Datenschutzerklärung

Stand: 27.03.2026 Version: 2.0

Hinweis zur Sprachfassung: Diese deutsche Fassung ist die rechtlich verbindliche und massgebliche Version. Allfällige englische Übersetzungen dienen nur der Information; bei Widersprüchen geht die deutsche Fassung vor.

Diese Datenschutzerklärung informiert Sie darüber, wie Etzensperger Informatik AG („wir“, „uns“) Personendaten bearbeitet, wenn Sie: (a) unsere Website(s) und Online-Dienste nutzen, (b) ein Kundenkonto (SaaS-Account) erstellen oder verwalten, (c) als Endnutzer*in/Teilnehmer*in Daten über eine Kundin/einen Kunden in unserer Plattform eingeben, (d) mit uns kommunizieren (Support, Sales, Marketing), (e) sich bei uns bewerben oder mit uns in einem Beschäftigungsverhältnis stehen.

Wir berücksichtigen insbesondere das Schweizer Datenschutzgesetz (DSG) und – sofern anwendbar – die EU-Datenschutz-Grundverordnung (DSGVO/GDPR).

1. Verantwortliche Stelle (Controller) und Kontakt

Verantwortlich für die Datenbearbeitung im Sinne des DSG und – soweit anwendbar – Verantwortlicher im Sinne der DSGVO ist:

Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen Schweiz E-Mail: support@edoobox.com Telefon: +41 43 434 65 91 Handelsregister/UID: CHE-107.413.131

2. Datenschutzkontakt / Datenschutzberater / Datenschutzbeauftragte Person (DPO)

Für Datenschutzanliegen erreichen Sie uns unter: Datenschutzkontakt: support@edoobox.com Etzensperger Informatik AG Kirchweg 24 CH-3366 Bettenhausen Schweiz

Hinweis: Falls wir nach anwendbarem Recht eine Datenschutzbeauftragte Person bestellen müssen oder freiwillig bestellen, ist sie unter den obigen Kontaktdaten erreichbar.

3. Rollenmodell im SaaS (Kundendaten vs. Daten über unsere eigene Geschäftstätigkeit)

3.1 Kundendaten („Customer Content“) – wir als Auftragsbearbeiter

Bei der Nutzung unserer SaaS-Plattform können unsere Kunden Personendaten von Endnutzer*innen/Teilnehmer*innen (z.B. Teilnahmedaten, Buchungs-/Eventdaten) in die Plattform eingeben. Soweit wir diese Kundendaten im Auftrag und nach Weisung des Kunden bearbeiten, sind:

• Kunde = Verantwortlicher (Controller),
• wir = Auftragsbearbeiter/Auftragsverarbeiter (Processor).

In diesen Fällen regeln wir die Auftragsbearbeitung in einer separaten Vereinbarung zur Auftragsbearbeitung (AVV/DPA) mit dem Kunden.

3.2 Unsere eigenen Geschäftsdaten – wir als Verantwortlicher

Wir bearbeiten auch Personendaten für eigene Zwecke, z.B. Account-Administration, Vertrag/Abrechnung, Sicherheit, Produktverbesserung, Marketing (sofern zulässig), Compliance. Für diese Bearbeitungen sind wir Verantwortlicher.

4. Kategorien von Personendaten

Je nach Kontext bearbeiten wir insbesondere folgende Kategorien:

A) Account- und Vertragsdaten

• Name, Vorname, Firma/Organisation, Rolle/Position
• Login-/Identifikationsdaten (z.B. Benutzername), Passwort-Hash
• Kontaktangaben (E-Mail, Telefon, Adresse)
• Vertrags- und Plan-/Abo-Informationen, Lizenzumfang

B) Abrechnungs- und Zahlungsdaten

• Rechnungsadresse, MwSt.-Informationen
• Zahlungsstatus, Transaktions- und Referenzdaten (keine vollständigen Karten-/Bankdaten, sofern Zahlungsanbieter dies direkt verarbeitet)

C) Nutzungs- und Gerätedaten

• Nutzungsdaten innerhalb der Plattform (z.B. Feature-Nutzung, Klickpfade in der App)
• Geräte-/Browserdaten, Betriebssystem, App-Version
• IP-Adresse, Zeitstempel, grobe Standortdaten (abgeleitet), Sprache/Zeitzone

