Datenschutzerklärung

Stand: 18. September 2026

1. Worum es in dieser Erklärung geht

Diese Datenschutzerklärung erklärt, welche Personendaten wir im Zusammenhang mit Wertly (Website wertly.ch und Web-App/PWA unter app.wertly.ch) bearbeiten, wozu wir das tun — und was wir bewusst nicht sehen können. Sie gilt für Besucher unserer Website und für Nutzerinnen und Nutzer der Wertly-App und erfüllt die Anforderungen des Schweizer Datenschutzgesetzes (DSG). Für Personen im Europäischen Wirtschaftsraum (EWR) gelten zusätzlich die Angaben zur EU-Datenschutz-Grundverordnung (DSGVO) in dieser Erklärung. Wer für die Datenbearbeitung verantwortlich ist und wie du uns erreichst, findest du in Ziffer 15.

2. Das Wichtigste in Kürze

Wertly ist so gebaut, dass wir den Inhalt deiner Finanzdaten nicht lesen können. Deine Vermögenswerte, Schulden, Beträge, Bezeichnungen und Verläufe werden auf deinem Gerät verschlüsselt, bevor sie unseren Server erreichen (Ende-zu-Ende-Verschlüsselung). Auf dem Server liegt nur Ciphertext (= die unlesbare, verschlüsselte Form deiner Daten). Den Schlüssel dazu hast nur du.

Damit die App funktioniert, bearbeiten wir daneben eine begrenzte Menge unverschlüsselter Daten (z. B. deine E-Mail-Adresse für das Login). Die folgende Übersicht zeigt ehrlich, was wir sehen und was nicht:

3. Welche Daten wir bearbeiten

a) Kontodaten. E-Mail-Adresse, Passwort (als kryptografischer Hash), Zeitpunkt der Registrierung und der E-Mail-Bestätigung, Login-Zeitpunkte. Ohne diese Daten können wir dein Konto nicht führen.

b) Verschlüsselte Inhaltsdaten. Deine Finanzdaten (Vermögenswerte, Verbindlichkeiten, Snapshots) speichern wir ausschliesslich als auf deinem Gerät verschlüsselten Ciphertext. Wir können diese Inhalte nicht entschlüsseln und geben sie in lesbarer Form an niemanden weiter — wir haben sie schlicht nicht. Zum verschlüsselten Tresor gehören zwei technische, unverschlüsselte Kennwerte (eine Tresor-ID und ein Prüfwert zur Verifizierung deines Schlüssels); eine Entschlüsselung deiner Daten ist damit nicht möglich.

c) Unverschlüsselte Einstellungen. Land, Sprache, Referenzwährung und Darstellungsmodus. Ebenfalls gespeichert wird der Zeitpunkt, zu dem du deinen Recovery Key bestätigt hast. Diese Angaben sind technisch nötig; sie enthalten keine Finanzinhalte.

d) Technische Protokolldaten. Beim Zugriff auf unsere Systeme fallen standardmässig IP-Adresse, Browser-/Gerätetyp (User-Agent) und Zeitstempel an — in Sicherheitsprotokollen (z. B. Login-Audit) und in kurzlebigen Infrastruktur-Logs unserer Hosting-Dienstleister.

e) Abo- und Zahlungsdaten. Gewählter Plan, Status (Trial/aktiv/gekündigt), Laufzeiten, Datum der ersten Zahlung sowie technische Referenzen unseres Zahlungsdienstleisters Stripe (Kunden- und Abo-ID). Kreditkarten- und Zahlungsdaten werden ausschliesslich von Stripe erhoben und verarbeitet — sie erreichen unsere Systeme nie. Beim Kauf übermitteln wir an Stripe deine E-Mail-Adresse, eine interne Nutzer-ID und den gewählten Plan (inklusive der Kennzeichnung, ob es sich um einen Founder-Plan handelt).

f) E-Mail-Versanddaten. Für Systemmails (Registrierung, Passwort-Reset, Zahlungsbestätigungen) protokollieren wir Empfängeradresse, Vorlage, Zeitpunkt und Zustellstatus. Während der Zustellung liegt die E-Mail (Adresse und Inhalt) vorübergehend in unserem Versandsystem.

