Datenschutzerklärung – evidona Cloud

Entwurf – juristische Prüfung ausstehend. Massgeblich ist die deutsche Fassung; die englische Fassung ist eine unverbindliche Übersetzung.

Diese Datenschutzerklärung beschreibt, wie wir Personendaten im Rahmen des über *.evidona.ch bereitgestellten Cloud-Dienstes evidona (nachfolgend «Dienst») bearbeiten. Sie gilt ausschliesslich für das Cloud-Angebot. Für den Self-Hosting-Betrieb auf eigener Infrastruktur des Kunden gilt diese Datenschutzerklärung nicht (siehe Ziff. 2 und 7).

1. Verantwortliche Stelle und Datenschutzkontakt

Verantwortliche Stelle für die nachstehend beschriebenen Bearbeitungen ist:

SimplyConnect GmbH, Schulstrasse 2b, 5426 Lengnau, Schweiz (UID CHE-160.031.708), vertreten durch Daniel Baumann (nachfolgend «SimplyConnect», «wir» oder «uns»).

Allgemeiner Kontakt: office@simplyconnect.ch. Datenschutzanfragen: datenschutz@simplyconnect.ch.

Juristische Prüfung: Erfordernis und Benennung eines Datenschutzberaters (revDSG) sowie eines EU-Vertreters bzw. Datenschutzbeauftragten (Art. 27 / Art. 37 DSGVO) abklären.

2. Geltungsbereich und anwendbares Recht

Diese Datenschutzerklärung gilt für die Bearbeitung von Personendaten im Cloud-Dienst evidona. Anwendbar sind das schweizerische Datenschutzgesetz (revDSG) sowie, soweit einschlägig, die Datenschutz-Grundverordnung der EU (DSGVO).

Sie betrifft die folgenden Personen: den Kunden bzw. die Organisation und ihre berechtigten Nutzer (Kontoinhaberinnen und -nutzer) sowie die zur Signatur eingeladenen Unterzeichner und Gast-Unterzeichner.

Vom Self-Hosting ausgenommen: Betreibt der Kunde die Software auf eigener Infrastruktur (Self-Hosting), ist der Kunde alleiniger Verantwortlicher und Betreiber. SimplyConnect ist in diesem Fall ausschliesslich Lizenzgeberin und bearbeitet die dabei anfallenden Personendaten nicht. Es gilt der Lizenzvertrag (Software-Lizenzvertrag), nicht diese Datenschutzerklärung.

3. Kategorien bearbeiteter Daten

Wir bearbeiten im Dienst insbesondere folgende Kategorien von Personendaten:

Kontodaten: Angaben zur Organisation und zu den berechtigten Nutzern (Name, geschäftliche E-Mail-Adresse, Rolle, Anmeldeinformationen und Faktoren der Mehr-Faktor-Authentisierung, Spracheinstellungen).
Hochgeladene Dokumente: die vom Kunden zur Signatur hochgeladenen Dateien und deren Inhalt. Diese werden nur kurz aufbewahrt (siehe Ziff. 6); evidona archiviert die Dokumente nicht.
Im Signaturraum erfasste Unterzeichnerdaten: Name, E-Mail-Adresse (Pflichtangabe) sowie – soweit der Versand eines Einmalcodes (OTP) per SMS gewählt wird – die Telefonnummer des Unterzeichners.
OTP- und Signaturprotokolle: technische Protokolldaten des Signaturereignisses, einschliesslich Zeitpunkt, Zustellung und Bestätigung des Einmalcodes (OTP) sowie IP-Adresse und Geräteangaben (z. B. User-Agent), die zum Zeitpunkt der Signatur erfasst werden.
Beweis-Paket / Nachweis-Datensatz: der je Signaturlauf erzeugte, versiegelte Nachweis mit qualifiziertem Zeitstempel, SHA-256-Integritäts-Hash, Unterzeichner-Metadaten und Signaturprotokoll. Dieser wird längerfristig aufbewahrt (siehe Ziff. 6).
Abrechnungsdaten: Plan, Bestell- und Rechnungsangaben sowie die zur Zahlungsabwicklung erforderlichen Daten (die Zahlungsabwicklung erfolgt über einen externen Zahlungsdienstleister, siehe Ziff. 8).
Künftige Identitätsprüfungsdaten (IDV): für die geplante «rechtliche Dokumentenprüfung» (Identitätsprüfung) werden künftig zusätzliche Identifikationsdaten bearbeitet. Diese Funktion ist noch nicht aktiv; die Einzelheiten werden bei Einführung ergänzt.

Juristische Prüfung: konkrete Datenfelder der künftigen Identitätsprüfung (IDV/KYC) sowie deren Rechtsgrundlage und Aufbewahrung vor Aktivierung festlegen.

4. Zwecke und Rechtsgrundlagen

Wir bearbeiten die Daten zu folgenden Zwecken und auf folgenden Grundlagen:

Bereitstellung des Dienstes (Vertragserfüllung): Verwaltung von Konten und berechtigten Nutzern, Durchführung der Signatur-Abläufe, Einladung und Authentisierung der Unterzeichner sowie Erzeugung des Beweis-Pakets. Grundlage ist die Erfüllung des mit dem Kunden bzw. dem Unterzeichner begründeten Vertrags- bzw. Nutzungsverhältnisses (Art. 31 revDSG; Art. 6 Abs. 1 lit. b DSGVO).
Integrität und Beweissicherung (berechtigtes Interesse): Erzeugung und längerfristige Aufbewahrung des Nachweis-Datensatzes, um die Integrität und die spätere Überprüfbarkeit einer Signatur sicherzustellen. Grundlage ist unser überwiegendes berechtigtes Interesse an einem belastbaren Nachweis (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 revDSG).
Sicherheit und Missbrauchsabwehr (berechtigtes Interesse): Protokollierung, Erkennung und Abwehr von Missbrauch, Betrug und Sicherheitsvorfällen sowie Gewährleistung des sicheren Betriebs. Grundlage ist unser berechtigtes Interesse an Sicherheit und Integrität des Dienstes (Art. 6 Abs. 1 lit. f DSGVO; Art. 31 Abs. 1 revDSG).
Abrechnung (Vertrag und gesetzliche Pflicht): Bearbeitung der Abrechnungs- und Rechnungsdaten zur Vertragsabwicklung sowie zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b und lit. c DSGVO; Art. 31 revDSG i. V. m. den gesetzlichen Pflichten nach OR).

5. Signaturstufe und Beweis-Paket

Die je Signatur erreichte Stufe wird serverseitig bestimmt und im Beweis-Paket festgehalten. evidona verwendet ein ehrliches zweistufiges Modell:

Fortgeschrittene elektronische Signatur (AES): wenn die Signatur durch einen registrierten, authentifizierten berechtigten Nutzer abgegeben wird, der über ein Konto verfügt und sich mit Einmalcode (OTP) bestätigt.
Einfache elektronische Signatur (SES): wenn die Signatur durch einen Gast-Unterzeichner abgegeben wird, der kein Konto besitzt und sich allein über einen per E-Mail oder SMS zugestellten Einmalcode (OTP) bestätigt.

Die geplante «rechtliche Dokumentenprüfung» (Identitätsprüfung) ist als künftige höhere Stufe vorgesehen. evidona bietet keine qualifizierte elektronische Signatur (QES) an und sichert eine solche nicht zu.

Je Signaturlauf wird ein Beweis-Paket erzeugt, das einen qualifizierten Zeitstempel, einen SHA-256-Integritäts-Hash, die Unterzeichner-Metadaten und das Signaturprotokoll umfasst. Es ermöglicht die spätere Überprüfung, dass das Dokument seit der Signatur unverändert ist und von wem es wann signiert wurde. Einzelheiten zur Signaturstufe regeln die AGB und die Einwilligung zur elektronischen Signatur.

Juristische Prüfung: Belastbarkeit der AES-Einstufung (Konto + OTP) nach ZertES/eIDAS sowie datenschutzrechtliche Ausgestaltung der künftigen Identitätsprüfung bestätigen.

6. Aufbewahrung und Löschung

Hochgeladene Dokumente: Der Inhalt hochgeladener und signierter Dokumente wird nach Ablauf einer definierten Frist (Standard: 90 Tage, je Organisation bzw. Plan konfigurierbar) automatisch gelöscht. evidona archiviert die Dokumente nicht. Der Kunde ist dafür verantwortlich, abgeschlossene Dokumente rechtzeitig herunterzuladen und selbst aufzubewahren.
Nachweis-Datensatz / Beweis-Paket: Der Nachweis-Datensatz (SHA-256-Hash, Zeitstempel, Unterzeichner-Metadaten, Signaturprotokoll) wird länger aufbewahrt, um die Integrität einer Signatur dauerhaft überprüfbar zu halten. Er enthält nicht den Inhalt des Dokuments selbst.
Abrechnungsdaten: Rechnungs- und Buchhaltungsdaten werden zur Erfüllung gesetzlicher Aufbewahrungspflichten aufbewahrt (nach Schweizer Obligationenrecht in der Regel rund 10 Jahre).
Kontodaten: Wir bearbeiten Kontodaten für die Dauer des Vertragsverhältnisses und löschen oder anonymisieren sie anschliessend, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Juristische Prüfung: konkrete Aufbewahrungsdauer des Nachweis-Datensatzes sowie die handels-/steuerrechtliche Aufbewahrungsfrist der Abrechnungsdaten (OR, MWSTG) verbindlich festlegen.

7. Auftragsbearbeitung und Rollen

Im Cloud-Betrieb gilt eine geteilte Rollenverteilung:

Vom Kunden hochgeladene Dokumente: Hinsichtlich der Inhalte der hochgeladenen Dokumente und der darin enthaltenen Personendaten handeln wir als Auftragsbearbeiter, der Kunde bzw. die Organisation als Verantwortlicher. Es gilt ergänzend der Auftragsverarbeitungsvertrag (AVV), der die Bearbeitung in unserem Auftrag regelt.
Konto-, Abrechnungs- und Nutzungsdaten sowie Nachweis-Datensatz: Für diese Daten sind wir selbst Verantwortlicher. Den Nachweis-Datensatz führen wir aufgrund unseres eigenen Integritätsinteresses (siehe Ziff. 4 und 6) eigenverantwortlich.

Beim Self-Hosting entfällt diese Rollenteilung: Dort ist der Kunde alleiniger Verantwortlicher und es besteht kein AVV mit SimplyConnect, solange keine Personendaten an die Lizenzgeberin übermittelt werden. Eine künftige, an die Lizenzgeberin angebundene Dokumentenprüfung («phone home») würde insoweit einen Connected-Service-AVV auslösen.

Juristische Prüfung: Abgrenzung Verantwortlicher/Auftragsbearbeiter für den Nachweis-Datensatz sowie Auslösung eines Connected-Service-AVV bei angebundener Self-Hosting-Dokumentenprüfung bestätigen.

8. Auftragsbearbeiter und Empfänger

Zur Erbringung des Dienstes ziehen wir sorgfältig ausgewählte Auftragsbearbeiter bei. Dazu gehören:

Hosting / Infrastruktur: Rechenzentrums- und Hosting-Dienstleister in Deutschland / der EU.
Zahlungsdienstleister: Mollie oder Payrexx (zur Abwicklung der Abrechnung).
E-Mail- und SMS-Versand: Dienstleister für die Zustellung von Benachrichtigungen und Einmalcodes (OTP) per E-Mail und SMS.
Künftiger IDV-/KYC-Anbieter: für die geplante Identitätsprüfung; der Anbieter ist noch nicht ausgewählt und wird vor Einführung benannt.

Wir geben Daten nicht zu eigenen Zwecken Dritter weiter. Eine Offenlegung erfolgt nur an die genannten Auftragsbearbeiter sowie, soweit gesetzlich erforderlich, an zuständige Behörden.

