Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne von Art. 5 lit. j DSG und Art. 4 Nr. 7 DSGVO ist:

Da wir weniger als 250 Mitarbeitende beschäftigen und keine umfangreiche Bearbeitung besonders schützenswerter Personendaten vornehmen, sind wir gemäss Art. 12 DSG nicht zur Führung eines Verzeichnisses der Bearbeitungstätigkeiten verpflichtet. Wir führen dennoch freiwillig eine Dokumentation unserer Datenbearbeitungen.

2. Erhebung und Speicherung personenbezogener Daten

Wir erheben personenbezogene Daten, wenn Sie unsere Dienste nutzen. Die Erhebung erfolgt nach dem Grundsatz der Datenminimierung – wir erfassen nur Daten, die für den jeweiligen Zweck erforderlich sind.

2.1 Bei der Terminbuchung (für Endkunden)

Für die Buchung eines Termins ist keine Kontoerstellung erforderlich. Wir erheben:

• Name (erforderlich) – zur Identifikation beim Termin
• Telefonnummer (erforderlich) – zur Kontaktaufnahme und Wiedererkennung bei Folgebuchungen
• E-Mail-Adresse (erforderlich) – für Terminbestätigungen und Erinnerungen
• Termindetails – Datum, Uhrzeit, gewählte Dienstleistung(en), zugewiesener Mitarbeiter
• Buchungsnotizen (optional, max. 500 Zeichen) – zusätzliche Informationen zum Termin

Ihre Kontaktdaten werden lokal in Ihrem Browser (localStorage) zwischengespeichert, um bei künftigen Buchungen das Formular vorauszufüllen. Sie können diese Daten jederzeit über die Schaltfläche «Gespeicherte Daten löschen» entfernen.

2.2 Bei der Kontoerstellung (für Geschäftskunden)

• E-Mail-Adresse – zur Authentifizierung und Kommunikation
• Passwort – kryptografisch gehasht gespeichert (nicht im Klartext)
• Geschäftsinformationen – Name, Adresse (optional), Kontaktdaten, Logo (optional)
• Zahlungsinformationen – werden ausschliesslich bei Stripe verarbeitet und gespeichert

2.3 Automatisch erhobene Daten

• IP-Adresse – temporär für Rate-Limiting zum Schutz vor Missbrauch (nicht dauerhaft gespeichert)
• Technische Daten – Browser-Typ, Betriebssystem (nur bei aktivierter Analyse)
• Zeitstempel – Erstellungs- und Änderungszeitpunkte von Datensätzen

2.4 Bei der Buchung über KI-Assistenten (z. B. Claude, ChatGPT)

Endkunden können Geschäfte über einen KI-Assistenten suchen und Termine buchen, der mit unserer öffentlichen Schnittstelle (https://api.nauw.ch/mcp) verbunden ist. Dabei gilt:

• Was wir erhalten: nur die Angaben, die der Assistent für die jeweilige Funktion an uns übermittelt – Suchbegriffe und Ort, gewähltes Geschäft, Dienstleistungen und Zeitpunkt sowie für eine Buchung Name, Telefonnummer, E-Mail-Adresse und optional eine Notiz. Den übrigen Inhalt Ihrer Unterhaltung mit dem Assistenten erhalten wir nicht.
• Was wir speichern: Suchanfragen und Verfügbarkeitsabfragen werden nicht dauerhaft gespeichert. Buchungen werden wie Buchungen im Buchungsportal gespeichert (siehe 2.1 und Abschnitt 6) und als «über KI-Assistent gebucht» markiert.
• Missbrauchsschutz: Die Telefonnummer wird zusätzlich verwendet, um die Anzahl Buchungen über KI-Assistenten pro Nummer und Tag zu begrenzen.
• Anbieter des Assistenten: Ihre Unterhaltung wird vom jeweiligen Anbieter (z. B. Anthropic oder OpenAI) gemäss dessen eigener Datenschutzerklärung verarbeitet. Wir geben keine Daten an diese Anbieter weiter, ausser den Antworten auf die Anfragen des Assistenten (z. B. freie Termine oder die Buchungsbestätigung).