D) Kommunikations- und Supportdaten

• Support-Anfragen, E-Mail-/Chat-Inhalte, Anhänge
• Call-Notizen, Tickets, Status- und Verlaufshistorie

E) Log-, Sicherheits- und Metadaten

• System- und Access-Logs (z.B. Login-Versuche, Admin-Aktionen)
• Audit-Logs, Fehler-/Crash-Reports
• Backups/Restore-Punkte (inkl. Datenkopien)

F) Marketing- und Eventdaten

• Newsletter-Opt-in/Opt-out, Consent-Status
• Kampagnen-Parameter (z.B. UTM), Lead-Informationen

G) Bewerbungs- und Mitarbeitendendaten

• Bewerbungsunterlagen, Kommunikationsinhalte, HR-Administration (separater Hinweis möglich)

5. Zwecke der Bearbeitung und Rechtsgrundlagen

Wir bearbeiten Personendaten nach den Grundsätzen der Zweckbindung, Verhältnismässigkeit und Datenminimierung. Wir vernichten oder anonymisieren Daten, sobald sie für den Zweck nicht mehr erforderlich sind (vorbehalten sind gesetzliche Aufbewahrungspflichten und legitime Archivierungsinteressen).

Soweit die DSGVO anwendbar ist, stützen wir Bearbeitungen insbesondere auf folgende Rechtsgrundlagen:

• Vertragserfüllung/Vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO),
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO),
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO),
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) – z.B. für Newsletter/Marketing oder nicht notwendige Cookies, sofern erforderlich,
• in Ausnahmefällen: Schutz lebenswichtiger Interessen oder öffentliche Aufgabe (Art. 6 Abs. 1 lit. d/e DSGVO).

Hauptzwecke:

5.1 Betrieb der SaaS-Plattform und Bereitstellung der Funktionen

• Account-Erstellung, Login, Berechtigungen, Feature-Bereitstellung
• Support, Incident-Management, Weiterentwicklung, Qualitätssicherung

5.2 Vertrag, Abrechnung, Administration

• Vertragsabschluss/-verwaltung, Rechnungsstellung, Zahlung, Mahnwesen
• Finanzbuchhaltung, Nachweisführung, interne Verwaltung

5.3 Sicherheit und Missbrauchsprävention

• IT-Sicherheit, Zugriffskontrollen, Protokollierung, Fraud-/Abuse-Erkennung
• Durchsetzung von AGB, Rechtewahrung, Rechtsansprüche

5.4 Kommunikation

• Service-Mitteilungen (z.B. sicherheitsrelevante Hinweise, Systemstatus)
• Support-Kommunikation
• Marketing-Kommunikation nur, wenn zulässig bzw. mit Einwilligung

5.5 Website-Betrieb und Cookies

Wir verwenden notwendige Cookies/Technologien, um Website und Plattform technisch bereitzustellen. Für nicht notwendige Cookies/Technologien (z.B. Reichweitenmessung, Marketing, Social Media) setzen wir – sofern nach anwendbarem Recht erforderlich – ein Consent-Management ein. Sie können Einwilligungen jederzeit über die Cookie-Einstellungen im Footer unserer Website widerrufen oder anpassen.

6. Empfänger, Dienstleister und Unterauftragsbearbeiter

Wir geben Personendaten nur weiter, wenn dies für die genannten Zwecke erforderlich ist, wir dazu verpflichtet sind oder Sie eingewilligt haben.

Empfängerkategorien können sein:

• Hosting-/Cloud-Provider (Betrieb, Storage, Backups, Monitoring)
• Kommunikationsdienstleister (E-Mail, SMS, Telefonie)
• Zahlungsdienstleister (Payment Processing, Rechnungs-/Abo-Management)
• Analyse-/Performance-/Sicherheitsdienstleister (z.B. Fehlertracking, APM, CDN/WAF)
• CRM-/Support-Systeme (Ticketing, Chat, Knowledge Base)
• Professionelle Berater (Rechtsberatung, Revision), Banken/Inkasso, sofern erforderlich
• Behörden/Gerichte, sofern gesetzlich verlangt

Unterauftragsbearbeiter (Subprocessors): Eine aktuelle Liste unserer Unterauftragsbearbeiter inkl. Zweck, Sitz, Datenkategorien und Transfergrundlagen finden Sie unter: https://www.edoobox.com/de/dsg-dsgvo-konform

