google Cloud Vertex AI, um hochgeladene Unterlagen einzuordnen und Werte daraus auszulesen. Vertragspartnerin ist die Google Cloud EMEA Limited, Dublin (Irland). Die Verarbeitung findet in Rechenzentren in der EU statt, nicht in den USA. Dafür übermitteln wir an Google:

  • den Inhalt hochgeladener Unterlagen, und zwar bereits beim Hochladen, auch wenn ein Fragebogen ohne Konto ausgefüllt und noch nicht abgeschickt wurde;
  • im Wissens-Chat für Kanzleien die Frage der Beraterin oder des Beraters zusammen mit den Daten der betreffenden Mandantin oder des betreffenden Mandanten;
  • Texte, die Mitarbeitende einer Kanzlei eingeben, um eine Anfrage einordnen zu lassen;
  • soweit die Vorschlagsfunktion eingeschaltet ist, bereits erfasste Angaben und gespeicherte Texte hochgeladener Unterlagen, um Werte für noch offene Fragen vorzuschlagen.

Google verwendet Ihre Daten nicht zum Training (vertraglich zugesichert).

Werte, die die KI als sehr sicher einstuft, kann crosstax automatisch in die Angaben übernehmen. Alle Werte bleiben änderbar.

7. Empfänger und Dienstleister

Für den Betrieb von crosstax setzen wir die folgenden Dienstleister ein:

  • Vercel Inc., USA — Betrieb der Anwendung (Hosting). Die Serverfunktionen laufen in der Vercel-Region Frankfurt (Deutschland). Alles, was Sie auf crosstax eingeben oder hochladen, wird darüber übertragen. Jede hochgeladene Datei wird zudem automatisch auf Schadsoftware geprüft (Virenprüfung mit ClamAV), in einer abgeschotteten virtuellen Maschine von Vercel in Frankfurt (Deutschland). Die Maschine holt die Datei direkt aus der Dateiablage, prüft sie und löscht sie danach; sie behält keine Kopie.
  • Supabase Inc., USA — Datenbank, Anmeldung und Ablage der Dateien. Das Projekt liegt in der AWS-Region eu-west-1 (Irland).
  • Exoscale (Akenes SA, Lausanne, Schweiz; Teil von A1 Digital) — Ablage und Sicherung der Dateien, für die ein Speicherort gilt (Abschnitt 8): Zürich (Schweiz), Sicherung in Genf; Frankfurt (Deutschland), Sicherung in München; Wien (Österreich), Sicherung in Wien; ausserdem Sicherung der Dateien ohne Speicherort und der Datenbank in München (Deutschland). Dateien sind Belege, erzeugte PDFs, Vorlagen, Logo und Banner der Kanzlei, in der Sicherung ohne Speicherort auch Profilfotos und andere Dateien der Plattform.
  • Google Cloud EMEA Limited, Dublin (Irland) — Google Cloud Vertex AI, Verarbeitung in der EU: KI-Funktionen (Abschnitt 6).
  • Resend, Inc., USA — Versand aller E-Mails von crosstax, etwa Einladungen, Anmeldelinks, Links zum Setzen eines Passworts, Erinnerungen und Benachrichtigungen. E-Mails an die Kanzlei können eine PDF-Zusammenfassung der Antworten enthalten.
  • Sentry (Functional Software, Inc.), USA — Fehlerüberwachung. Bei Fehlern und bei einem Teil der Seitenaufrufe (Ladezeiten) werden technische Angaben übermittelt. Cookies, Referrer, Abfrageparameter und Zugangscodes in Links entfernen wir vorher. Meldungen aus dem Browser laufen über unseren eigenen Server.
  • wesign.now — elektronische Unterschrift, wenn Ihre Kanzlei sie mit einem eigenen wesign-Konto nutzt: das zu unterschreibende Dokument sowie Name, E-Mail-Adresse und Mobilnummer der unterzeichnenden Personen, so wie Sie sie vor dem Versand bestätigt haben. An die E-Mail-Adresse schickt wesign den Link, an die Mobilnummer einen Code per SMS, mit dem Sie die Unterschrift bestätigen. Zum Unterschreiben öffnen Sie eine Seite von wesign.now.
  • Google Workspace (Google) — Empfang und Ablage von E-Mails an support@crosstax.online.
  • Nachschlagedienste — Wenn Sie eine Adress-, Firmen- oder Wertschriftensuche verwenden, geht der Suchbegriff von unserem Server an den jeweiligen Dienst: geo.admin.ch (Bundesamt für Landestopografie swisstopo) für Schweizer Adressen; für Adressen in anderen Ländern je nach Einrichtung Google Places oder Nominatim (OpenStreetMap); Zefix (Handelsregister der Schweiz) und handelsregister.de (Registerportal der deutschen Länder) für die Firmensuche; Twelve Data für die Wertschriftensuche. Ihre IP-Adresse erhalten diese Dienste nicht.
  • Von der Kanzlei bestimmte Empfänger — Richtet eine Kanzlei Webhooks ein, sendet crosstax Ereignisse wie „Fall eingereicht“ an die Adresse, die die Kanzlei angibt.
  • NC Labs GmbH — Administratorinnen und Administratoren der Plattform können für Support und Fehlerbehebung ein Konto so ansehen, wie die betreffende Person es sieht. Jeder solche Zugriff wird protokolliert.

8. Übermittlung ins Ausland

Die Datenbank liegt in Irland, die Serverfunktionen laufen in Deutschland. Dateien liegen ebenfalls in Irland, soweit für sie kein Speicherort gilt: die Dateien von Kanzleien ohne Speicherort, die einer Kanzlei aus der Zeit vor ihrem Speicherort bis zu einem Umzug und die Dateien der Plattform wie Profilfotos. Gesichert werden die Datenbank und diese Dateien in Deutschland (München). Vercel, Supabase, Resend, Sentry und Google (auch die Google Cloud EMEA Limited für die KI-Funktionen) sind Unternehmen mit Sitz in den USA oder gehören zu einer Unternehmensgruppe mit Sitz in den USA. Personendaten können deshalb in die USA übermittelt werden; an Resend gehen die Inhalte von E-Mails. Die KI-Funktionen (Abschnitt 6) werden in der EU verarbeitet, Inhalte von Unterlagen und Angaben gehen dafür nicht in die USA. Die USA gewährleisten aus Sicht der Schweiz und der EU nicht in jedem Fall ein angemessenes Datenschutzniveau. Auskunft über die Grundlage der einzelnen Übermittlungen erhalten Sie unter support@crosstax.online.

Einen Speicherort für die Dateien einer Kanzlei wählen ihre Inhaber oder Admins, solange die Kanzlei leer ist (ohne Dateien und Fälle); danach wechselt der Ort nur durch einen Umzug durch crosstax. Neue Kanzleien und Kanzleien ohne gewählten Speicherort erhalten als Standard den Speicherort in der Schweiz, unabhängig von ihrem Sitz; das nur, solange die Kanzlei noch keine Dateien und keine Fälle hat und wenn dieser Ort dann bereit ist. Eigene Bereiche von Personen ohne Kanzlei, neu oder ohne gewählten Speicherort, erhalten als Standard ebenfalls den Speicherort in der Schweiz; das nur, solange der Bereich noch keine Dateien und keine Fälle hat und wenn dieser Ort dann bereit ist. Kanzleien ohne gewählten Speicherort und ohne Standard bleiben mit ihren Dateien in Irland, bis zu einem Umzug. Gilt für eine Kanzlei ein Speicherort (Schweiz, Deutschland, Österreich), liegen die Dateien, die danach hochgeladen oder erzeugt werden, im Ruhezustand in diesem Land, die Sicherung dieser Dateien ebenfalls; Dateien von vorher liegen bis zu einem Umzug am bisherigen Ort. Verarbeitet werden sie dennoch auch anderswo: die Virenprüfung läuft in Frankfurt (Deutschland), die KI-Funktionen wie oben beschrieben, Antworten, erfasste Angaben und die Texte der Unterlagen liegen in der Datenbank in Irland, Downloads und Exporte gehen an die Nutzenden, und übernimmt eine andere Kanzlei ein Dokument aus der Unterlagen-Bibliothek einer Person, wird es an deren Speicherort kopiert. Diese Sicherungen werden sechs Monate aufbewahrt und danach gelöscht, auch die einer gelöschten Kanzlei.

