Datenschutzerklärung

A. Allgemeines
1. Verantwortlicher
2. Anwendbares Datenschutzrecht
3. Kategorien von Personendaten und Aufbewahrungsdauer

B. Website, Login und Webanalyse
4. Websitebetrieb (Hosting, Logfiles)
5. Cookies, Login und technische Notwendigkeit (Organisations-Code / Organisations-ID)
6. Webanalyse mit Google Analytics

C. Meldestelle / Meldezugänge
7. Meldestelle.help und weitere Meldezugänge (Entgegennahme & Bearbeitung von Meldungen)
7.1 Zwecke
7.2 Vertraulichkeit und Anonymität
7.3 Datenarten (je nach Inhalt der Meldung)
7.4 Zugriffs- und Berechtigungskonzept
7.5 Aufbewahrung und Löschung
7.6 Hinweis zur Informationspflicht gegenüber Dritten (Schutz von Hinweisgebern)
7.7 Rollen und Verantwortlichkeiten (Kundenmandate)

D. Dienstleister und Auslandbekanntgaben
8. Empfänger, Dienstleister und Auftragsbearbeitung (ABV/DPA)
9. Bekanntgabe ins Ausland / Drittlandtransfers

E. Datensicherheit und Betroffenenrechte
10. Datensicherheit
11. Rechte betroffener Personen
12. Kontaktformulare – Hinweis „zur Kenntnis genommen“

F. Änderungen
13. Änderungen

1. Verantwortlicher

Consartis GmbH Obere Burghalde 16 8225 Siblingen, Schweiz
E-Mail: info@consartis.ch Telefon: +41 79 695 11 00
CHE-158.813.245 MWST

2. Anwendbares Datenschutzrecht

Wir bearbeiten Personendaten primär nach dem Schweizer Datenschutzgesetz (DSG) und der Datenschutzverordnung (DSV). Soweit im Einzelfall zusätzlich die DSGVO anwendbar ist (z.B. weil sich betroffene Personen in der EU befinden), beachten wir deren Anforderungen ebenfalls.

3. Kategorien von Personendaten und Aufbewahrungsdauer

Je nach Nutzung unserer Angebote bearbeiten wir insbesondere:
• Nutzungs- und Zugriffsdaten (z.B. IP-Adresse, Zeitstempel, aufgerufene Seiten, Geräte-/Browserinformationen),
• Authentifizierungs- und Sicherheitsdaten (z.B. Benutzername, Organisations-ID/Organisations-Code, Login-Zeitpunkte, Sitzungs-/Token-Informationen),
• Kommunikationsdaten (z.B. Name, E-Mail, Telefon, Inhalt von Anfragen),
• Meldedaten im Rahmen von Meldungen (siehe Ziff. 7),
• Kunden- und Vertragsdaten (Kontaktpersonen bei Auftraggebern, Projekt-/Mandatsdaten).
Hinweis zur Aufbewahrungsdauer: Kunden-, Vertrags- und buchhaltungsrelevante Kommunikationsdaten bewahren wir nach Beendigung der Vertragsbeziehung gemäss den gesetzlichen Aufbewahrungsfristen (Obligationenrecht) in der Regel für 10 Jahre auf. Zu den Löschfristen von Logfiles und Meldedaten siehe Ziffer 4 und Ziffer 7.5.

4. Websitebetrieb (Hosting, Logfiles)

Unsere Websites werden bei einem Schweizer Hosting-Provider auf Servern in der Schweiz betrieben. Beim Zugriff auf unsere Websites können technisch bedingt Server-Logfiles anfallen (z.B. IP-Adresse, Datum/Zeit, aufgerufene Seite, Statuscodes), um:
• die Website bereitzustellen,
• Stabilität und Sicherheit zu gewährleisten,
• Fehler zu analysieren,
• Missbrauch und Angriffe zu erkennen/abzuwehren.
Speicherdauer: Logfiles werden grundsätzlich nur so lange aufbewahrt, wie dies für Betrieb und Sicherheit erforderlich ist, ausser wenn sicherheitsrelevante Ereignisse oder gesetzliche Pflichten eine längere Aufbewahrung erfordern.