Juristische Prüfung: finale Auswahl und Benennung der Auftragsbearbeiter (Hosting, Zahlungsdienstleister, E-Mail-/SMS-Versand, IDV-Anbieter) sowie deren Aufnahme in das Auftragsbearbeiter-Verzeichnis des AVV.

9. Hosting, Datenstandort und Drittlandübermittlung

Hosting und Datenhaltung erfolgen in Deutschland / der EU (nicht in der Schweiz). Die Übermittlung von Personendaten zwischen der Schweiz und der EU ist durch die gegenseitige Angemessenheit der Datenschutzniveaus gedeckt.

Soweit im Einzelfall eine Übermittlung in ein Land ohne angemessenes Datenschutzniveau erforderlich wird, stützen wir diese auf geeignete Garantien (insbesondere Standardvertragsklauseln / SCC) und ergänzende Massnahmen.

Juristische Prüfung: tatsächliche Hosting-Standorte sowie etwaige Drittlandübermittlungen (Sub-Auftragsbearbeiter) und die dafür erforderlichen Garantien (SCC) bestätigen.

10. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz der Personendaten, insbesondere: Transportverschlüsselung (TLS) bei der Übertragung, Verschlüsselung gespeicherter Daten (Verschlüsselung at rest), rollenbasierte Zugriffskontrolle und Berechtigungsverwaltung, Bestätigung der Identität im Signaturvorgang über Einmalcode (OTP) sowie ein manipulationssicher versiegeltes Beweis-Paket zur Sicherung der Integrität. Wir kontrollieren dabei die Zeitquelle, das Signaturprotokoll und die Integritätsversiegelung.

11. Rechte der betroffenen Personen

Betroffene Personen haben nach Massgabe des anwendbaren Rechts insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenherausgabe bzw. -übertragbarkeit sowie das Recht, einer Bearbeitung zu widersprechen und eine erteilte Einwilligung zu widerrufen.

Anfragen richten Sie bitte an datenschutz@simplyconnect.ch. Betrifft die Anfrage Inhalte vom Kunden hochgeladener Dokumente, leiten wir sie als Auftragsbearbeiter an den verantwortlichen Kunden weiter bzw. handeln auf dessen Weisung (siehe Ziff. 7).

Grenze der Löschung beim Nachweis-Datensatz: Das Recht auf Löschung gilt nicht unbeschränkt. Den Nachweis-Datensatz (Beweis-Paket) bewahren wir auch nach Löschung des Dokumentinhalts auf, da unser berechtigtes Interesse an der dauerhaften Überprüfbarkeit der Integrität einer Signatur sowie gesetzliche Aufbewahrungspflichten der Löschung entgegenstehen.

12. Aufsichtsbehörden

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist in der Schweiz der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Soweit die DSGVO anwendbar ist, kann zusätzlich eine zuständige Datenschutzaufsichtsbehörde in der EU angerufen werden.

Juristische Prüfung: federführende EU-Aufsichtsbehörde (Hosting-Standort Deutschland) bestimmen und benennen.

13. Kinder und Cookies

Der Dienst richtet sich an Organisationen und deren berechtigte Nutzer sowie an eingeladene Unterzeichner und ist nicht für Kinder bestimmt.

Im Dienst setzen wir ausschliesslich technisch notwendige Cookies bzw. Local-Storage-Einträge ein, die für Anmeldung, Sitzung und Sicherheit erforderlich sind. Wir verwenden im Dienst keine Marketing- oder Analyse-Tracker (z. B. Google oder LinkedIn); solche Werkzeuge betreffen ausschliesslich unsere Marketing-Website und werden in deren separater Datenschutzerklärung behandelt.

14. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung mit angemessener Vorankündigung anpassen, etwa bei Änderungen des Dienstes oder der Rechtslage. Massgeblich ist die jeweils aktuelle, im Dienst veröffentlichte Fassung. Massgeblich ist die deutsche Fassung; die englische Fassung ist eine unverbindliche Übersetzung. Stand: siehe Versionsangabe am Seitenende.

← Zur Startseite