3. Zweck der Datenverarbeitung

Wir verarbeiten Ihre Daten ausschliesslich zu folgenden Zwecken:

• Vertragserfüllung: Durchführung und Verwaltung von Terminbuchungen
• Kommunikation: Versand von Terminbestätigungen, Erinnerungen und servicebezogenen Mitteilungen
• Wiedererkennung: Zuordnung von Folgebuchungen zu bestehenden Kundendaten (basierend auf Telefonnummer)
• Statistik: Aggregierte, anonymisierte Auswertungen für Geschäftskunden (keine personenbezogenen Daten)
• Sicherheit: Schutz vor Missbrauch durch Rate-Limiting
• Abrechnung: Zahlungsabwicklung für Geschäftskunden
• Gesetzliche Pflichten: Erfüllung buchhalterischer Aufbewahrungsfristen

4. Rechtsgrundlagen

Die Verarbeitung Ihrer Daten erfolgt auf folgenden Rechtsgrundlagen:

Nach Schweizer DSG (nDSG)

• Art. 31 Abs. 2 lit. a DSG: Vertragserfüllung – zur Durchführung von Terminbuchungen
• Art. 31 Abs. 1 DSG: Einwilligung – bei der Buchung stimmen Sie der Datenverarbeitung zu
• Art. 31 Abs. 2 lit. c DSG: Rechtspflichten – für buchhalterische Aufbewahrung

Nach EU-DSGVO (für EU-Bürger)

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (Missbrauchsschutz, Dienst-Verbesserung)
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtungen

5. Datenweitergabe an Dritte

Wir geben Ihre Daten nur weiter, wenn dies für die Erbringung unserer Dienste erforderlich ist oder eine gesetzliche Verpflichtung besteht. Eine Weitergabe zu Werbezwecken findet nicht statt.

5.1 Empfänger innerhalb der Plattform

• Geschäftsinhaber: Bei einer Terminbuchung werden Ihre Kontaktdaten (Name, Telefon, E-Mail, Notizen) an das gebuchte Geschäft übermittelt, um den Termin durchzuführen.

5.2 Technische Dienstleister (Auftragsverarbeiter)

• Hetzner Online GmbH (Deutschland) – Datenbank-Hosting und Backend-Infrastruktur
  Serverstandort: Deutschland (EU). Angemessenes Datenschutzniveau gemäss EDÖB-Länderliste.
• Stripe Payments Europe, Ltd. (Irland/USA) – Zahlungsabwicklung
  Nur Geschäftskundendaten, PCI-DSS-zertifiziert
• Resend, Inc. (USA) – Transaktionaler E-Mail-Versand
  Rechtsgrundlage: Standardvertragsklauseln (SCC)
• PostHog, Inc. (USA) – Produktanalyse (falls aktiviert)
  Nur für angemeldete Geschäftskunden, respektiert «Do Not Track»-Einstellung. Keine Endkunden-Tracking.
• Amazon Web Services (AWS S3), Region eu-central-2 (Zürich, Schweiz) – Ablage von hochgeladenen Dateien (z. B. Geschäftslogos)
  Datenablage in der Schweiz. Anbieter: Amazon Web Services, Inc. (USA); Auslandsbekanntgabe abgesichert durch Standarddatenschutzklauseln (SCC).
• Functional Software, Inc. (Sentry, USA) – Fehler- und Absturzprotokollierung zur Stabilität des Dienstes (nur wenn aktiviert)
  Rechtsgrundlage: Standardvertragsklauseln (SCC)
• Google Ireland Ltd. / Google LLC (USA) – Anmeldung über Google-Konto (OAuth), nur bei aktiver Nutzung durch Geschäftskunden
  Nur Geschäftskundendaten; Auslandsbekanntgabe abgesichert durch Standarddatenschutzklauseln (SCC).

5.3 Keine Weitergabe an

• Werbetreibende oder Marketing-Unternehmen
• Datenhändler oder Broker
• Social-Media-Plattformen

6. Speicherdauer und Löschung

Wir speichern Ihre Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies verlangen.

• Terminbuchungen und Kundendaten: Werden für die Dauer der Geschäftsbeziehung zwischen Ihnen und dem gebuchten Geschäft gespeichert. Nach Schweizer Obligationenrecht (Art. 958f OR) besteht eine Aufbewahrungspflicht von 10 Jahren für geschäftsrelevante Unterlagen.
• Geschäftskundenkonten: Werden bis zur Kontolöschung gespeichert. Nach Kündigung werden die Daten innerhalb von 90 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
• Rechnungsdaten: 10 Jahre gemäss Art. 958f OR und Art. 70 MwStG.
• Technische Protokolldaten: Rate-Limiting-Daten werden nicht dauerhaft gespeichert (nur im Arbeitsspeicher für 60 Sekunden).
• Analysedaten: Aggregierte Statistiken werden unbegrenzt aufbewahrt, enthalten jedoch keine personenbezogenen Daten.

7. Ihre Rechte

Nach dem Schweizer DSG und der EU-DSGVO haben Sie folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 25 DSG / Art. 15 DSGVO): Sie können unentgeltlich Auskunft über Ihre gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 32 DSG / Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 32 DSG / Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Bitte beachten Sie, dass Löschungsanfragen für Terminbuchungen an das jeweilige Geschäft zu richten sind.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Datenübertragbarkeit (Art. 28 DSG / Art. 20 DSGVO): Sie können Ihre Daten in einem maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen.
• Widerruf der Einwilligung: Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: kontakt@hedinger-digital.ch

Wir werden Ihre Anfrage innerhalb von 30 Tagen bearbeiten. Zur Identitätsprüfung können wir zusätzliche Informationen anfordern.

8. Cookies, lokale Speicherung und Analyse

8.1 Cookies

Unsere Website verwendet ausschliesslich technisch notwendige Cookies, die für den Betrieb der Website erforderlich sind:

• Authentifizierungs-Cookies: Zur Aufrechterhaltung Ihrer Anmeldung (nur für Geschäftskunden)

Eine detaillierte Übersicht der eingesetzten Cookies (Name, Zweck, Dauer, Anbieter) finden Sie in unserer Cookie-Richtlinie.

8.2 Lokale Speicherung (localStorage)

Wir nutzen den lokalen Speicher Ihres Browsers für:

• Buchungsformular-Daten: Name, E-Mail, Telefon zur Vorausfüllung bei Folgebuchungen
• Technische Daten: Zur Vermeidung von Endlosschleifen bei Ladefehlern

Diese Daten verlassen Ihren Browser nicht und können jederzeit über die Browser-Einstellungen gelöscht werden.

8.3 Produktanalyse (PostHog)

Für angemeldete Geschäftskunden setzen wir PostHog zur Produktverbesserung ein:

• Nur für identifizierte Nutzer (keine anonyme Erfassung)
• Respektiert die «Do Not Track»-Einstellung Ihres Browsers
• Keine Erfassung von Endkunden-Aktivitäten im Buchungsportal
• Keine Weitergabe an Dritte zu Werbezwecken

8.4 Was wir NICHT verwenden

• Keine Marketing- oder Werbe-Cookies
• Kein Google Analytics
• Keine Social-Media-Tracking-Pixel
• Keine Fingerprinting-Technologien

9. Datensicherheit

Wir setzen angemessene technische und organisatorische Massnahmen ein, um Ihre Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen (Art. 8 DSG):

• Verschlüsselte Übertragung: Alle Datenübertragungen erfolgen über TLS 1.3 (HTTPS)
• Passwortsicherheit: Passwörter werden kryptografisch gehasht gespeichert, niemals im Klartext
• Zugriffskontrollen: Strikte Mandantentrennung – jedes Geschäft sieht nur seine eigenen Daten
• Rate-Limiting: Schutz vor automatisierten Angriffen und Missbrauch
• Regelmässige Updates: Zeitnahe Anwendung von Sicherheitsupdates
• Sichere Infrastruktur: Hosting bei Hetzner in Deutschland (ISO 27001-zertifiziertes Rechenzentrum)

10. Internationale Datenübermittlung

Unsere primäre Datenverarbeitung (Datenbank und Backend-Server) erfolgt in Deutschland bei Hetzner Online GmbH. Deutschland bietet als EU-Mitgliedstaat ein angemessenes Datenschutzniveau gemäss der EDÖB-Länderliste. Hochgeladene Dateien werden bei AWS S3 in der Region Zürich (Schweiz) abgelegt.

Einige Hilfsdienstleister haben ihren Sitz in den USA (Stripe, Resend, PostHog, Sentry, Google sowie Amazon Web Services). Die Übermittlung personenbezogener Daten in die USA erfolgt auf Basis folgender Garantien:

• Standardvertragsklauseln (SCC): Verträge mit EU-Standarddatenschutzklauseln gemäss Art. 46 Abs. 2 lit. c DSGVO und Art. 16 Abs. 2 lit. d DSG
• Swiss-U.S. Data Privacy Framework: Für zertifizierte Unternehmen (soweit anwendbar)
• Zusätzliche Schutzmassnahmen: Verschlüsselung bei Übertragung und Speicherung

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat festgestellt, dass die USA kein angemessenes Datenschutzniveau bieten. Für die betroffenen Hilfsdienstleister stützen wir uns daher auf die oben genannten Garantien.

11. Minderjährige

Unsere Dienste richten sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Sollten wir Kenntnis davon erlangen, dass wir Daten eines Minderjährigen erhoben haben, werden wir diese unverzüglich löschen.

12. Beschwerderecht

Sie haben das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstösst.

Schweiz

EU/EWR

Wenn Sie Ihren Wohnsitz in der EU/EWR haben, können Sie sich an die Datenschutzaufsichtsbehörde Ihres Landes wenden.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen, neue Funktionen oder Änderungen unserer Datenverarbeitungen anzupassen.

• Die aktuelle Version finden Sie stets auf dieser Seite mit Angabe des Datums der letzten Aktualisierung.
• Bei wesentlichen Änderungen informieren wir registrierte Geschäftskunden per E-Mail.
• Die fortgesetzte Nutzung unserer Dienste nach Inkrafttreten von Änderungen gilt als Zustimmung zur aktualisierten Datenschutzerklärung.

14. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: