Zuletzt aktualisiert: 23. Oktober 2026
IDup nimmt den Schutz Ihrer Daten ernst. Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir verarbeiten, zu welchem Zweck, auf welcher Grundlage und wie lange – auf der Website idup.com, auf der Plattform login.idup.com, im AI Studio login.idup.com/chat, im Posteingang und in der IDup-App für iOS und Android.
Inhalt
2.1 Diese Richtlinie gilt für alle IDup-Services. Das Bundesgesetz über den Datenschutz (revDSG) ist massgebend. Für Personen in der EU und im EWR gilt zusätzlich die DSGVO, für Personen im Vereinigten Königreich die UK GDPR; siehe unsere DSGVO-Seite.
2.2 Für die Website, Registrierung, Abrechnung, Unterstützung und den Betrieb der Plattform ist IDup der Verantwortliche.
2.3 Für die Inhalte, die Kunden in ihrer eigenen Umgebung verarbeiten – Kundenakten, Buchhaltung, Mitarbeitende, Mieter, Nachrichten, Dokumente – ist der jeweilige Kunde der Verantwortliche. In diesem Zusammenhang ist IDup ein Auftragsverarbeiter und handelt nur auf Anweisung. Die Vereinbarung zur Auftragsverarbeitung (DPA) gilt. Bitte richten Sie Fragen zu solchen Daten an das Unternehmen, das die Umgebung betreibt.
Wir verarbeiten sensible Personendaten (zum Beispiel Gesundheitsinformationen in Abwesenheitsaufzeichnungen, Sozialversicherungsnummern, Ausweisdokumente) nur, wenn Sie oder Ihre Firma diese im Service aufzeichnen – in diesem Fall als Auftragsverarbeiter – oder wenn Sie sie uns selbst offenlegen.
| Zweck | Grundlage nach revDSG | Grundlage nach DSGVO / UK DSGVO |
|---|---|---|
| Bereitstellung und Betrieb des Service, Konto, Support | Vertragserfüllung | art. 6(1)(b) |
| Abrechnung, Mahnwesen, Buchhaltung, Zahlungen | Vertragserfüllung und gesetzliche Verpflichtung | art. 6(1)(b) und (c) |
| Sicherheit, Missbrauchs- und Betrugsprävention, Protokollierung, Ratenbegrenzungen | überwiegendes Interesse | art. 6(1)(f) |
| Weiterentwicklung, Debugging, Absturzberichte | überwiegendes Interesse | art. 6(1)(f) |
| Newsletter und Marketing-E-Mails | Einwilligung | art. 6(1)(a) |
| Reichweitenmessung mit Google Analytics | Einwilligung | art. 6(1)(a) |
| KI-Funktionen | Vertragserfüllung | art. 6(1)(b) |
| Einhaltung von Aufbewahrungs- und Offenlegungspflichten | gesetzliche Verpflichtung | art. 6(1)(c) |
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über den Abmeldelink in jeder Marketing-E-Mail, über den Cookie-Einstellungen-Button auf idup.com oder indem Sie an info@idup.com schreiben.
5.1 Serverprotokolle. Wenn Sie auf die Seite zugreifen, protokollieren wir die IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, den Statuscode, das übertragene Volumen, die verweisende Seite sowie Browser- und Systemdetails. Protokolle dienen der sicheren Betriebsführung und Fehlerbehebung, werden täglich rotiert und nach 90 Tagen gelöscht.
5.2 Statistiken und Einwilligung. Wir verwenden Google Analytics 4 erst, nachdem Sie im Cookie-Banner auf «Akzeptieren» geklickt haben. Bis dahin ist die Einwilligung auf «verweigert» gesetzt: Es werden keine Analyse-Cookies gespeichert, und Werbe- sowie Personalisierungssignale bleiben in jedem Fall verweigert. Wenn Sie auf «Ablehnen» klicken, bleibt die Einstellung verweigert. Sie können Ihre Wahl jederzeit mit dem runden Cookie-Einstellungen-Button auf der Seite ändern. Details finden Sie in der Cookie-Richtlinie.
5.3 Kontakt- und Newsletter-Formular. Ihre Eingaben werden in unserem System übertragen und gespeichert. Wenn Sie auch das Newsletter-Feld ankreuzen, übermitteln wir Ihren Namen und Ihre E-Mail-Adresse an systeme.io und kennzeichnen den Eintrag als Newsletter-Abonnement. Ohne dieses Häkchen erfolgt keine Übertragung. Die Kontaktseite bettet auch ein Formular ein, das von systeme.io gehostet wird; wenn Sie diese Seite öffnen, verbindet sich Ihr Browser mit systeme.io, das ein eigenes Cookie setzt. Zur Spam-Vermeidung verwenden wir unsere eigene Methode ohne externen Dienst.
5.4 Eingebettete Inhalte. Die Startseite und das Hilfezentrum laden App-Store-Abzeichen von Apple und Google sowie Video-Vorschaubilder von YouTube (i.ytimg.com). Wenn diese geladen werden, wird Ihre IP-Adresse an den Anbieter übermittelt. Die Website lädt keine Google Fonts, Karten oder Werbepixel.
5.5 Sprache. Die Website speichert Ihre gewählte Sprache in einem Cookie.
6.1 Nach dem Anmelden setzen wir unbedingt erforderliche Cookies für die Sitzung und den CSRF-Schutz. Sie sind für den Betrieb erforderlich und können nicht abgewählt werden. login.idup.com verwendet keine Analyse-, Werbe- oder Tracking-Cookies.
6.2 Anmeldesicherheit. Die Anmeldung erfolgt über einen Einmalcode, der an Ihre E-Mail-Adresse gesendet wird. Optional können Sie einen Passkey verwenden oder die App mit Face ID oder Fingerabdruck entsperren. Wir führen eine Liste Ihrer angemeldeten Geräte (Gerätename, Plattform, App-Version, IP-Adresse, letzte Nutzung), damit Sie sich von anderen Geräten abmelden können, und wir senden eine E-Mail, wenn eine Anmeldung von einem unbekannten Gerät erfolgt.
