Datenschutzerklärung

1. Einleitung

Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche Personendaten wir im Zusammenhang mit unserer Webseite (relking.com) und unserer Business-Plattform Relking BOS bearbeiten. Relking BOS (Business Operating System) ist eine cloudbasierte Geschäftsplattform zur Digitalisierung und Automatisierung von Geschäftsprozessen. Sie umfasst unter anderem Module für Kundenbeziehungsmanagement (CRM), Dokumentenmanagement, Aufgabenverwaltung, Kommunikation und Prozessautomatisierung.

Wir informieren insbesondere darüber, wofür, wie und wo wir welche Personendaten bearbeiten. Ferner informieren wir über die Rechte von Personen, deren Daten wir bearbeiten.

Diese Datenschutzerklärung richtet sich nach dem Schweizer Datenschutzgesetz (DSG) sowie, soweit anwendbar, nach der Europäischen Datenschutz-Grundverordnung (DSGVO).

2. Verantwortliche Stelle

Verantwortlicher: Aron Suarez

Wir haben keinen Datenschutzbeauftragten (DSB) bestellt, da die Voraussetzungen gemäss Art. 37 DSGVO für eine verpflichtende Bestellung in unserem Fall nicht gegeben sind. Für sämtliche Datenschutzanliegen wenden Sie sich bitte an die oben genannte Kontaktadresse.

3. Begriffe und Glossar

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.

Bearbeiten umfasst jeden Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Verwenden, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten.

Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag zwischen dem Verantwortlichen und einem Auftragsverarbeiter, der die Bedingungen der Datenbearbeitung im Auftrag regelt (Art. 28 DSGVO).

Standardvertragsklauseln (SCC) sind von der Europäischen Kommission genehmigte Mustervertragsklauseln, die als Grundlage für die Übermittlung von Personendaten in Drittstaaten dienen und ein angemessenes Datenschutzniveau sicherstellen.

EU-US Data Privacy Framework (DPF) ist ein Angemessenheitsbeschluss der Europäischen Kommission, der die Übermittlung von Personendaten an zertifizierte Unternehmen in den USA erlaubt.

DSGVO bezeichnet die Datenschutz-Grundverordnung der Europäischen Union (Verordnung (EU) 2016/679).

DSG bezeichnet das Schweizer Bundesgesetz über den Datenschutz.

Multi-Tenant-Architektur bezeichnet eine Software-Architektur, bei der eine einzelne Instanz der Anwendung mehrere Kunden (Mandanten) bedient, wobei deren Daten strikt voneinander getrennt werden.

Row Level Security (RLS) ist eine Sicherheitsfunktion auf Datenbankebene, die sicherstellt, dass Benutzer nur auf diejenigen Datensätze zugreifen können, für die sie berechtigt sind.

Verschlüsselung (TLS) bezeichnet die Transport Layer Security, ein Protokoll zur verschlüsselten Datenübertragung im Internet.

Rollenbasierte Zugriffskontrolle (RBAC) ist ein Sicherheitskonzept, bei dem Zugriffsrechte basierend auf der Rolle eines Benutzers innerhalb der Organisation vergeben werden.

4. Rechtsgrundlagen und Verarbeitungsmatrix

Wir bearbeiten Personendaten im Einklang mit dem Schweizer Datenschutzrecht und, soweit anwendbar, der DSGVO. Die nachfolgende Übersicht zeigt, auf welcher Rechtsgrundlage wir die einzelnen Verarbeitungstätigkeiten stützen:

Automatisierte Entscheidungsfindung und Profiling: Wir setzen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO ein. Es findet kein Profiling statt, das rechtliche Wirkungen entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

5. Erhobene Daten

5.1 Webseite (relking.com)

Beim Besuch unserer Webseite werden folgende Daten automatisch durch unseren Webserver erhoben:

• IP-Adresse (anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seiten und Dateien
• Referrer-URL (zuvor besuchte Seite)
• Verwendeter Browser und Betriebssystem
• Bildschirmauflösung und Gerätetyp

Diese Daten werden automatisch beim Aufruf unserer Webseite durch Ihren Browser übermittelt.

5.2 BOS-Plattform (Relking Business Operating System)

Bei der Nutzung der BOS-Plattform werden zusätzlich folgende Daten bearbeitet:

• Registrierungs- und Kontodaten: Name, E-Mail-Adresse, Unternehmenszugehörigkeit, Rolle/Berechtigung
• Authentifizierungsdaten: Login-Zeitpunkte, Authentifizierungstokens, Session-Daten
• Nutzungsdaten: Zugriffsprotokolle (Zeitpunkt, aufgerufene Bereiche, durchgeführte Aktionen), genutzte Module und Funktionen
• Geschäftsdaten: Alle vom Kunden in der Plattform erfassten oder hochgeladenen Daten (Dokumente, Aufgaben, CRM-Einträge etc.)
• Kommunikationsdaten: E-Mail-Benachrichtigungen, In-App-Nachrichten

Diese Daten werden direkt von Ihnen bei der Registrierung und Nutzung der Plattform erhoben.

5.3 Kontaktaufnahme und Audit

Wenn Sie mit uns in Kontakt treten oder ein Prozessautomation-Audit durchführen, bearbeiten wir:

• Name und Kontaktdaten (E-Mail, Telefon)
• Unternehmensdaten (Firma, Branche, Funktion)
• Angaben aus dem Pre-Fragebogen (Fragen zu bestehenden Geschäftsprozessen, IT-Infrastruktur und Automatisierungspotenzialen)
• Gesprächsinhalte und Prozessdokumentation
• Video-Statements (Testimonials), sofern eine schriftliche Einwilligung erteilt wurde

Diese Daten werden direkt von Ihnen im Rahmen der Kontaktaufnahme oder des Audits bereitgestellt.

6. Zweck der Datenbearbeitung

Wir bearbeiten Personendaten für folgende Zwecke (die zugehörigen Rechtsgrundlagen sind in Abschnitt 4 aufgeführt):

• Bereitstellung der Webseite und Gewährleistung der technischen Sicherheit
• Bereitstellung und Betrieb der BOS-Plattform, einschliesslich Authentifizierung, Autorisierung und Datenverwaltung
• Vertragsabwicklung und Kommunikation im Rahmen von Projekten und Audits
• Analyse und Verbesserung unserer Webseite (mittels Google Analytics, nur mit Einwilligung)
• Sicherheit und Missbrauchsprävention, insbesondere Zugriffsprotokollierung und Anomalieerkennung
• Erfüllung gesetzlicher Pflichten, insbesondere Aufbewahrungspflichten und Auskunftspflichten

7. Externe Dienstleister und Datenübermittlung

Wir setzen die folgenden externen Dienstleister ein, die in unserem Auftrag Personendaten bearbeiten können. Mit sämtlichen Dienstleistern bestehen Auftragsverarbeitungsverträge (AVV) gemäss Art. 28 DSGVO. Die AVV regeln insbesondere den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Pflichten und Rechte des Verantwortlichen. Die AVV sind auf Anfrage einsehbar.

7.1 Google Cloud Platform (GCP)

Anbieter: Google Cloud EMEA Limited, Irland / Google LLC, USA
Zweck: Hosting der Infrastruktur für unsere Entwicklungen
Daten: Alle auf der Plattform gespeicherten Daten
Datenspeicherung: Europa (EU)
Garantien: EU-US Data Privacy Framework; Standardvertragsklauseln (SCC)

7.4 Resend (Plus Five Five, Inc)

Anbieter: Resend (Plus Five Five, Inc), USA
Zweck: Versand und Empfangen von transaktionalen E-Mails und Benachrichtigungen
Daten: E-Mail-Adresse, Name, E-Mail-Inhalte, Zustellungsstatus
Garantien: Standardvertragsklauseln (SCC); Auftragsverarbeitungsvertrag (AVV)

7.5 Google Analytics

Anbieter: Google LLC, USA
Zweck: Analyse des Nutzerverhaltens auf der Webseite zur Verbesserung unseres Angebots
Daten: IP-Adresse (anonymisiert), Seitenaufrufe, Verweildauer, Geräte- und Browserinformationen, Referrer-URL, ungefährer Standort
Rechtsgrundlage: Einwilligung (Cookie-Banner)
Opt-Out: Sie können die Erfassung durch Google Analytics verhindern, indem Sie die Einwilligung im Cookie-Banner verweigern oder das Browser-Add-on zur Deaktivierung von Google Analytics installieren: https://tools.google.com/dlpage/gaoptout
Garantien: EU-US Data Privacy Framework; IP-Anonymisierung ist aktiviert

7.6 Google Workspace

Anbieter: Google LLC, USA
Zweck: Interne Kommunikation (E-Mail, Kalender) und Zusammenarbeit
Daten: E-Mail-Inhalte und -Adressen bei Korrespondenz mit uns, Kalendereinträge bei Terminvereinbarungen
Garantien: EU-US Data Privacy Framework; Standardvertragsklauseln (SCC)

7.7 GitHub

Anbieter: GitHub Inc. (Microsoft Corporation), USA
Zweck: Quellcodeverwaltung und Deployment-Prozesse (CI/CD)
Daten: Es werden keine Kundendaten oder Personendaten von Endnutzern auf GitHub gespeichert oder verarbeitet. GitHub wird ausschliesslich für die Verwaltung des Programmcodes und die Bereitstellungsprozesse eingesetzt.
Garantien: EU-US Data Privacy Framework; Standardvertragsklauseln (SCC)

Unterauftragsverarbeiter: Unsere Dienstleister können ihrerseits Unterauftragsverarbeiter einsetzen. Wir stellen vertraglich sicher, dass diese denselben Datenschutzpflichten unterliegen. Informationen zu den Unterauftragsverarbeitern unserer Dienstleister sind auf Anfrage erhältlich.

8. Datentrennung und Multi-Tenancy

Die BOS-Plattform verwendet eine Multi-Tenant-Architektur mit strikter logischer Datentrennung auf Datenbankebene. Dies bedeutet:

• Jeder Kunde hat Zugriff ausschliesslich auf seine eigenen Daten
• Die Datentrennung wird technisch durch Row Level Security (RLS) auf Datenbankebene erzwungen; das heisst, Datenbankabfragen geben grundsätzlich nur Datensätze zurück, die dem jeweiligen Mandanten zugeordnet sind
• Für Kunden-Apps mit erhöhten Sicherheitsanforderungen steht eine dedizierte Single-Tenant-Infrastruktur zur Verfügung

9. Cookies und Tracking-Technologien

9.1 Technisch notwendige Cookies

Wir verwenden technisch notwendige Cookies für die Funktion der Webseite und der BOS-Plattform (z.B. Session-Management, Authentifizierung, Sicherheitstokens). Diese Cookies sind für den Betrieb der Webseite und Plattform unerlässlich und erfordern keine Einwilligung. Sie werden in der Regel nach Ende der Browser-Sitzung oder nach Ablauf der Authentifizierung gelöscht.

9.2 Analyse-Cookies (Google Analytics)

Analyse-Cookies werden erst nach Ihrer ausdrücklichen Einwilligung über unser Cookie-Banner gesetzt. Ohne Ihre aktive Zustimmung werden keine Analyse-Cookies gesetzt und keine Analysedaten erhoben.

9.3 Einwilligungsmechanismus

Wir verwenden ein eigenentwickeltes Cookie-Management-Tool. Bei Ihrem ersten Besuch unserer Webseite wird Ihnen ein Cookie-Banner angezeigt, in dem Sie aktiv zustimmen oder ablehnen können. Die Einwilligung ist freiwillig, spezifisch, informiert und eindeutig. Ihre Einwilligungsentscheidung wird für 90 Tage gespeichert. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen auf unserer Webseite widerrufen.

9.4 Weitere Tracking-Technologien

Neben Cookies können im Rahmen der in Abschnitt 7 genannten Dienstleister weitere Technologien eingesetzt werden, beispielsweise serverseitige Protokollierung, Zustellungsbestätigungen bei E-Mail-Versand oder browserseitiger Speicher für Sitzungsinformationen. Diese Technologien dienen der technischen Funktionalität und werden nur im Rahmen der in Abschnitt 4 genannten Rechtsgrundlagen eingesetzt.

Diese Datenschutzerklärung steht im Einklang mit der ePrivacy-Richtlinie (2002/58/EG), soweit diese anwendbar ist.

10. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um Ihre Personendaten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen. Dazu gehören insbesondere:

Technische Massnahmen:

• Verschlüsselung: Daten werden bei der Übertragung mittels TLS verschlüsselt. Ruhende Daten werden gemäss den Verschlüsselungsstandards der Google Cloud Platform verschlüsselt (Encryption at Rest).
• Zugriffskontrollen: Rollenbasierte Autorisierung (RBAC) mit dem Prinzip der geringsten Berechtigung; Zugriff auf Personendaten ist auf autorisierte Personen beschränkt.
• Protokollierung: Lückenlose Protokollierung aller Zugriffe auf sensible Daten.
• Backups: Automatische tägliche Backups mit 30-tägiger rollierender Aufbewahrung. Backups sind verschlüsselt.
• Wiederherstellung: Recovery Time Objective (RTO) von 4 Stunden; Recovery Point Objective (RPO) von 24 Stunden.
• Authentifizierung: Sichere Authentifizierung über Google Identity Platform mit Custom Claims.