g) Founder-Nachweis. Wenn du eines der limitierten Founder-Angebote kaufst, speichern wir einen kleinen Nachweis-Datensatz (interne Nutzer-ID, Stripe-Kundenreferenz, Plan, Zeitpunkt — keine E-Mail, kein Name). Er existiert in deinem Interesse: Damit können wir dir deine Founder-Preisgarantie jederzeit belegen — auch Jahre später oder wenn du dein Konto zwischenzeitlich gelöscht hast — und stellen sicher, dass das Limit von 100 Founder-Plätzen fair durchgesetzt wird. Aus diesen Gründen bleibt dieser Datensatz auch nach einer Kontolöschung bestehen (Details in Ziffer 10).

h) Lokale Daten auf deinem Gerät. Die App speichert auf deinem Gerät (Browser-Speicher/IndexedDB): dein Schlüsselmaterial, deine Sitzung, Einstellungen, eine lokale Kopie deiner (verschlüsselten) Daten sowie ggf. unfertige Onboarding-Eingaben. Diese lokalen Daten verlassen dein Gerät nicht in lesbarer Form. Beachte: Wenn du Browserdaten löschst oder die App neu installierst, wird auch dein lokaler Schlüssel entfernt — ohne deinen Recovery Key können weder du noch wir die Daten wiederherstellen (siehe Ziffer 12).

i) Technisches Betriebsprotokoll. Die App führt ein technisches Service-Protokoll (ops_events), das bestimmte Betriebsereignisse festhält — z. B. eine fehlgeschlagene Zahlung, eine Kontolöschung oder einen fehlgeschlagenen Login-Versuch. Ein Eintrag besteht nur aus Ereignistyp, Zeitpunkt, einem kurzen technischen Code und wenigen festgelegten Kennwerten (z. B. gewählter Plan); Fehlermeldungen, Eingaben, E-Mail-Adressen oder IP-Adressen werden nie gespeichert und technisch herausgefiltert. Dein Konto erscheint darin nur als nicht umkehrbarer Prüfwert (HMAC mit einem geheimen Schlüssel); eine Zuordnung zu deinem Konto ist ausschliesslich uns mit diesem Schlüssel möglich. Zugriff hat nur der Inhaber über die Datenbank. Die Einträge werden automatisch nach 90 Tagen gelöscht. Zweck: Betriebssicherheit, Fehlersuche und Missbrauchsprävention.

j) Feedback. Wenn du uns über die Feedback-Funktion in der App eine Nachricht sendest, speichern wir: die Art der Nachricht (Problem/Idee), deinen Text, den Zeitpunkt, bei Problemmeldungen optional die Kennung der betroffenen Ansicht sowie einen technischen Kontext aus vier festen Angaben (Betriebssystem-Familie, Browser-Familie, installierte App ja/nein, Sprache der App). Standardmässig ist deine Nachricht weder mit deiner E-Mail-Adresse noch mit deinem Konto verknüpft. Nur wenn du „Mit Kontakt" wählst, speichern wir zusätzlich deine E-Mail-Adresse, damit wir dir zu dieser Nachricht antworten können; diese Einwilligung kannst du jederzeit widerrufen, indem du uns um Löschung bittest. Feedback-Nachrichten sind — anders als deine Finanzdaten — nicht Ende-zu-Ende-verschlüsselt, damit wir sie lesen können; schreibe deshalb keine Beträge und keine persönlichen oder sensiblen Angaben hinein. Zur Spam-Abwehr führen wir einen kurzlebigen Zähler (maximal 3 Nachrichten pro 24 Stunden), der nur einen nicht umkehrbaren Prüfwert deiner Konto-ID enthält, nicht mit deiner Nachricht verknüpft ist und nach 2 Tagen gelöscht wird.

4. Zwecke und Rechtsgrundlagen

Wir bearbeiten Personendaten für folgende Zwecke. Die genannten Rechtsgrundlagen beziehen sich auf die DSGVO, soweit diese anwendbar ist; nach Schweizer DSG stützen wir uns auf die entsprechenden gesetzlichen Bearbeitungsgrundsätze.

Unsere berechtigten Interessen sind dabei: Sicherheit und Missbrauchsprävention, die faire Durchsetzung limitierter Angebote sowie die Verbesserung und Reichweitenmessung des Produkts.

