Datenschutzerklärung

Teil B: Applikation (app.agency-atelier.ch)

Verantwortlich für die Bearbeitung von Personendaten in der Applikation app.agency-atelier.ch ist Marcel Heiniger, Einzelunternehmen, handelnd unter der Marke agency-atelier, Ipsachstrasse 1, 2563 Ipsach, Schweiz. Für Anliegen zum Datenschutz erreichen Sie uns unter hello@agency-atelier.com.

Diese Erklärung (Teil B) gilt für die Nutzung der Applikation durch unsere Kundinnen und Kunden und durch die Personen, die sie in ihre Organisation einladen. Für die Website agency-atelier.ch und für die Punkte, die hier nicht geregelt sind (eingesetzte Dienstleister, Datensicherheit, Ihre weiteren Rechte, Beschwerderecht beim EDÖB), gilt ergänzend die Datenschutzerklärung der Website (Teil A): https://agency-atelier.ch/datenschutz/. Für die Applikation geht bei Abweichungen dieser Teil B vor.

B.1 Bearbeitete Daten. Kontodaten (Name, E-Mail-Adresse, Passwort nur als nicht umkehrbarer Hashwert, Angaben zur Zwei-Faktor-Anmeldung), Angaben zur Organisation und zum Vertrag (Firma, Adresse, gewählter Plan, Abonnements- und Zahlungsstatus) sowie die Protokolldaten nach Ziff. B.2. Zahlungen wickelt unser Zahlungsdienstleister Payrexx AG (Schweiz) ab; Kartendaten erhalten wir nicht.

B.2 Änderungsprotokoll (Audit-Log). Jede Transaktion in der Applikation gehört zur Abwicklung des Vertrags. Wir protokollieren deshalb die Operationen, die Sie oder Personen Ihrer Organisation in der Applikation ausführen, insbesondere die Registrierung, Abschluss, Änderung, Kündigung und Reaktivierung des Abonnements, Zahlungen und Rückerstattungen, Einladungen, Rollenänderungen, API-Schlüssel sowie das Zurücksetzen der Organisationsdaten. Ein Eintrag hält fest, wer gehandelt hat (Benutzerkennung oder Art des Akteurs), wann, welche Aktion an welchem Objekt ausgeführt wurde und welche Angaben dabei geändert wurden. Je nach Operation kann er zusätzlich die E-Mail-Adresse der handelnden Person zum Zeitpunkt der Operation, die IP-Adresse und die Browserkennung (User-Agent) enthalten. Vorgänge, die das System selbst auslöst (Meldungen des Zahlungsdienstleisters, zeitgesteuerte Abläufe), werden als Systemvorgänge protokolliert.

Zweck: Nachweis von Abschluss, Inhalt und Abwicklung des Vertrags, Nachvollziehbarkeit der Geschäftsbücher, Sicherheit der Plattform und Abwehr von Missbrauch. Wir verwenden das Protokoll nicht für Werbung, nicht für Profiling und nicht zur Überwachung des Verhaltens von Mitarbeitenden.

Rechtfertigung: Bearbeitung von Daten der Vertragspartnerin im unmittelbaren Zusammenhang mit Abschluss und Abwicklung des Vertrags (Art. 31 Abs. 2 lit. a DSG) und unser überwiegendes Interesse an der Beweissicherung (Art. 31 Abs. 1 DSG), letzteres auch für eingeladene Personen, die nicht selbst Vertragspartei sind. Soweit die DSGVO anwendbar ist: Art. 6 Abs. 1 lit. b und f DSGVO.

Aufbewahrung: 10 Jahre nach Ablauf des Kalenderjahres der Operation, entsprechend der Verjährungsfrist von Art. 127 OR; danach werden die Einträge gelöscht oder anonymisiert. Das gilt auch nach Vertragsende und nach Löschung der Organisation. Die Einträge können nachträglich nicht verändert werden.

Einsicht: Personen mit Administrationsrechten in Ihrer Organisation können das Änderungsprotokoll der Organisation einsehen.

Ihre Rechte: Sie können jederzeit Auskunft über die Sie betreffenden Einträge verlangen. Eine Löschung oder Berichtigung einzelner Einträge vor Ablauf der Frist ist nicht möglich, soweit sie zur Geltendmachung, Ausübung oder Abwehr von Rechtsansprüchen benötigt werden; wir beschränken die Bearbeitung dann auf diesen Zweck und bringen auf Wunsch einen Bestreitungsvermerk an. Ihr Anliegen richten Sie an die oben genannte Adresse.

B.3 Daten Dritter (Auftragsbearbeitung). Personendaten Dritter, die Sie in der Applikation erfassen (z. B. Kontakte, Kundinnen und Kunden, Notizen, Rechnungen, Support-Anfragen), bearbeiten wir als Auftragsbearbeiter ausschliesslich in Ihrem Auftrag und nach Ihren Weisungen; verantwortlich für diese Daten sind Sie. Einen Auftragsbearbeitungsvertrag (AVV) stellen wir Ihnen auf Wunsch zur Verfügung.

Von Ihnen gewählter E-Mail-Anbieter: E-Mails, die Sie aus der Applikation versenden (z. B. Rechnungen, Offerten, Mahnungen), laufen über den E-Mail-Anbieter, den Ihre Organisation selbst gewählt und in den Einstellungen verbunden hat (z. B. Microsoft 365 / Outlook, Google Workspace / Gmail, Cloudflare Email Service, Resend oder Ihr eigener SMTP-Server). Wir übergeben die E-Mails in Ihrem Auftrag an diesen Anbieter. Er bearbeitet sie gestützt auf Ihren eigenen Vertrag mit ihm und ist nicht unser Auftragsbearbeiter. Je nach Anbieter können die E-Mails und ihre Anhänge ausserhalb der Schweiz bearbeitet werden, namentlich in den USA; die Angaben zu unseren eigenen Dienstleistern und zur Datenhaltung in der Schweiz (Teil A) gelten für diesen Anbieter nicht. Für die Wahl des Anbieters und den Vertrag mit ihm, einschliesslich einer damit verbundenen Bekanntgabe ins Ausland, sind Sie verantwortlich. Für die Verbindung speichern wir die nötigen Zugangsdaten (App-Passwort, API-Schlüssel oder Zugriffstoken von Microsoft) verschlüsselt, bei Microsoft zusätzlich die Adresse des verbundenen Postfachs. Wir löschen sie, wenn Sie den Anbieter wechseln oder die Konfiguration löschen; in Datensicherungen bleiben sie bis zu deren turnusmässiger Löschung erhalten. Sie können den Zugriff jederzeit auch direkt beim Anbieter widerrufen.