This page is currently available in German only.

Datenschutzerklärung

Stand: 20. Oktober 2026

1. Verantwortliche Stelle

Hunkeler Digital Services, Einzelfirma, Inhaber Richard Hunkeler, Im Storchen 1, CH-8212 Neuhausen am Rheinfall, info@datenschutz-agentur.ch.

Diese Erklärung gilt für die Website und den Kundenbereich von datenschutz-agentur.ch. Sie richtet sich nach dem Schweizer Datenschutzgesetz (DSG). Ausserhalb der Schweiz richtet sich unser Angebot ausschliesslich an Unternehmen. Soweit die Datenschutz-Grundverordnung der EU (DSGVO) auf unsere Bearbeitung anwendbar ist, insbesondere bei Unternehmen in der EU und im EWR und deren Mitarbeitenden, nennen wir in Ziffer 3 die Rechtsgrundlagen nach DSGVO.

Vertreter in der EU. Einen Vertreter nach Art. 27 DSGVO haben wir derzeit nicht bestellt. Ob eine Pflicht zur Bestellung besteht, beurteilen wir vor der ersten aktiven Kundenbeziehung in der EU bzw. im EWR, danach mindestens jährlich und bei wesentlichen Änderungen der Bearbeitung. Ergibt die Beurteilung, dass ein Vertreter erforderlich ist, bestellen wir ihn, bevor wir die betreffende Tätigkeit aufnehmen oder fortführen, und nennen ihn hier. Anfragen richten Sie direkt an die oben genannte Adresse.

2. Welche Daten wir bearbeiten

Besuch der Website. Der Webserver speichert technisch notwendige Angaben (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung, Statuscode) in Protokolldateien. Die Aufbewahrung richtet sich nach der eingerichteten Logrotation und allfälligen notwendigen Sicherstellungen bei Sicherheitsvorfällen; danach werden die Protokolle automatisch gelöscht.

Kundenkonto. Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Sprache, Angaben zur Zwei-Faktor-Anmeldung, Organisation mit Adresse, gegebenenfalls UID, ausserhalb der Schweiz USt-IdNr. bzw. Steuer-, MWST- oder Registernummer und Ihre Bestätigung, als Unternehmen zu handeln, Rechnungsangaben, Rollen der Benutzer und erfasste Websites.

Sicherheit des Kontos. Für jede Anmeldung speichern wir Beginn, letzte Aktivität, IP-Adresse und Browserkennung, damit Sie Ihre Sitzungen sehen und beenden können. Wir protokollieren sicherheitsrelevante Vorgänge (z. B. Anmeldungen, Fehlversuche, Passwort- und Rollenänderungen) mit IP-Adresse und Browser. Um Sie bei einer Anmeldung von einem neuen Gerät zu warnen, speichern wir eine zufällige Gerätekennung als Prüfsumme. Wählen Sie «Diesem Gerät vertrauen», speichern wir zusätzlich eine zufällige Kennung als Prüfsumme, damit auf diesem Gerät das Passwort genügt.

Prüfung neuer Passwörter. Beim Festlegen eines neuen Passworts bilden wir auf unserem Server dessen SHA-1-Hashwert und senden nur die ersten fünf Zeichen davon an den Dienst «Have I Been Pwned». Der Dienst liefert alle bekannten Hashwerte mit diesem Anfang; den Abgleich machen wir auf unserem Server. Das Passwort, der vollständige Hashwert, Ihre E-Mail-Adresse und Ihre IP-Adresse werden nicht übermittelt. Ist der Dienst vorübergehend nicht erreichbar, können Sie kein neues Konto eröffnen und werden gebeten, es später erneut zu versuchen. Ein neues Passwort beim Zurücksetzen oder Ändern übernehmen wir in diesem Fall und holen die Prüfung bei Ihrer nächsten Anmeldung im gleichen Verfahren nach. Ist das Passwort dann in einem Datenleck enthalten, müssen Sie ein neues festlegen; bis dahin können Sie Ihr Konto nur für den Passwortwechsel nutzen.

Verträge und Zahlungen. Abos, Rechnungen, Gutschriften, Zahlungseingänge mit Bankreferenz, Mahnstufen.

Prüfungen. Geben Sie eine UID an, fragen wir das öffentliche UID-Register des Bundesamts für Statistik ab. Bei Unternehmen in der EU prüfen wir die USt-IdNr. über das System VIES der Europäischen Kommission und speichern das Ergebnis (gültig oder nicht, je nach Mitgliedstaat der eingetragene Name); gültige Nummern prüfen wir jährlich erneut. Eine Bonitätsprüfung nehmen wir nicht vor.

Sanktionsliste. Wir laden täglich die öffentliche Sanktionsliste des Staatssekretariats für Wirtschaft (SECO) herunter und gleichen auf unserem Server den Namen der Organisation damit ab, bei der Registrierung, bei Bestellungen und täglich. Bei Privatpersonen ist dies der angegebene Name. Mögliche Treffer prüft der Betreiber von Hand; das Ergebnis und unseren Entscheid mit Begründung speichern wir bei der Organisation. Eine automatisierte Einzelentscheidung findet nicht statt: Bis zum Entscheid sind lediglich Bestellungen und Verlängerungen zurückgestellt.

Geld-zurück-Garantie. Damit die Garantie nur einmal pro Organisation gilt, speichern wir bei der Zahlung der ersten Bestellung Prüfsummen (SHA-256) aus UID, USt-IdNr. sowie Name der Organisation zusammen mit der geschäftlichen Domain der Rechnungs-E-Mail (nicht bei allgemeinen E-Mail-Diensten). Stimmen nur Name und Domain mit einer früheren Organisation überein, prüfen wir den Fall von Hand und halten den Entscheid mit Begründung fest. Lösen Sie die Garantie aus und haben Sie nicht mit Karte bezahlt, speichern wir für die Rückzahlung Kontoinhaber und IBAN.

Domain-Verifikation. Zur Bestätigung einer Website fragen wir einen DNS-Eintrag oder eine Datei auf der Website ab.

Scan Ihrer Website. Auf Ihren Auftrag und, wenn Ihr Abo die Datenschutzerklärung umfasst, wöchentlich rufen wir Ihre bestätigte Website auf: die Startseite und bis zu acht Unterseiten sowie die Startseite zusätzlich in einem Browser auf unserem Server, in dem wir im Cookie-Banner «Ablehnen» wählen. Der Browser lädt dabei auch die eingebundenen Inhalte von Drittanbietern; diese erhalten die IP-Adresse unseres Servers. Wir speichern das Ergebnis der Erkennung: erkannte Dienste von Drittanbietern mit den Adressen ihrer Dateien, Cookies (Name, Domain, Laufzeit, ohne Inhalt), Adressen und Titel der geprüften Seiten, Ziel und Art von Formularen sowie Links zu Datenschutzerklärung und Impressum, dazu Zeitpunkt, Auslöser und die Person, die den Scan ausgelöst hat. Seiteninhalte und Bildschirmfotos speichern wir nicht.

Anmeldung über Single Sign-on (SSO). Richtet Ihre Organisation SSO ein, melden Sie sich über den Identitätsanbieter Ihrer Organisation an (SAML 2.0 oder OpenID Connect). Den Anbieter wählt und betreibt Ihre Organisation. Von ihm erhalten wir bei jeder Anmeldung Ihre E-Mail-Adresse, Ihren Namen, Ihre Kennung beim Anbieter, den Aussteller und die Angaben zur Art der Anmeldung (insbesondere ob ein zweiter Faktor verwendet wurde). Wir speichern die Verknüpfung Ihres Logins mit Kennung und Aussteller sowie den Zeitpunkt der Verknüpfung und der letzten SSO-Anmeldung. Melden Sie sich zum ersten Mal über SSO an und haben noch kein Login, legen wir eines ohne Passwort an und nehmen Sie in die Organisation auf (Rolle Leser/in, bei einer Einladung deren Rolle). Bei der Organisation speichern wir die Einstellungen: Anbieter, Zertifikat bzw. Client-ID und Client-Secret (verschlüsselt), Domains, Mehrfaktor-Einstellung mit allfälliger Bestätigung (Person und Zeitpunkt), SSO-Pflicht mit Notzugang und Testanmeldungen. Für die Dauer einer Anmeldung speichern wir einen Vorgang mit Zufallswerten (höchstens 10 Minuten) und zum Schutz vor Wiederholung eine Prüfsumme jeder Anmeldebestätigung. Abgewiesene Anmeldungen protokollieren wir mit Grund.

E-Mails. Wir senden nur Mitteilungen, die zum Konto und zum Vertrag gehören (Bestätigung, Rechnungen, Mahnungen, Hinweise zu Vertragsende und Löschung, Sicherheitshinweise). Wir versenden keinen Newsletter. Die E-Mails verschicken wir über unseren eigenen Server; sie werden an den Mailanbieter der Empfängerin zugestellt.

E-Mails an unsere Adressen. Schreiben Sie an eine Adresse von datenschutz-agentur.ch (z. B. info@, support@, abuse@, admin@ oder datenschutz@datenschutz-agentur.ch), bearbeiten wir Absender, Empfänger, Betreff, Text, Anhänge und Kopfzeilen Ihrer E-Mail sowie unsere Antworten mit allfälligen Anhängen. Dazu kommen der Bearbeitungsstand, interne Notizen und die Zuordnung zu einem Kundenkonto (Organisation) bzw. zu einem Datenschutz-Begehren. Die Postfächer liegen auf unserem Server (Ziffer 5). Die Anwendung holt die E-Mails dort ab und speichert Text, Kopfzeilen und Anhänge verschlüsselt; Absender, Empfänger, Betreff und Datum bleiben für Suche und Fristen unverschlüsselt. Im Postfach bleibt eine Kopie in einem Ablageordner, die wir mit den Fristen in Ziffer 6 ebenfalls löschen. Inhalte in HTML zeigen wir nur als Text an; Bilder und andere externe Inhalte laden wir nicht. Zugriff hat nur der Betreiber.

3. Zwecke und Rechtsgrundlagen

Nach DSG bearbeiten wir Personendaten nur zu den hier genannten Zwecken und nur soweit dafür nötig. Wo die DSGVO anwendbar ist, stützen wir uns auf diese Rechtsgrundlagen:

Vertrag mit der Organisation, Abrechnung, Mahnwesen, Export (Organisation, Rechnungsangaben, Websites, Abos, Rechnungen): Vertragserfüllung und vorvertragliche Massnahmen, Art. 6 Abs. 1 lit. b DSGVO, soweit die Organisation bzw. die handelnde Person selbst Vertragspartei ist.
Konten der Benutzerinnen und Benutzer (Name, E-Mail-Adresse, Rolle, Anmeldung): Benutzer, die eine Organisation in ihren Kundenbereich aufnimmt, sind meist nicht selbst Vertragspartei. Rechtsgrundlage ist das berechtigte Interesse der Organisation und unser berechtigtes Interesse, den vereinbarten Dienst mit persönlichen Zugängen bereitzustellen, Art. 6 Abs. 1 lit. f DSGVO. Ist die Person selbst Vertragspartei (z. B. Inhaberin einer Einzelfirma), gilt Art. 6 Abs. 1 lit. b DSGVO.
Aufbewahrung der Buchhaltungsunterlagen (Rechnungen, Gutschriften, Zahlungen): rechtliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO (in der Schweiz Art. 958f OR).
Sicherheit des Dienstes (Server-Protokolle, Sitzungen, Sicherheitsprotokoll, Gerätekennung, Passwortprüfung, Sperre nach Fehlversuchen): berechtigtes Interesse am Schutz der Konten und des Dienstes vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO.
«Diesem Gerät vertrauen»: freiwillige Wahl der Person; berechtigtes Interesse an einer einfachen und sicheren Anmeldung, Art. 6 Abs. 1 lit. f DSGVO; jederzeit im Profil widerrufbar.
Anmeldung über Single Sign-on (Verknüpfung, Angaben des Identitätsanbieters, Einstellungen der Organisation): berechtigtes Interesse Ihrer Organisation, die Anmeldung über ihren eigenen Identitätsanbieter zu steuern, und unser berechtigtes Interesse an einer sicheren Anmeldung, Art. 6 Abs. 1 lit. f DSGVO; die Einrichtung durch die Organisation erfolgt im Rahmen ihres Vertrags, Art. 6 Abs. 1 lit. b DSGVO; Vorgänge und Prüfsummen gegen Wiederholung: berechtigtes Interesse am Schutz vor Missbrauch, Art. 6 Abs. 1 lit. f DSGVO.
UID-Abfrage, Prüfung der USt-IdNr. und Selbstdeklaration: Prüfung, ob wir mit Ihnen einen Vertrag schliessen können, und korrekte mehrwertsteuerliche Behandlung der Rechnung, Art. 6 Abs. 1 lit. b und f DSGVO.
Abgleich mit der Sanktionsliste: berechtigtes Interesse, die in der Schweiz geltenden Sanktionsvorschriften (Embargogesetz und Verordnungen) einzuhalten, Art. 6 Abs. 1 lit. f DSGVO.
Geld-zurück-Garantie: Rückzahlung im Rahmen des Vertrags, Art. 6 Abs. 1 lit. b DSGVO; Prüfsummen zur Verhinderung einer mehrfachen Inanspruchnahme: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.
E-Mails an unsere Adressen und unsere Antworten: Beantwortung von Anfragen und Meldungen und Nachweis unserer Kommunikation. Bei Kundinnen und Kunden im Zusammenhang mit dem Vertrag, Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung nach Vertragsende berechtigtes Interesse am Nachweis der Vertragsabwicklung, Art. 6 Abs. 1 lit. f DSGVO; bei übrigen Personen berechtigtes Interesse an der Bearbeitung ihrer Anfragen und Meldungen, Art. 6 Abs. 1 lit. f DSGVO; bei Datenschutz-Begehren rechtliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO.
Scan Ihrer Website (Auftrag, auslösende Person, Ergebnis): Erbringung des vereinbarten Dienstes bzw. vorvertragliche Massnahmen, Art. 6 Abs. 1 lit. b DSGVO; für Benutzer, die nicht selbst Vertragspartei sind, berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.
Datensicherungen: berechtigtes Interesse an der Wiederherstellung nach Störungen, Art. 6 Abs. 1 lit. f DSGVO.

4. Cookies und lokale Speicherung

Wir setzen nur Cookies, die für den Dienst und seine Sicherheit nötig sind. Die nachfolgend beschriebenen Authentifizierungs-Cookies werden mit den Sicherheitsattributen Secure, HttpOnly und SameSite gesetzt. Sie sind auf den vorgesehenen Host begrenzt:

Sitzung (__Host-dsa): hält Sie angemeldet. Das Cookie gilt bis zum Schliessen des Browsers. Ohne Aktivität melden wir Sie nach 60 Minuten ab, spätestens nach 12 Stunden.
Gerätekennung (__Host-dsa_dev): zufällige Kennung, mit der wir Anmeldungen von neuen Geräten erkennen und Sie per E-Mail warnen. Gültig bis 400 Tage.
Gemerktes Gerät (__Host-dsa_trust): nur wenn Sie «Diesem Gerät vertrauen» wählen; ersetzt auf diesem Gerät den Code der Zwei-Faktor-Anmeldung. Die Gültigkeit legen wir fest, höchstens 90 Tage (die aktuelle Dauer steht neben dem Auswahlfeld). Für Betreiberkonten ist die Funktion standardmässig ausgeschaltet. Im Profil jederzeit widerrufbar.
Anmeldung über SSO (__Host-dsa_sso): nur während einer Anmeldung über Single Sign-on; ordnet die Rückkehr vom Identitätsanbieter der begonnenen Anmeldung zu. Gültig höchstens 10 Minuten, nur einmal verwendbar. Weil die Rückkehr von der Website des Anbieters kommt, ist das Attribut SameSite auf «None» gesetzt.

Im lokalen Speicher des Browsers legen wir zudem nur den Zeitpunkt der automatischen Abmeldung ab, damit mehrere geöffnete Tabs dieselbe Warnung zeigen. Wir verwenden keine Analyse-, Werbe- oder Social-Media-Dienste und laden keine Inhalte von Drittservern.

5. Hosting, Empfänger und Bekanntgabe ins Ausland

Hosting. Website, Kundenbereich, Datenbank, E-Mail-Versand und die Postfächer unserer E-Mail-Adressen laufen auf einem dedizierten Server, den die Server4You GmbH, Hanau (Deutschland), in ihrem Rechenzentrum in Strasbourg (Frankreich) bereitstellt. Server4You stellt Hardware, Stromversorgung, Netzanbindung und Rechenzentrum bereit und ist für uns als Hostingdienstleister tätig. Betriebssystem, Anwendung und Datenbank verwaltet ausschliesslich Hunkeler Digital Services; ein regulärer administrativer Zugriff von Server4You auf die Daten ist nicht vorgesehen. Nur bei einer Störung, die wir selbst nicht beheben können, darf der Support von Server4You auf unseren Auftrag hin eingreifen: kontrolliert, zeitlich begrenzt und protokolliert; danach ändern wir die Zugangsdaten. Deutschland und Frankreich gewährleisten nach Anhang 1 der Datenschutzverordnung (DSV) einen angemessenen Datenschutz.

Datensicherung. Die verschlüsselten Datensicherungen werden auf einem vom Produktionssystem getrennten, eigenen Rechner in der Schweiz gespeichert. Wir verwenden sie ausschliesslich zur Wiederherstellung nach einer Störung. Sicherungen bewahren wir längstens sechs Monate auf; ältere Sicherungen werden gemäss der eingerichteten Rotation gelöscht.

Restrisiko bei einer Wiederherstellung. Müssen wir den Dienst aus einer Sicherung wiederherstellen, ist der Datenstand der Sicherung massgebend. Löschungen, deren Voraussetzungen sich aus den wiederhergestellten Daten ergeben (z. B. Exportfristen nach Vertragsende, Protokolle, ausgeführte Rückzahlungen), führt der tägliche Löschlauf erneut aus. Organisationen und Konten, die nach dem Sicherungszeitpunkt vollständig gelöscht wurden, können dagegen wieder erscheinen, weil im wiederhergestellten Datenstand nichts mehr auf die Löschung hinweist. Wir prüfen nach einer Wiederherstellung im Einzelfall, ob zusätzliche Massnahmen nötig und möglich sind. Sie können uns jederzeit erneut um Löschung ersuchen.

Weitere Empfänger:

Have I Been Pwned (Prüfung neuer Passwörter, Troy Hunt, Australien; Auslieferung über Cloudflare): nur die ersten fünf Zeichen eines Hashwerts, siehe Ziffer 2. Personendaten von Ihnen werden dabei nicht übermittelt: Der Hashpräfix enthält weder das Passwort noch Kontodaten. Beim Abruf gelangen technische Verbindungsdaten unseres Servers (insbesondere dessen IP-Adresse) an den Dienst und an Cloudflare.
Bundesamt für Statistik (UID-Register, Schweiz): nur die von Ihnen angegebene UID.
Europäische Kommission (VIES, Mitgliedstaaten der EU), nur bei Unternehmen in der EU: Länderkennung und USt-IdNr. Die Kommission leitet die Abfrage an die Datenbank des zuständigen Mitgliedstaats weiter. Die EU-Mitgliedstaaten gewährleisten nach Anhang 1 DSV einen angemessenen Datenschutz.
Staatssekretariat für Wirtschaft SECO (Schweiz): Abruf der öffentlichen Sanktionsliste. Dabei übermitteln wir keine Kundendaten; es gelangen nur technische Verbindungsdaten unseres Servers an den Bund.
Unsere Bank (Schweiz) für Zahlungseingänge mit QR-Rechnung, Rückzahlungen und unsere Buchhaltung.

Identitätsanbieter Ihrer Organisation (SSO). Nutzt Ihre Organisation Single Sign-on, leiten wir Ihren Browser zur Anmeldung an den Anbieter weiter, den Ihre Organisation gewählt hat. Bei SAML enthält die Anfrage keine Personendaten; bei OpenID Connect ruft unser Server beim Anbieter die öffentlichen Schlüssel ab und löst den einmaligen Anmeldecode mit den Zugangsdaten Ihrer Organisation ein. Wir geben dem Anbieter dabei keine Personendaten aus unserem Dienst bekannt. Den Anbieter, seinen Standort und die dortige Bearbeitung verantwortet Ihre Organisation.

Ausser an die in dieser Ziffer genannten Empfänger geben wir Personendaten nicht ins Ausland bekannt. E-Mails an Sie stellen wir an den Mailanbieter zu, den Sie für Ihre Adresse gewählt haben; befindet sich dieser im Ausland, gelangen die E-Mails dorthin. Kommt ein Empfänger in einem Staat ohne angemessenen Datenschutz hinzu, ergänzen wir diese Erklärung vorher und stützen die Bekanntgabe auf geeignete Garantien oder eine gesetzliche Ausnahme.

6. Aufbewahrung und Löschung

Kontodaten und Inhalte: solange der Vertrag besteht. Nach Vertragsende können Sie Ihre Daten 30 Tage lang exportieren; danach löschen wir die Daten der Organisation und die Benutzerkonten, die keiner weiteren Organisation angehören, automatisch. Für E-Mails mit Bezug zur Organisation gilt die Regel unter «E-Mails an unsere Adressen». Löschen Sie Ihre Organisation selbst, löschen wir ihre Daten unverzüglich aus dem Produktivsystem, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen; Sicherungskopien unterliegen den Regeln in Ziffer 5.
Konten ohne Vertrag: Eine Registrierung, deren E-Mail-Adresse nie bestätigt wurde, löschen wir nach 180 Tagen. Ein bestätigtes Konto, zu dem nie ein Vertrag bestand, löschen wir nach 180 Tagen ohne Anmeldung; 30 Tage vorher erhalten Sie eine E-Mail, und jede Anmeldung lässt die Frist neu beginnen. Ausgenommen sind Konten des Betreibers und Konten, die einer Organisation mit bestehendem oder früherem Vertrag oder mit offener Bestellung oder Rechnung angehören. Für diese gilt die Regel unter «Kontodaten und Inhalte»: Nach Vertragsende und Ablauf der Exportfrist löschen wir die Organisation und mit ihr die Benutzerkonten, die keiner weiteren Organisation angehören. Ein Konto, das keiner solchen Organisation mehr angehört, fällt unter diese Regel für Konten ohne Vertrag. Ist das Konto Inhaber einer Organisation, der weitere aktive Mitglieder angehören, löschen wir es nicht automatisch: Wir nehmen mit der Organisation Kontakt auf und löschen das Konto erst, wenn die Inhaberschaft geregelt ist. Die Löschung wird ohne Name und E-Mail-Adresse protokolliert.
Buchhaltungsunterlagen (Rechnungen, Gutschriften, Zahlungen): zehn Jahre nach Ende des Geschäftsjahrs in unserer Buchhaltung (cash.simples.ch, eigenes System auf demselben Server), getrennt und nur für den Betreiber zugänglich; danach automatisch gelöscht. Nach der Löschung Ihrer Organisation löschen wir die Rechnungen im Dienst, sobald sie in die Buchhaltung übertragen sind. Offene Rechnungen bleiben mit Rechnungsadresse und E-Mail-Adresse bestehen, bis sie bezahlt oder abgeschrieben sind. Spätestens zwölf Monate nach Fälligkeit entscheiden wir dokumentiert, ob wir eine offene Rechnung abschreiben oder weiter eintreiben; eine abgeschriebene Rechnung löschen wir im Dienst, sobald sie in die Buchhaltung übertragen ist.
Datenschutz-Begehren (Auskunft, Löschung, Berichtigung): Ein auf die erforderlichen Angaben beschränktes Nachweisprotokoll (Name, E-Mail-Adresse, Art des Begehrens, Zeitpunkte, Fristen, Ergebnis in zusammengefasster Form) bewahren wir sechs Jahre nach Abschluss auf. Freitexte und ausführliche Bearbeitungsvermerke löschen wir zwölf Monate nach Abschluss automatisch, sofern keine gesetzliche Pflicht oder eine dokumentierte Ausnahme eine längere Aufbewahrung erfordert. Danach löschen wir das Nachweisprotokoll automatisch.
E-Mails an unsere Adressen und unsere Antworten: Ist ein Verlauf einer Organisation (Kundin oder Kunde) zugeordnet, bewahren wir ihn als Nachweis der Vertragsabwicklung fünf Jahre ab der letzten Nachricht auf, auch nach Vertragsende und nach der Löschung der Organisation oder eines Kontos. Übrige Verläufe löschen wir 24 Monate nach der letzten Nachricht. Verläufe zu einem Datenschutz-Begehren löschen wir zusammen mit dessen Detailangaben zwölf Monate nach Abschluss. Wir löschen jeweils auch die Kopie im Postfach auf dem Mailserver. Bei einem Löschbegehren löschen wir Ihre E-Mails an uns, die keiner Organisation zugeordnet sind, sofort, auch auf dem Mailserver; unsere Antworten an Sie bleiben als Nachweis unserer Kommunikation bis zum Ablauf ihrer Frist, ebenso E-Mails mit Bezug zu einer Organisation. Die Bestätigung nennt die Anzahl und das Datum, bis zu dem sie bleiben.
Prüfergebnisse (UID, USt-IdNr., Sanktionsabgleich und Entscheid): mit den Kontodaten der Organisation.
Scans Ihrer Website: die letzten zwölf pro Website; ältere löschen wir automatisch. Entfernen Sie die Website, löschen wir ihre Scans sofort, sonst mit den Kontodaten der Organisation.
Prüfsummen der Geld-zurück-Garantie: zehn Jahre nach der Bestellung, wie die Buchhaltungsunterlagen; sie bleiben auch nach der Löschung der Organisation bestehen. Kontoinhaber und IBAN für die Rückzahlung: gelöscht, sobald die Rückzahlung ausgeführt ist.
Single Sign-on: die Verknüpfung Ihres Logins, bis Sie aus der Organisation entfernt werden, Ihr Login gelöscht wird oder die Organisation die SSO-Einstellungen löscht; die Einstellungen mit der Organisation. Laufende Anmeldungen nach 10 Minuten, Prüfsummen gegen Wiederholung nach Ablauf der Anmeldebestätigung.
Sitzungen: beendete Sitzungen nach 90 Tagen. Gemerkte Geräte: bei Ablauf oder Widerruf. Gerätekennungen: nach 400 Tagen ohne Anmeldung.
Sicherheitsprotokoll: nach zwei Jahren. Fehlgeschlagene Anmeldeversuche: nach zwei Tagen. Versandprotokoll der E-Mails: nach 180 Tagen. Entwürfe von Anhängen für eine Antwort: nach dem Senden, beim Verwerfen, spätestens nach 24 Stunden.
Server-Protokolle: siehe Ziffer 2. Sicherungskopien: siehe Ziffer 5.

