Datensicherheit Steuer App — AES-256, Schweizer Server, FINMA-reguliert

Avenzo schützt Ihre Steuerdaten mit Verschlüsselungsstandards, die auch von Schweizer Banken eingesetzt werden. Alle Daten werden ausschliesslich auf zertifizierten Schweizer Servern in Zürich und Bern gespeichert — kein Transfer in die EU oder die USA. Die Datenspeicherung erfolgt mit AES-256-GCM-Verschlüsselung, die Übertragung mit TLS 1.3. Avenzo ist von der Eidgenössischen Finanzmarktaufsicht (FINMA) als Versicherungsvermittler registriert (Nr. F01567880) und erfüllt die Anforderungen des Schweizer Datenschutzgesetzes (nDSG) sowie der EU-Datenschutz-Grundverordnung (DSGVO). Im Unterschied zu ausländischen Steuer-Apps werden Ihre Daten nie ausserhalb der Schweiz verarbeitet. Quelle: Schweizer Datenschutzgesetz (nDSG, SR 235.1).

FINMA-Regulierung

Avenzo GmbH ist von der Eidgenössischen Finanzmarktaufsicht (FINMA) reguliert. Die FINMA ist die Schweizer Finanzmarktbehörde und setzt die strengsten Standards im europäischen Finanzmarktbereich.

Was FINMA-Regulierung für Sie bedeutet:

• Jährliche externe Prüfung durch einen zugelassenen Prüfer
• Kapitalpuffer gemäss FINMA-Anforderungen (Ausfallsicherheit)
• Beschwerdeweg: Direkte Beschwerde an die FINMA möglich
• Transparenz: Veröffentlichungspflichten gegenüber Aufsichtsbehörde

Details zur FINMA-Registrierung

Datenspeicherung: Ausschliesslich in der Schweiz

Avenzo speichert alle Nutzerdaten auf Schweizer Servern in Zürich (Rechenzentren Tier-3-zertifiziert). Kein Datentransfer in die EU, die USA oder andere Länder.

• Primäres Rechenzentrum: Zürich-Altstetten (Tier 3+)
• Backup-Rechenzentrum: Bern (georedundant)
• Cloud-Provider: Schweizer Hosting-Anbieter, kein US-Hyperscaler
• Sub-Auftragsverarbeiter: Ausschliesslich Schweizer oder EWR-Unternehmen mit Standardvertragsklauseln

Technische Sicherheit

Verschlüsselung

Bereich	Standard
Datenspeicherung (at rest)	AES-256-GCM
Datenübertragung (in transit)	TLS 1.3
Dokumentenarchiv	AES-256 per file, eigener Schlüssel pro Nutzer
Passwörter	bcrypt (cost factor 12)

Authentifizierung

• Zwei-Faktor-Authentifizierung (2FA): Pflicht für alle Konten
• Unterstützte 2FA-Methoden: TOTP (Google Authenticator, Authy), SMS, Hardware-Tokens (FIDO2/WebAuthn)
• Session-Management: Automatischer Logout nach 30 Minuten Inaktivität
• Brute-Force-Schutz: Kontosperrung nach 5 Fehlversuchen

Infrastruktur

• Penetrationstests: Halbjährlich durch unabhängige Sicherheitsfirma
• Bug-Bounty-Programm: Verantwortungsvolle Meldung von Sicherheitslücken belohnt
• DDoS-Schutz: Cloudflare Enterprise (Schweizer Routing)
• WAF: Web Application Firewall für alle öffentlichen Endpunkte

Compliance

Datenschutz (DSG & DSGVO)

Gesetz	Status
Schweizer DSG (nDSG, ab 2023)	Vollständig konform
EU-DSGVO	Konform (für EU-Nutzer)
FinfraG (Finanzinfrastrukturgesetz)	Anwendbar, konform

Ihre Rechte unter DSG/DSGVO:

• Auskunftsrecht (alle gespeicherten Daten einsehen)
• Recht auf Datenportabilität (Export als JSON/PDF)
• Recht auf Löschung (vollständige Datenlöschung auf Antrag)
• Recht auf Berichtigung

Datenschutzerklärung

Audit Trail

Alle Aktionen in Ihrem Avenzo-Konto werden in einem unveränderlichen Audit-Log festgehalten:

• Anmeldevorgänge (Datum, Uhrzeit, IP-Adresse)
• Dokumenten-Uploads und -Downloads
• Steuererklärungseinreichungen
• Änderungen an Konto-Einstellungen

Sie können den Audit-Trail jederzeit in Ihrem Kontobereich einsehen.

Datenlöschung und -portabilität

Datenlöschung: Auf Antrag werden alle Ihre Daten innerhalb von 30 Tagen vollständig und unwiderruflich gelöscht — inklusive Backups.

Datenexport: Sie können alle Ihre Daten jederzeit als vollständiges Archiv (ZIP mit JSON und PDFs) exportieren — keine Abhängigkeit von Avenzo.

Kontolöschung: Direkt in der App möglich, ohne Wartezeit oder Rückfragen.

Incident Response

Im unwahrscheinlichen Fall eines Sicherheitsvorfalls:

1. Betroffene Nutzer werden innerhalb von 72 Stunden benachrichtigt (nDSG-Anforderung)
2. Die FINMA wird unverzüglich informiert
3. Detaillierter Incident-Bericht wird bereitgestellt
4. Kostenlose Kreditüberwachung für betroffene Nutzer für 12 Monate

Technische Spezifikationen können sich ändern. Massgeblich sind die jeweils aktuellen Datenschutz- und Sicherheitsdokumente. Sicherheitsmeldungen: sicherheit@avenzo.ch