Datenschutz durch Technikgestaltung (Privacy by Design):

• Datenschutzaspekte werden systematisch in die Softwareentwicklung integriert.
• Regelmässige Sicherheitsüberprüfungen und Penetrationstests sind Bestandteil des Entwicklungsprozesses.
• Es werden nur die für den jeweiligen Zweck erforderlichen Daten erhoben (Datenminimierung).
• Analyse-Cookies sind standardmässig deaktiviert und werden erst nach aktiver Einwilligung gesetzt.
• IP-Adressen werden vor der Speicherung anonymisiert.

11. Datenübermittlung ins Ausland

Die Speicherung aller Kundendaten und Plattformdaten erfolgt in Rechenzentren innerhalb der Europäischen Union (EU).

Bestimmte Dienstleister (siehe Abschnitt 7) haben ihren Sitz in den USA oder betreiben global verteilte Infrastrukturen. Auch wenn die Datenspeicherung in der EU erfolgt, können Personendaten im Rahmen der Datenübertragung oder durch die Nutzung global verteilter Dienste vorübergehend auch ausserhalb der EU verarbeitet werden, beispielsweise zur technischen Zustellung, Lastverteilung oder Ausfallsicherheit.

Die Datenübermittlung in die USA und andere Drittstaaten erfolgt auf Grundlage folgender Garantien:

• EU-US Data Privacy Framework (DPF): Angemessenheitsbeschluss der Europäischen Kommission; die genannten US-Dienstleister sind unter dem DPF zertifiziert.
• Standardvertragsklauseln (SCC): Mit allen Dienstleistern sind von der Europäischen Kommission genehmigte Standardvertragsklauseln vereinbart.
• Ergänzende Schutzmassnahmen: Verschlüsselung der Daten bei Übertragung und Speicherung, Zugriffsbeschränkungen nach dem Prinzip der geringsten Berechtigung sowie Datenspeicherung in europäischen Rechenzentren.

Für die Schweiz anerkennt das DSG den Angemessenheitsbeschluss der EU und die genannten Transfermechanismen.

Sie haben das Recht, Informationen über die eingesetzten Transfergarantien anzufordern. Wenden Sie sich dazu an die in Abschnitt 2 genannte Kontaktadresse.

12. Aufbewahrung und Löschung

Wir speichern Personendaten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

Nach Beendigung der Kundenbeziehung und Ablauf allfälliger Aufbewahrungsfristen werden die Daten sicher gelöscht. Im Rahmen der Exit-Optionen (siehe Abschnitt 13) können Daten zuvor exportiert werden.

13. Exit-Optionen und Datenportabilität

Im Einklang mit unserer transparenten Geschäftsstrategie bieten wir allen BOS-Kunden klare Exit-Optionen:

• Datenexport (kostenlos): Vollständiger Export aller Kundendaten in Standardformaten (JSON/CSV), einschliesslich Dokumentation des Datenmodells und aller hochgeladenen Dateien.
• Standalone-Deployment und Code-Übergabe: Auf Wunsch und gegen separate Vergütung.

Nach Abschluss des Exits werden alle Kundendaten innerhalb von 30 Tagen aus der BOS-Plattform gelöscht.

14. Meldepflicht bei Datenschutzverstössen

Im Falle einer Verletzung des Schutzes von Personendaten (Datenschutzverstoss) gehen wir wie folgt vor:

Bewertung: Wir bewerten den Vorfall unverzüglich nach Bekanntwerden, um die Art der Verletzung, die betroffenen Daten, die Anzahl betroffener Personen und das voraussichtliche Risiko festzustellen.

Meldung an die Aufsichtsbehörde: Sofern der Verstoss voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen darstellt, melden wir den Vorfall innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde:

• Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
• EU/EWR: Die jeweils zuständige nationale Datenschutzbehörde

Benachrichtigung betroffener Personen: Sofern der Verstoss voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten darstellt, benachrichtigen wir Sie unverzüglich per E-Mail oder, falls nicht möglich, durch eine öffentliche Bekanntmachung. Die Benachrichtigung enthält eine Beschreibung des Vorfalls, die wahrscheinlichen Folgen und die ergriffenen Massnahmen.

Dokumentation: Wir dokumentieren alle Datenschutzverstösse einschliesslich der zugehörigen Umstände, Auswirkungen und ergriffenen Abhilfemassnahmen.

Kontakt für Sicherheitsvorfälle: privacy@relking.com

15. Datenschutz-Folgenabschätzung (DSFA)

Wir führen Datenschutz-Folgenabschätzungen gemäss Art. 35 DSGVO durch, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen mit sich bringt. Dies betrifft insbesondere die grossflächige Verarbeitung besonderer Kategorien von Personendaten, systematische Überwachung oder den Einsatz neuer Technologien.

Die Ergebnisse der DSFA werden dokumentiert und bei der Gestaltung der Verarbeitungsprozesse berücksichtigt. DSFA-Berichte sind auf Anfrage für die zuständige Aufsichtsbehörde verfügbar.

16. Verarbeitungsverzeichnis

Wir führen ein Verzeichnis aller Verarbeitungstätigkeiten gemäss Art. 30 DSGVO. Dieses Verzeichnis enthält für jede Verarbeitungstätigkeit den Zweck, die Kategorien betroffener Personen und Daten, die Empfänger, die geplanten Aufbewahrungsfristen und eine Beschreibung der technischen und organisatorischen Sicherheitsmassnahmen. Das Verzeichnis wird regelmässig aktualisiert und ist auf Anfrage der zuständigen Aufsichtsbehörde zugänglich.

17. Rechte der betroffenen Personen

Sie haben im Rahmen des anwendbaren Datenschutzrechts folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten. Die Auskunft ist kostenlos. Bei offensichtlich unbegründeten oder übermässigen Anfragen können wir ein angemessenes Entgelt verlangen oder die Auskunft verweigern.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Personendaten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Personendaten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten (z.B. steuerrechtliche Aufbewahrung von 10 Jahren) oder sonstige berechtigte Gründe (z.B. laufende Vertragsbeziehung, Rechtsansprüche) entgegenstehen.
• Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Bearbeitung Ihrer Daten verlangen, z.B. wenn die Richtigkeit der Daten bestritten wird.
• Recht auf Datenportabilität (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen Ihre Personendaten in einem gängigen, maschinenlesbaren Format (JSON/CSV) übergeben oder an einen anderen Verantwortlichen übermitteln. BOS-Kunden können die in Abschnitt 13 beschriebene Export-Funktion nutzen.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Bearbeitung Ihrer Daten jederzeit widersprechen, insbesondere der Bearbeitung auf Grundlage berechtigter Interessen oder zu Analyse- und Marketingzwecken. Im Falle eines Widerspruchs stellen wir die betreffende Bearbeitung ein, sofern keine zwingenden berechtigten Gründe für die Bearbeitung vorliegen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Bearbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmässigkeit der bis zum Widerruf erfolgten Bearbeitung bleibt unberührt.

Verfahren: Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail oder Telefon an die in Abschnitt 2 genannte Kontaktadresse. Wir werden Ihre Identität in angemessener Weise verifizieren und Ihnen innerhalb von 30 Tagen antworten. In komplexen Fällen kann diese Frist um weitere 60 Tage verlängert werden, worüber wir Sie rechtzeitig informieren.

Mitteilungspflicht (Art. 19 DSGVO): Wenn wir Ihre Daten berichtigen, löschen oder die Bearbeitung einschränken, teilen wir dies den Empfängern mit, denen Ihre Daten offengelegt wurden, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismässigem Aufwand verbunden.

Beschwerderecht

Sie haben das Recht, eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einzureichen:

Für Personen in der EU/EWR steht zusätzlich die zuständige nationale Datenschutzbehörde zur Verfügung.

18. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung jederzeit anpassen. Die aktuelle Fassung ist jeweils auf unserer Webseite veröffentlicht. Wesentliche Änderungen werden den Nutzern der BOS-Plattform zusätzlich per E-Mail mitgeteilt.

19. Kontakt

Bei Fragen oder Anliegen zum Datenschutz erreichen Sie uns unter: