Datenschutzerklärung

1Verantwortlicher und Kontakt

Verantwortlich für die Bearbeitung Ihrer Personendaten ist:

E-Mail: contact@vediram.com

Bei Anfragen zum Datenschutz, einschliesslich der Ausübung Ihrer Rechte, wenden Sie sich bitte an privacy@vediram.com.

2Geltungsbereich dieser Erklärung

Diese Datenschutzerklärung beschreibt, wie die Vediram GmbH («Vediram», «wir», «uns») Personendaten erhebt, nutzt, speichert und bekanntgibt im Zusammenhang mit:

• unserer Website unter vediram.com (die «Website»); und
• unseren Softwareprodukten und Dienstleistungen für Unternehmen, einschliesslich Desktop-Anwendungen, Cloud-Plattformen und zugehöriger Werkzeuge (zusammen der «Dienst»).

Diese Erklärung gilt nur für Personendaten natürlicher Personen. Nach dem revidierten Bundesgesetz über den Datenschutz (revDSG), in Kraft seit dem 1. September 2023, gelten Daten, die sich ausschliesslich auf juristische Personen beziehen, nicht als Personendaten und liegen ausserhalb des Geltungsbereichs dieser Erklärung.

Bearbeiten wir Personendaten im Auftrag unserer Unternehmenskunden als Auftragsbearbeiter (etwa Personendaten der Mitarbeitenden unserer Kunden, die im Dienst enthalten sind), so richtet sich diese Bearbeitung nach der Datenschutzerklärung des jeweiligen Kunden. Unsere Pflichten als Auftragsbearbeiter sind in der Vereinbarung zur Auftragsbearbeitung geregelt, die wir mit jedem Kunden abschliessen.

3Personendaten, die wir erheben

3.1 Kontaktformular auf der Website

Wenn Sie das Kontaktformular auf unserer Website verwenden, erheben wir:

• E-Mail-Adresse – um Ihre Anfrage zu beantworten.
• Name (falls angegeben) – um Sie persönlich anzusprechen.
• Inhalt der Nachricht – er kann weitere Personendaten enthalten, die Sie selbst mitteilen.

Wir verwenden diese Daten ausschliesslich, um Ihre Anfrage zu beantworten. Wir versenden aufgrund von Kontaktformular-Eingaben weder Werbe-E-Mails noch Newsletter oder andere unerwünschte Mitteilungen.

3.2 Website-Analyse

Wir setzen Pirsch Analytics ein, einen cookiefreien Webanalysedienst der Emvi Software GmbH (Deutschland), um zu verstehen, wie Besucherinnen und Besucher unsere Website nutzen. Pirsch bildet aus Ihrer IP-Adresse, dem User-Agent Ihres Browsers, dem Datum und einem websitespezifischen Salt einen nicht umkehrbaren Hash. Dieser Hash dient als vorübergehende Besucherkennung, lässt sich nicht auf Sie zurückführen und läuft innert 24 Stunden ab. Ihre IP-Adresse wird nie gespeichert. Auf Ihrem Gerät werden keine Cookies abgelegt. Pirsch bearbeitet diese Daten auf Servern in Deutschland. Dies gilt für unsere Website, unsere Support-Website, unsere Statusseite und unsere Verwaltungskonsole. In der Verwaltungskonsole sind Seiten, deren Adresse eine Datensatzkennung enthält – ein bestimmtes Gerät, Add-in, eine Richtlinie, einen LLM-Katalog oder eine Audit-Sitzung –, von der Analyse ausgenommen, sodass keine Datensatzkennung eines Kunden an Pirsch übermittelt wird.

Wir erheben: Seitenaufrufe, Referrer-URLs, Browsertyp, Betriebssystem, Gerätetyp, Bildschirmauflösung, Land (vor dem Hashing aus der IP-Adresse abgeleitet) und Sitzungsdauer. Keine dieser Angaben identifiziert Sie persönlich.

3.3 Dienstbezogene Daten (Unternehmenskunden)

Nutzen Unternehmenskunden den Dienst, bearbeiten wir zur Erbringung des Dienstes möglicherweise die folgenden Kategorien von Personendaten:

• Benutzerkontodaten: Name, geschäftliche E-Mail-Adresse, Funktion und Rolle in der Organisation der berechtigten Benutzer.
• Authentifizierungsdaten: Token für Single Sign-on (SSO) und Sitzungskennungen, die für den Zugriff auf den Dienst nötig sind.
• Nutzungs- und Telemetriedaten («Dienstdaten»): Kennzahlen zur Systemleistung, Nutzungsmuster der Funktionen, Fehlerprotokolle, Geräte- und Browserangaben sowie Sitzungsdaten – erhoben, um den Dienst zu betreiben, zu warten, abzusichern und zu verbessern. Dienstdaten umfassen keine Kundendaten (wie in unseren Nutzungsbedingungen definiert).

Wir bearbeiten keine besonders schützenswerten Personendaten, etwa Gesundheitsdaten, biometrische Daten, Daten über die rassische oder ethnische Herkunft, politische Meinungen oder religiöse Überzeugungen.

4Zwecke und Rechtsgrundlagen

Nach Schweizer Recht (revDSG)

Das Schweizer Datenschutzrecht folgt einem Erlaubnismodell mit Verbotsvorbehalt: Die Bearbeitung von Personendaten ist grundsätzlich erlaubt, solange sie die Persönlichkeit der betroffenen Person nicht widerrechtlich verletzt. Wir bearbeiten Personendaten nach den Grundsätzen der Rechtmässigkeit, von Treu und Glauben, der Verhältnismässigkeit, der Zweckbindung, der Richtigkeit und der Datensicherheit (Art. 6–8 revDSG).

Wo ein Rechtfertigungsgrund nötig ist (Art. 31 revDSG), stützen wir uns auf:

• Einwilligung – wenn Sie Ihre Daten freiwillig angegeben haben (etwa über unser Kontaktformular).
• Überwiegendes privates Interesse – für den Betrieb und die Verbesserung unseres Dienstes und unserer Website, für die Gewährleistung der Sicherheit und die Erfüllung vertraglicher Pflichten.
• Vertragserfüllung – für Bearbeitungen, die nötig sind, um unsere vertraglichen Pflichten gegenüber Unternehmenskunden zu erfüllen.

Nach EU-Recht (DSGVO)

Für Personen im Europäischen Wirtschaftsraum (EWR) bearbeiten wir Personendaten auf folgenden Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO:

Wo wir uns auf berechtigte Interessen stützen, haben wir eine Interessenabwägung vorgenommen und sind zum Schluss gekommen, dass unsere Interessen die Rechte und Freiheiten der betroffenen Personen nicht überwiegen, unter Berücksichtigung des B2B-Charakters der Beziehung, der geringen Sensibilität der bearbeiteten Daten und der vernünftigen Erwartungen von Geschäftsleuten.

5Empfänger und Bekanntgabe von Daten

Wir können Personendaten an folgende Kategorien von Empfängern bekanntgeben:

• Emvi Software GmbH (Pirsch Analytics), Rheda-Wiedenbrück, Deutschland – Auftragsbearbeiterin für die Website-Analyse. Die Daten werden innerhalb der EU (Deutschland) bearbeitet. Eine Vereinbarung zur Auftragsbearbeitung besteht. Pirsch verwendet keine Cookies und übermittelt keine Daten aus der EU hinaus.
• Cloudflare, Inc., San Francisco, USA – wir setzen Cloudflare Turnstile in unserem Kontaktformular ein, um zu prüfen, dass Eingaben von Menschen stammen. Beim Absenden des Kontaktformulars bearbeitet Cloudflare Ihre IP-Adresse und Browser-Metadaten, um eine Challenge-Antwort zu erzeugen. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Eine Vereinbarung zur Auftragsbearbeitung besteht.
• Microsoft Corporation (Azure) – wir nutzen Microsoft Azure (Regionen Switzerland North und Switzerland West), um den Dienst zu hosten. Microsoft handelt als Unterauftragsbearbeiterin gemäss unserer Vereinbarung zur Auftragsbearbeitung und dem Data Protection Addendum von Microsoft.
• Professionelle Berater: Revisionsstellen, Rechtsberater und Treuhänder, soweit dies für rechtliche, steuerliche oder buchhalterische Zwecke nötig ist.
• Behörden: Strafverfolgungs- oder Aufsichtsbehörden, soweit wir nach geltendem Recht oder aufgrund eines gültigen Verfahrens dazu verpflichtet sind.
• Unternehmensübertragungen: Bei einer Fusion, einer Übernahme oder einem Verkauf von Vermögenswerten können Personendaten an die übernehmende Stelle übertragen werden, vorbehaltlich dieser Datenschutzerklärung.

Wir verkaufen keine Personendaten. Wir geben Personendaten nicht zu deren eigenen Marketingzwecken an Dritte weiter.

Eine aktuelle Liste unserer Unterauftragsbearbeiter erhalten Sie auf Anfrage unter privacy@vediram.com.

6Datenübermittlungen ins Ausland

Übermittlungen aus der Schweiz

Der Schweizerische Bundesrat anerkennt alle EU- und EWR-Mitgliedstaaten als Staaten mit angemessenem Datenschutz. Übermittlungen von Personendaten aus der Schweiz in die EU und den EWR (einschliesslich an Pirsch Analytics in Deutschland) erfordern daher keine zusätzlichen Garantien.

Für Übermittlungen in die Vereinigten Staaten hat der Bundesrat mit Wirkung ab dem 15. September 2024 die Angemessenheit des Swiss-US Data Privacy Framework (Swiss-US DPF) anerkannt, das für US-Unternehmen gilt, die unter diesem Rahmenwerk zertifiziert sind. Unsere wichtigste Infrastrukturanbieterin, die Microsoft Corporation, ist unter dem Swiss-US DPF zertifiziert. Auch Cloudflare, Inc. ist unter dem Swiss-US Data Privacy Framework zertifiziert.

Für Übermittlungen in Staaten, die nicht als angemessen anerkannt sind, treffen wir geeignete Garantien, darunter die EU-Standardvertragsklauseln (Fassung 2021), wie sie der EDÖB anerkennt, ergänzt um zusätzliche technische und organisatorische Massnahmen, wo nötig.

Übermittlungen aus der EU und dem EWR

Die Schweiz profitiert von einem Angemessenheitsbeschluss der EU nach Art. 45 DSGVO, den die Europäische Kommission am 15. Januar 2024 bestätigt hat. Personendaten können daher ohne zusätzliche Übermittlungsmechanismen frei aus der EU und dem EWR in die Schweiz fliessen.

7Aufbewahrung von Daten

Wir bewahren Personendaten nur so lange auf, wie es zur Erfüllung der in dieser Erklärung beschriebenen Zwecke nötig ist, es sei denn, das Gesetz verlangt oder erlaubt eine längere Aufbewahrung.

8Cookies und Tracking-Technologien

Wenn Sie ein Farbschema wählen (automatisch, hell oder dunkel), speichert diese Website Ihre Wahl in einem einzigen Cookie, vediram-theme, damit unsere Website, unsere Support-Website und unsere Verwaltungskonsole im gewählten Farbschema öffnen. Das Cookie enthält nur diese Wahl, wird auf der Domain vediram.com, vediram.cloud oder vediram.dev gesetzt, die Sie gerade besuchen, läuft nach einem Jahr ab und wird nicht zum Tracking verwendet. Ein Link zwischen unseren Websites auf verschiedenen Domains trägt dieselbe Wahl in seiner Adresse (theme=), die aus der Adresse entfernt wird, sobald die Seite geöffnet ist. Da dieses Cookie nur eine von Ihnen getroffene Einstellung speichert, ist kein Cookie-Banner zur Einwilligung nötig.

Wenn Sie eine Sprache wählen (Englisch, Deutsch, Französisch oder Italienisch), speichert diese Website Ihre Wahl in einem einzigen Cookie, vediram-lang, damit sie beim nächsten Besuch in der gewählten Sprache öffnet. Das Cookie enthält nur diese Wahl, wird auf der Domain vediram.com, vediram.cloud oder vediram.dev gesetzt, die Sie gerade besuchen, läuft nach einem Jahr ab und wird nicht zum Tracking verwendet. Bei Ihrem ersten Besuch wird die Spracheinstellung Ihres Browsers in Ihrem Browser gelesen, ohne an uns übermittelt zu werden, um die deutschen, französischen oder italienischen Seiten zu öffnen, wenn Sie eine dieser Sprachen bevorzugen. Da dieses Cookie nur eine von Ihnen getroffene Einstellung speichert, ist kein Cookie-Banner zur Einwilligung nötig.

Diese Website verwendet über diese beiden hinaus, vediram-theme und vediram-lang, keine Cookies und keine ähnlichen Tracking-Technologien. Unser Analysedienst (Pirsch Analytics) arbeitet vollständig ohne Cookies.

Führen wir künftig weitere Cookies oder Tracking-Technologien ein, aktualisieren wir diese Erklärung und richten angemessene Einwilligungsmechanismen nach geltendem Recht ein.

9Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um Personendaten vor unbefugtem Zugriff, Veränderung, Bekanntgabe oder Zerstörung zu schützen, gemäss Art. 8 revDSG und Art. 32 DSGVO. Zu diesen Massnahmen gehören:

• Verschlüsselung der Daten bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256).
• Zugriffskontrollen nach dem Prinzip der minimalen Berechtigung.
• Regelmässige Sicherheitsprüfungen und Schwachstellentests.
• Hosting auf der Infrastruktur von Microsoft Azure, die nach ISO/IEC 27001, ISO 27017, ISO 27018, SOC 1/2/3 und CSA STAR zertifiziert ist.
• Verfahren zur Reaktion auf Vorfälle mit festgelegten Meldefristen.

10Ihre Rechte

Nach dem Schweizer revDSG

Sie haben bezüglich Ihrer Personendaten die folgenden Rechte:

• Auskunftsrecht (Art. 25 revDSG): Sie können verlangen, dass wir Ihnen mitteilen, ob wir Ihre Personendaten bearbeiten, und eine Kopie erhalten. Wir antworten innert 30 Tagen.
• Recht auf Datenherausgabe oder -übertragung (Art. 28 revDSG): Sie können verlangen, Ihre Daten in einem gängigen elektronischen Format zu erhalten oder an einen anderen Verantwortlichen übertragen zu lassen.
• Recht auf Berichtigung und Löschung: Sie können die Berichtigung unrichtiger Daten oder die Löschung von Daten verlangen, die für die genannten Zwecke nicht mehr nötig sind.
• Recht auf Überprüfung automatisierter Einzelentscheide (Art. 21 revDSG): Treffen wir Entscheide ausschliesslich aufgrund einer automatisierten Bearbeitung, die für Sie rechtliche oder erhebliche Folgen haben, können Sie verlangen, dass ein Mensch den Entscheid überprüft.

Nach der DSGVO (für Personen im EWR)

Zusätzlich zu den oben genannten Rechten haben Sie nach der DSGVO die folgenden Rechte:

• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung («Recht auf Vergessenwerden») (Art. 17 DSGVO)
• Recht auf Einschränkung der Bearbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen eine Bearbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Recht, die Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmässigkeit der bis zum Widerruf erfolgten Bearbeitung berührt wird (Art. 7 Abs. 3 DSGVO)

Um eines dieser Rechte auszuüben, wenden Sie sich bitte an privacy@vediram.com. Wir antworten innert 30 Tagen (revDSG) beziehungsweise einem Monat (DSGVO); diese Frist kann bei komplexen Anfragen um zwei weitere Monate verlängert werden.

Für die Bearbeitung Ihrer Anfrage erheben wir keine Gebühr, es sei denn, sie ist offensichtlich unbegründet oder exzessiv.

11Recht auf Beschwerde

Sind Sie der Ansicht, dass unsere Bearbeitung Ihrer Personendaten gegen das anwendbare Datenschutzrecht verstösst, haben Sie das Recht, bei einer Aufsichtsbehörde Beschwerde zu erheben.

Schweizer Aufsichtsbehörde:
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
CH-3003 Bern, Schweiz
Website: https://www.edoeb.admin.ch

Aufsichtsbehörden der EU:
Befinden Sie sich im EWR, können Sie bei der Aufsichtsbehörde des EU-Mitgliedstaats Beschwerde erheben, in dem Sie Ihren gewöhnlichen Aufenthalt oder Arbeitsplatz haben oder in dem die mutmassliche Verletzung stattgefunden hat (Art. 77 DSGVO). Eine Liste der Aufsichtsbehörden der EU finden Sie unter https://edpb.europa.eu.

12Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit anpassen, um Änderungen unserer Datenbearbeitung, der rechtlichen Anforderungen oder unseres Geschäftsbetriebs Rechnung zu tragen. Wesentliche Änderungen machen wir durch einen gut sichtbaren Hinweis auf unserer Website bekannt. Das Datum «Zuletzt aktualisiert» am Anfang dieser Erklärung zeigt, wann sie zuletzt überarbeitet wurde.

13Anwendbares Recht

Diese Datenschutzerklärung untersteht dem Schweizer Bundesgesetz über den Datenschutz (revDSG, SR 235.1) und, soweit anwendbar, der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679). Bei einem Konflikt zwischen den beiden Regelwerken wenden wir den Massstab an, der der betroffenen Person das höhere Schutzniveau bietet.