Datenschutzerklärung

Stand: 13. Oktober 2026

1. Verantwortlicher

Verantwortlich ist die CONCAPE GmbH, Spichergasse 8, 8185 Winkel, Schweiz, UID CHE-250.240.429, Handelsregister des Kantons Zürich. kliyo ist ein Produkt der CONCAPE GmbH; in dieser Erklärung stehen «kliyo» und «wir» für die CONCAPE GmbH als Anbieterin von kliyo.

Für Fragen zum Datenschutz und für Anfragen nach Ziffer 11 schreiben Sie bitte an hello@kliyo.ch.

2. Wofür diese Erklärung gilt

Diese Erklärung gilt für Personendaten, für die kliyo verantwortlich ist: die Website, den Landing-Chat «Kliyo», das Kontaktformular, Konten und Registrierung, Verträge und Rechnungen, E-Mails, Anfragen und Beratungsgespräche sowie den Download der Desktop-App.

Unternehmen nutzen kliyo, damit Mitarbeitende ihr Arbeitswissen übergeben. Die Inhalte dieser Übergaben, etwa Interviews, Tätigkeitsprofile, Übergabepläne, Aufnahmen der Desktop-App und Handbücher, bearbeitet kliyo im Auftrag dieses Unternehmens, ebenso die Wissenssuche und den KI-Assistenten, der Fragen von Mitarbeitenden über Microsoft Azure anhand dieses Wissens beantwortet. Verantwortlich ist das Unternehmen. Es informiert seine Mitarbeitenden und beantwortet ihre Fragen. kliyo bearbeitet diese Daten nach einem Auftragsbearbeitungsvertrag und leitet Anfragen dazu an das Unternehmen weiter. Wo diese Erklärung solche Abläufe beschreibt, dient das der Transparenz.

3. Website

Die Website und die Anwendung laufen bei der Nine Internet Solutions AG in Zürich, ausser dem Kontaktformular «Auf die Warteliste» (Ziffer 5). Bei jedem Aufruf verarbeitet Nine technische Angaben wie IP-Adresse, Zeitpunkt, aufgerufene Adresse und Angaben zum Browser, um die Seite auszuliefern und Fehler zu erkennen. Diese Angaben bleiben in der Schweiz.

Solange Sie sich nicht registrieren oder anmelden, setzt die Website keine Cookies. kliyo setzt keine Analyse- oder Werbedienste ein. Schriften, Bilder und der Film liegen auf unseren Servern und werden nicht von Dritten geladen. Links auf andere Websites öffnen diese Websites; dort gelten deren Datenschutzerklärungen.

4. Landing-Chat «Kliyo»

Auf der Startseite beantwortet die Figur «Kliyo» Fragen zu kliyo und zum Wissenstransfer.

Erst nach Zustimmung: Der Chat startet erst, wenn Sie auf «Einverstanden» klicken. Geben Sie bitte keine Personendaten und keine vertraulichen Daten ein.
Was gesendet wird: Ihre Frage (höchstens 500 Zeichen) und bis zu sechs frühere Zeilen des Gesprächs gehen an unseren Server und von dort an Microsoft (Microsoft Azure); Microsoft verarbeitet sie in der EU. Was an Microsoft geht, enthält keinen Namen und keine Kennung. Microsoft erhält auch Ihre IP-Adresse nicht, weil die Anfrage von unserem Server kommt.
Was gespeichert wird: kliyo speichert und protokolliert weder Fragen noch Antworten und lässt bei Microsoft keine Antworten speichern. Microsoft trainiert nicht mit ihnen. Microsoft prüft Fragen und Antworten aber automatisch auf Missbrauch und kann als auffällig markierte Inhalte für eine begrenzte Zeit aufbewahren (siehe Ziffer 9).
Schutz vor Missbrauch: kliyo zählt die Anfragen je IP-Adresse. Gespeichert wird nicht die IP-Adresse, sondern ein mit einem geheimen Schlüssel berechneter Prüfwert mit einem Zähler, in unserer Datenbank in Zürich. Die Einträge gelten 15 Minuten oder 24 Stunden; abgelaufene Einträge werden bei späteren Anfragen gelöscht.

In Ihrem Browser speichert der Chat diese Einträge. Sie werden nicht an uns übertragen. Cookies setzt der Chat nicht.

Name	Speicher	Inhalt	Wie lange
kliyo-guide-consent	Session Storage	dass Sie «Einverstanden» geklickt haben	bis Sie den Tab schliessen
kliyo-guide-greeted	Session Storage	dass die Begrüssung angezeigt wurde; wird kurz nach dem Laden der Seite gesetzt	bis Sie den Tab schliessen
kliyo-guide-position	Local Storage	Position der Figur, nur wenn Sie sie verschieben	bis Sie die Website-Daten in Ihrem Browser löschen

Das Gespräch selbst steht nur in der geöffneten Seite und ist nach dem Neuladen weg. Ihre Zustimmung endet, wenn Sie den Tab schliessen.

5. Kontaktformular, Konto und Vertrag

Kontaktformular

Über «Auf die Warteliste» schicken Sie uns Anrede, Vorname, Nachname, Firma, geschäftliche E-Mail-Adresse und Telefonnummer. Kommen Sie aus dem Paketfinder, senden wir Ihre Auswahl (Paket und Anzahl Übergaben) mit. Wir verwenden diese Angaben nur, um mit Ihnen Kontakt aufzunehmen und ein persönliches Gespräch zu vereinbaren.

Nur dieses Formular läuft über die Vercel Inc.: Sie verarbeitet Ihre Anfrage in einem Rechenzentrum in Frankfurt (Deutschland), dabei auch technische Angaben wie Ihre IP-Adresse, und sendet die Angaben über unser Postfach bei Microsoft 365 (Ziffer 9) als E-Mail an uns. Sie erhalten an die angegebene Adresse eine kurze Bestätigung per E-Mail. Auf der Website und in unserer Datenbank speichern wir Ihre Angaben aus dem Formular nicht. Die übrige Website läuft bei Nine in Zürich (Ziffer 3).

Die E-Mail liegt danach in unserem Postfach hello@kliyo.ch, die Bestätigung an Sie dort unter den gesendeten E-Mails. Wir löschen beide, wenn Sie es verlangen (Ziffer 11), und spätestens zwölf Monate nach dem Eingang, wenn kein Vertrag zustande kommt.

Konto

Unternehmen schalten wir erst nach dem persönlichen Gespräch frei. Für das Konto der ersten Person erfassen wir oder sie selbst Firmenname, Anrede, Vor- und Nachname, Position und E-Mail; das Passwort wählt sie selbst.
Eingeladene Personen registrieren sich mit E-Mail und Passwort. Ihren Namen hat das einladende Unternehmen erfasst.
Wir speichern diese Angaben bei Supabase in Zürich. Das Passwort speichert Supabase nur als Hashwert. Nach der Bestätigung der E-Mail-Adresse legen wir die Firma und Ihre Mitgliedschaft mit Ihrer Rolle an.
Wir brauchen diese Daten, um Ihnen das Konto bereitzustellen, den Vertrag abzuwickeln und kliyo zu schützen.
Zum Schutz vor Missbrauch zählen wir Anmelde- und Registrierungsversuche je IP-Adresse und E-Mail-Adresse. Gespeichert werden nur Prüfwerte wie beim Landing-Chat, für 15 Minuten.

Cookies und Browser-Speicher nach der Anmeldung: Für die Anmeldung setzt kliyo Cookies von Supabase (Name beginnt mit «sb-» und endet mit «auth-token»). Sie sind technisch nötig, für Skripte nicht lesbar, werden beim Abmelden gelöscht und laufen sonst spätestens nach 400 Tagen ab. Während der Registrierung und beim Zurücksetzen des Passworts kommen kurzlebige Cookies für die sichere Anmeldung dazu. In der Anwendung speichert Ihr Browser zudem technische Einträge, etwa ob die Einrichtung des Geräts abgeschlossen ist, Entwürfe des Interviews bis zum Speichern und einen Schlüssel für die Übergabe aus der Desktop-App.

Vertrag und Rechnung

Für Angebot, Vertrag und Rechnungen bearbeiten wir Firma und Rechnungsadresse, Name und E-Mail der Ansprechperson, die vereinbarten Leistungen und die Zahlungen. Bezahlt wird auf Rechnung, nicht über die Website. Bucht oder kündigt ein Admin ein Zusatzmodul, speichern wir Name und E-Mail dieser Person mit dem Zeitpunkt. Damit belegen wir die Buchung und stellen sie in Rechnung. Rechnungen und Buchungsbelege bewahren wir zehn Jahre auf, wie es das Gesetz verlangt (Art. 958f OR).

6. E-Mails

kliyo versendet E-Mails über Microsoft 365, bezogen über GoDaddy.

Einladung, Bestätigung und Passwort: E-Mails zur Einladung durch kliyo, zur Bestätigung der Registrierung und zum Zurücksetzen des Passworts erstellt Supabase; versendet werden sie über Microsoft 365.
E-Mails aus der Unternehmensansicht: Einladungen, Erinnerungen und Hinweise erstellt kliyo im Auftrag des Unternehmens. Sie enthalten den Namen der Firma und der empfangenden Person und einen Link zu kliyo. Einladungen nennen zudem die einladende Person, Einladungen ins Team auch die Rolle und Einladungen zur Übergabe eine allfällige persönliche Nachricht an die eingeladene Person. Antworten auf eine Einladung gehen an die E-Mail-Adresse der einladenden Person. Erinnerungen nennen den letzten Arbeitstag und den Stand der Übergabe, etwa offene Rückfragen oder die nächste Aufgabe; Hinweise an die Führungskraft nennen die Person, deren Übergabeplan auf Bestätigung wartet, und ihren letzten Arbeitstag.
kliyo legt jede E-Mail aus der Unternehmensansicht vor dem Versand mit Empfängeradresse und Inhalt in seiner Datenbank ab, Einladungen auch mit der Antwortadresse. Microsoft 365 legt zudem eine Kopie unter den gesendeten E-Mails im Postfach hello@kliyo.ch ab. kliyo löscht beide nach einem Jahr.

7. Anfragen und Beratung

Wenn Sie uns schreiben, verwenden wir Ihre Angaben, um Ihre Anfrage zu beantworten. Vor einem Vertrag führen wir mit jedem Unternehmen ein persönliches Gespräch (Onboarding); dafür verwenden wir Ihre Angaben aus dem Kontaktformular, aus Ihrer Anfrage oder aus Ihrer Terminbuchung.

Ein kostenloses Beratungsgespräch buchen Sie über den Online-Kalender von Cal.com, Inc. (San Francisco, USA). Für Übermittlungen aus der Schweiz in die USA stützt sich Cal.com auf Standardvertragsklauseln (Art. 16 Abs. 2 Bst. d DSG). Der Kalender öffnet sich in einem neuen Tab auf der Seite des Anbieters. Wir erhalten die Angaben, die Sie bei der Buchung machen, etwa Name, E-Mail-Adresse und Termin, und verwenden sie für das Gespräch. Auf der Seite des Anbieters gilt zusätzlich dessen Datenschutzerklärung.

8. Desktop-App

Download: Die Desktop-App für macOS und Windows lässt sich nur nach der Anmeldung herunterladen. Die Datei liegt in einem nicht öffentlichen Speicher bei Supabase in Zürich und wird über kurzlebige Links geladen. kliyo protokolliert Downloads nicht.

Verbindung mit kliyo: Nach dem Verbinden erhält die App einen Geräteschlüssel, der 30 Tage gilt. kliyo speichert davon nur einen Hashwert. Die App fragt alle 30 Sekunden die Aufgaben der angemeldeten Person ab. Sie sucht nicht nach Updates und sendet keine Absturzberichte, keine Nutzungsstatistik und keine Analysedaten.

Was die App aufnimmt: Nur während einer Aufnahme, die die Person selbst startet, und nur für eine Aufgabe aus kliyo. Eine Aufnahmeleiste zeigt an, dass die Aufnahme läuft.

je Aktion einen Screenshot des Bildschirms mit dem Klick; die Person kann Bereiche des Bildschirms ausnehmen;
Fenster von Passwort-Managern und der Schlüsselbundverwaltung erscheinen nicht: unter macOS sind sie ausgeschlossen, unter Windows grau überdeckt;
erkannte Passwortfelder werden abgedeckt; die Erkennung ist aber nicht lückenlos;
die Beschriftung und Art des angeklickten Elements, den Namen des Programms oder der Website, bei Websites die Adresse ohne Kennungen, und Tastenkürzel;
bei Tippphasen nur, dass getippt wurde, nie was;
Sprache nur, wenn die Person «Sprache aufnehmen» einschaltet; standardmässig ist das aus.

Damit der Screenshot den Zustand beim Klick zeigt, hält die App während der Aufnahme das jeweils letzte Bild des Bildschirms kurz im Arbeitsspeicher. Gespeichert wird nur ein Bild je Aktion.

macOS fragt vor der ersten Aufnahme nach den Freigaben für Bildschirmaufnahme, Bedienungshilfen und Eingabeüberwachung. Windows fragt nicht nach solchen Freigaben, nur nach dem Mikrofon; die App weist deshalb selbst darauf hin, was sie aufnimmt.

Die App liest nie den Inhalt von Tasteneingaben oder der Zwischenablage. Werte aus Eingabefeldern übernimmt sie nur, wenn die Person das in den Einstellungen ausdrücklich einschaltet; standardmässig ist das aus. Screenshots zeigen aber, was auf dem Bildschirm sichtbar ist, auch eingetippten Text. Deshalb prüft und schwärzt die Person jeden Schritt vor der Übergabe.

Was auf dem Gerät bleibt: Original-Screenshots, Ton, Zeitleiste und die Ergebnisse der lokalen Texterkennung auf den Original-Screenshots (unter macOS Apple Vision, unter Windows die Texterkennung von Windows, dazu PaddleOCR) bleiben auf dem Gerät, ebenso die Transkripte, bis die Person eine Anleitung freigibt. Alles liegt im Ordner «kliyo/Aufnahmeeditor» des Benutzers. Die App verschlüsselt diese Daten nicht selbst; wir empfehlen die Festplattenverschlüsselung des Betriebssystems (FileVault unter macOS, BitLocker unter Windows). Nach Abschluss der Übergabe löscht die App diese Rohdaten nach [Frist] und weist vorher darauf hin.

Was das Gerät verlässt:

Was	Wann	Wohin
Tonabschnitte mit Sprache	wenn «Sprache aufnehmen» gewählt ist	über den Server von kliyo an Microsoft zur Transkription, verarbeitet weltweit, auch in den USA; kliyo speichert dabei weder Ton noch Text; das Transkript kommt auf das Gerät zurück
ein noch lesbarer Screenshot mit den lokal erkannten Texten	nur nach Zustimmung im Einzelfall, für einen KI-Vorschlag zum Schwärzen	über den Server von kliyo an Microsoft, verarbeitet in der EU; zurück kommen nur die vorgeschlagenen Flächen
freigegebene, geschwärzte Schritte (Texte und Bilder), je Schritt mit dem Text, der auf dem geschwärzten Bild lesbar ist (auf dem Gerät erst nach dem Schwärzen erkannt), und dem Klickziel (Programm, Art und Beschriftung des Elements, Adresse ohne Kennungen, kein Fenstertitel); dazu die Transkripte der Erklärungen, wenn die Person mit «Sprache aufnehmen» aufgenommen hat; sie sieht jeden Ausschnitt vor der Freigabe und kann ihn korrigieren, aber nicht leeren	wenn die Person bestätigt, dass sie Texte und Screenshots geprüft hat	an kliyo (Supabase, Zürich); Teil des Wissens des Unternehmens
Nachrichten an die Figur «Kliyo»	wenn die Person mit ihr schreibt	über den Server von kliyo an Microsoft, verarbeitet in der EU, mit dem bisherigen Gespräch und dem Titel der offenen Aufgabe
Gespräch mit der Figur «Kliyo»	nach «Zustimmen & starten»	Ton direkt zwischen App und Microsoft, verarbeitet weltweit, auch in den USA

Für alle Daten an Microsoft Azure gilt Ziffer 9. Die Figur «Kliyo» ist während einer Aufnahme pausiert und erscheint nicht auf Screenshots.

