Datenschutzerklärung

Der Schutz Ihrer Personendaten ist uns wichtig. Diese Datenschutzerklärung beschreibt, welche Personendaten die AIO Services GmbH (nachfolgend „wir“) im Rahmen der Swiss Max Cloud bearbeitet, zu welchen Zwecken und auf welcher Rechtsgrundlage.

Massgebend ist das revidierte Schweizer Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023) sowie die Datenschutzverordnung (DSV). Für natürliche Personen mit Wohnsitz in der EU gilt ergänzend die DSGVO. Diese Erklärung erfüllt die Informationspflichten nach Art. 19 nDSG sowie — soweit anwendbar — Art. 13 DSGVO.

1. Verantwortliche Stelle

Verantwortlich im Sinne von Art. 4 nDSG:

AIO Services GmbH
Schweiz
E-Mail: privacy@swissmax.cloud

2a. Websitebesucher (swissmax.cloud)

Beim Besuch unserer Marketing-Website werden folgende Daten automatisch verarbeitet:

• Server-Zugriffsprotokolle: IP-Adresse, Browser-Typ und -Version (User-Agent), aufgerufene URL, Datum/Uhrzeit, HTTP-Statuscode. Zweck: Betriebssicherheit, Fehlerbehebung, Missbrauchserkennung. Löschung nach 90 Tagen. Rechtsgrundlage: überwiegendes berechtigtes Interesse (Art. 31 Abs. 1 nDSG / Art. 6 Abs. 1 lit. f DSGVO).
• Browser-localStorage: Spracheinstellung (swissmaxcloud-lang), Theme-Präferenz (swissmaxcloud-theme), Einwilligungsstatus (swissmaxcloud-cookie-consent). Ausschliesslich lokal im Browser gespeichert — keine HTTP-Cookies, keine Übertragung an unsere Server. Rechtsgrundlage: technisch notwendig (FMG Art. 45c), keine Einwilligung erforderlich.

Kontaktanfragen über das Formular: Wenn Sie das Kontaktformular auf swissmax.cloud nutzen, werden Name, E-Mail-Adresse, Firmenname (optional) und Ihre Nachricht als Support-Anfrage in unserem System gespeichert und an unser Sales-Team weitergeleitet. Sie erhalten eine Bestätigungs-E-Mail. Aufbewahrung: bis zur Bearbeitung, danach max. 12 Monate. Rechtsgrundlage: Vertragsanbahnung (Art. 31 Abs. 2 lit. a nDSG / Art. 6 Abs. 1 lit. b DSGVO).

Nutzungsanalyse (z. B. anonyme Seitenaufrufe) ist aktuell inaktiv und wird erst nach ausdrücklicher Einwilligung über das Banner aktiviert. Marketing-Tracking und Cross-Site-Tracking werden von Swiss Max Cloud nicht eingesetzt.

2b. Welche Daten wir bearbeiten (Registrierte Kunden)

• Stammdaten: Firmenname, Adresse, UID/MWST-Nummer, Kontaktperson, E-Mail, Telefon.
• Zugangsdaten: Benutzernamen, Rollen, Tokens; Passwörter ausschliesslich als salted-Hash (bcrypt).
• Nutzungsdaten: Log-Einträge, Fehlermeldungen, abrechnungsrelevante Verbrauchsmetriken.
• Zahlungsdaten: Rechnungsanschrift, Kartenreferenzen (Karteninformationen nur über Stripe verarbeitet, nicht bei uns gespeichert).
• Kommunikation: Support-Ticket-Inhalte, Benachrichtigungen, Korrespondenz.
• Kundendaten (SaaS — Auftragsbearbeitung): Daten, die der Kunde selbst in SaaS-Dienste einbringt (z. B. Personen- oder Unternehmensdaten im Assessment Tool), werden ausschliesslich nach Weisung des Kunden bearbeitet. Der Kunde bleibt für diese Daten Verantwortlicher im Sinne von Art. 4 Abs. 2 nDSG; Swiss Max Cloud handelt als Auftragsbearbeiter. Die Rechte und Pflichten sind im Auftragsverarbeitungsvertrag (AVV / DPA) geregelt.

3. Zwecke der Bearbeitung

• Bereitstellung und Betrieb der beauftragten Dienste.
• Vertragsverwaltung, Rechnungsstellung, Zahlungsabwicklung.
• Sicherheit, Missbrauchserkennung, Betrugsprävention.
• Gesetzliche Aufbewahrungs- und Meldepflichten (inkl. Art. 24 nDSG bei Datenpannen).
• Kommunikation, Support, Serviceverbesserung.

4. Rechtsgrundlagen

• Vertragserfüllung (Art. 31 Abs. 2 lit. a nDSG / Art. 6 Abs. 1 lit. b DSGVO): Leistungserbringung, Rechnungsstellung.
• Gesetzliche Pflichten (Art. 31 Abs. 2 lit. c nDSG / Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung nach OR Art. 958f (10 Jahre).
• Überwiegendes berechtigtes Interesse(Art. 31 Abs. 1 nDSG / Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Missbrauchserkennung.

5. Empfänger und Auftragsbearbeiter

Personendaten werden nur an Auftragsbearbeiter weitergegeben, die angemessene technische und organisatorische Massnahmen gewährleisten. Den Auftragsverarbeitungsvertrag (AVV / DPA) finden Sie online oder auf Anfrage unter privacy@swissmax.cloud.

Weitergabe in Länder ohne angemessenes Datenschutzniveau (ausserhalb CH/EWR) nur mit geeigneten Garantien, insbesondere EU-SCCs (Art. 16 Abs. 2 lit. d nDSG).

6. Speicherdauer

Vertragsdaten werden für die Vertragsdauer sowie die gesetzlichen Aufbewahrungsfristen gespeichert (Buchungsbelege: 10 Jahre, OR Art. 958f). Log-Daten nach spätestens 12 Monaten anonymisiert oder gelöscht. Diagnosedaten nach spätestens 365 Tagen gelöscht. Nach Vertragsende werden alle Kundendaten innerhalb von 30 Tagen gelöscht, sofern kein Datenexport beantragt wurde.

7. Ihre Rechte

• Auskunftsrecht (Art. 25 nDSG / Art. 15 DSGVO).
• Berichtigungsrecht (Art. 32 Abs. 1 nDSG / Art. 16 DSGVO).
• Löschungsrecht (Art. 32 Abs. 2 lit. c nDSG / Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen.
• Datenübertragbarkeit (Art. 28 Abs. 5 nDSG / Art. 20 DSGVO): Portal → „Datenschutz / Datenexport“ oder Support-Ticket.
• Widerspruchsrecht (Art. 21 DSGVO, soweit anwendbar).

Anfragen an privacy@swissmax.cloud oder im Portal unter „Datenschutz / Datenanfragen“.

8. Aufsichtsbehörde

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern, Schweiz · www.edoeb.admin.ch

Für Personen mit Wohnsitz in der EU ist zusätzlich die nationale Datenschutzbehörde des Wohnsitzlandes zuständig.

9. Auftragsbearbeiter

• Cloudscale AG — Rechenzentrum/Hosting (Neugasse 6, 8005 Zürich, Schweiz)
• Infomaniak Network SA — Rechenzentrum/Hosting (Rue Eugène-Marziano 25, 1227 Genf, Schweiz)
• Stripe Payments Europe, Limited — Zahlungsverarbeitung (Irland / USA; SCCs gem. Art. 16 Abs. 2 lit. d nDSG)
• Keycloak (self-hosted) — Identitäts- und Zugangsverwaltung (Schweiz)
• Metanet AG — E-Mail-Versand / Transaktionsmails (Zollstrasse 49, 8005 Zürich, Schweiz)
• Prometheus / Loki (self-hosted) — Monitoring und Protokollierung (Schweiz)

10. Cookies

Plattform (portal.swissmax.cloud): Wir setzen ausschliesslich technisch notwendige Cookies (Session-Cookie, CSRF-Schutz-Token). Diese erfordern keine Einwilligung gemäss Art. 45c des revidierten Fernmeldegesetzes (FMG).

Marketing-Website (swissmax.cloud): Wir verwenden keine HTTP-Cookies. Alle browserseitigen Einstellungen werden in localStorage gespeichert. Beim ersten Besuch erscheint ein Datenschutzhinweis-Banner, das folgende Verarbeitungen offenlegt:

Die Einwilligung wird unter dem Schlüssel swissmaxcloud-cookie-consent in localStorage gespeichert und kann jederzeit über den Link „Cookie-Einstellungen“ im Footer der Marketing-Website angepasst oder widerrufen werden. Ohne ausdrückliche Einwilligung bleiben optionale Kategorien inaktiv.

11. Verantwortlichkeit und Transparenz

Swiss Max Cloud verfolgt einen Transparenz-First-Ansatz: Wir erheben nur, was für den Betrieb notwendig ist, und informieren offen darüber — ohne versteckte Tracker, ohne Cross-Site-Datenhandel.

Wichtige Abgrenzung der Verantwortlichkeit:

• Swiss Max Cloud als Verantwortlicher (Art. 4 Abs. 2 nDSG): Für alle Daten, die direkt an uns übermittelt werden — Server-Logs, Kontaktanfragen, Registrierungsdaten, Zahlungsdaten — sind wir Verantwortlicher und tragen die vollständigen datenschutzrechtlichen Pflichten (Informationspflicht, Betroffenenrechte, Datenpannenmeldung).
• Kunde als Verantwortlicher (SaaS-Kontext): Wenn ein Kunde eigene Personendaten (z. B. Daten seiner Mitarbeitenden oder seiner Kunden) in unsere SaaS-Dienste einbringt, bleibt der Kunde Verantwortlicher für diese Daten. Swiss Max Cloud handelt als Auftragsbearbeiter gemäss AVV / DPA. Der Kunde ist verantwortlich für die rechtmässige Grundlage der Bearbeitung, die Einhaltung von Betroffenenrechten gegenüber seinen Nutzern und die Datensicherheit innerhalb seiner eigenen Organisation.

Swiss Max Cloud stellt die technischen und organisatorischen Massnahmen bereit (Verschlüsselung, Zugriffskontrolle, Schweizer Datenhaltung), um den Kunden bei der Einhaltung seiner Pflichten zu unterstützen — übernimmt aber keine Haftung für die inhaltliche Rechtmässigkeit der vom Kunden eingebrachten Daten.

12. Datenpannen

Bei einer Verletzung der Datensicherheit mit hohem Risiko für betroffene Personen informieren wir diese unverzüglich (Art. 24 nDSG). Als Auftragsbearbeiter melden wir Datenpannen dem Verantwortlichen innerhalb von 72 Stunden (AVV Ziffer 10).

13. Kontakt

privacy@swissmax.cloud