5. Cookies, Login und technische Notwendigkeit (Organisations-Code / Organisations-ID)

Wir verwenden technisch notwendige Cookies und ähnliche Technologien, soweit diese für den sicheren Betrieb unserer Plattformen erforderlich sind, insbesondere für:
• Login und Session-Steuerung (z.B. Aufrechterhaltung der Sitzung nach Anmeldung),
• Authentifizierung (Benutzername/Organisations-ID und Organisations-Code in Kombination mit Passwort; technisch über Sitzungstoken umgesetzt),
• Sicherheitsfunktionen (z.B. Schutz vor unbefugten Zugriffen, Missbrauchserkennung).
Dabei kann auch die IP-Adresse verarbeitet werden, insbesondere zur Sicherheitsprüfung, zur Abwehr von Angriffen und zur Gewährleistung eines korrekten und sicheren Login-Betriebs. Sie können Cookies über Ihre Browser-Einstellungen löschen oder blockieren. Beachten Sie, dass Login- und geschützte Bereiche dann ggf. nicht oder nicht korrekt funktionieren.

6. Webanalyse mit Google Analytics

Wir nutzen – je nach Website/Bereich – Google Analytics zur statistischen Auswertung der Nutzung, um Inhalte und Benutzerführung zu verbessern.
Google Analytics verwenden wir grundsätzlich nur auf öffentlich zugänglichen Informationsseiten (insbesondere auf consartis.ch). In den Eingabe- und Fallbearbeitungsbereichen der Meldezugänge (z.B. Meldeformular, Fallkommunikation, Login-Bereiche) setzen wir kein Tracking ein bzw. trennen diese Bereiche technisch so, dass die Vertraulichkeit und Anonymität gewahrt bleibt.
Sie können die Nutzung von Analyse-Technologien über die Cookie-Einstellungen (falls vorhanden) steuern oder über die Einstellungen Ihres Browsers einschränken.

7. Meldestelle.help und weitere Meldezugänge (Entgegennahme & Bearbeitung von Meldungen)

7.1 Zwecke

Wenn Sie über unsere Meldezugänge eine Meldung einreichen oder mit uns im Rahmen eines Falles kommunizieren, bearbeiten wir Personendaten, um:
• Meldungen entgegenzunehmen, zu dokumentieren und zu prüfen,
• den Sachverhalt abzuklären (ggf. Rückfragen, Gespräche),
• Lösungswege und Vorgehen zu erarbeiten,
• eine von Ihnen gewünschte Weitergabe/Intervention vorzubereiten,
• die Vertraulichkeit, Integrität und Sicherheit des Meldeprozesses sicherzustellen.

7.2 Vertraulichkeit und Anonymität

• Anonyme Meldungen: Anonyme Meldedaten verlassen den Server in der Schweiz nicht. Wir erhalten ggf. eine E-Mail-Information, dass eine neue Meldung eingegangen ist; diese Benachrichtigung enthält keinen Meldungsinhalt und keine Angaben zur Identität der meldenden Person.
• Weitergabe an Dritte (z.B. Auftraggeber/Institutionen): Eine Weiterleitung von personenbezogenen Angaben erfolgt nur, wenn die meldende Person dies ausdrücklich wünscht bzw. freigibt. Es gibt keine automatische Meldung an Dritte. Eine Weitergabe kann nur erfolgen, wenn wir hierzu gesetzlich verpflichtet sind (z.B. behördliche/gerichtliche Anordnung).

7.3 Datenarten (je nach Inhalt der Meldung)

Meldungen können – je nachdem, was Sie mitteilen – beinhalten:
• Angaben zur meldenden Person (optional), Kontaktmöglichkeiten,
• Sachverhaltsangaben, Zeit/Ort, Beteiligte, Anhänge/Belege,
• Angaben über weitere Personen (z.B. beschuldigte/benannte Personen, Zeugen),
• Kommunikations- und Verlaufsdaten im Rahmen der Fallbearbeitung.
Je nach Thema können auch besonders schützenswerte Personendaten enthalten sein. Bitte übermitteln Sie solche Daten nur, soweit dies für die Meldung und Bearbeitung erforderlich ist.

7.4 Zugriffs- und Berechtigungskonzept

Der Zugriff erfolgt nach dem Need-to-know-Prinzip und ist rollenbasiert. Coaches haben nur Zugriff auf jene Kunden, bei denen sie aktiv eingebunden sind; andere Kundenbereiche sind technisch gesperrt. Geschützte Zugänge sind u.a. durch Zwei-Faktor-Authentisierung abgesichert.

7.5 Aufbewahrung und Löschung

Meldedaten werden grundsätzlich spätestens 12 Monate nach Abschluss einer Meldung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder überwiegende schutzwürdige Gründe im Einzelfall eine längere Aufbewahrung rechtfertigen (z.B. zur Rechtsdurchsetzung/-verteidigung).

7.6 Hinweis zur Informationspflicht gegenüber Dritten (Schutz von Hinweisgebern)

Werden im Rahmen einer Meldung Personendaten über Drittpersonen (z.B. beschuldigte Personen oder Zeugen) bearbeitet, kann die Information dieser Personen nach Art. 20 DSG aufgeschoben, inhaltlich beschränkt oder ausnahmsweise unterlassen werden, soweit und solange dies zur Wahrung der Vertraulichkeit bzw. Anonymität der meldenden Person sowie zum Schutz überwiegender Interessen der meldenden Person oder anderer Dritter erforderlich ist.

7.7 Rollen und Verantwortlichkeiten (Kundenmandate)

Für den technischen Betrieb unserer Plattformen (z.B. Hosting, Betriebssicherheit, Logdaten) handeln wir als Verantwortlicher. Soweit wir Meldedaten im Rahmen eines Kundenmandats bearbeiten, handeln wir in der Regel als Auftragsbearbeiter im Auftrag des jeweiligen Auftraggebers (Kunden). In diesen Fällen ist der Auftraggeber primärer Ansprechpartner für die datenschutzrechtliche Information und die Geltendmachung von Betroffenenrechten; wir unterstützen den Auftraggeber im Rahmen der vereinbarten Auftragsbearbeitung (DPA/AVB).

8. Empfänger, Dienstleister und Auftragsbearbeitung (ABV/DPA)

Wir setzen – soweit erforderlich – Dienstleister ein, die Personendaten in unserem Auftrag bearbeiten (z.B. Hosting, technische Betreuung, IT-Sicherheit, Kommunikations- und Produktivitätstools). Mit solchen Dienstleistern schliessen wir – sofern es sich um Auftragsbearbeitung handelt – Auftragsbearbeitungsverträge (ABV/DPA) ab und verpflichten sie zu Vertraulichkeit und angemessenen Sicherheitsmassnahmen.
Typische Dienstleister (je nach Angebot/Bereich) sind insbesondere:
– Hosting/Serverbetrieb mit Serverstandort Schweiz. 
– Die Rechenzentren sind nach ISO 27001 zertifiziert und erfüllen die Richtlinien der Eidgenössischen Finanzmarktaufsicht (FINMA).
– Technische Website-Betreuung/Wartung (Schweiz).
– IT-Sicherheits- und Produktivitätsdienste: Microsoft (z.B. Microsoft Defender for Business/EDR; je nach Konfiguration Verarbeitung in CH/EU/EWR).
– Webanalyse: Google (Google Analytics) auf öffentlich zugänglichen Informationsseiten (nicht in Melde-Kernbereichen).
– KI-Assistenz: OpenAI Business mit DAP (ChatGPT Business EU und evtl. USA).
Weitere Dienstleister können je nach Bedarf beigezogen werden (z.B. für Support/Telekommunikation).
KI-Assistenz (ChatGPT Business): Wir nutzen KI-Assistenz ausschliesslich für interne Zwecke und nur auf Basis eines abgeschlossenen Auftragsbearbeitungsvertrags (DPA) sowie unter geeigneten organisatorischen und technischen Schutzmassnahmen.
Automatisierte Einzelentscheidungen und Profiling: Wir verzichten auf unseren Plattformen auf eine ausschliesslich automatisierte Entscheidungsfindung, die rechtliche Wirkungen entfaltet, sowie auf ein Profiling mit hohem Risiko. Die eingesetzte KI-Assistenz dient rein der Unterstützung und Textaufbereitung; die inhaltliche Beurteilung und finale Entscheidung erfolgt stets durch Menschen.

9. Bekanntgabe ins Ausland / Drittlandtransfers

Grundsätzlich achten wir auf eine Datenbearbeitung in der Schweiz. Je nach eingesetzten Tools (z.B. Google Analytics, OpenAI) können Personendaten jedoch auch in Mitgliedstaaten der EU bzw. des EWR (insbesondere Irland und Deutschland) sowie in die USA übermittelt werden.
Erfolgt eine Datenübermittlung in ein Land ohne angemessenes Datenschutzniveau (z.B. USA), sichern wir – soweit erforderlich – ein angemessenes Schutzniveau durch vertragliche Garantien (insbesondere Auftragsbearbeitungsverträge (ABV/DPA), ggf. Standarddatenschutzklauseln (SCC)) sowie zusätzliche technische und organisatorische Massnahmen (insb. Verschlüsselung, Zugriffsbeschränkungen, Protokollierung) ab. In Ausnahmefällen kann eine Übermittlung auch ohne solche Garantien erfolgen, sofern die gesetzlichen Voraussetzungen erfüllt sind (z.B. Einwilligung durch den Kunden, AGB- oder Vertragsdefinitionen). Auf Anfrage informieren wir über die verwendeten Garantien bzw. stellen eine Kopie zur Verfügung.

10. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, insbesondere:
• verschlüsselte Übermittlung (TLS),
• Zwei-Faktor-Authentisierung für relevante Zugänge,
• rollenbasierte Zugriffskontrollen / Mandantentrennung,
• Sicherheitsüberwachung (u.a. Endpoint Detection & Response),
• interne Vertraulichkeitsvorgaben.

11. Rechte betroffener Personen

Sie haben – abhängig vom anwendbaren Recht und der konkreten Situation – insbesondere das Recht auf:
• Auskunft darüber, ob und welche Personendaten wir von Ihnen bearbeiten,
• Berichtigung unrichtiger oder unvollständiger Daten,
• Löschung/Vernichtung oder Einschränkung der Datenbearbeitung,
• Widerspruch gegen bestimmte Datenbearbeitungen,
• Herausgabe der uns von Ihnen bereitgestellten Personendaten in einem gängigen elektronischen Format oder deren Übertragung an einen anderen Verantwortlichen (Datenportabilität),
• Widerruf einer Einwilligung (für die Zukunft), sofern eine Bearbeitung darauf gestützt wurde.
Begehren richten Sie bitte an: info@consartis.ch.
Beschwerderecht: Sie haben zudem das Recht, beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, eine Datenschutzbeschwerde einzureichen.

12. Kontaktformulare – Hinweis „zur Kenntnis genommen“

Wenn wir Kontaktformulare einsetzen, kann eine Checkbox verwendet werden, wonach Sie die Datenschutzerklärung „zur Kenntnis genommen“ haben. Diese Checkbox dient der Transparenz/Bestätigung der Kenntnisnahme und ersetzt keine gesonderte Einwilligung für separate Zwecke (z.B. Marketing).

Consartis kann diese Datenschutzerklärung bei Bedarf anpassen. Es gilt die jeweils aktuelle Version auf unseren Websites.