6.3 Wir protokollieren sicherheitsrelevante Ereignisse – Anmeldungen, Geräte und Browser, aktive Sitzungen, Änderungen an Berechtigungen und Stammdaten. Diese Protokolle dienen der Nachvollziehbarkeit und Missbrauchsprävention. Wir zählen auch Anfragen pro IP-Adresse, Gerät und E-Mail-Adresse für kurze Zeit, um automatisierten Missbrauch zu stoppen (zum Beispiel Begrenzungen bei Buchungsversuchen).
6.4 Kunden arbeiten in ihrer eigenen separaten Datenumgebung (Mandant). IDup greift nur zur Fehlerbehebung, aus Sicherheitsgründen, auf Ihre Anweisung oder aufgrund einer gesetzlichen Verpflichtung darauf zu – und immer nur durch autorisiertes Personal. Rechte innerhalb eines Unternehmens steuern, wer welche Daten sieht.
6.5 Chat und Dateien. Chatnachrichten und Anhänge in der Unternehmensumgebung werden in dieser Umgebung gespeichert. Hochgeladene Dateien werden auf zulässige Dateitypen überprüft. Die Echtzeitübermittlung von Chatevents erfolgt über den Dienst Pusher Channels (siehe Abschnitt 13). Dateien sind nur nach Anmeldung zugänglich.
6.6 Wenn Sie Ihre eigenen Drittanbieter-Konten verbinden – zum Beispiel WhatsApp Business, Facebook, Instagram, Google- oder Microsoft-Kalender, Google Drive, YouTube, Zoom, ein Bank- oder Shopsystem – werden die dafür erforderlichen Daten mit diesem Anbieter ausgetauscht. Sie stellen diese Verbindungen selbst her und können sie jederzeit trennen. Zugriffstoken werden verschlüsselt gespeichert.
6.7 Support. Wenn Sie ein Ticket aus dem Service an IDup senden, enthält das Ticket automatisch Unternehmen, Abonnement, Benutzer, Seite und Browser- oder App-Version, damit wir schneller helfen können. Nach dem Schliessen eines Tickets erhalten Sie möglicherweise eine kurze Zufriedenheitsumfrage per E-Mail.
6.8 Kürzlich verwendete Elemente. Der Service merkt sich Ihre zuletzt verwendeten Elemente, um sie im Web und in der App anzuzeigen.
7.1 Die App greift auf dieselben Daten wie die Plattform zu. Zusätzlich verarbeiten wir:
7.2 Ohne die entsprechende Berechtigung wird die jeweilige Funktion nicht ausgeführt. Die App verfolgt Ihren Standort nicht im Hintergrund und liest nicht Ihre Gerätekontakte oder Ihren Kalender.
7.3 Auf Ihrem Gerät. Ihre Zugriffstokens werden im sicheren Speicher des Systems (Keychain / Keystore) aufbewahrt. Kein Passwort wird gespeichert. Eine Anmeldung bleibt bis zu 90 Tage ab Ihrer letzten Nutzung gültig und wird jedes Mal erneuert, wenn Sie die App verwenden; sie wird widerrufen, wenn Sie sich abmelden oder das Gerät entfernen. Offline-Daten (zum Beispiel Kalendereinträge, Berichte, Zeitaufzeichnungen und Notizen) werden verschlüsselt auf dem Gerät gespeichert und gesendet, wenn die Verbindung wiederhergestellt ist. In der App geöffnete Dokumente können vorübergehend auf dem Gerät zwischengespeichert werden.
7.4 Wenn Sie einen Vertrag oder ein Angebot in der App unterschreiben oder annehmen, wird die IP-Adresse Ihrer Verbindung zusammen mit der Unterschrift als Teil der Prüfspur aufgezeichnet.
8.1 Für KI-Funktionen (IDup AI, AI Studio, Chatbots, Belegerkennung und Scanvorschläge, Textvorschläge, Importe) übermitteln wir die jeweilige Eingabe und den Kontext, der zur Beantwortung erforderlich ist, an OpenAI. Es werden nur die Daten übermittelt, die für die spezifische Anfrage benötigt werden.
8.2 Vor der Übermittlung werden sensible Felder, soweit möglich, automatisch geschwärzt und die Anzahl der enthaltenen Datensätze begrenzt. Bei Importen von Mieterlisten werden Namen, E-Mail-Adressen und Telefonnummern nicht an die KI gesendet. Geben Sie dennoch keine Daten in Eingabefelder ein, deren Offenlegung Sie nicht verantworten können.
8.3 Gemäss den Bedingungen der verwendeten Programmierschnittstelle wird die Eingabe nicht zur Modellschulung verwendet.
8.4 Chatbots, die ein Kunde auf seiner eigenen Website oder seinen Kanälen veröffentlicht, speichern das Gespräch und die Kontaktdaten, die ein Besucher eingibt (zum Beispiel E-Mail-Adresse oder Telefonnummer), in der Umgebung des Kunden. Der Kunde ist dafür verantwortlich, seine Besucher zu informieren.
8.5 KI-Ausgaben können falsch sein. Es findet keine automatisierte Entscheidung mit rechtlichen Auswirkungen im Sinne von Art. 22 DSGVO oder Art. 21 revDSG statt; jede Ausgabe ist ein Vorschlag, und ein Mensch entscheidet, wie er verwendet wird.
9.1 System-E-Mails (Anmeldecodes, Rechnungen, Terminbestätigungen und -erinnerungen, Benachrichtigungen) werden von noreply@idup.com über den Mail-Service von Hostinger versendet; ein Unternehmen kann stattdessen seinen eigenen Mail-Server oder ein Google- oder Microsoft-Konto verbinden. Jede E-Mail wird zur Nachverfolgbarkeit protokolliert (Empfänger, Betreff, Zeit, Status).
9.2 Push und Benachrichtigungen. Jede Person entscheidet in den Benachrichtigungseinstellungen, welche Nachrichten per Push, E-Mail oder in der In-App-Glocke ankommen.
9.3 WhatsApp, SMS und andere Kanäle. Wenn ein Unternehmen diese Kanäle verbindet, werden Nachrichten nur an Nummern mit einer aufgezeichneten Einwilligung gesendet, und ein Widerruf (zum Beispiel STOP) wird respektiert. Das Unternehmen ist der Verantwortliche für diese Nachrichten.
9.4 Newsletter. Abonnements verwenden ein Double-Opt-In mit einem aufgezeichneten Einwilligungsnachweis (Zeit, Wortlaut, Sprache, Quelle). Newsletter enthalten einen Abmeldelink. Newsletter, die von Unternehmen gesendet werden, können Öffnungen und Klicks mit einem Pixel und verfolgten Links messen; das ist die Entscheidung und Verantwortung des Unternehmens.
10.1 Karten- und Online-Zahlungen werden von Stripe und PayPal verarbeitet. Kartendaten werden direkt vom Anbieter erfasst und gelangen nie auf die Server von IDup. Wir erhalten Status, Betrag, eine Zahlungsreferenz und Rechnungsdaten.
10.2 Wenn Sie Ihr eigenes Stripe- oder PayPal-Konto verbinden, speichern wir ein verschlüsseltes Zugriffstoken und erhalten die Transaktionsdaten, die zur Zuordnung von Zahlungen in Ihrer Buchhaltung benötigt werden. Die Trennung entfernt das Token.
10.3 Wenn Sie Kontoauszüge hochladen oder ein Bankkonto über SIX bLink verbinden, verarbeiten wir Kontostände und Transaktionen zur Abstimmung. Die Verbindung verwendet ein Token, das bei der Trennung gelöscht wird.
10.4 Rechnungen, Zahlungsaufforderungen und QR-Rechnungen enthalten Name, Adresse und IBAN des ausstellenden Unternehmens und des Empfängers.
11.1 Online-Buchung und Termine. Gäste setzen vor der Buchung ein Häkchen in einem Datenschutzfeld; wir speichern die Zeit und die Version des Textes. Gästedaten ohne Lead- oder Kundenaufzeichnung werden nach 24 Monaten gelöscht. Jeder Termin behält eine manipulationssichere Historie. Gesprächsnotizen sind nur für autorisierte Benutzer sichtbar, und Lesevorgänge werden protokolliert.
11.2 Suchprofilformulare. Öffentliche Formulare für Suchprofile von Immobilien verwenden ein Double-Opt-In und einen einmaligen Link, um das Profil zu ändern oder zu löschen. Statistiken solcher Formulare zählen Besucher, leiten das Land aus einer lokalen Datenbank ab und speichern niemals die IP-Adresse. Ein Profil, das 24 Monate inaktiv bleibt, erhält eine Erinnerung und wird 30 Tage später anonymisiert; das Löschen des Leads oder Kunden anonymisiert das Profil ebenfalls.
11.3 Mieter und Verträge. Für ehemalige Mieter ist der Vertragsdatensatz schreibgeschützt und für 20 Jahre ab Ende des Mietverhältnisses gesperrt, da Rechnungen, Zahlungen und Dokumente davon abhängen. 30 Tage vor Ablauf dieser Frist werden Administratoren benachrichtigt; danach werden Name, Kontaktdaten, Notizen, Vertragstext und Dateinamen anonymisiert. Mitbewohner und Familienmitglieder können mit auf Mitteilungen beschränktem Zugriff hinzugefügt werden; der Zugriff endet automatisch nach dem Auszug.
11.4 Mitarbeiter und Personalwesen. Personalakten können Sozialversicherungsnummer, Bankdaten, Ausweisdokumente, Zertifikate und Abwesenheitsinformationen enthalten, einschliesslich Krankheitsurlaub mit privatem ärztlichem Attest. Der Zugriff hängt von spezifischen Rechten ab; Mitarbeiter sehen ihre eigenen Daten. Das Kundenunternehmen ist der Verantwortliche für diese Daten.
11.5 Scannen und Dokumente. Gescannte Belege und Verträge werden als Original, unverändert, für zehn Jahre gespeichert; sie können nicht gelöscht werden. Die automatische Erkennung ordnet ein Dokument einer Person, einem Mietverhältnis oder einer Immobilie durch Namensabgleich zu.
11.6 Löschen und Papierkorb. Elemente, die Sie in vielen Listen löschen, werden für 30 Tage in einen Papierkorb verschoben, bevor sie endgültig gelöscht werden. Gebuchte Buchungen werden niemals gelöscht, sondern nur storniert.
11.7 Karten und Adressen. Adress- und Ortsvorschläge sowie Karten verwenden öffentliche Kartendienste wie OpenStreetMap und swisstopo; das eidgenössische Gebäude- und Wohnungsregister kann für Gebäudeidentifikatoren abgefragt werden. Der Abfragetext oder der Kartenbereich wird übertragen.
11.8 Zeit und Ort. Die Zeiterfassung kann eine ungefähre Position (zwei Dezimalstellen) nur dann aufzeichnen, wenn Sie auf dem Bildschirm zustimmen.
12.1 Unternehmen können Mitarbeitende, Kontakte und Kunden per E-Mail zum Service einladen. Die Einladung wird im Namen des einladenden Unternehmens versendet, das für deren Rechtmässigkeit und für die Herkunft der Kontaktdaten verantwortlich ist.
12.2 IDup versendet die Einladung technisch und speichert die E-Mail-Adresse, den Namen, den einmaligen Einladungscode, die Zeit und den Status. Ohne Aktivierung wird kein Konto erstellt; nicht eingelöste Einladungen verfallen.
12.3 Wenn Sie die Einladung aktivieren, wird Ihr persönliches kostenloses Konto erstellt. Ihre persönlichen Daten werden getrennt von den Daten des einladenden Unternehmens aufbewahrt. Daten, die Sie im Auftrag des Unternehmens erfassen – wie Arbeitszeiten und Geschäftstermine – befinden sich in der Umgebung des Unternehmens und unterliegen dessen Verantwortung.
12.4 Sie können die Verbindung zum Unternehmen jederzeit beenden und Ihr Konto löschen.
Wir verkaufen keine Personendaten und geben sie nicht für Werbung weiter. Wir legen Daten nur offen, wenn dies für den Betrieb notwendig ist, Sie eingewilligt haben oder wir gesetzlich dazu verpflichtet sind. Derzeit nutzen wir:
| Anbieter | Standort | Zweck | Daten | Rechtsgrundlage / Schutzmassnahmen |
|---|---|---|---|---|
| Hetzner Online GmbH | Deutschland (Rechenzentrum Nürnberg) | Hosting und Betrieb der Server (idup.com, login.idup.com und die darauf befindlichen Apps) | alle im Service gespeicherten Daten | EU/EWR – keine Drittlandübermittlung; Auftragsverarbeitungsvertrag |
| Hostinger International Ltd | EU | Senden und Empfangen von E-Mails (SMTP, Mailbox info@idup.com) | Absender, Empfänger, Betreff, Inhalt, Zeit | EU/EWR; Auftragsverarbeitungsvertrag |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Irland, USA | KI-Funktionen: IDup AI, AI Studio, Chatbots, Belegerkennung, Textvorschläge | die jeweilige Eingabe (Prompt), der Kontext zur Beantwortung und die generierte Ausgabe | Standardvertragsklauseln; Verarbeitung ohne Modelltraining gemäss API-Bedingungen |
| Google Ireland Ltd / Google LLC | Irland, USA | Google Analytics 4 (Statistiken auf idup.com, nur nach Einwilligung), Firebase Cloud Messaging (Push zur App), Firebase Crashlytics (App-Absturzberichte); Google Kalender, Drive, Meet und YouTube nur bei Verbindung | IP-Adresse, Geräte- und Browserdaten, Seitenaufrufe, Push-Tokens, Absturzdaten, freigegebene Kalender- und Dateidaten | Einwilligung (Analytics, Verbindungen); Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
| Stripe Payments Europe Ltd / Stripe, Inc. | Irland, USA | Karten- und Online-Zahlungen, Abonnements, Steuerberechnung, Währungsumrechnung | Name, E-Mail, Rechnungsadresse, Betrag, Zahlungsmethode (Kartendaten werden direkt von Stripe erfasst) | Vertragserfüllung; Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Luxemburg | PayPal-Zahlungen | Name, E-Mail, Betrag, Transaktionsdaten | Vertragserfüllung; EU/EWR |
| SIX Banking Services (bLink) und die angeschlossenen Banken | Schweiz | Optionale Bankverbindung zur Abfrage von Salden und Transaktionen | Kontostand, Transaktionen, Zugriffstoken | Ihre Anweisung; angemessenes Land |
| Pusher Ltd (Pusher Channels) | Cluster mt1 (USA) | Echtzeitübermittlung von Chat-Ereignissen im Web und in der App | Chat-Ereignisse, die Nachrichtentext und Kanalnamen enthalten können | Standardvertragsklauseln |
| Microsoft, Zoom, Calendly | EU, USA | Outlook-Kalender, Videomeetings und Terminplanung – nur bei Verbindung | Termindaten, Konto-E-Mail, Zugriffstoken | Ihre Anweisung; Standardvertragsklauseln |
| Meta Platforms Ireland Ltd | Irland, USA | WhatsApp Business Cloud API sowie Facebook- und Instagram-Verbindungen – nur bei eigener Verbindung | Nachrichteninhalt, Telefonnummern, Konto-IDs der verbundenen Kanäle | Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
| Twilio Inc. | USA | SMS- und WhatsApp-Erinnerungen – nur bei Aktivierung durch ein Unternehmen | Telefonnummer, Nachricht | Einwilligung; Standardvertragsklauseln |
| systeme.io SAS | Frankreich (Lieferung über Amazon CloudFront, Fehlerprotokolle an Sentry) | Kontaktformular und Newsletter auf idup.com – Newsletter nur mit Ihrer ausdrücklichen Einwilligung | Name, E-Mail-Adresse, Nachricht, Zeitpunkt der Einwilligung | EU/EWR; Auftragsverarbeitungsvertrag |
| Cloudflare, Inc. / unpkg | USA | Autoritative DNS-Auflösung für idup.com; Bereitstellung von JavaScript-Bibliotheken über unpkg.com auf login.idup.com | IP-Adresse, angeforderter Name oder Datei | Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
| OpenStreetMap, swisstopo, Eidgenössisches Gebäude- und Wohnungsregister | UK, Schweiz | Karten, Adressvorschläge, Gebäude-IDs | Abfragetext oder Kartenbereich, IP-Adresse | überwiegendes Interesse |
| YouTube (Google) | Irland, USA | Videovorschaubilder im Hilfezentrum und auf der Startseite | IP-Adresse | überwiegendes Interesse |
| Apple Inc. / Google LLC | USA | Vertrieb der IDup-App über den App Store und Google Play sowie Zustellung von Push-Benachrichtigungen (APNs, FCM) | Gerätekennung, Push-Token, Installations- und Absturzdaten der jeweiligen Plattform | Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
Zusätzlich können Daten an Behörden, Gerichte, Anwälte, Wirtschaftsprüfer und Inkassodienstleister übermittelt werden, wenn dies gesetzlich zulässig und notwendig ist. Bei einer Umstrukturierung oder Übernahme können Daten an den Rechtsnachfolger übergehen.
Ein Zahlungsmodul von Datatrans AG (Schweiz) ist technisch vorbereitet; sofern ein Unternehmen es nicht konfiguriert, werden keine Daten an Datatrans übermittelt.
14.1 Die IDup-Server befinden sich in Deutschland (Rechenzentrum Nürnberg). Ihre Inhaltsdaten werden dort gespeichert.
14.2 Einzelne in Abschnitt 13 aufgeführte Anbieter verarbeiten Daten in den USA oder können von dort darauf zugreifen. Wir stützen diese Übermittlungen auf die Standardvertragsklauseln der Europäischen Kommission, auf das EU-U.S. Data Privacy Framework und auf ergänzende Schutzmassnahmen (Verschlüsselung, Datenminimierung, Zweckbindung).
14.3 Der Schweizerische Bundesrat erkennt nicht jedes Bestimmungsland als ausreichend geschützt an. In diesen Fällen kann trotz der Schutzmassnahmen ein Restrisiko bestehen bleiben, insbesondere der Zugriff durch ausländische Behörden.
Backup-Kopien werden im Rahmen der regulären Backup-Zyklen überschrieben. Daten, die einer Aufbewahrungspflicht unterliegen, werden gesperrt statt gelöscht.
Wir ergreifen geeignete technische und organisatorische Massnahmen: ausschliesslich verschlüsselte Übertragung (TLS), Passwörter als Hashes gespeichert, Anmeldung mit einem einmaligen E-Mail-Code, optionale Passkeys und biometrische Entsperrung, rollenbasierte Berechtigungen, separate Datenumgebungen pro Kunde, geschützte Upload-Ordner, manipulationssichere Protokolle für Buchhaltung und Termine, regelmässige Backups, Protokollierung sicherheitsrelevanter Ereignisse, kontinuierliches Patchen der verwendeten Software und Zugriff nur für Mitarbeitende, die ihn für ihre Arbeit benötigen. Niemand kann absolute Sicherheit garantieren. Wenn eine Verletzung des Schutzes personenbezogener Daten auftritt, informieren wir die betroffenen Personen und Behörden, wie es das Gesetz verlangt.
Innerhalb der Grenzen des anwendbaren Rechts haben Sie das Recht auf Zugang, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenfreigabe und -übertragbarkeit sowie das Recht, der Verarbeitung zu widersprechen und die Einwilligung zu widerrufen.
Bitte schreiben Sie an info@idup.com. Aus Sicherheitsgründen können wir einen Identitätsnachweis verlangen. Wir antworten innerhalb von 30 Tagen; bei komplexen Anfragen informieren wir Sie über eine Verlängerung.
Wenn Ihre Daten das Umfeld eines IDup-Kunden betreffen, leiten wir Ihre Anfrage an das verantwortliche Unternehmen weiter oder verweisen Sie an dieses.
Sie können eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einreichen. Personen in der EU oder im EWR können sich an ihre zuständige Aufsichtsbehörde wenden, Personen im Vereinigten Königreich an das Information Commissioner's Office.
Kalifornien und andere US-Bundesstaaten. Wir verkaufen keine personenbezogenen Daten und teilen sie nicht für kontextübergreifende Verhaltenswerbung. Einwohner von Kalifornien und anderen US-Bundesstaaten mit vergleichbaren Gesetzen können Zugang, Berichtigung und Löschung unter der oben genannten Adresse beantragen; wir werden Sie nicht anders behandeln, weil Sie dies tun.
Die von uns verwendeten Cookies und vergleichbaren Speicher, mit Name, Anbieter, Zweck und Dauer, sind in der Cookie-Richtlinie beschrieben.
Der Service richtet sich nicht an Kinder. Personen unter 16 Jahren dürfen ihn nicht eigenständig nutzen. Wenn wir erfahren, dass wir Daten eines Kindes ohne elterliche Zustimmung besitzen, löschen wir diese.
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die gesetzlichen Anforderungen ändern. Die auf dieser Seite veröffentlichte Version gilt. Bei wesentlichen Änderungen informieren wir zusätzlich registrierte Benutzer per E-Mail oder im Konto.
Diese Datenschutzerklärung existiert in Deutsch und Englisch; Übersetzungen in andere Sprachen werden maschinell erstellt. Die deutsche Version ist massgebend.
Last updated: 23 October 2026
IDup nimmt den Schutz Ihrer Daten ernst. Diese Datenschutzerklärung erklärt, welche Personendaten wir verarbeiten, zu welchem Zweck, auf welcher Grundlage und wie lange – auf der Website idup.com, auf der Plattform login.idup.com, im AI Studio login.idup.com/chat, in the inbox and in the IDup app for iOS and Android.
Contents
2.1 Diese Richtlinie gilt für alle IDup-Dienste. Das Schweizerisches Bundesgesetz über den Datenschutz (revDSG) gilt. Für Personen in der EU und dem EWR gilt die GDPR/DSGVO applies in addition, for persons in the United Kingdom the UK GDPR; see our DSGVO-Seite.
2.2 Für die Website, die Registrierung, die Abrechnung, den Support und den Betrieb der Plattform ist IDup der controller.
2.3 For the content that customers process in their own environment – customer records, bookkeeping, employees, tenants, messages, documents – the respective customer is the controller. In that respect IDup is a Prozessor und handelt nur auf Anweisung. Der Datenverarbeitungsvereinbarung (DPA) gilt. Bitte richten Sie Fragen zu solchen Daten an das Unternehmen, das die Umgebung betreibt.
We process sensitive personal data (for example health information in absence records, social security numbers, ID documents) only if you or your company record it in the Service – in which case as a processor – or if you disclose it to us yourself.
| Zweck | Grundlage unter revDSG | Basis under GDPR / UK GDPR |
|---|---|---|
| Bereitstellung und Betrieb des Dienstes, Konto, Support | Vertragserfüllung | art. 6(1)(b) |
| Billing, dunning, accounting, payments | Vertragserfüllung und gesetzliche Verpflichtung | Art. 6(1)(b) und (c) |
| Security, abuse and fraud prevention, logging, rate limits | überwiegendes Interesse | art. 6(1)(f) |
| Further development, debugging, crash reports | überwiegendes Interesse | art. 6(1)(f) |
| Newsletter und Marketing-E-Mails | Einwilligung | art. 6(1)(a) |
| Publikumsmessung mit Google Analytics | Einwilligung | art. 6(1)(a) |
| AI features | Vertragserfüllung | art. 6(1)(b) |
| Einhaltung von Aufbewahrungs- und Offenlegungspflichten | gesetzliche Verpflichtung | art. 6(1)(c) |
You may withdraw consent at any time with effect for the future, for example via the unsubscribe link in every marketing email, via the cookie settings button on idup.com or by writing to info@idup.com.
5.1 Serverprotokolle. Wenn Sie die Seite aufrufen, protokollieren wir die IP-Adresse, Datum und Uhrzeit, die angeforderte Adresse, den Statuscode, das übertragene Volumen, die verweisende Seite sowie Browser- und Systemdetails. Protokolle dienen der sicheren Betriebsführung und Fehlerbehebung, werden täglich rotiert und nach 90 Tagen gelöscht.
5.2 Statistics and consent. We use Google Analytics 4 only after you have clicked "Accept" in the cookie banner. Until then, consent is set to "denied": no analytics cookies are stored, and advertising and personalisation signals stay denied in every case. If you click "Reject", the setting remains denied. You can change your choice at any time with the round cookie settings button on the page. Details are in the Cookie-Richtlinie.
5.3 Kontakt- und Newsletter-Formular. Deine Einträge werden in unserem System übermittelt und gespeichert. Wenn du auch das Newsletter-Feld ankreuzt, übermitteln wir deinen Namen und deine E-Mail-Adresse an systeme.io and tag the entry as a newsletter subscription. Without that tick, no transfer takes place. The contact page also embeds a form hosted by systeme.io; when you open that page, your browser connects to systeme.io, which sets one cookie of its own. To prevent spam we use our own method without any external service.
5.4 Embedded content. The start page and the help centre load app store badges from Apple and Google and video preview images from YouTube (i.ytimg.com). When these are loaded, your IP address is transmitted to the provider. The website does not load Google Fonts, maps or advertising pixels.
5.5 Language. The website remembers your chosen language in a cookie.
6.1 After sign-in we set strictly necessary cookies for the session and CSRF protection. They are required for operation and cannot be deselected. login.idup.com uses no analytics, advertising or tracking cookies.
6.2 Sign-in security. Sign-in uses a one-time code sent to your email address. Optionally you can use a passkey or unlock the app with Face ID or fingerprint. We keep a list of your signed-in devices (device name, platform, app version, IP address, last use) so that you can sign out other devices, and we send an email if a sign-in happens from an unknown device.
6.3 We log security-relevant events – sign-ins, devices and browsers, active sessions, changes to permissions and master data. These logs serve traceability and abuse prevention. We also count requests per IP address, device and email address for a short time to stop automated abuse (for example limits on booking attempts).
6.4 Customers work in their own separate data environment (tenant). IDup accesses it only to remedy faults, for security, on your instruction or due to a legal obligation – and always only through authorised staff. Rights inside a company control who sees which data.
6.5 Chat and files. Chat messages and attachments in the company environment are stored in that environment. Uploaded files are checked for permitted file types. Real-time delivery of chat events runs through the service Pusher Channels (see section 13). Files are accessible only after sign-in.
6.6 If you connect your own third-party accounts – for example WhatsApp Business, Facebook, Instagram, Google or Microsoft calendars, Google Drive, YouTube, Zoom, a bank or a shop system – the data required for this is exchanged with that provider. You establish these connections yourself and can disconnect them at any time. Access tokens are stored encrypted.
6.7 Support. When you send a ticket to IDup from within the Service, the ticket automatically includes company, subscription, user, page and browser or app version so that we can help faster. After a ticket is closed you may receive a short satisfaction survey by email.
6.8 Recently used items. The Service remembers your most recently used items to show them in the web and in the app.
7.1 Die App greift auf dieselben Daten zu wie die Plattform. Zusätzlich verarbeiten wir:
7.2 Without the relevant permission, the corresponding feature is not executed. The app does not track your location in the background and does not read your device contacts or calendar.
7.3 On your device. Your access tokens are kept in the secure storage of the system (Keychain / Keystore). No password is stored. A sign-in stays valid for up to 90 days from your last use and is renewed each time you use the app; it is revoked if you sign out or remove the device. Offline data (for example calendar entries, reports, time records and notes) is stored encrypted on the device and sent when the connection returns. Documents opened in the app may be cached temporarily on the device.
7.4 When you sign or accept a contract or quote in the app, the IP address of your connection is recorded with the signature as part of the audit trail.
8.1 For AI features (IDup AI, AI Studio, chatbots, receipt recognition and scan suggestions, text suggestions, imports) we transmit the respective input and the context required to answer it to OpenAI. Nur die für die spezifische Anfrage benötigten Daten werden übermittelt.
8.2 Before transmission, sensitive fields are redacted automatically where possible and the number of records included is limited. For imports of tenant lists, names, email addresses and phone numbers are not sent to the AI. Even so, do not enter data in input fields whose disclosure you cannot take responsibility for.
8.3 Nach den Bedingungen der eingesetzten Programmierschnittstelle werden die Eingaben nicht zum Training der Modelle verwendet.
8.4 Chatbots that a customer publishes on its own website or channels store the conversation and the contact details a visitor enters (for example email address or phone number) in the customer's environment. The customer is responsible for informing its visitors.
8.5 AI output can be wrong. No automated decision producing legal effects within the meaning of art. 22 GDPR or art. 21 revFADP takes place; every output is a suggestion, and a human decides how it is used.
9.1 System emails (sign-in codes, invoices, appointment confirmations and reminders, notifications) are sent from noreply@idup.com through the mail service of Hostinger; a company may instead connect its own mail server or a Google or Microsoft account. Each email is logged (recipient, subject, time, status) for traceability.
9.2 Push and notifications. Each person decides in the notification settings which messages arrive by push, email or in the in-app bell.
9.3 WhatsApp, SMS and other channels. If a company connects these channels, messages are sent only to numbers with a recorded consent, and a withdrawal (for example STOP) is respected. The company is the controller for these messages.
9.4 Newsletters. Subscriptions use a double opt-in with a recorded proof of consent (time, wording, language, source). Newsletters contain an unsubscribe link. Newsletters sent by companies can measure opens and clicks with a pixel and tracked links; that is the company's choice and responsibility.
10.1 Card and online payments are processed by Stripe und PayPal. Card data is captured directly by the provider and never reaches IDup's servers. We receive status, amount, a payment reference and billing data.
10.2 If you connect your own Stripe or PayPal account, we store an encrypted access token and receive the transaction data needed to match payments in your accounting. Disconnecting removes the token.
10.3 If you upload bank statements, or connect a bank through SIX bLink, we process account balances and transactions for reconciliation. The connection uses a token that is deleted when you disconnect.
10.4 Invoices, payment requests and QR bills contain name, address and IBAN of the issuing company and the recipient.
11.1 Online booking and appointments. Guests tick a privacy box before booking; we store the time and the version of the text. Guest data without a lead or customer record is deleted after 24 months. Each appointment keeps a tamper-proof history. Conversation notes are visible only to authorised users, and reads are logged.
11.2 Search profile forms. Public forms for property search profiles use a double opt-in and a one-time link to change or delete the profile. Statistics of such forms count visitors, derive the country from a local database and never store the IP address. A profile that stays inactive for 24 months receives a reminder and is anonymised 30 days later; deleting the lead or customer anonymises the profile too.
11.3 Tenants and contracts. For former tenants, the contract record is read-only and blocked for 20 years from the end of the tenancy, because invoices, payments and documents depend on it. 30 days before the end of that period administrators are notified; afterwards name, contact details, notes, contract text and file names are anonymised. Roommates and family members can be added with access limited to notices; access ends automatically after move-out.
11.4 Employees and HR. Personnel files can contain social security number, bank details, ID documents, certificates and absence information, including sick leave with a private medical certificate. Access depends on specific rights; employees see their own data. The customer company is the controller for this data.
11.5 Scanning and documents. Scanned receipts and contracts are stored as the original, unchanged, for ten years; they cannot be deleted. Automatic recognition assigns a document to a person, tenancy or property by name matching.
11.6 Deleting and trash. Items you delete in many lists move to a trash for 30 days before permanent deletion. Posted bookings are never deleted, only reversed.
11.7 Maps and addresses. Address and place suggestions and maps use public map services such as OpenStreetMap and swisstopo; the Swiss federal building register can be queried for building identifiers. The query text or map area is transmitted.
11.8 Time and location. Time clocking can record an approximate position (two decimal places) only if you consent on screen.
12.1 Companies may invite employees, contacts and customers to the Service by email. The invitation is sent on behalf of the inviting company, which is responsible for its lawfulness and for the origin of the contact details.
12.2 IDup sends the invitation technically and stores the email address, name, the one-time invitation code, the time and the status. Without activation no account is created; unredeemed invitations expire.
12.3 If you activate the invitation, your personal free account is created. Your personal data is kept separate from the inviting company's data. Data you record on behalf of the company – such as working hours and business appointments – reside in the company's environment and are its responsibility.
12.4 You may end the connection to the company and delete your account at any time.
We do not sell personal data and do not share it for advertising. We disclose data only where necessary for operation, where you have consented, or where we are legally obliged to. We currently use:
| Anbieter | Standort | Zweck | Daten | Rechtsgrundlage / Schutzmassnahmen |
|---|---|---|---|---|
| Hetzner Online GmbH | Germany (Nuremberg data centre) | Hosting and operation of the servers (idup.com, login.idup.com and the apps on it) | alle im Dienst gespeicherten Daten | EU/EWR – kein Drittlandtransfer; Auftragsverarbeitungsvertrag |
| Hostinger International Ltd | EU | E-Mails senden und empfangen (SMTP, Mailbox info@idup.com) | Absender, Empfänger, Betreff, Inhalt, Zeit | EU/EWR; Auftragsverarbeitungsvertrag |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Irland, USA | KI-Funktionen: IDup AI, AI Studio, Chatbots, Belegerkennung, Textvorschläge | die jeweilige Eingabe (Prompt), der Kontext, der zur Beantwortung benötigt wird, und die generierte Ausgabe | Standardvertragsklauseln; Verarbeitung ohne Modelltraining unter den API-Bedingungen |
| Google Ireland Ltd / Google LLC | Irland, USA | Google Analytics 4 (statistics on idup.com, only after consent), Firebase Cloud Messaging (push to the app), Firebase Crashlytics (app crash reports); Google Calendar, Drive, Meet and YouTube only if you connect them | IP address, device and browser data, page views, push tokens, crash data, calendar and file data you release | consent (analytics, connections); standard contractual clauses; EU-U.S. Data Privacy Framework |
| Stripe Payments Europe Ltd / Stripe, Inc. | Irland, USA | Card and online payments, subscriptions, tax calculation, currency conversion | name, email, billing address, amount, payment method (card data is captured directly by Stripe) | performance of contract; standard contractual clauses; EU-U.S. Data Privacy Framework |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Luxemburg | PayPal payments | Name, E-Mail, Betrag, Transaktionsdaten | performance of contract; EU/EEA |
| SIX Banking Services (bLink) and the connected banks | Schweiz | Optional bank connection to retrieve balances and transactions | account balance, transactions, access token | your instruction; adequate country |
| Pusher Ltd (Pusher Channels) | cluster mt1 (USA) | Real-time delivery of chat events in the web and in the app | chat events, which can include message text, and channel names | Standardvertragsklauseln |
| Microsoft, Zoom, Calendly | EU, USA | Outlook calendar, video meetings and calendar scheduling – only if you connect them | appointment data, account email, access token | your instruction; standard contractual clauses |
| Meta Platforms Ireland Ltd | Irland, USA | WhatsApp Business Cloud API sowie Facebook- und Instagram-Verbindungen – nur wenn Sie die Verbindung selbst herstellen | Nachrichteninhalt, Telefonnummern, Konto-Identifikatoren der verbundenen Kanäle | Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
| Twilio Inc. | USA | SMS and WhatsApp reminders – only if a company activates the channel | phone number, message | consent; standard contractual clauses |
| systeme.io SAS | Frankreich (Auslieferung über Amazon CloudFront, Fehlerprotokolle an Sentry) | Contact form and newsletter on idup.com – newsletter only with your explicit consent | Name, E-Mail-Adresse, Nachricht, Zeitpunkt der Einwilligung | EU/EWR; Auftragsverarbeitungsvertrag |
| Cloudflare, Inc. / unpkg | USA | Authoritative DNS resolution for idup.com; delivery of JavaScript libraries via unpkg.com on login.idup.com | IP-Adresse, angefragter Name bzw. angefragte Datei | Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
| OpenStreetMap, swisstopo, Swiss federal building register | UK, Switzerland | Maps, address suggestions, building identifiers | query text or map area, IP address | überwiegendes Interesse |
| YouTube (Google) | Irland, USA | Video preview images on the help centre and start page | IP address | überwiegendes Interesse |
| Apple Inc. / Google LLC | USA | Verteilung der IDup-App über den App Store und Google Play und Zustellung von Push-Benachrichtigungen (APNs, FCM) | Gerätekennung, Push-Token, Installations- und Absturzdaten der jeweiligen Plattform | Standardvertragsklauseln; EU-U.S. Data Privacy Framework |
In addition, data may be transmitted to authorities, courts, lawyers, auditors and debt collection service providers where legally permitted and necessary. In a restructuring or acquisition, data may pass to the legal successor.
A payment module by Datatrans AG (Switzerland) is technically prepared; unless a company configures it, no data is transmitted to Datatrans.
14.1 The IDup servers are located in Deutschland (Rechenzentrum Nürnberg). Ihre Inhaltsdaten werden dort gespeichert.
14.2 Individual providers listed in section 13 process data in the USA or can access it from there. We base these transfers on the European Commission's standard contractual clauses, on the EU-U.S. Data Privacy Framework and on supplementary safeguards (encryption, data minimisation, purpose limitation).
14.3 The Swiss Federal Council does not recognise every destination country as providing adequate protection. In those cases a residual risk may remain despite the safeguards, in particular access by foreign authorities.
Backup copies are overwritten in the course of the regular backup cycles. Data subject to a retention obligation is blocked rather than deleted.
We take appropriate technical and organisational measures: encrypted transmission only (TLS), passwords stored as hashes, sign-in with a one-time email code, optional passkeys and biometric unlock, role-based permissions, separate data environments per customer, protected upload folders, tamper-evident logs for accounting and appointments, regular backups, logging of security-relevant events, continuous patching of the software used, and access only for staff who need it for their work. No one can guarantee absolute security. If a personal data breach occurs, we inform the persons and authorities concerned as the law requires.
Innerhalb der Grenzen des geltenden Rechts haben Sie das Recht auf Zugriff, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenfreigabe und -portabilität, sowie das Recht auf Objekt zur Verarbeitung und zur Einwilligung widerrufen.
Bitte schreiben Sie an info@idup.com. Zur Sicherheit können wir einen Identitätsnachweis verlangen. Wir antworten innerhalb von 30 Tagen; bei komplexen Anfragen informieren wir Sie über eine Verlängerung.
If your data concerns the environment of an IDup customer, we forward your request to the responsible company or refer you to it.
Sie können eine Beschwerde einreichen bei der Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB). Persons in the EU or EEA may contact their competent supervisory authority, persons in the United Kingdom the Information Commissioner's Office.
California and other US states. We do not sell personal information and do not share it for cross-context behavioural advertising. Residents of California and other US states with comparable laws may request access, correction and deletion at the address above; we will not treat you differently for doing so.
Die Cookies und vergleichbaren Speicher, die wir verwenden, mit Name, Anbieter, Zweck und Dauer, sind beschrieben in der Cookie-Richtlinie.
The Service is not directed at children. Persons under 16 may not use it on their own. If we learn that we hold data of a child without parental consent, we delete it.
We adapt this Privacy Policy when our processing or the legal requirements change. The version published on this page applies. For material changes we additionally inform registered users by email or in the account.
This Privacy Policy exists in German and English; translations into other languages are produced by machine. The German version is authoritative.
Copyright © 2026 - IDup. Alle Rechte vorbehalten.
Wir verwenden Cookies
Wir verwenden notwendige Cookies, um diese Website zu betreiben. Mit Ihrer Zustimmung nutzen wir auch Google Analytics, um zu verstehen, wie unsere Website genutzt wird. Sie können Ihre Wahl jederzeit ändern. Cookie-Richtlinie · Datenschutzerklärung