Marketing-E-Mails versenden wir derzeit nicht. Sollten wir dies künftig anbieten, geschieht es nur mit deiner vorgängigen Einwilligung (Opt-in), die du jederzeit widerrufen kannst.

Automatisierte Einzelentscheidungen im Sinne von Art. 21 DSG bzw. Art. 22 DSGVO treffen wir nicht. Die Projektionen in der App sind reine Rechenanzeigen auf Basis deiner eigenen Eingaben und haben keine Rechtswirkung.

5. Cookies und lokale Speicherung

Wir setzen keine Werbe-Cookies und keine Tracking-Dienste von Werbenetzwerken oder Datenhändlern ein. Verwendet werden ausschliesslich:

Beim Bezahlvorgang auf checkout.stripe.com setzt Stripe eigene, technisch notwendige Cookies; dafür gelten die Datenschutzhinweise von Stripe.

Du kannst Cookies und Website-Daten jederzeit in den Einstellungen deines Browsers blockieren oder löschen. Die technisch erforderlichen Speicherungen (Sitzung, Schlüssel) sind für die Nutzung der App notwendig — ohne sie funktioniert das Login bzw. die Entschlüsselung nicht.

6. Besuchermessung der Website

Unsere Hosting-Plattform (Lovable) misst Besuche der Website mit einem eigenen, first-party eingebundenen Skript: gezählt werden aufgerufene Seiten, ungefähre Herkunft (Land, abgeleitet aus Zeitzone bzw. IP), Gerätetyp, Sprache und Referrer-Quelle (von welcher Seite du gekommen bist). Dazu kann eine kurzlebige Session-Cookie (30 Minuten) gesetzt werden. Die Auswertung ist aggregiert — wir sehen Statistiken, keine identifizierten Einzelpersonen, und es findet kein Profiling und keine Weitergabe an Werbenetzwerke statt. Wenn du das nicht möchtest, kannst du Cookies für wertly.ch und app.wertly.ch in deinem Browser blockieren; die Website bleibt nutzbar.

7. Produktanalytik (in der App)

Um Wertly zu verbessern, erfassen wir sparsame, produktbezogene Ereignisse — bewusst ohne Finanzinhalte. Jedes Ereignis besteht nur aus Ereignisname, Zeitpunkt und deiner Konto-ID und wird pro Konto höchstens einmal gespeichert. Die Tabelle, in der diese Ereignisse liegen, hat technisch kein Feld für Inhalte — es ist nicht möglich, dazu einen Betrag, einen Typ, eine Bezeichnung oder eine Kategorie zu speichern. Kurz gesagt: Wir sehen, dass du die Einrichtung abgeschlossen hast — nicht, was du eingegeben hast.

Vollständige Liste der 18 Ereignisse (Stand: 18. September 2026):

Zusätzlich erfassen wir: einen Aktivitätsvermerk pro Tag (nur das Datum, keine Uhrzeit, keine Aktionen; automatische Löschung nach 12 Monaten) · die Herkunft deines ersten Besuchs (UTM-Parameter source, medium, campaign), nur bei Konten, die jünger als 24 Stunden sind · deinen Abo-Status (aus Stripe) · Zeitstempel, wann sich verschlüsselte Datensätze zuletzt geändert haben (nicht deren Inhalt).

Wenn wir neue Ereignisse hinzufügen, aktualisieren wir diese Liste vor deren Einführung (Ziffer 14). Diese Ereignisse sind an dein Konto geknüpft und enthalten keine Finanzinhalte: keine Beträge, keine Vermögens- oder Schuldenarten, keine Bezeichnungen, kein Alter, keine Projektionen. Sie verlassen unsere Systeme nicht, werden nicht mit Dritten geteilt und werden mit deinem Konto gelöscht.

8. Empfänger und Dienstleister (Auftragsbearbeiter)

Vorab das Wichtigste: Keiner dieser Dienstleister kann den Inhalt deiner Finanzdaten lesen — er liegt überall nur verschlüsselt vor, und der Schlüssel bleibt auf deinem Gerät.

