Datenschutzerklärung

1. Wer verantwortlich ist

Qint wird von der SwizzX GmbH, Baarerstrasse 107, 6300 Zug, Schweiz, betrieben. Die SwizzX GmbH ist für die in dieser Erklärung beschriebenen Abläufe verantwortlich, soweit ein Abschnitt nichts anderes sagt. Sie erreichen uns unter info@qint.ch.

Wir wenden das Schweizer Datenschutzgesetz (DSG) an und, soweit sie für Personen im Europäischen Wirtschaftsraum gilt, die EU-Datenschutz-Grundverordnung (DSGVO). Wir haben weder eine Datenschutzberaterin noch eine Vertretung in der EU ernannt; alle Anfragen gehen an die oben genannte Adresse.

2. Was diese Erklärung abdeckt

Qint hat mehrere Oberflächen, und jede berührt andere Daten:

• qint.ch — die öffentliche Website inklusive Kontaktformular.
• dashboard.qint.ch — das Merchant-Dashboard, in dem Unternehmen Zahlungen, Teammitglieder, API-Schlüssel und Auszahlungen verwalten.
• Unternehmensverifizierung — die Know-your-Business-Prüfung (KYB), die unsere Execution Partnerin durchführt, bevor ein Merchant Zahlungen annehmen kann.
• checkout.qint.ch — die gehosteten Checkout- und Rechnungsseiten, über die Kundinnen und Kunden eines Merchants («Käufer») bezahlen.
• api.qint.ch und Webhooks — die Entwicklerschnittstelle.

Die Verwahrung von Kryptowerten, die Umwandlung in Fiatwährungen, die Compliance-Prüfungen und die Bankauszahlungen übernimmt unsere Execution Partnerin, die 24crypto GmbH, Basel, eine der Selbstregulierungsorganisation VQF angeschlossene Schweizer Finanzintermediärin. Soweit 24crypto Personendaten aufgrund eigener gesetzlicher Pflichten bearbeitet (etwa nach dem Schweizer GwG), tut sie das als eigenständige Verantwortliche.

3. Besuch von qint.ch

Die Website setzt keine Cookies, nutzt keine Analytics und lädt keine Werbe- oder Tracking-Skripte. Deshalb gibt es keinen Cookie-Banner.

Was beim Besuch bearbeitet wird:

• Server-Logs. Die Website wird von Vercel ausgeliefert. Wie jeder Webhoster protokolliert Vercel kurzlebige Zugriffsdaten (IP-Adresse, Browsertyp, aufgerufene Seite, Zeitpunkt), um Seiten auszuliefern und Missbrauch abzuwehren. Wir nutzen sie nur, um die Website zu betreiben.
• Schriften. Die Schriften Inter und JetBrains Mono werden von qint.ch selbst ausgeliefert. Beim Besuch der Website werden keine Anfragen an Server Dritter gestellt: weder Schriften noch Skripte oder Bilder stammen von jemand anderem als uns.
• Kontaktformular. Wenn Sie uns über das Formular schreiben, erhalten wir die ausgefüllten Felder (Name, geschäftliche E-Mail, Firma, Nachricht). Die Nachricht wird uns per E-Mail zugestellt und wir verwenden sie, um Ihnen zu antworten.

4. Merchant-Konten und Teammitglieder

Wenn Sie ein Konto eröffnen oder in das Team eines Merchants eingeladen werden, bearbeiten wir:

• Kontodaten. Ihre E-Mail-Adresse, einen Hash Ihres Passworts (Argon2id — das Passwort selbst speichern wir nie), ob Ihre E-Mail verifiziert ist, und Ihre Rolle in jedem Merchant (Owner, Admin, Developer, Finance oder Viewer).
• Zwei-Faktor-Authentifizierung. Wenn Sie sie aktivieren, ein verschlüsseltes TOTP-Geheimnis und gehashte einmalige Wiederherstellungscodes.
• Sitzungen. Bei jeder Anmeldung: ein gehashtes Sitzungstoken, die IP-Adresse, die User-Agent-Kennung des Browsers sowie Zeitpunkt von Erstellung, letzter Nutzung, Ablauf oder Widerruf der Sitzung.
• Annahme der AGB. Wenn Sie die Allgemeinen Geschäftsbedingungen akzeptieren, halten wir dies als Nachweis fest: Dokumentversion und SHA-256-Hash, Zeitpunkt, zu dem Sie ans Ende gescrollt haben, Ihre E-Mail, IP-Adresse, User-Agent, eine zufällige Gerätekennung aus Ihrem Browser sowie Browser-Metadaten (Plattform, Bildschirm- und Fenstergrösse, Zeitzone, Sprache, lokale Uhrzeit, Pixeldichte, Anzahl CPU-Kerne, Touch-Unterstützung). Wir bewahren das auf, um belegen zu können, was von wem und wann akzeptiert wurde, und zwar 10 Jahre ab der Annahme; danach wird der Nachweis gelöscht (siehe Abschnitt 10).
• Audit-Protokoll. Sicherheitsrelevante Aktionen (Anmeldungen und fehlgeschlagene Anmeldungen, Passwortänderungen, 2FA-Änderungen, Teameinladungen, Erstellen und Widerrufen von API-Schlüsseln, Exporte und Ähnliches) werden mit handelnder Person, IP-Adresse und Zeitpunkt in ein Protokoll geschrieben, das nur ergänzt, nie verändert wird. Der Prüfpfad zu Konto- und Zahlungsvorgängen wird 10 Jahre ab dem Ereignis aufbewahrt und danach gelöscht (siehe Abschnitt 10).
• Merchant-Profil. Die Unternehmensangaben, die Sie erfassen: Firmenname und Anzeigename, Land und Registernummer, Unternehmensart, Website, Adresse, Telefon, Support-E-Mail, Logo und Markenfarbe, Verwendungszweck auf Kontoauszügen sowie das Bankkonto für Auszahlungen (Kontoinhaber, IBAN, Währung).
• Teameinladungen. Die E-Mail-Adresse der eingeladenen Person, die angebotene Rolle und wer die Einladung verschickt hat.
• Benachrichtigungen und E-Mails. Hinweise im Dashboard und die E-Mails, die wir zu Ihrem Konto senden: Verifizierung, Passwort-Reset, Teameinladungen, Verifizierungsstatus, Sperrungen, Zahlungsprüfungen und Rückbuchungen.
• Support. Alles, was Sie uns per E-Mail schicken, wenn Sie Hilfe benötigen.

5. Unternehmensverifizierung (KYB)

Bevor ein Merchant Zahlungen annehmen kann, werden das Unternehmen und die dahinter stehenden Personen verifiziert. Qint erfasst die Angaben im Dashboard und übermittelt sie an 24crypto, die die Verifizierung zusammen mit ihrem Anbieter KYC Spider durchführt (Online- und Video-Identifikation, Dokumentenprüfung und Sanktionsabgleich).

• Unternehmensdaten: Firmenname, Land der Registrierung, Registernummer, Unternehmensart, Website, Sitzadresse und ein Compliance-Fragebogen zum Geschäft.
• Personen: für jede Geschäftsführerin, jeden wirtschaftlich Berechtigten oder Gesellschafter mit mehr als 25 %: vollständiger Name, E-Mail, Beteiligungsquote, Geschlecht, Telefon, Geburtsdatum, Nationalität, Wohnadresse und Funktion. Diese Personen erhalten von Qint eine Einladungs-E-Mail, die 24crypto und KYC Spider nennt und zur Identifikation führt.
• Dokumente: die Unternehmens- und Ausweisdokumente, die Sie hochladen. Qint leitet sie an 24crypto weiter und behält keine eigene Kopie; es speichert nur den Status des Falls und dessen Referenz.

Rechtsgrundlage sind der Vertrag mit Ihnen und die gesetzlichen Pflichten der Execution Partnerin zur Geldwäschereibekämpfung (Schweizer Geldwäschereigesetz und VQF-Regeln). Ohne diese Verifizierung können wir die Dienstleistung nicht erbringen.

6. Bezahlen über einen Qint-Checkout

Wenn Sie einen Merchant über einen Qint-Zahlungslink, eine Rechnung oder eine Checkout-Seite bezahlen, brauchen Sie kein Konto, und wir fragen nicht nach Ihrem Namen. Wir bearbeiten:

• Die Zahlung selbst: Betrag und Währung, gewählte Kryptowährung und Netzwerk, die für Ihre Zahlung ausgegebene Einzahlungsadresse, erwarteter und erhaltener Kryptobetrag, Zahlungsstatus und Zeitstempel sowie die Transaktionsreferenz der Execution Partnerin. Qint selbst speichert die Adresse, von der Sie bezahlt haben, nicht; unsere Execution Partnerin, die 24crypto GmbH, erfasst sie im Rahmen ihrer Pflichten zur Geldwäschereibekämpfung und tut das als eigenständige Verantwortliche.
• Quittungs-E-Mail (optional): Wenn Sie eine Quittung wünschen, wird die eingegebene E-Mail-Adresse bei der Zahlung gespeichert und für den Versand der Quittung verwendet.
• Rechnungsangaben: Wenn ein Merchant Ihnen eine Rechnung stellt, wurden die darauf stehenden Angaben (Name, Firma, E-Mail, Adresse, Steuernummer) vom Merchant erfasst. Qint speichert sie für den Merchant und versendet Rechnung und Zahlungsbestätigung in dessen Auftrag. Bei Fragen zu diesen Angaben wenden Sie sich bitte an den Merchant; wir unterstützen ihn bei der Antwort.

Qint speichert IP-Adresse und Browserangaben von Käufern nicht in seiner Datenbank; unsere Hosting-Anbieter führen kurzlebige Zugriffsprotokolle wie oben beschrieben. Die Checkout-Seite setzt keine Cookies und lädt keine Drittskripte; sie lädt die Schriften Inter und JetBrains Mono von Google Fonts (fonts.googleapis.com / fonts.gstatic.com), deren Server dabei Ihre IP-Adresse und Browserangaben sehen.

Blockchain-Daten sind öffentlich. Eine Transaktion auf einer öffentlichen Blockchain ist für jedermann sichtbar und kann nicht gelöscht werden. Die Einzahlungsadressen werden von der Execution Partnerin betrieben, die die für die Gutschrift Ihrer Zahlung nötigen On-Chain-Daten bearbeitet.

7. API-Schlüssel und Webhooks

• API-Schlüssel werden einmal angezeigt und nur als SHA-256-Hash gespeichert, zusammen mit Bezeichnung, Schlüsselpräfix, Berechtigungen (Lesen, Schreiben), erstellender Person und Zeitpunkt der letzten Nutzung.
• Webhook-Endpunkte: die registrierte URL, ein verschlüsseltes Signiergeheimnis und die erstellende Person.
• Zustellprotokoll: pro Webhook-Zustellung Ereignistyp, die exakt gesendete Nutzlast (Zahlungsdaten, keine Käufer-E-Mail), Anzahl Versuche, Zustellzeitpunkt und letzter Fehler. Das Protokoll dient Ihnen und uns zur Fehlersuche bei Integrationen.
• Anfragen an die API werden pro Schlüssel ratenbegrenzt; die Zähler werden im Arbeitsspeicher geführt, nicht gespeichert.

8. Zwecke und Rechtsgrundlagen

Wir bearbeiten Personendaten, um:

• die Dienstleistung zu erbringen und den Vertrag mit dem Merchant zu erfüllen (Konto, Dashboard, Zahlungen, Rechnungen, Auszahlungen, Support) — Art. 6 Abs. 1 lit. b DSGVO;
• gesetzliche Pflichten zu erfüllen, insbesondere die von der Execution Partnerin durchgeführte Geldwäschereiprüfung sowie Buchführungs- und Aufbewahrungspflichten — Art. 6 Abs. 1 lit. c DSGVO;
• den Dienst sicher zu halten: Anmeldeschutz, Sitzungsverwaltung, Ratenbegrenzung, Audit-Protokoll, Missbrauchsabwehr, Nachweis der akzeptierten AGB — unser berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO;
• einer Käuferin oder einem Käufer auf Wunsch eine Quittung zu senden — Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar;
• Ihre Anfragen zu beantworten — Vertrag oder berechtigtes Interesse.

Nach dem Schweizer DSG ist eine Bearbeitung ohne besondere Rechtsgrundlage zulässig, solange die Grundsätze des Gesetzes eingehalten werden; die genannten Grundlagen gelten für Personen, auf die die DSGVO anwendbar ist. Wir nutzen Personendaten nicht für Werbung, Profiling oder automatisierte Entscheidungen mit rechtlicher Wirkung.

9. Empfänger, Auftragsbearbeiter und Übermittlung ins Ausland

Wir geben Personendaten nur an die Stellen weiter, die für den Betrieb des Dienstes nötig sind:

Hosting-Anbieter handeln auf unsere Weisung im Rahmen von Auftragsbearbeitungsverträgen. Unsere Anwendungsserver und die Datenbank stehen in der EU (Frankfurt). Wo ein Anbieter in den USA ansässig ist oder von dort auf Daten zugreifen kann, stützen wir uns auf die Standardvertragsklauseln des Anbieters mit Schweizer Zusatz und, wo der Anbieter zertifiziert ist, auf das Swiss-U.S. und das EU-U.S. Data Privacy Framework.

An Behörden geben wir Daten nur weiter, wenn das Gesetz es verlangt. Die Execution Partnerin kann aufgrund eigener Pflichten zur Meldung an die Meldestelle für Geldwäscherei oder andere Behörden verpflichtet sein.

10. Wie lange wir Daten aufbewahren

Wir bewahren Personendaten nur so lange auf, wie es ihr Zweck oder eine gesetzliche Pflicht erfordert. Die folgenden Kategorien und Fristen sind jene unserer Übersicht der Aufbewahrungsfristen, die massgebend ist und für jede Frist auch die Begründung nennt:

• Händlervertrag / Rahmenvertrag: 10 Jahre nach Beendigung der Geschäftsbeziehung.
• Stammdaten des Händlers (Firma, Adresse, UID-/MWST-Nummer, Kontaktpersonen): 10 Jahre nach Vertragsende, soweit vertraglich relevant.
• Bank- und Auszahlungskonten des Händlers: 10 Jahre ab Ende des Geschäftsjahres der letzten damit verbundenen Abrechnung oder Auszahlung.
• Rechnungen, Abrechnungen, Auszahlungsberichte und Gebührenaufstellungen: 10 Jahre ab Ende des Geschäftsjahres, in dem sie entstanden sind.
• Transaktionsdaten, die für Buchführung, Abrechnung oder Abstimmung relevant sind: 10 Jahre ab Ende des Geschäftsjahres, in dem sie entstanden sind.
• Prüfpfad zu Konto- und Zahlungsvorgängen sowie Nachweise der Annahme der Allgemeinen Geschäftsbedingungen (AGB) durch den Händler: 10 Jahre ab dem Ereignis, danach Löschung.
• Frühere Fassungen der AGB: Mindestens so lange, wie ein Annahmenachweis aufbewahrt wird, der sich auf die Fassung bezieht; vorzugsweise dauerhaft versioniert archiviert.
• Bestell-, Quittungs- und Bestätigungs-E-Mails an Käufer: 10 Jahre, sofern sie eine Transaktion oder einen buchführungsrelevanten Vorgang belegen.
• Allgemeine Support- oder Marketing-E-Mails: Nur so lange wie nötig; in der Regel 1–3 Jahre.
• Förmliche Protokolle der Gesellschafterversammlung und der Gesellschaftsorgane: Mindestens 10 Jahre.
• Gewöhnliche interne Sitzungsnotizen: So lange wie betrieblich nötig; 10 Jahre für wesentliche Entscheide.
• Video- und Audioaufzeichnungen von Online-Meetings: In der Regel 30–90 Tage, danach Löschung, sofern sie nicht ausdrücklich benötigt werden.
• Anmelde-, Sicherheits- und Zugriffsprotokolle: In der Regel 12 Monate.
• Protokolle nach Art. 4 der Datenschutzverordnung (DSV), soweit anwendbar: Mindestens 1 Jahr.
• Pass- und Ausweiskopien von Vertretern des Händlers: Nicht automatisch 10 Jahre.
• Ergebnis der Verifizierung / Prüfung der Vertretungsbefugnis: 10 Jahre nach Beendigung der Geschäftsbeziehung, soweit als Vertragsnachweis aufbewahrt.
• Rohdaten der Verifizierung: Selfie, Video, biometrische Daten, temporäre Uploads: Löschung nach der Verifizierung zuzüglich einer kurzen Frist für Beanstandungen und Sicherheit; z. B. 90 Tage bis höchstens 12 Monate, sofern nicht begründet.
• Identifikations- und Geldwäschereiunterlagen bei der Execution Partnerin (24crypto): Von 24crypto mindestens 10 Jahre nach Beendigung der Geschäftsbeziehung oder nach Abschluss der Transaktion aufbewahrt (Art. 7 Abs. 3 GwG).

Sitzungsdaten, Anmeldeprotokolle und Webhook-Zustellprotokolle gelten als Anmelde-, Sicherheits- und Zugriffsprotokolle. Sitzungen selbst laufen nach 30 Tagen Inaktivität und spätestens 90 Tage nach der Anmeldung ab. Zugriffsprotokolle bei unseren Hosting-Anbietern sind kurzlebig (siehe Abschnitt 3).

Ein Legal Hold geht diesen Fristen vor: Ist eine Streitigkeit, eine Rückbuchung, ein Betrugsfall, eine behördliche Untersuchung, eine Forderung oder ein Gerichtsverfahren hängig oder vernünftigerweise absehbar, werden die betroffenen Unterlagen bis zur Erledigung aufbewahrt. Wie wir Löschungsbegehren behandeln, steht in der Übersicht.

11. Wie wir Daten schützen

Daten werden bei der Übertragung (TLS) und durch unseren Datenbankanbieter im Ruhezustand verschlüsselt; Geheimnisse wie 2FA-Seeds und Webhook-Signiergeheimnisse verschlüsselt die Anwendung zusätzlich, und Passwörter, Sitzungstoken, API-Schlüssel und Wiederherstellungscodes werden nur als Hash gespeichert. Der Zugriff ist nach Rollen beschränkt. Die vollständige Liste der Massnahmen finden Sie auf unserer Sicherheitsseite.

12. Cookies und Browserspeicher

qint.ch und checkout.qint.ch setzen keine Cookies und speichern nichts in Ihrem Browser.

Das Dashboard verwendet ein einziges, technisch notwendiges Cookie, qint_session, das Sie angemeldet hält. Es ist HttpOnly, Secure und SameSite=Lax, wird bei jedem Besuch um bis zu 30 Tage verlängert und läuft spätestens 90 Tage nach der Anmeldung ab. Ausserdem hält es drei Werte im lokalen Speicher: eine zufällige Gerätekennung (qint:deviceId, Teil des Nachweises der AGB-Annahme), den zuletzt bearbeiteten Merchant (qint:merchantId) und Ihr Anzeigethema (qint:theme). Nichts davon dient dem Tracking, daher wird kein Einwilligungsbanner angezeigt.

13. Ihre Rechte

Sie haben das Recht:

• zu erfahren, ob wir Personendaten über Sie bearbeiten, und eine Kopie davon zu erhalten (Auskunft);
• unrichtige Daten berichtigen zu lassen (Berichtigung);
• Daten löschen zu lassen, wenn wir sie nicht mehr benötigen und keine gesetzliche Aufbewahrungspflicht besteht (Löschung);
• die Bearbeitung einschränken zu lassen und einer Bearbeitung aufgrund unseres berechtigten Interesses zu widersprechen;
• die Daten, die Sie uns gegeben haben, in einem gängigen maschinenlesbaren Format zu erhalten (Datenübertragbarkeit);
• eine Einwilligung jederzeit zu widerrufen, etwa für eine Quittungs-E-Mail;
• sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) in der Schweiz oder, falls die DSGVO auf Sie anwendbar ist, bei Ihrer lokalen Aufsichtsbehörde zu beschweren.

Richten Sie Anfragen an info@qint.ch. Wir können Sie bitten, Ihre Identität zu bestätigen, etwa indem Sie von der E-Mail-Adresse Ihres Kontos schreiben. Wo Daten von Gesetzes wegen aufbewahrt werden müssen (Geschäftsunterlagen, Geldwäschereinachweise), teilen wir Ihnen das mit, bestätigen Ihnen schriftlich das Datum der Löschung und schränken die Bearbeitung bis dahin ein. Anfragen zu Verifizierungsdaten bei 24crypto können Sie an uns richten — wir leiten sie weiter — oder direkt an 24crypto.

14. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder das Recht ändert. Das Datum oben zeigt die aktuelle Fassung. Wesentliche Änderungen, die Merchants betreffen, kündigen wir im Dashboard oder per E-Mail an.

15. Kontakt

SwizzX GmbH
Baarerstrasse 107
6300 Zug, Schweiz
info@qint.ch