9. Aufbewahrung und Löschung

  • Mandantendaten bleiben gespeichert, solange die Kanzlei sie in crosstax führt. Die Kanzlei kann die Daten einer Mandantin oder eines Mandanten löschen: Unterlagen, Antworten und erfasste Angaben werden dabei entfernt; Fälle und eingereichte Anträge bleiben in pseudonymisierter Form für gesetzliche Aufbewahrungspflichten bestehen. Im Änderungsprotokoll wird die handelnde Person pseudonymisiert; einzelne dort festgehaltene Angaben können erhalten bleiben.
  • Virenprüfung: Erkennt die Prüfung eine hochgeladene Datei als schädlich, wird die Datei sofort gelöscht. Erhalten bleiben nur ihr Prüfwert (Hash), ihre Grösse und der Name der Erkennung, als Nachweis. Eine Datei, die noch nicht geprüft ist, wird niemandem ausgeliefert und an keine KI übergeben.
  • Löschung auf Antrag: Mandantinnen und Mandanten mit Konto können im Portal die Löschung ihres Kontos beantragen. Der Antrag geht an ihre Kanzlei.
  • Fragebögen ohne Konto: Ihre Antworten bleiben bis zum Absenden in Ihrem Browser gespeichert. Hochgeladene Unterlagen werden sofort auf unseren Servern gespeichert. Wird ein solcher Fall nicht abgeschickt, löschen wir ihn samt Unterlagen automatisch nach 90 Tagen ohne Aktivität. Was Besucherinnen und Besucher in der öffentlichen Demo-Kanzlei eingeben, löschen wir nach 30 Tagen ohne Aktivität.
  • IP-Adressen von Personen, die ohne Konto Unterlagen hochladen, speichern wir nur als gesalzenen Hashwert, um Missbrauch zu begrenzen, und löschen diesen spätestens nach drei Tagen.
  • Zustellmeldungen zu versandten E-Mails löschen wir nach 90 Tagen.
  • Kontodaten bearbeiten wir, solange das Konto besteht.
  • Sicherungskopien: Die Datenbank wird täglich in Deutschland (München) gesichert. Die Dateien, für die kein Speicherort gilt, werden ebenfalls dort gesichert. Diese Sicherungskopien werden nach sechs Monaten gelöscht; bis dahin können gelöschte Daten darin enthalten bleiben. Ältere Sicherungskopien der Datenbank können noch in Irland liegen; auch sie werden nach sechs Monaten gelöscht. Ausserdem werden im selben Land gesichert: die Dateien in Zürich (in Genf), in Frankfurt (in München) und in Wien (in einem zweiten Rechenzentrum in Wien). Diese Sicherungskopien werden nach sechs Monaten gelöscht; bis dahin können gelöschte Dateien darin enthalten bleiben. Die Sicherung der Dateien läuft jede Nacht; sind es viele, verteilt sie sich auf mehrere Nächte.

10. Sicherheit

  • Verbindungen zu crosstax sind per HTTPS (TLS) verschlüsselt.
  • Die Daten jeder Kanzlei sind in der Datenbank durch Row-Level Security von den Daten anderer Kanzleien getrennt; innerhalb einer Kanzlei gelten Rollen und Berechtigungen.
  • Unterlagen werden nur an berechtigte Personen ausgeliefert.
  • Die Anmeldung kann mit einem zweiten Faktor (Authenticator-App oder Passkey) geschützt werden.
  • Änderungen an Fällen und Unterlagen werden protokolliert; Mitarbeitende der Kanzleien können die Einträge weder bearbeiten noch löschen. Löscht eine Kanzlei die Daten einer Mandantin oder eines Mandanten, wird diese Person im Protokoll pseudonymisiert (Abschnitt 9).
  • Zugangsschlüssel, die eine Kanzlei für die elektronische Unterschrift hinterlegt, speichern wir verschlüsselt.

11. Cookies und Speicher im Browser

crosstax setzt nur Cookies, die für die Anmeldung und die Funktion der Website nötig sind oder eine Einstellung von Ihnen speichern. Es gibt keine Analyse-, Werbe- oder Tracking-Cookies und keine Skripte von Drittanbietern für solche Zwecke; Schriften werden von unserem eigenen Server geladen.

  • sb-…-auth-token (Supabase): Ihre Anmeldesitzung.
  • cx.active_firm: die im Mandantenportal gewählte Kanzlei, 1 Jahr.
  • crosstax_locale: die gewählte Sprache, 1 Jahr.
  • cx-country: das gewählte Land für Preise und Währung, 1 Jahr.
  • landing_mode: die gewählte Ansicht der Startseite (für Kanzleien oder für Mandanten), 1 Jahr.
  • pk_reg_challenge, pk_auth_challenge: Einrichtung und Anmeldung mit einem Passkey, 5 Minuten.
  • cx_invite_token: der Einladungslink Ihrer Kanzlei zu einem Vorgang, nachdem Sie „Fall öffnen“ gewählt haben — nur auf der Einladungsseite, bis zum Ende der Browsersitzung oder bis Sie „Sitzung beenden“ wählen, höchstens 12 Stunden.
  • cx_cosigner_token: der Bestätigungslink für eine zweite zeichnungsberechtigte Person (Vollmacht), nachdem Sie „Link öffnen“ gewählt haben — nur auf der Bestätigungsseite, bis zum Ende der Browsersitzung, höchstens 30 Minuten.
  • cx_start_resend: nachdem Sie einen Vorgang über die Seite Ihrer Kanzlei begonnen haben, der Verweis auf diesen Vorgang für den Knopf „E-Mail erneut senden“ auf der Danke-Seite (signiert, ohne Ihre Adresse, keine Anmeldung) — höchstens 1 Tag.
  • cx.impersonate: nur für Administratorinnen und Administratoren der Plattform während eines Support-Zugriffs, bis zum Ende der Browsersitzung.
  • cx.avv_later: nur für Kanzleien — „Später“ im Hinweis auf einen aktualisierten Auftragsverarbeitungsvertrag (Fassung und Zeitpunkt der Anmeldung), bis zum Ende der Browsersitzung.

Im lokalen Speicher Ihres Browsers (localStorage) legt crosstax Entwürfe von Antworten ab, bei Fragebögen ohne Konto zusätzlich einen Zugangscode für den Fall auf diesem Gerät, sowie Anzeigeeinstellungen wie eine eingeklappte Seitenleiste. Sie können diese Einträge löschen, indem Sie die Websitedaten in Ihrem Browser löschen.

12. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Personendaten, auf Berichtigung, auf Löschung, auf Einschränkung der Bearbeitung, auf Herausgabe bzw. Übertragung Ihrer Daten und auf Widerspruch gegen die Bearbeitung. Betrifft Ihr Anliegen Mandantendaten, ist Ihre Kanzlei zuständig; Sie können sich aber auch an uns wenden: support@crosstax.online.

Sie können sich ausserdem bei einer Aufsichtsbehörde beschweren, in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei der Datenschutzbehörde Ihres Wohnsitz- oder Arbeitsorts.

13. Stand

Stand: 6. Oktober 2026.