7. Datenbearbeitung im Ausland / grenzüberschreitende Übermittlungen

Zentrale Plattformdaten werden grundsätzlich primär in der Schweiz gespeichert und bearbeitet. Je nach eingesetztem Dienstleister können Bearbeitungen auch innerhalb der EU/des EWR oder in weiteren Ländern erfolgen. Sofern wir oder unsere Dienstleister Personendaten ausserhalb der Schweiz bzw. ausserhalb des EWR bearbeiten, stellen wir sicher, dass ein angemessener Datenschutz gewährleistet ist, insbesondere durch:

• Angemessenheitsbeschlüsse (Schweiz: Staaten/Organisationen mit angemessenem Schutz; EU: Angemessenheitsbeschlüsse),
• Standardvertragsklauseln/Standarddatenschutzklauseln (SCC) und zusätzliche Massnahmen, soweit erforderlich,
• anwendbare Data Privacy Frameworks (z.B. Swiss‑U.S. DPF bzw. EU‑U.S. DPF), sofern anwendbar und der Empfänger entsprechend zertifiziert ist,
• oder andere gesetzlich vorgesehene Garantien/ausnahmsweise anwendbare Übermittlungsgründe.

8. Aufbewahrung, Löschung und Offboarding

Wir definieren Aufbewahrungsfristen nach „Need-to-know/Need-to-keep“.

8.1 Richtwerte

• Account-/Kundendaten: Dauer des Vertrags + eine angemessene Übergangsfrist zur Migration und Vertragserfüllung
• Support-Tickets: solange es für Support, Nachvollziehbarkeit und Compliance erforderlich ist
• Sicherheits-/Access-Logs: gemäss unseren Sicherheits- und Compliance-Anforderungen
• Backups: Rollierend gemäss unserem rollierenden Backup-Zyklus (Deletion mit Verzögerung möglich)
• Marketing-Lead-Daten: bis Widerruf/Opt-out oder Wegfall des Zwecks
• Buchhaltungs-/Rechnungsunterlagen: gemäss gesetzlichen Aufbewahrungspflichten (in der Regel bis zu 10 Jahre), soweit anwendbar

8.2 Onboarding/Offboarding von Kunden

• Während der Vertragslaufzeit: Bearbeitung zur Leistungserbringung.
• Nach Kündigung/Vertragsende: (i) Rückgabe/Export von Kundendaten bei Bedarf, (ii) Sperrung des Accounts, (iii) Löschung/Anonymisierung nach Ablauf der Aufbewahrungsfristen, ausgenommen Datenkopien in Backups bis zum nächsten Überschreiben.
• Auf Wunsch kann eine frühere Löschung von Kundendaten geprüft werden, soweit keine gesetzlichen Pflichten oder überwiegenden Interessen entgegenstehen.

9. Datensicherheit (technische und organisatorische Massnahmen)

Wir treffen angemessene technische und organisatorische Massnahmen (TOM) unter Berücksichtigung des Risikos, insbesondere:

Hinweis: Eine absolute Sicherheit kann nicht garantiert werden.

• Verschlüsselung bei Übertragung (TLS) und – wo sinnvoll – bei Speicherung (Encryption at Rest)
• Rollen- und Berechtigungskonzepte (Least Privilege), Trennung von Umgebungen
• Multi-Faktor-Authentifizierung für Admin-Zugänge für administrative Zugänge und sensible interne Systeme, soweit technisch vorgesehen
• Logging/Auditing sicherheitsrelevanter Aktionen
• Regelmässige Patches/Updates, Schwachstellenmanagement
• Backups, Wiederherstellungs- und Notfallkonzepte
• Schulung/Verpflichtung von Mitarbeitenden (Vertraulichkeit)

10. Betroffenenrechte

10.1 Rechte nach Schweizer DSG

Sie haben – je nach Sachverhalt und gesetzlicher Einschränkungen – insbesondere:

• Recht auf Auskunft, inkl. Angaben zu Zweck, Aufbewahrungsdauer/Kriterien, Empfängern und automatisierten Einzelentscheiden,
• Recht auf Berichtigung unrichtiger Daten,
• Recht auf Löschung/Vernichtung, soweit zulässig,
• Recht auf Datenherausgabe/-übertragung (Portabilität) unter den gesetzlichen Voraussetzungen,
• Rechte im Zusammenhang mit automatisierten Einzelentscheiden (siehe Ziff. 11).