9. Empfänger und Bekanntgabe ins Ausland

kliyo gibt Personendaten an diese Dienstleister weiter. Sie bearbeiten die Daten in unserem Auftrag. Zudem geben wir Daten an Behörden und Gerichte weiter, wenn ein Gesetz uns dazu verpflichtet.

Empfänger	Zweck	Staat	Garantie
Nine Internet Solutions AG	Betrieb von Website und Anwendung	Schweiz (Zürich); Notfall-Support durch die Tochterfirma in Kanada möglich	Kanada: angemessener Datenschutz (Art. 16 Abs. 1 DSG, Anhang 1 DSV)
Supabase Pte. Ltd.	Datenbank, Anmeldung, Dateien, Einladungs-, Bestätigungs- und Passwort-E-Mails	Speicherung in der Schweiz (Zürich); Zugriff des Supports aus Singapur und den USA möglich	für Zugriffe aus dem Ausland Standarddatenschutzklauseln mit Schweizer Anpassungen (Art. 16 Abs. 2 Bst. d DSG)
Microsoft (Microsoft Azure)	KI: Landing-Chat; für die Unternehmen Interview mit Einführung, Tätigkeitsprofil, Übergabeplan, Lückenprüfung, Transkription, Schwärzungsvorschläge, Figur «Kliyo», KI-Assistent und Suche im Wissen des Unternehmens	Text, Bilder und Suche: Verarbeitung in der EU, Speicherung in Schweden; Transkription gesprochener Antworten: Schweden; gesprochenes Interview mit Einführung, Gespräch mit der Figur «Kliyo» und Stimme beim Vormachen: weltweit, auch in den USA; Missbrauchsprüfung: Einsicht aus dem EWR; Konzern: Microsoft Corporation, USA	EU und EWR: angemessener Datenschutz (Art. 16 Abs. 1 DSG, Anhang 1 DSV); USA: Zertifizierung von Microsoft Corporation nach dem Swiss-U.S. Data Privacy Framework (Art. 16 Abs. 1 DSG, Anhang 1 DSV); andere Staaten: Standardvertragsklauseln mit Schweizer Ergänzung im Vertrag von Microsoft (Art. 16 Abs. 2 Bst. d DSG)
Microsoft	E-Mail-Postfach und Versand von E-Mails (Microsoft 365)	Speicherung in [Datenstandort laut Microsoft-365-Admin-Center]; Microsoft Corporation in den USA	USA: Zertifizierung nach dem Swiss-U.S. Data Privacy Framework (Art. 16 Abs. 1 DSG, Anhang 1 DSV); zudem Standardvertragsklauseln im Vertrag von Microsoft
Vercel Inc.	Kontaktformular «Auf die Warteliste»	Verarbeitung in Deutschland (Frankfurt); Vertragspartner in den USA	Deutschland: angemessener Datenschutz (Art. 16 Abs. 1 DSG, Anhang 1 DSV); USA: Zertifizierung von Vercel Inc. nach dem Swiss-U.S. Data Privacy Framework (Art. 16 Abs. 1 DSG, Anhang 1 DSV)
GoDaddy	Bezug und Support von Microsoft 365	Vertragspartner GoDaddy Europe Limited; Konzern in den USA	USA: Zertifizierung von GoDaddy Operating Company, LLC nach dem Swiss-U.S. Data Privacy Framework (Art. 16 Abs. 1 DSG, Anhang 1 DSV)

Den Anbieter des Online-Kalenders für Beratungsgespräche nennt Ziffer 7. Für Rechnungen und Buchhaltung setzt die CONCAPE GmbH [Buchhaltungsprogramm oder Treuhand, Staat, Garantie] ein.

Microsoft Azure: kliyo nutzt für die KI eine eigene Ressource bei Microsoft Azure in der Region Sweden Central. Texte, Bilder (Screenshots) und die Suche verarbeitet Microsoft in der EU (EU-Datenzone), die Transkription gesprochener Antworten in Schweden. Daten im Ruhezustand liegen in Schweden. Ausnahme: Das gesprochene Interview mit der Einführung davor, das Gespräch mit der Figur «Kliyo» und die Stimme beim Vormachen verarbeitet Microsoft weltweit, auch in den USA, bis Microsoft dafür eine EU-Variante anbietet. kliyo ruft Microsoft so auf, dass Microsoft keine Antworten speichert (store:false). Microsoft trainiert nicht mit diesen Daten und gibt sie nicht an OpenAI oder andere Kunden weiter. Microsoft prüft Ein- und Ausgaben, Text und Bilder, automatisch auf Missbrauch. Als auffällig markierte Inhalte kann Microsoft in einem getrennten Prüfspeicher in Schweden für eine begrenzte Zeit nach den Bedingungen von Microsoft aufbewahren; berechtigte Mitarbeitende von Microsoft im EWR können sie einsehen. Ein Zugriff von US-Behörden auf Daten bei Microsoft nach US-Recht (CLOUD Act) bleibt möglich; nach dem Vertrag versucht Microsoft, solche Anfragen an kliyo zu verweisen, und benachrichtigt kliyo, soweit das Gesetz es erlaubt.

10. Aufbewahrung

Wir bewahren Personendaten nur so lange auf, wie wir sie für den Zweck brauchen oder ein Gesetz es verlangt.

Kontaktformular: auf der Website und in unserer Datenbank nicht gespeichert; die E-Mail und die Bestätigung an Sie in unserem Postfach, bis Sie die Löschung verlangen, spätestens zwölf Monate nach dem Eingang; wird Ihr Unternehmen Kunde, gelten die Fristen für Konto, Vertrag und Rechnung.
Konto und Firmendaten: bis 30 Tage nach Ende des Vertrags. Auf Verlangen löschen wir ein Konto früher.
Rechnungen und Buchungsbelege: zehn Jahre ab Ende des Geschäftsjahres (Art. 958f OR).
Landing-Chat: bei kliyo nicht gespeichert; bei Microsoft nur Inhalte, die die Missbrauchsprüfung als auffällig markiert, für eine begrenzte Zeit nach den Bedingungen von Microsoft (Ziffer 9).
Zähler zum Schutz vor Missbrauch: 15 Minuten oder 24 Stunden.
E-Mails aus der Unternehmensansicht und technische Protokolle: ein Jahr.
Anfragen und Beratungsgespräche: solange es für die Beantwortung und allfällige Rückfragen nötig ist.

11. Ihre Rechte

Sie können:

Auskunft verlangen, ob und welche Daten wir über Sie bearbeiten (Art. 25 DSG);
Ihre Daten, die Sie uns gegeben haben, in einem gängigen elektronischen Format erhalten oder übertragen lassen (Art. 28 DSG);
unrichtige Daten berichtigen lassen (Art. 32 Abs. 1 DSG);
verlangen, dass wir Daten löschen oder eine Bearbeitung unterlassen (Art. 32 Abs. 2 DSG);
eine Einwilligung jederzeit für die Zukunft widerrufen.

Schreiben Sie dafür an hello@kliyo.ch. Wir prüfen Ihre Identität und antworten in der Regel innert 30 Tagen. Die Auskunft ist grundsätzlich kostenlos. Betrifft Ihre Anfrage den Inhalt einer Übergabe, wenden Sie sich bitte an das Unternehmen, das kliyo einsetzt; wir leiten Anfragen dorthin weiter.

Sie können sich auch an die Aufsichtsbehörde wenden: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch (öffnet in neuem Tab).

12. Datensicherheit

Wir schützen Personendaten mit technischen und organisatorischen Massnahmen, etwa mit verschlüsselter Übertragung, Speicherung in der Schweiz, Trennung der Firmen in der Datenbank und Zugriff nur für berechtigte Personen. Die Massnahmen stehen in Anhang 1 des Auftragsbearbeitungsvertrags. Kunden finden ihn nach der Anmeldung unter «Unterlagen für Unternehmen»; Sie können die Massnahmen auch per E-Mail an hello@kliyo.ch anfordern.

13. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Bearbeitung ändert. Es gilt die Fassung, die auf dieser Website veröffentlicht ist.

Geht kliyo auf eine andere Gesellschaft über, etwa auf eine eigene Gesellschaft für kliyo, übernimmt diese die Daten zu kliyo und wird Verantwortliche. Wir kündigen das vorher in dieser Erklärung an.