Was wir verarbeiten.
Warum, wie lange.

§ 1.1 Welche Daten und aus welchen Quellen

Wir bearbeiten in erster Linie Personendaten, die Sie uns direkt übermitteln (z. B. wenn Sie uns kontaktieren, unsere Website besuchen, einen Vertrag abschliessen oder unsere Dienstleistungen nutzen). Unter Umständen erhalten wir Personendaten auch von Dritten. Folgende Kategorien:

• Personenstammdaten, z. B. Name, Adresse, Geburtsdatum
• Kontaktdaten, z. B. E-Mail-Adresse, Telefonnummer
• Finanzdaten, z. B. Kontodaten oder Rechnungsinformationen
• Online-Kennungen, z. B. IP-Adressen (gekürzt nach 24 h), Cookies, Geräte-IDs
• Standort- oder Verkehrsdaten bei Telefonie-Verträgen
• Ton- und Bildaufnahmen nur in Ausnahmefällen (z. B. opt-in Anrufaufzeichnung in Telefonie-Mandaten)
• Besonders schützenswerte Daten, sofern im Einzelfall für die Erbringung unserer Leistungen notwendig (z. B. Gesundheitsdaten, nur bei ausdrücklicher Einwilligung)

§ 1.2 Rechtsgrundlagen

Je nach Situation stützen wir uns auf folgende Rechtsgrundlagen:

1. Ihre Einwilligung, z. B. bei Newsletter-Anmeldung oder Matomo-Analytics-Aktivierung im Cookie-Banner
2. Vertragserfüllung oder vorvertragliche Massnahmen, Art. 31 Abs. 2 lit. a revDSG / Art. 6 Abs. 1 lit. b DSGVO
3. Berechtigte Interessen, Sicherheit unserer IT-Systeme, Betrugsabwehr (Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. f DSGVO), sofern Ihre Interessen nicht überwiegen
4. Gesetzliche Verpflichtungen, Aufbewahrungspflichten aus Art. 958f OR (10 Jahre für Geschäftsbücher) oder behördliche Meldepflichten

§ 1.3 Einwilligung widerrufen

Sofern Sie uns eine Einwilligung zur Datenbearbeitung erteilt haben, können Sie diese jederzeit widerrufen, indem Sie uns eine E-Mail an [email protected] senden. Der Widerruf berührt die Rechtmässigkeit der zuvor erfolgten Bearbeitungen nicht.

Für Matomo-Analytics können Sie Ihre Einwilligung über den Cookie-Banner jederzeit erneut anpassen, siehe /cookie-richtlinie.

§ 1.4 Weitergabe an Dritte

• Auftragsbearbeiter: Wir können zur Erbringung unserer Leistungen Drittanbieter beiziehen (Hosting, Buchhaltung, Zahlungsabwicklung). Diese Dritten sind vertraglich verpflichtet, den Datenschutz einzuhalten und dürfen Ihre Daten nur so bearbeiten, wie wir es selbst tun dürften. Vollständige Sub-Processor-Liste unter /auftragsverarbeitung.
• Behörden: Falls gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich, geben wir Daten an Behörden oder Gerichte weiter, niemals als Default-Routine.
• Nicht weitergegeben: Wir verkaufen oder vermieten Personendaten nicht an Werbe-Netzwerke, Daten-Broker oder Marketing-Plattformen.

§ 1.5 Weitergabe ins Ausland

Wir planen Systeme standardmässig mit Datenhaltung in der Schweiz und im EWR. Primäre Server-Standorte sind Hetzner Falkenstein (DE), optional Hetzner Helsinki (FI) für Failover, beides EU-Standorte mit angemessenem Datenschutzniveau (ISO 27001:2022 + BSI C5 Type 2).

Wo US-Anbieter oder international tätige Anbieter technisch beteiligt sind (Cloudflare für DNS/DDoS, Microsoft Ireland für M365-Mandate, Stripe IE/US für mandatsbezogene Zahlungsabwicklung), dokumentieren wir Rolle, Region, Rechtsgrundlage, Schutzmassnahmen (SCC v2021 + Swiss-Addendum, ggf. TIA) im Subprozessoren-Verzeichnis. Ist ein angemessenes Schutzniveau nicht gewährleistet und das Risiko zu hoch, ergreifen wir zusätzliche technische Schutzmassnahmen oder sehen von einer Übermittlung ab.

§ 1.6 Speicherdauer

Wir speichern Ihre Personendaten nur so lange, wie erforderlich, um die Zwecke zu erfüllen, für die sie erhoben wurden, oder wie gesetzliche Aufbewahrungsfristen vorsehen:

• Anfragen ohne Vertrag: 6 Monate
• Vertragsdaten / Geschäftsbücher / Buchungsbelege: 10 Jahre nach Vertragsende (Art. 958f OR)
• Server-Logs: 14 Tage · IP gekürzt nach 24 h
• Newsletter (geplant für Q3 2026): bis Abmeldung · max. 12 Monate inaktiv. Versand über die Microsoft Graph API aus dem SYSINFRA-M365-Tenant, Subscriber-Liste auf Hetzner-Infrastruktur (DE), kein Drittanbieter- Newsletter-Service (kein Mailchimp, Brevo, Mailgun, Listmonk). Microsoft ist als Subprozessor in der AVV-Liste bereits aufgeführt, keine zusätzliche Datenweitergabe.
• Backups: gemäss Kunden-Retention (typ. 30 / 90 / 365 Tage)
• Matomo-Analytics: aggregierte Daten max. 13 Monate (gemäss Industrie-Standard für anonymisierte Analytics)

§ 1.7 Wie wir Ihre Daten schützen

Wir treffen angemessene technische und organisatorische Sicherheitsmassnahmen zum Schutz Ihrer Daten vor Verlust, Zugriff, Missbrauch oder Änderungen:

• Transport-Verschlüsselung: TLS 1.3 mit HSTS-Preload auf allen Public-Endpoints
• Storage-Verschlüsselung: LUKS-Disk-Encryption auf Server-Storage
• Backup-Verschlüsselung: age-Encryption mit Schlüssel beim Kunden (Zero-Knowledge-Pattern)
• Zugriffskontrolle: Hardware-FIDO2 für Admin-Zugänge, TOTP für Standard-User, Need-to-know-Prinzip
• Vertragsverpflichtungen: Vertragspartner und Subprozessoren sind vertraglich auf Vertraulichkeit verpflichtet

Detaillierte Sub-Processor-Liste mit Zertifizierungen liegt im Auftragsverarbeitungs-Vertrag bei.

§ 1.8 Ihre Rechte

• Auskunft, Sie können jederzeit Auskunft über Ihre bei uns gespeicherten Daten verlangen
• Datenherausgabe, Sie haben das Recht, Ihre Daten in einem gängigen Format zu erhalten, sofern die Bearbeitung auf Ihrer Einwilligung oder im Rahmen eines Vertrags erfolgt und automatisiert ist
• Berichtigung / Löschung, Sie können jederzeit die Berichtigung oder Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungs- oder Erlaubnistatbestände entgegenstehen
• Widerspruch / Widerruf, Soweit wir Daten auf Basis unserer berechtigten Interessen bearbeiten, können Sie widersprechen. Bei Einwilligungen können Sie diese jederzeit widerrufen
• Beschwerde, Sie haben das Recht, eine Meldung beim EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) einzureichen

Bitte richten Sie Ihre Anfragen zusammen mit einem Identitätsnachweis an [email protected]. Wir antworten binnen 30 Tagen, in der Regel deutlich schneller.

§ 1.9 Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung jederzeit anpassen, etwa wenn neue Dienste eingeführt werden oder sich gesetzliche Vorgaben ändern. Massgebend ist jeweils die auf sysinfra.ch veröffentlichte aktuelle Fassung. Wesentliche Änderungen werden im Legal-Hub als Versions-Eintrag vermerkt.

§ 1.10 Hetzner Online GmbH, Server-Hosting

Unsere Server-Infrastruktur läuft bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland), Standorte Falkenstein (DE) und Helsinki (FI). Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist abgeschlossen. Zertifizierungen: ISO 27001:2022 und BSI C5 Type 2. Verarbeitung dieser Hosting-Schicht erfolgt in der EU/EWR.

§ 1.11 Cloudflare, CDN, DDoS-Schutz, WAF

Wir nutzen Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) als CDN-, WAF- und DDoS-Schutz-Provider. TLS wird am Cloudflare-Edge terminiert und per Full (Strict) TLS zum Origin weitergeführt. Je nach aktivierter Schutzfunktion können HTTP-Metadaten (Header, IP-Adresse, URL, User-Agent) und Request-/Response-Inhalte zur Angriffserkennung verarbeitet werden. Eine Inspektion durch Cloudflare ist technisch möglich; wir konfigurieren Routen, Funktionen und Logging-Tiefe bewusst und dokumentieren das pro Mandat.

Sensible Routen (Kundenportal-API, Auth-Flows) werden separat konfiguriert, entweder ohne Cloudflare-Proxy (DNS-only) oder über dedizierte Routings mit eingeschränktem Funktions-Set. Die genaue Routenkonfiguration ist Bestandteil der Sicherheitsdokumentation pro Mandant.

AVV mit SCC v2021 + Swiss-Addendum abgeschlossen. CDN bevorzugt EU-PoPs (DE/IT). Details und Alternativen (z. B. reiner Origin-Betrieb ohne CDN, Bunny-CDN als Fallback) dokumentieren wir im AVV und im Subprozessoren-Verzeichnis.

§ 1.11a Stripe Payments Europe, Ltd.. Zahlungsabwicklung (nur bei Mandat)

Für mandatsbezogene Zahlungs- und Billing-Funktionen (Karten-, SEPA-, Wallet-Zahlungen) nutzen wir die Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) als europäische Vertragspartei sowie die Stripe, Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, USA) als Konzern-Mutter.

Karten- und Konto-Daten werden direkt vom Nutzer-Browser an Stripe übermittelt und berühren unsere Server nicht (PCI-DSS-Scope-Reduktion via Stripe Elements / Checkout). Wir erhalten nur den Transaktions-Status, eine Pseudonym-Referenz und ggf. die Last-4 der Zahlart.

EU-DPA + SCC v2021 + Swiss-Addendum sind abgeschlossen. Stripe ist nach PCI-DSS Level 1 zertifiziert. Drittlandtransfer in die USA durch SCC + TIA abgesichert, Schweizer Angemessenheitsbeschluss (Stand Data Privacy Framework) wird laufend evaluiert. Stripe wird nur dann aktiviert, wenn der Mandant Zahlungsfunktionen ausdrücklich bestellt. Details im Subprozessoren-Verzeichnis.

§ 1.12 Matomo Analytics, selbst-gehostet

Wir nutzen Matomo Analytics (Open-Source-Webanalyse) auf einer SYSINFRA-eigenen Hetzner-VM in Falkenstein. Datenschutzfreundliche Konfiguration:

• IP-Anonymisierung aktiv (letzte Bytes vor Speicherung entfernt)
• Keine Drittweitergabe, Daten bleiben bei SYSINFRA
• Kein Cross-Site-Tracking, keine Fingerprinting-Skripte
• DNT-Header (Do-Not-Track) wird automatisch respektiert
• Opt-in via Cookie-Banner, Matomo lädt nur nach Ihrer Zustimmung
• Aggregierte Page-Views maximal 13 Monate gespeichert

§ 1.13 Amelia · WordPress-Backend (Booking-Engine)

Für Online-Terminbuchungen und Booking-Workflows nutzen wir Amelia (WordPress-Plugin der TMS Plugins). Amelia läuft auf einer SYSINFRA-eigenen WordPress-Instanz als Hidden-Backend (Booking-Engine ohne öffentliches WordPress-Frontend), die WordPress-Instanz ist selbst gehostet auf Hetzner-Infrastruktur in Falkenstein DE.

Bei einer Buchung werden Ihr Name, Ihre E-Mail-Adresse und ggf. Ihre Telefonnummer erfasst. Die Daten verbleiben innerhalb der SYSINFRA-Hetzner-Infrastruktur (EU/EWR, ISO 27001:2022 + BSI C5 Type 2) und werden nicht an Dritte weitergegeben. WordPress als CMS-Engine: Automattic Inc. (60 29th Street #343, San Francisco, CA 94110, USA), nur als Open-Source-Software-Lieferant, kein Datenfluss zu Automattic.

§ 1.14 Cloudflare Turnstile, Bot-Schutz

Zum Schutz unserer Formulare (Kontakt, Anfragen) vor automatisierten Spam-Angriffen nutzen wir Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Turnstile ist die datenschutzfreundliche Alternative zu Google reCAPTCHA: kein User-Tracking, keine personenbezogenen Cookies.

Zur Bot-Erkennung wertet Turnstile technische Browser-Signale (User-Agent, Browser-API-Verfügbarkeit) aus, keine Maus-Bewegungen, kein Browse-Verhalten, kein Cross-Site-Tracking. Die Datenverarbeitung erfolgt auf Basis berechtigten Interesses (Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. f DSGVO), Schutz vor Spam und Missbrauch. Drittland-Übermittlung: SCC v2021 + Swiss-Addendum.

§ 1.14a WhatsApp Business · ad-hoc Direkt-Kontakt

Auf /kontakt bieten wir den Direkt-Link wa.me/41555528330 zu unserer geschäftlichen WhatsApp-Business-Nummer an. Wir betten kein WhatsApp-Widget in die Website ein, der Link wird erst durch Ihren aktiven Klick aufgerufen, danach öffnet sich die WhatsApp-App oder web.whatsapp.com bei Meta Platforms Ireland Limited / Meta Platforms, Inc. (USA).

Inhalt und Metadaten Ihrer dortigen Konversation (Telefonnummer, Profilname, Nachrichten, Versandzeiten) werden von Meta verarbeitet, nicht als Auftragsverarbeitung im Auftrag von SYSINFRA, sondern auf Basis Ihrer Nutzung des Meta-Dienstes (siehe Meta-Datenrichtlinie). Wir haben mit Meta keinen AVV; Meta ist deshalb nicht in unserer Subprozessoren-Liste geführt. Wenn Sie den Datenfluss zu Meta vermeiden wollen, nutzen Sie statt WhatsApp E-Mail oder Telefon.

§ 1.15 Server-Logfiles

Beim Besuch unserer Website werden automatisch erfasst:

• IP-Adresse (gekürzt nach 24 h)
• Datum und Uhrzeit des Zugriffs
• Browsertyp und -version
• Betriebssystem
• Referrer-URL

Diese Daten werden in Server-Logs 14 Tage gespeichert und ausschliesslich zur Abwehr von Angriffen verwendet, danach automatisch gelöscht. Berechtigung: Art. 31 Abs. 1 revDSG / Art. 6 Abs. 1 lit. f DSGVO.

§ 1.16 Cookies & Tracker

Diese Website setzt keine Marketing-, Werbe- oder Profiling-Cookies. Wir verwenden technisch notwendige Cookies und ähnliche Speichertechniken für vier Funktions-Kategorien:

• Funktional · always-on: Session, CSRF-Token, Consent-Storage (localStorage), WordPress-/Amelia-Backend-Session für Termin-Buchungen, Wordfence-Sicherheits-Schutz für das hidden-WordPress-Backend, Cloudflare Turnstile für Formular-Bot-Schutz.
• Statistik · opt-in: Matomo Analytics (selbst-gehostet, IP-Anon, kein Cross-Site, siehe §1.12), optional Cloudflare Browser Insights für Performance-Telemetrie. Lädt nur nach Akzeptieren im Cookie-Banner.
• Marketing · opt-in: Aktuell keine Anbieter aktiv (kein Google AdSense, kein LinkedIn-/Meta-/TikTok-Pixel, kein Cross-Site-Profiling). Sollte sich das ändern, wird die Cookie-Liste vor Aktivierung ergänzt.
• Soziale Medien · opt-in: Vereinzelte YouTube-Embeds in Knowledge-Base-Artikeln. Cookies werden erst bei Klick aufs Video gesetzt; wo möglich im Privacy-Enhanced-Mode (youtube-nocookie.com).

Die vollständige Liste mit Namen, Zweck, Lebensdauer, Anbieter und Opt-in/Opt-out-Status pro Cookie finden Sie in der Cookie-Richtlinie.

§ 1.17 Rechtsdurchsetzung

Sollten Sie der Ansicht sein, dass Ihre datenschutzrechtlichen Ansprüche verletzt werden, können Sie Beschwerde einreichen beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, CH-3003 Bern, oder Ihre Rechte gerichtlich durchsetzen (Gerichtsstand Frauenfeld TG).

Bei Fragen zu dieser Datenschutzerklärung oder allgemein zum Thema Datenschutz kontaktieren Sie uns bitte unter [email protected].