Wir setzen für den Betrieb folgende Dienstleister ein. Mit allen bestehen Datenschutzvereinbarungen (DPA):

Darüber hinaus geben wir Personendaten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. gegenüber Behörden aufgrund einer rechtskräftigen Anordnung).

9. Bekanntgabe ins Ausland

Unabhängig vom Land gilt: Dein verschlüsselter Finanzinhalt ist überall unlesbar — der Schlüssel bleibt auf deinem Gerät.

Deine Finanzdaten (als Ciphertext) und deine Kontodaten werden in der EU gespeichert (Region Frankfurt) — die EU bietet gemäss Anhang 1 der schweizerischen Datenschutzverordnung ein angemessenes Datenschutzniveau.

Einzelne unterstützende Dienste bearbeiten Daten teilweise in den USA: die Zahlungsabwicklung (Stripe), der Versand von Systemmails und der Sicherheits-/CDN-Filter vor der Website. Diese Übermittlungen stützen sich auf das Swiss-U.S. Data Privacy Framework (Stripe ist darunter zertifiziert) bzw. auf die EU-Standardvertragsklauseln mit Schweiz-Ergänzung als geeignete Garantien im Sinne von Art. 16 Abs. 2 DSG. Eine Kopie der jeweiligen Garantien stellen wir dir auf Anfrage zur Verfügung.

10. Aufbewahrung und Löschung

Während der Nutzung bewahren wir deine Daten auf, solange dein Konto besteht.

Wenn du dein Konto löschst (Funktion in den Einstellungen), passiert Folgendes:

1. Ein allfälliges Abo wird zuerst bei Stripe gekündigt. Schlägt dies fehl, wird die Löschung abgebrochen — damit kein Abo ohne Konto weiterläuft.
2. Deine Finanzdaten (Ciphertext), dein Tresor und dein Konto samt Profil, Abo-Einträgen, Sitzungen und allen Produktanalytik-Ereignissen (Ziffer 7, inkl. Aktivitätsvermerke) werden sofort und unwiederbringlich aus unserer Datenbank gelöscht. Es gibt keine Wiederherstellungsfrist.
3. In rollierenden Sicherungskopien unserer Datenbank können gelöschte Einträge technisch bedingt noch kurze Zeit vorhanden sein; sie werden automatisch überschrieben — in der Regel innert 7 Tagen, spätestens innert 30 Tagen. Backups werden nicht für andere Zwecke verwendet.
4. Bestehen bleiben:
   • Zahlungs- und Belegdaten (inkl. Rechnungs-E-Mail): Aufbewahrung aufgrund gesetzlicher Buchführungs- und Aufbewahrungspflichten (Art. 958f OR: 10 Jahre) — bei Stripe und, soweit wir buchhalterisch relevante Belege selbst aufbewahren, auch bei uns.
   • E-Mail-Versandprotokolle (Empfängeradresse, Vorlage, Zustellstatus): werden aufbewahrt, solange dies für den Nachweis der Zustellung und die Missbrauchsprävention erforderlich ist.
   • Sicherheits-/Audit-Protokolle (IP-Adressen von Login-Ereignissen): werden aufbewahrt, solange dies für den Schutz vor Missbrauch erforderlich ist; kurzlebige Infrastruktur-Logs unserer Dienstleister werden automatisch nach wenigen Tagen bis Wochen überschrieben.
   • Technisches Betriebsprotokoll (Ziffer 3 i): Einträge bleiben bis zur automatischen Löschung nach spätestens 90 Tagen bestehen; nach einer Kontolöschung sind sie für uns praktisch keiner Person mehr zuordenbar.
   • Feedback-Nachrichten (Ziffer 3 j): werden spätestens nach 6 Monaten automatisch gelöscht. Da sie nicht mit deinem Konto verknüpft sind, werden sie bei einer Kontolöschung nicht automatisch mitgelöscht; Nachrichten mit deiner E-Mail-Adresse löschen wir auf Anfrage an support@wertly.ch jederzeit früher.
   • Founder-Nachweis (Ziffer 3 g): bleibt bestehen — damit deine Founder-Preisgarantie auch nach einer Kontolöschung belegbar bleibt und das 100er-Limit nicht umgangen werden kann. Er enthält weder E-Mail noch Namen; eine Zuordnung zu deiner Person ist nur noch in Verbindung mit den bei Stripe gesetzlich aufbewahrten Zahlungsunterlagen möglich.
   • Lokale Daten auf deinem Gerät löschen wir nicht automatisch — entferne sie über die Browserdaten bzw. Deinstallation. Ohne Server und Schlüssel sind sie für Dritte unbrauchbar.

11. Deine Rechte

Dir stehen die Rechte nach DSG und — soweit anwendbar — DSGVO zu:

• Auskunft über die zu deiner Person bearbeiteten Daten (Art. 25 DSG / Art. 15 DSGVO) — einschliesslich der zu deinem Konto gespeicherten Analytik-Ereignisse (Ereignisnamen und Daten)
• Berichtigung unrichtiger Daten (Art. 32 DSG / Art. 16 DSGVO)
• Löschung (Art. 32 DSG / Art. 17 DSGVO) — am schnellsten direkt über die Konto-Löschfunktion in der App
• Datenherausgabe / Übertragbarkeit (Art. 28 DSG / Art. 20 DSGVO): Über „Export data" in der App erhältst du deine Daten jederzeit als maschinenlesbare JSON-Datei — auch während des Trials und nach dessen Ablauf
• Einschränkung der Bearbeitung (Art. 18 DSGVO, soweit anwendbar)
• Widerspruch gegen Bearbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO), sowie Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Anfragen richtest du an support@wertly.ch. Zur Sicherheit können wir eine Bestätigung über deine registrierte E-Mail-Adresse verlangen. Beachte: Den Inhalt deiner verschlüsselten Finanzdaten können wir dir nicht „herausgeben" oder einsehen — er ist für uns unlesbar; nutze dafür die Export-Funktion in der App.

Du kannst dich zudem bei einer Aufsichtsbehörde beschweren: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), im EWR bei der Datenschutzbehörde deines Aufenthaltsorts.

12. Datensicherheit

• Ende-zu-Ende-Verschlüsselung: Deine Finanzdaten werden auf deinem Gerät ver- und entschlüsselt (moderne, geprüfte Web-Kryptografie). Der Hauptschlüssel verlässt dein Gerät nie.
• Recovery Key: Beim Einrichten erhältst du einen Wiederherstellungsschlüssel. Bewahre ihn sicher auf: Ohne Recovery Key können deine verschlüsselten Daten bei Geräteverlust, Browser-Reset oder Passwortverlust von niemandem wiederhergestellt werden — auch von uns nicht. Das ist der Preis echter Ende-zu-Ende-Verschlüsselung.
• Transportverschlüsselung (TLS) für alle Verbindungen; serverseitige Zugriffskontrollen (Row Level Security). Auf Anwendungsebene hat nur der Inhaber Zugriff auf die Datenbank; unsere Hosting-Dienstleister (Ziffer 8) betreiben die Infrastruktur — auch sie sehen deine Finanzdaten ausschliesslich als Ciphertext.
• Bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko informieren wir den EDÖB und — soweit erforderlich — die betroffenen Personen gemäss Art. 24 DSG bzw. Art. 33/34 DSGVO.

13. Minderjährige

Wertly richtet sich an Personen ab 18 Jahren. Mit der Registrierung bestätigst du, volljährig zu sein. Wir bearbeiten wissentlich keine Daten von Minderjährigen; entsprechende Konten löschen wir.

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenbearbeitung oder die Rechtslage ändert. Es gilt die jeweils auf wertly.ch publizierte Fassung. Bei wesentlichen Änderungen informieren wir dich in der App oder per E-Mail. Diese Erklärung wird auf Deutsch und Englisch bereitgestellt; bei Abweichungen geht die deutsche Fassung vor.

15. Verantwortlicher und Kontakt

Verantwortlich für die Datenbearbeitung im Zusammenhang mit Wertly ist:

SPANIK.ECOMMERCE
Inhaber: Pavel Spanik
c/o Pavel Spanik, Goetzstrasse 5, 8006 Zürich, Schweiz
UID: CHE-320.389.197
E-Mail: support@wertly.ch

Für Anfragen zum Datenschutz — auch zur Ausübung deiner Rechte nach Ziffer 11 — erreichst du uns unter support@wertly.ch.