Datenschutzerklärung

Diese Datenschutzerklärung erläutert, welche Personendaten EasyDSG bearbeitet, weshalb, wie lange und wem sie anvertraut werden. Sie gilt für die Website easylpd.ch (und easydsg.ch), für die Plattform unter /app und für die Seiten, welche die Plattform Personen ausserhalb zur Verfügung stellt (Schulungsportal, öffentliche Seite einer Organisation, Fragebogen für Lieferanten, Überprüfung eines Zertifikats, Unterzeichnung eines Dokuments).

Anwendbar sind das Bundesgesetz über den Datenschutz (DSG) und, soweit die Voraussetzungen erfüllt sind, die Datenschutz-Grundverordnung der Europäischen Union (DSGVO).

1. Wer die Daten bearbeitet

Verantwortlicher

Advisorn GmbH, Via Valdani 2, 6830 Chiasso, Schweiz E-Mail: contact@easylpd.ch

Advisorn GmbH ist Verantwortlicher für die Daten der Personen, welche die Website besuchen, ein Konto eröffnen oder ein Abonnement oder eine Beratung erwerben.

Wann EasyDSG Auftragsbearbeiter ist

Alles, was eine Kundenorganisation in der Plattform über andere Personen erfasst (Mitarbeitende, Kunden, Lieferanten, Personen, die ein Recht ausüben, Unterzeichnende eines Dokuments), bearbeitet Advisorn GmbH im Auftrag dieser Organisation, die dafür Verantwortlicher bleibt. In diesen Fällen gilt die Datenschutzerklärung der Organisation, und Anfragen sind an sie zu richten: Erreichen sie uns, leiten wir sie weiter.

2. Welche Daten wir bearbeiten und weshalb

2.1 Besuch der Website

Die Website verwendet keine Tracking-Cookies und keine Analysedienste Dritter. Die Besuche der öffentlichen Seiten zählen wir selbst:

• aufgerufene Seite, Sprache, Herkunftswebsite, allfällige Kampagnen-Kennzeichnungen des Links, auf der Seite verbrachte Sekunden;
• Land und Kanton oder Region, Gerätetyp, Familie des Browsers und des Betriebssystems (nie die vollständige Kennung des Browsers);
• ein aus der IP-Adresse und dem Browser abgeleiteter Code, der jeden Tag ein anderer ist, nur dazu dient, die Besucher eines Tages zu zählen, und es nicht erlaubt, eine Person von einem Tag auf den anderen wiederzuerkennen;
• von der IP-Adresse nur das Netz, also die Adresse ohne ihren letzten Teil, gelöscht nach 30 Tagen. Die vollständige Adresse wird nicht aufbewahrt.

Wer im Browser «Global Privacy Control» oder «Do Not Track» aktiviert hat, wird überhaupt nicht gezählt. Anfragen automatisierter Programme (Suchmaschinen, Dienste der künstlichen Intelligenz, andere Bots) werden mit dem Namen erfasst, den das Programm angibt.

Zweck: verstehen, welche Seiten nützlich sind und woher die Besucher kommen. Rechtsgrundlage: unser berechtigtes Interesse, die Website mit Daten zu verbessern, die keine Person identifizieren.

Statusseite. Die Seite zum Dienststatus (status.easylpd.ch), auf die der Link «Dienststatus» verweist, wird von Better Stack, Inc. betrieben, nicht von uns. Diese Seite lädt eigene Werkzeuge von Better Stack, darunter Google Ads (Google), die Cookies verwenden und die IP-Adresse und die Angaben des Browsers derjenigen erhalten können, die sie öffnen; für diese Daten gilt die Datenschutzerklärung von Better Stack. Der Rest der Website lädt nichts von Better Stack oder Google.

2.2 Selbstbewertung ohne Konto

Die Antworten der kostenlosen Selbstbewertung bleiben im Browser der Person, die sie ausfüllt. Sie gelangen nur auf unsere Server, wenn die Person ein Konto eröffnet und sich entscheidet, sie mitzunehmen. Dasselbe gilt für den öffentlichen MCP-Server (https://easylpd.ch/api/mcp), über den ein KI-Assistent die Selbstbewertung und unsere Leitfäden nutzt: Die Fragen und Antworten, die er erhält, werden nicht gespeichert.

2.3 Konto

• Name, E-Mail-Adresse, Passwort (nur in nicht lesbarer Form aufbewahrt), Stand der Bestätigung der Adresse;
• falls aktiviert: Zwei-Faktor-Authentifizierung, Passkeys, Anmeldung mit Google oder Microsoft (von diesen erhalten wir nur Name und E-Mail-Adresse);
• Anmeldesitzungen: Datum, IP-Adresse und Browser, um das Konto zu schützen und das Beenden der Sitzungen zu ermöglichen;
• Anmeldeversuche, um Missbrauch zu begrenzen;
• Geräte, die Push-Benachrichtigungen angefordert haben.
• die bei der Eröffnung des Kontos akzeptierte Version der Allgemeinen Geschäftsbedingungen, mit dem Datum.

Zweck: den Dienst erbringen und schützen. Rechtsgrundlage: die Erfüllung des Vertrags und unser berechtigtes Interesse an der Sicherheit.

Nutzung der Plattform: für jeden Tag, welche Bereiche (zum Beispiel das Verzeichnis oder die Dokumente) Sie geöffnet haben und wie viele Seiten, nie was Sie dort lesen oder schreiben. Nur das Personal von EasyDSG sieht es, um zu verstehen, was gebraucht wird und was zu verbessern ist. Rechtsgrundlage: unser berechtigtes Interesse, den Dienst zu verbessern.

2.4 Inhalte der Plattform

Daten der Organisation, Antworten der Bewertungen, Massnahmenplan, Verzeichnis der Bearbeitungstätigkeiten, Lieferanten, Ernennungen (Name, E-Mail-Adresse und Aufgabe der ernannten Personen), Einwilligungen und Kenntnisnahmen (Name und E-Mail-Adresse der unterzeichnenden Person, die Antworten, der Tag und die Familie des Browsers und des Systems, mit denen unterzeichnet wurde, nie die IP-Adresse), Dokumente und hochgeladene Dateien, Verletzungen, Datenschutz-Folgenabschätzungen, Begehren betroffener Personen, Aufgaben, Änderungsprotokoll, Benachrichtigungen. Diese Inhalte können Dritte betreffen: Wir bearbeiten sie im Auftrag der Kundenorganisation (Ziffer 1).

Das Personal von Advisorn liest die Inhalte eines Kunden nicht. Dies kann nur eine Beraterin oder ein Berater tun, nur lesend, nachdem der Kunde den Zugriff für eine beschränkte Dauer gewährt hat; jede Einsichtnahme wird im Änderungsprotokoll des Kunden vermerkt, der den Zugriff jederzeit widerrufen kann.

2.5 Abonnement, Rechnungen und Beratung

• Rechnungsdaten (Firma, Adresse, MWST-Nummer), Abonnement und Rechnungen;
• Kartenzahlungen werden von Stripe abgewickelt: Wir sehen und speichern die Kartendaten nicht;
• Beratungsanfragen und Meldungen an den technischen Support, mit den Dateien, die der Kunde beifügt (wie die übrigen Dateien in Zürich aufbewahrt und für ihn und für Advisorn sichtbar), und geleistete Stunden;
• die Buchung eines Kennenlerngesprächs: Sie erfolgt auf der Seite von Cal.com, auf die unsere Schaltflächen mit einem einfachen Link verweisen (auf unserer Website ist nichts von Cal.com eingebettet). Cal.com erhält Name, E-Mail-Adresse und das in der Buchung Geschriebene und übermittelt sie uns, um das Gespräch zu organisieren.

Rechtsgrundlage: die Erfüllung des Vertrags und die gesetzlichen Pflichten zur Aufbewahrung der Geschäftsbücher.

2.6 Unterzeichnung von Dokumenten

Unterschrift in der Plattform. Wenn ein Mitglied ein Dokument unterzeichnet, bewahren wir Name, E-Mail-Adresse, Datum und Uhrzeit, die Art, wie es seine Identität bestätigt hat, und den Hashwert (SHA-256) des unterzeichneten PDF auf.

Einwilligungen und Kenntnisnahmen. Eine Organisation kann Kunden, Eltern oder Mitarbeitende bitten zu bestätigen, dass sie ein Dokument gelesen haben, oder eine Einwilligung zu erteilen. Wer unterzeichnet, erhält von uns per E-Mail den Link und einen 6-stelligen Code; es braucht kein Konto, und wir verwenden keine Cookies. Wir bewahren für die Organisation den unterzeichneten Text, die Antworten, Name und E-Mail-Adresse, den Tag und die Familie des Browsers und des Systems auf. Diese Daten bleiben in Zürich und gehen nicht an BA Scribe.

Unterschrift von Personen ohne Konto. Eine Organisation kann eine externe Person über BA Scribe, einen Dienst der Aletheia Tech Ltd (Vereinigtes Königreich), um ihre Unterschrift bitten. An BA Scribe übermitteln wir Name und E-Mail-Adresse der unterzeichnenden Person, den Titel und den Hashwert des Dokuments. Das Dokument wird nicht übermittelt: Es bleibt in unseren Ablagen in Zürich, und der Browser der unterzeichnenden Person liest es von dort. Während der Unterzeichnung erfasst BA Scribe auch die IP-Adresse und den Browser der unterzeichnenden Person sowie den Zeitpunkt der Überprüfung der E-Mail-Adresse, der Einwilligung und der Unterschrift. Diese Daten werden im Unterschriftsnachweis und im Zertifikat wiedergegeben, das BA Scribe ausstellt und das wir zusammen mit dem Dokument aufbewahren, damit die Organisation die Unterschrift belegen kann. BA Scribe löscht die Personendaten der Unterzeichnenden 30 Tage nach Abschluss der Anfrage.

In beiden Fällen handelt es sich um eine einfache elektronische Signatur, nicht um eine qualifizierte elektronische Signatur.

2.7 Existenznachweise

Für endgültige Dokumente, unterzeichnete Kopien, Unterschriftsnachweise, Schulungszertifikate und Exporte des Dossiers berechnen wir den SHA-256-Hashwert der Datei und lassen ihn über BA Stamp, einen Dienst der Aletheia Tech Ltd, auf öffentlichen Blockchains (Polygon und Bitcoin) verankern. An BA Stamp übermitteln wir nur den Hashwert und einen Dateinamen, der aus dem Titel des Dokuments und der Version besteht, nie den Inhalt und nie den Namen einer Person. Aus einem Hashwert lässt sich nicht auf den Inhalt schliessen. Was auf einer öffentlichen Blockchain eingetragen ist, kann nicht gelöscht werden.

2.8 Seiten für externe Personen

• Schulungsportal: von der oder dem Mitarbeitenden angegebener Name und E-Mail-Adresse, absolvierte Kurse, Punktzahl, Lesebestätigungen der Dokumente. Lädt der Arbeitgeber sie hoch, auch die Liste der Mitarbeitenden (Name und E-Mail-Adresse), die nur dazu dient zu sehen, wer einen Kurs noch nicht absolviert hat, und eine Erinnerung zu senden.
• Überprüfung eines Zertifikats: Wer den auf dem Zertifikat gedruckten Code besitzt, sieht Name, Organisation, Kurs, Punktzahl und Gültigkeit. Die Zertifikate können weder aufgelistet noch gesucht werden.
• Öffentliche Seite und Formular für Begehren: Was die Person in das Formular schreibt, gelangt an die Organisation, an die sie sich wendet.
• Fragebogen für Lieferanten: Die Antworten gelangen an die Organisation, die ihn versandt hat.

Für diese Seiten ist die Organisation Verantwortlicher, die sie verwendet.

2.9 E-Mails und Benachrichtigungen

Wir senden nur Service-E-Mails: Bestätigung der Adresse, Wiederherstellung des Passworts, Einladungen, Erinnerungen an Fristen, Hinweise, Rechnungen. Ein Hinweis meldet, dass etwas eingegangen ist, und verweist auf die Plattform: Die Daten bleiben hinter der Anmeldung, mit Ausnahme der Rechnung, die als PDF beigefügt ist. Die E-Mails werden über Brevo versandt, das deren Öffnungen und Klicks anonym zählt, ohne sie mit der empfangenden Person zu verknüpfen: Wir verwenden diese Zählungen nicht. Push-Benachrichtigungen laufen, falls aktiviert, verschlüsselt über den Dienst des Herstellers des Browsers oder des Geräts (Apple, Google, Mozilla, Microsoft), der nur erfährt, dass das Gerät eine Nachricht von uns erhalten hat.

2.10 Kontaktformular

Wer uns über die Kontaktseite schreibt, vertraut uns Name, E-Mail-Adresse, die Organisation, falls angegeben, das Thema und die Nachricht an. Sie erreichen uns per E-Mail über Brevo, und wir bewahren sie im Postfach so lange auf, wie es für die Antwort und die weitere Bearbeitung der Anfrage nötig ist. Rechtsgrundlage: das Interesse, Personen zu antworten, die uns kontaktieren.

3. Cookies und Speicher des Browsers

Wir verwenden nur, was für das Funktionieren des Dienstes nötig ist:

• ein Sitzungscookie, wenn man sich bei der Plattform anmeldet;
• ein Cookie mit der gewählten Sprache;
• im Schulungsportal ein Cookie, das die Identität der oder des Mitarbeitenden nach dem per E-Mail erhaltenen Code für 12 Stunden bestätigt;
• im Speicher des Browsers: das helle oder dunkle Design, der Zustand der Seitenleiste und, vor der Eröffnung eines Kontos, die Antworten der Selbstbewertung.

Keine Werbe- oder Profiling-Cookies. Deshalb holen wir keine Einwilligung ein: Ein kurzer Hinweis auf der Website erklärt dies und verweist auf die Seite zu den Cookies. Namen und Dauer stehen auf der Seite zu den Cookies.

4. Wo die Daten sind und wer sie erhält

Die Daten der Kunden und ihre Sicherungskopien werden in der Schweiz aufbewahrt: die Datenbank in Zürich, die hochgeladenen Dateien in Zürich, die verschlüsselten Sicherungskopien in Genf. Der Code der Anwendung wird in Frankfurt (Deutschland) ausgeführt.

Wir setzen diese Anbieter ein, denen wir nur die für ihre Aufgabe nötigen Daten anvertrauen:

Für die Unterschrift setzt BA Scribe seinerseits Anbieter für die Datenbank, die Ausführung und den Versand des Bestätigungscodes per E-Mail ein.

Bekanntgabe ins Ausland. Die Europäische Union und das Vereinigte Königreich gewährleisten nach dem Bundesrat und der Europäischen Kommission einen angemessenen Datenschutz. In die Vereinigten Staaten werden die Daten nur an Gesellschaften übermittelt, die nach dem Data Privacy Framework zertifiziert sind, oder auf der Grundlage der Standardvertragsklauseln.

Wir verkaufen keine Daten und geben sie nicht an andere bekannt, ausser wo uns das Gesetz dazu verpflichtet.

5. Wie lange

6. Sicherheit

Verschlüsselte Verbindungen, in nicht lesbarer Form aufbewahrte Passwörter, Zwei-Faktor-Authentifizierung und Passkeys für jede Nutzerin und jeden Nutzer, nach Organisation getrennte Daten, Sicherungskopien, die mit einem Schlüssel verschlüsselt sind, der sich nicht auf den Servern befindet, Änderungsprotokoll für jede Organisation. Die hochgeladenen Dateien werden nicht auf Schadsoftware untersucht.

7. Ihre Rechte

Sie können verlangen zu erfahren, welche Daten wir über Sie bearbeiten, eine Kopie davon zu erhalten, sie berichtigen oder löschen zu lassen, ihre Bearbeitung einzuschränken oder ihr zu widersprechen und sie in einem wiederverwendbaren Format zu erhalten. Wer ein Konto hat, findet auf der Seite «Konto» den Export der Daten der Organisation und die Löschung der Organisation und des Kontos.

Schreiben Sie an contact@easylpd.ch: Wir antworten innert 30 Tagen. Wurden Ihre Daten von einer Kundenorganisation erfasst, wenden Sie sich an diese.

Sie können sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), www.edoeb.admin.ch, wenden oder, wenn die DSGVO anwendbar ist, an die Aufsichtsbehörde Ihres Landes.

8. Automatisierte Entscheidungen

Die Punktzahl der Selbstbewertung wird automatisch aus den Antworten berechnet und dient der Organisation nur als Anhaltspunkt: Sie entfaltet gegenüber einer Person keine Rechtswirkungen. Wir betreiben kein Profiling.

9. Änderungen

Wir aktualisieren diese Datenschutzerklärung, wenn sich die Art ändert, wie wir Daten bearbeiten. Das Datum der letzten Aktualisierung ist oben angegeben.