7. Datensicherheit

Verbindungen sind verschlüsselt (HTTPS). Passwörter speichern wir nur als Argon2id-Hash. E-Mails an unsere Adressen speichern wir verschlüsselt; der Schlüssel wird getrennt aufbewahrt. Inhaber, Administratoren und Betreiber müssen die Zwei-Faktor-Anmeldung verwenden; auf einem Gerät, das sie mit «Diesem Gerät vertrauen» gemerkt haben, ersetzt die Gerätekennung den Code bei der Anmeldung, nicht aber bei der erneuten Bestätigung sicherheitskritischer Aktionen. Einmal-Links speichern wir nur als Prüfsumme. Bei Single Sign-on nehmen wir nur signierte Anmeldebestätigungen des hinterlegten Anbieters an, jede nur einmal, und verlangen je nach Einstellung Ihrer Organisation einen Nachweis des zweiten Faktors oder zusätzlich unseren Code. Nach Inaktivität melden wir Sie automatisch ab; nach wiederholten Fehlversuchen sperren wir die Anmeldung vorübergehend, und bei sicherheitsrelevanten Vorgängen erhalten Sie eine E-Mail. Die Massnahmen sind in der Übersicht Technische und organisatorische Massnahmen beschrieben.

8. Ihre Rechte

Sie können Auskunft, Berichtigung, Löschung, Einschränkung und Herausgabe Ihrer Daten verlangen und einer Bearbeitung widersprechen. Viele Angaben können Sie im Kundenbereich selbst ändern; dort laden Sie auch alle Daten Ihrer Organisation herunter.

Auskunft und Löschung im Kundenbereich. Unter «Profil und Sicherheit» verlangen Sie die Auskunft als PDF per E-Mail oder schliessen Ihr Konto; Ihre Anmeldung gilt als Nachweis Ihrer Identität. Die Auskunft enthält auch Ihre E-Mails an unsere Adressen und unsere Antworten (Anhänge mit Name und Grösse); für ergänzende Auskünfte schreiben Sie an die Adresse unter «Begehren auf anderem Weg». Sind Sie Inhaberin oder Inhaber einer Organisation mit weiteren Benutzern, übertragen Sie zuerst die Inhaberschaft; die Organisation bleibt dann bestehen. Sind Sie deren einzige Benutzerin oder einziger Benutzer, löschen wir die Organisation mit; ein laufendes Abo endet dabei sofort, ohne Rückerstattung.

Begehren auf anderem Weg. Schreiben Sie an info@datenschutz-agentur.ch oder per Post an die Adresse in Ziffer 1. Wir prüfen Ihre Identität, zum Beispiel mit einem Bestätigungslink an die bei uns hinterlegte E-Mail-Adresse oder mit einem Ausweis, den wir nur einsehen und nicht speichern. Wir antworten innert 30 Tagen. Ein Begehren betrifft die Daten von datenschutz-agentur.ch; auf Wunsch führen wir es für alle Dienste von Hunkeler Digital Services durch.

Kosten. Die Auskunft ist kostenlos. Nur in Ausnahmefällen, wenn sie mit einem unverhältnismässigen Aufwand verbunden ist, verlangen wir eine Kostenbeteiligung von höchstens CHF 300 (Art. 19 DSV). Wir teilen Ihnen den Betrag vorher mit; bestätigen Sie nicht innert 10 Tagen, gilt das Begehren als ohne Kostenfolge zurückgezogen.

Sie können sich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren. Soweit die DSGVO anwendbar ist, können Sie sich auch bei einer Aufsichtsbehörde in der EU oder im EWR beschweren, insbesondere in dem Staat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmasslichen Verstosses (Art. 77 DSGVO).

9. Daten unserer Kunden

Soweit wir für unsere Kunden Personendaten bearbeiten (z. B. Begehren betroffener Personen, Einwilligungsnachweise, Teilnehmende an Schulungen), handeln wir als Auftragsbearbeiter; verantwortlich ist der jeweilige Kunde. Massgebend ist die Vereinbarung über die Auftragsbearbeitung.

10. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder das Recht ändert. Es gilt die hier veröffentlichte Fassung.