10.2 Rechte nach DSGVO (soweit anwendbar)

Sie haben – je nach Sachverhalt – insbesondere:

• Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung,
• Datenübertragbarkeit,
• Widerspruch gegen Bearbeitungen, die auf berechtigten Interessen beruhen,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft,
• Beschwerderecht bei einer Aufsichtsbehörde.

10.3 Ausübung der Rechte

Anfragen richten Sie bitte an: support@edoobox.com Wir können zur Identifikation angemessene Nachweise verlangen.

Wichtiges SaaS-Rollenprinzip:

• Bei „Customer Content“, der durch unsere Kunden als Verantwortliche verwaltet wird, sind wir ggf. nicht berechtigt, Daten direkt zu ändern oder zu löschen. In diesem Fall leiten wir Betroffenenanfragen – soweit zulässig – an den jeweiligen Kunden weiter oder informieren Sie, wie Sie den Kunden direkt kontaktieren können.

11. Automatisierte Einzelentscheidungen und Profiling

Wenn wir automatisierte Einzelentscheidungen einsetzen, die für Sie rechtliche Wirkungen entfalten oder Sie erheblich beeinträchtigen, informieren wir Sie darüber. Sie haben das Recht, Ihren Standpunkt darzulegen und eine Überprüfung durch eine natürliche Person zu verlangen, soweit dies nach anwendbarem Recht vorgesehen ist. Aktuell setzen wir in der Regel keine automatisierten Einzelentscheidungen ein, die für betroffene Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

12. Meldung von Datensicherheitsverletzungen (Data Breach)

Wir verfügen über Prozesse zur Erkennung, Untersuchung, Behebung und Dokumentation von Datensicherheitsverletzungen. Soweit gesetzlich erforderlich, melden wir relevante Datensicherheitsverletzungen an die zuständige Aufsichtsbehörde und informieren betroffene Personen.

Bei Auftragsbearbeitung informieren wir unsere Kunden ohne unnötige Verzögerung, wenn wir eine Datensicherheitsverletzung feststellen, die Kundendaten betrifft.

13. Bewerbungen und Mitarbeitendendaten

Wenn Sie sich bei uns bewerben oder bei uns angestellt sind, bearbeiten wir Personendaten für die Durchführung des Bewerbungs- bzw. Arbeitsverhältnisses, für Administration, Lohn-/Sozialversicherung, Compliance und IT-Sicherheit. Ein separates HR-Datenschutzmerkblatt stellen wir bei Bedarf oder im Bewerbungsprozess ergänzend zur Verfügung.

14. Minderjährige

Unsere Dienste richten sich grundsätzlich an Unternehmen/Erwachsene. Personen unter 16 sollen unsere Dienste nicht ohne Zustimmung einer erziehungsberechtigten Person nutzen, soweit dies nach anwendbarem Recht erforderlich ist.

15. Compliance, Audit und Verträge

• Wir führen – soweit gesetzlich erforderlich bzw. organisatorisch sinnvoll – ein Verzeichnis von Bearbeitungstätigkeiten und dokumentieren Sicherheitsmassnahmen sowie relevante Incidents. Kundenspezifische Nachweise, Sicherheitsfragebögen, Prüfungen oder Audits erbringen wir nach vorgängiger Abstimmung und, soweit nicht gesetzlich zwingend oder durch ein von uns verursachtes Ereignis ausgelöst, gegen separate Vergütung.
• Mit Kunden schliessen wir bei Bedarf eine Vereinbarung zur Auftragsbearbeitung (AVV/DPA).
• Mit Unterauftragsbearbeitern schliessen wir entsprechende Verträge inkl. TOM und – falls nötig – Transferinstrumente (z.B. SCC).

16. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung aktualisieren, z.B. bei Rechtsänderungen oder Produktanpassungen. Die aktuelle Version wird unter /datenschutzerklaerung veröffentlicht. Wesentliche Änderungen kommunizieren wir angemessen.

17. Haftungsausschluss / Haftungsbeschränkung (soweit zulässig)

Diese Datenschutzerklärung beschreibt die Datenbearbeitung nach bestem Wissen. Wir übernehmen keine Garantie, dass externe Dienste (z.B. Websites Dritter, verlinkte Anbieter) jederzeit gleich funktionieren oder deren Inhalte unverändert bleiben. Gesetzliche Haftungsbestimmungen bleiben vorbehalten.