Datenschutzerklärung
Stand: 18.10.2026
Der Schutz Ihrer Privatsphäre ist uns ein wichtiges Anliegen. Wir bearbeiten Ihre Personendaten in Übereinstimmung mit dem neuen Schweizer Datenschutzgesetz (nDSG / nFADG, in Kraft seit September 2023) sowie anderen anwendbaren datenschutzrechtlichen Bestimmungen.
1. Verantwortliche Stelle
Verantwortlich für die in dieser Datenschutzerklärung beschriebenen Datenbearbeitungen ist:
Mirostudio
Andrii Yermakov
Bergstrasse 23
8105 Regensdorf, Schweiz
E-Mail: info@noxo.ch
2. Erhebung und Verarbeitung von Personendaten
Wir erheben und bearbeiten folgende Kategorien von Personendaten:
- a) Kontodaten: E-Mail-Adresse und Firmenname (zur Registrierung und Erbringung der Dienstleistung).
- b) Website-Inhalte: Öffentlich zugängliche Texte und Informationen von Kunden-Websites (zum Training und zur Konfiguration des Chatbots).
- c) Chat-Daten: Nachrichten von Website-Besuchern und Antworten der KI (zur Leistungserbringung und zur Behebung von Störungen).
- c2) Anruf-Daten: Bei Nutzung des Telefonassistenten die Rufnummer des Anrufenden, Zeitpunkt und Dauer des Gesprächs, das Transkript und die KI-Zusammenfassung. Bei eingehenden Anrufen zusätzlich die Audioaufnahme des Gesprächs.
- d) Lead-Daten: Name, E-Mail-Adresse und Telefonnummer, die von Website-Besuchern freiwillig im Chat-Widget oder im Telefonat angegeben werden.
- e) Nutzungsdaten: IP-Adresse, Browsertyp, besuchte Seiten und Interaktionen (aus Sicherheitsgründen und für Analysen).
- f) Zahlungsdaten: Werden von unserem Zahlungsdienstleister (Stripe, Inc.) sicher und extern verarbeitet. NOXO speichert keine Kreditkartennummern.
3. Zweck der Datenverarbeitung
Wir verwenden die erhobenen Daten zu folgenden Zwecken:
- Bereitstellung und Betrieb des Telefonassistenten und des Chatbots.
- Kontoverwaltung und Rechnungsstellung.
- Behebung von Störungen, Sicherheit und Missbrauchsabwehr.
- Sicherstellung der gesetzlichen Compliance.
- Kommunikation mit Ihnen (Marketingmitteilungen nur mit ausdrücklicher Einwilligung).
Wir geben Ihre Inhalte nicht zum Training von KI-Modellen Dritter frei. Die eingesetzten KI-Dienste bearbeiten die Inhalte im Rahmen der API-Nutzung, um die jeweilige Anfrage zu beantworten.
4. Auftragsbearbeiter und Datenübermittlung
Wir verkaufen Ihre Daten nicht. Für den Betrieb der Plattform setzen wir spezialisierte Dienstleister ein. Wir unterscheiden dabei zwei Fälle: Speicherung bedeutet, dass Ihre Daten dort dauerhaft abgelegt sind. Bearbeitung bedeutet, dass ein Dienst die Daten nur während eines einzelnen Vorgangs verarbeitet, etwa während eines Telefonats oder beim Erzeugen einer Chat-Antwort.
NOXO wird von einem Schweizer Unternehmen mit Sitz in Regensdorf betrieben. Unsere Datenbank liegt in London (Grossbritannien); das Vereinigte Königreich gilt nach Schweizer Recht als Staat mit angemessenem Datenschutz. Mehrere der eingesetzten KI- und Infrastrukturdienste haben ihren Sitz in den USA. Diese Übermittlungen stützen wir auf die Standardvertragsklauseln (SCC) beziehungsweise auf das Swiss-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist. Eine Speicherung ausschliesslich in der Schweiz bieten wir nicht an.
4.1 Speicherung
- Supabase, Inc. (Unternehmenssitz USA, Hosting in London, Grossbritannien) – Datenbank, Anmeldung und Dateiablage. Hier liegen Konto-, Chat-, Anruf- und Lead-Daten sowie hochgeladene Dokumente.
- Vercel, Inc. (USA) – Hosting der Web-Anwendung und des Chat-Widgets sowie der zugehörigen Server-Logs. Vercel Web Analytics zählt zusätzlich die Seitenaufrufe unserer eigenen Website, ohne Cookie und ohne Wiedererkennung einzelner Besucher (siehe Ziffer 8).
- Google Ireland Limited (Irland, mit Übermittlung in die USA) – Google Ads, Google Analytics 4 und Google Tag Manager. Auf unserer eigenen Website messen wir damit den Erfolg unserer Werbung und die Nutzung der Seiten. Die Dienste werden erst nach Ihrer Einwilligung wirksam; Einzelheiten in Ziffer 8.
- Microsoft Ireland Operations Limited (Irland, mit Übermittlung in die USA) – Microsoft Clarity. Zeichnet auf unserer eigenen Website den Ablauf eines Besuchs auf, damit wir sehen, wo Besucher hängen bleiben. Nur nach Ihrer Einwilligung; Einzelheiten in Ziffer 8.
- Meta Platforms Ireland Limited (Irland, mit Übermittlung in die USA) – Meta Pixel. Ordnet Besuche unserer eigenen Website unseren Anzeigen auf Facebook und Instagram zu. Nur nach Ihrer Einwilligung; Einzelheiten in Ziffer 8.
- Stripe, Inc. (USA) – Zahlungsabwicklung und Abonnementverwaltung. Kreditkartennummern speichert NOXO nicht.
- Upstash, Inc. (USA) – Kurzzeitspeicher zur Begrenzung der Anfragerate. Enthält technische Kennungen, keine Gesprächsinhalte.
- Functional Software, Inc. (Sentry) (Unternehmenssitz USA, Speicherung in Deutschland) – Fehlerüberwachung der Anwendung auf dem Server und im Browser. Ein Fehlerbericht kann technische Kennungen, Fehlermeldungen, die aufgerufene Adresse sowie Angaben zu Browser und Gerät enthalten. E-Mail-Adressen, Telefonnummern und ähnliche Angaben entfernen wir vor dem Versand, soweit wir sie erkennen. Tritt im Browser ein Fehler auf, geht zusätzlich eine Wiedergabe der letzten Bedienschritte mit; Texte sind darin unkenntlich gemacht, Bilder und Medien ausgeblendet.
- Vapi (USA) – Audioaufzeichnungen der Telefongespräche. Die Aufnahme entsteht beim Anbieter und bleibt dort gespeichert; in Ihrem NOXO-Konto steht der Link darauf.
4.2 Bearbeitung während eines Vorgangs
- OpenAI, Inc. (USA) – Sprachmodell und Vektor-Einbettungen. Bearbeitet Chat-Nachrichten, Website-Inhalte, hochgeladene Dokumente und Anruf-Transkripte für die Zusammenfassungen.
- Vapi (USA) – Steuerung der Telefongespräche. Gesprächsaudio und Transkript laufen während des Anrufs über diesen Dienst.
- Deepgram (USA, als Unterauftragnehmer von Vapi) – Spracherkennung und Transkription der Anrufe.
- ElevenLabs (USA) – Sprachsynthese der Assistenzstimme.
- Twilio, Inc. (USA) – Bereitstellung und Verwaltung der Telefonnummern sowie Aufbau der Telefonverbindung. Verbindungsdaten wie Rufnummer und Gesprächsdauer fallen dort an.
- Firecrawl (USA) – Abruf der öffentlich zugänglichen Inhalte Ihrer Website für das Training des Assistenten. Haben Sie in der Wissensdatenbank die Ergänzung aus dem Internet eingeschaltet, geht zusätzlich die Frage des Besuchers an diesen Dienst, gekürzt auf 120 Zeichen und beschränkt auf die Suche innerhalb Ihrer eigenen Website. Das Suchergebnis bleibt bis zu 24 Stunden zwischengespeichert.
- Resend (USA) – Versand von Transaktions-E-Mails wie Lead-Benachrichtigungen und Passwort-Links.
- Google (USA und Irland) – nur bei aktiver Verbindung: Google Kalender für die Terminbuchung, Google Business Profile für die Bewertungsfunktion.
- Cal.com und Calendly (USA) – nur, wenn Sie einen dieser Buchungsanbieter selbst verbinden.
- Telegram – optionale Betriebsalarme an unser internes Team. Übermittelt werden ausschliesslich technische Kennungen und Fehlermeldungen, keine Gesprächsinhalte.
4.3 Öffentliche Demo ohne Konto
Auf noxo.ch/demo können Sie ohne Konto ein kurzes Gespräch mit einem Assistenten führen. Dafür lesen wir einmal die Startseite der Adresse, die Sie eingeben, und geben deren Text an den Sprachdienst weiter. Während des Gesprächs verarbeiten Vapi, Deepgram und ElevenLabs Ihre Stimme in den USA. Die Audioaufnahme ist abgeschaltet; das Transkript entsteht beim Anbieter und wird von uns nicht gespeichert.
Bei uns bleiben die eingegebene Adresse, der gelesene Text der Startseite und eine pseudonyme Kennung Ihrer IP-Adresse. Diese Daten löschen wir nach 30 Tagen. Ein Konto entsteht dabei nicht.
4.4 Automationen zu eigenen Empfängern
In den Einstellungen kann der Kontoinhaber eigene Webhook-Adressen hinterlegen. Tritt eines der von ihm gewählten Ereignisse ein, also eine neue Anfrage, eine neue Buchung, eine stornierte Buchung oder ein beendeter Anruf, sendet NOXO die zugehörigen Daten an diese Adresse. Meist ist das ein Automationsdienst wie n8n, Make oder Zapier. Wer die Daten empfängt und was dort damit geschieht, bestimmt der Kontoinhaber. NOXO wählt den Empfänger weder aus noch prüft es ihn.
Transkripte von Anrufen gehen nur mit, wenn der Kontoinhaber das im jeweiligen Eintrag ausdrücklich einschaltet. Jede Sendung trägt eine Signatur, mit der sich beim Empfänger die Herkunft prüfen lässt.
4.5 Anrufererkennung
Ist die Anrufererkennung eingeschaltet, gleichen wir die übermittelte Rufnummer mit dem Kontaktverzeichnis, den früheren Anrufen und den Terminen desselben Betriebs ab. Name, Firma und Termindaten gehen dabei an unseren Sprachdienstleister und an den Anbieter des Sprachmodells, damit der Assistent Sie begrüssen und auf einen bestehenden Termin eingehen kann.
Die Funktion ist standardmässig ausgeschaltet. Sie wird vom Kontoinhaber für seinen Betrieb eingeschaltet und gilt nur für dessen eigene Kontakte, Anrufe und Termine.
5. Datensicherheit
Wir ergreifen angemessene technische und organisatorische Sicherheitsmassnahmen, um Ihre Daten zu schützen:
- Verschlüsselung der Daten bei der Übertragung (TLS/SSL) und am Speicherort (at rest).
- Strenge Zugriffskontrollen in der Datenbank (Row-Level Security).
- Regelmässige Überprüfung der Sicherheitssysteme.
6. Aufbewahrungsdauer
Für die meisten Daten gilt keine feste Frist. Sie bleiben gespeichert, bis das Konto gelöscht wird oder bis der Kontoinhaber die Löschung veranlasst. Für einzelne Datenarten läuft eine automatische Löschung, diese sind unten mit ihrer Frist aufgeführt.
- Konto- und Vertragsdaten: Bis zur Löschung des Kontos. Rechnungen und Geschäftsunterlagen bewahren wir danach 10 Jahre auf (gesetzliche Aufbewahrungspflicht).
- Chat-Verläufe, Anrufprotokolle, Transkripte und Zusammenfassungen: Solange das Konto besteht. Mit der Löschung des Kontos werden auch diese Daten gelöscht.
- Lead- und Kontaktdaten: Bis der Kontoinhaber sie löscht oder die Löschung veranlasst.
- Fehlerprotokolle: Gemäss der bei unserem Anbieter eingestellten Aufbewahrungsfrist.
- Im Gespräch erfasste Angaben: Der Kontoinhaber kann festlegen, welche Angaben der Assistent am Telefon buchstabieren lässt, etwa E-Mail-Adresse, Telefonnummer oder Kundennummer. Sie stehen beim jeweiligen Anruf im Protokoll und werden mit diesem gelöscht. Entfernt der Kontoinhaber das Feld in den Einstellungen, verschwinden die dazu erfassten Werte aus allen Anrufen.
- Wissenslücken: Fragen von Besuchern, die der Assistent nicht beantworten konnte, sammeln wir, damit der Kontoinhaber die fehlende Antwort nachtragen kann. Offensichtliche Personenangaben entfernen wir vorher aus dem Text. Gelöscht wird 90 Tage, nachdem dieselbe Frage zuletzt gestellt wurde.
- Protokoll der Automationen: Zu jeder Sendung an eine Webhook-Adresse protokollieren wir den übermittelten Inhalt, damit eine fehlgeschlagene Sendung wiederholt werden kann. Gelöscht wird nach 7 Tagen.
Kontoinhaber können Anrufe, Kontakte und Auswertungen jederzeit im Dashboard exportieren. Die Löschung einzelner Datensätze oder des gesamten Kontos veranlassen wir auf Anfrage unter info@noxo.ch.
7. Rechte der betroffenen Personen (nFADG Art. 25 ff.)
Nach dem neuen Schweizer Datenschutzgesetz haben Sie folgende Rechte:
- Recht auf Auskunft: Sie können anfragen, ob und welche Daten wir über Sie bearbeiten.
- Recht auf Berichtigung: Sie können fehlerhafte oder unvollständige Daten anpassen lassen.
- Recht auf Löschung: Sie können die Löschung Ihrer Daten verlangen.
- Recht auf Datenherausgabe/Datenportabilität: Sie können Ihre Daten in einem gängigen Format anfordern.
- Recht auf Widerspruch: Sie können bestimmten Datenbearbeitungen widersprechen.
Zur Ausübung dieser Rechte kontaktieren Sie uns bitte unter: info@noxo.ch
8. Cookies und Tracking
- NOXO Admin Dashboard: Wir verwenden ausschliesslich technisch notwendige Session-Cookies (keine Einwilligung erforderlich).
- Chat Widget: Das Widget auf Kunden-Websites setzt keine Cookies. Es nutzt lediglich den "localStorage" des Browsers, um Sitzungen wiederherzustellen (visitor_id).
- Statistik ohne Cookie: Auf noxo.ch und app.noxo.ch zählen wir mit Vercel Web Analytics die Seitenaufrufe und einzelne Bedienschritte, etwa das Absenden des Kontaktformulars. Der Dienst setzt keine Cookies, legt nichts im Browser ab und erkennt Sie nicht wieder; er läuft deshalb unabhängig von Ihrer Antwort auf den Cookie-Hinweis. Adressen von Seiten, deren Link einen persönlichen Schlüssel enthält, etwa der Stornolink einer Buchung, kürzen wir vor der Übermittlung.
- Google Ads (nur mit Einwilligung): Klicken Sie im Cookie-Hinweis auf "Akzeptieren", messen wir mit dem Google-Tag, ob ein Besuch aus einer unserer Anzeigen zu einer Registrierung oder einer Kontaktanfrage geführt hat. Google setzt dazu Werbe-Cookies auf der Domain .noxo.ch, unter anderem "_gcl_aw" mit der Kennung Ihres Anzeigenklicks. Übermittelt werden die aufgerufene Adresse, Datum und Uhrzeit sowie Ihre IP-Adresse und Angaben zu Browser und Gerät; Empfängerin ist Google Ireland Limited mit Übermittlung in die USA. Diese Daten können für personalisierte Werbung verwendet werden. Rechtsgrundlage ist Ihre Einwilligung, die Sie jederzeit widerrufen können (siehe unten).
- Google Analytics 4 (nur mit Einwilligung): Wir zählen Seitenaufrufe, sehen, über welche Quelle ein Besuch kam, und verfolgen die Schritte bis zur Registrierung. Empfängerin ist Google Ireland Limited, mit Übermittlung in die USA. Gesetzt werden die Cookies "_ga" und "_ga_<Kennung>" auf der Domain .noxo.ch mit einer Laufzeit von 24 Monaten. Übermittelt werden die aufgerufene Adresse, die verweisende Seite, Datum und Uhrzeit, Angaben zu Browser, Sprache und Gerät sowie Ihre gekürzte IP-Adresse. Die Ereignisdaten bewahrt Google 14 Monate auf. Rechtsgrundlage ist Ihre Einwilligung.
- Google Tag Manager (nur mit Einwilligung): Der Tag Manager ist die Verwaltungsschicht, über die wir Messtechnik ein- und ausschalten, ohne die Website neu zu veröffentlichen. Er selbst setzt keine Cookies und speichert keine Messdaten. Beim Laden des Containers erhält Google Ireland Limited jedoch Ihre IP-Adresse und die aufgerufene Adresse. Rechtsgrundlage ist Ihre Einwilligung.
- Microsoft Clarity (nur mit Einwilligung): Clarity zeichnet Ihren Besuch als abspielbare Wiedergabe auf. Erfasst werden Mausbewegungen, Klicks, Scrollen, Bildschirmgrösse und der sichtbare Seiteninhalt; daraus entstehen ausserdem Heatmaps. Ihren Inhalt von Eingabefeldern und Auswahllisten maskiert Clarity in jedem Betriebsmodus, er verlässt Ihren Browser nicht. Im Kundenbereich hinter der Anmeldung laden wir Clarity gar nicht erst, ebenso wenig auf der Anmelde- und der Registrierungsseite. Weder Zugangsdaten noch Daten unserer Kundinnen und Kunden können deshalb in einer Wiedergabe erscheinen. Dasselbe gilt für Seiten mit persönlichem Link, etwa den Stornolink einer Buchung. Empfängerin ist Microsoft Ireland Operations Limited, mit Übermittlung in die USA; Microsoft verwendet die Daten auch für eigene Zwecke. Gesetzt werden die Cookies "_clck" (1 Jahr) und "_clsk" (1 Tag) auf der Domain .noxo.ch sowie "MUID" von Microsoft. Die Aufzeichnungen stehen 30 Tage zur Verfügung und werden danach gelöscht. Rechtsgrundlage ist Ihre Einwilligung.
- Meta Pixel (nur mit Einwilligung): Das Pixel meldet an Meta, welche Seiten Sie aufgerufen haben und ob Sie den Demo-Assistenten gestartet, ein Konto eröffnet oder das Kontaktformular abgeschickt haben. Damit messen wir unsere Anzeigen auf Facebook und Instagram und bilden Zielgruppen für weitere Werbung. Empfängerin ist Meta Platforms Ireland Limited, mit Übermittlung in die USA; Meta ist gemeinsam mit uns für die Erhebung verantwortlich und verwendet die Daten auch für eigene Zwecke. Gesetzt wird das Cookie "_fbp" auf der Domain .noxo.ch mit einer Laufzeit von 90 Tagen. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta den Besuch Ihrem Konto zuordnen. Übermittelt werden die aufgerufene Adresse, Datum und Uhrzeit sowie Ihre IP-Adresse und Angaben zu Browser und Gerät. Rechtsgrundlage ist Ihre Einwilligung.
- Ohne Einwilligung: Wählen Sie "Nur notwendige", werden Google Analytics 4, der Google Tag Manager, Microsoft Clarity und das Meta Pixel überhaupt nicht geladen. Es entsteht keine Verbindung zu Microsoft oder Meta, es wird nichts aufgezeichnet und es werden keine Kennungen gespeichert. Der Google-Einwilligungsmodus bleibt auf "abgelehnt", sodass auch Google Ads keine Werbe-Cookies setzt. Das Google-Tag selbst wird technisch dennoch geladen; dabei erfährt Google Ihre IP-Adresse und die aufgerufene Seite. Auf Seiten mit persönlichem Link richten wir das Tag gar nicht erst ein, dort misst es nichts. Auf allen übrigen Seiten kürzen wir Adressen mit Kennnummern vor der Übermittlung.
- Speicherung Ihrer Antwort: Ihre Antwort auf den Cookie-Hinweis legen wir im Browser ab ("localStorage") und zusätzlich im Cookie "noxo_cookie_consent" auf der Domain .noxo.ch, damit noxo.ch und app.noxo.ch dieselbe Entscheidung kennen. Es enthält nur den Wert "all" oder "necessary" und läuft nach 180 Tagen ab.
- Widerruf: Eine erteilte Einwilligung widerrufen Sie, indem Sie die Website-Daten von noxo.ch in Ihrem Browser löschen; der Hinweis erscheint danach erneut, und die genannten Dienste werden beim nächsten Besuch nicht mehr geladen. Alternativ genügt eine kurze Nachricht an info@noxo.ch.
- Partnerlinks: Wer über einen Link der Form noxo.ch/r/code zu uns kommt, erhält das Cookie "noxo_partner" mit dem Code der empfehlenden Agentur. Es läuft nach 90 Tagen ab und enthält keine personenbezogenen Daten. Registriert sich jemand in dieser Zeit, speichern wir zusätzlich den Code und die IP-Adresse der Registrierung, um Missbrauch zu erkennen. Beides löschen wir mit dem Konto, spätestens 24 Monate nach Ende der Partnerschaft.
- Statistiken im Dashboard berechnen wir aus den Daten in unserer eigenen Datenbank, ohne Dienste Dritter.
9. Änderungen dieser Datenschutzerklärung
Wir behalten uns das Recht vor, diese Datenschutzerklärung jederzeit anzupassen. Wir informieren Kontoinhaber über wesentliche Änderungen per E-Mail und veröffentlichen die neuste Version auf unserer Website.
10. Kontakt und Aufsichtsbehörde
Bei Fragen zum Datenschutz wenden Sie sich bitte primär an:
info@noxo.ch
Wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden Personendaten gegen das Datenschutzrecht verstösst, können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden:
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
Schweiz