Datenschutzerklärung

Wir bearbeiten Personendaten, um unsere Dienste zu erbringen und abzurechnen, gesetzliche Pflichten zu erfüllen und die Sicherheit unserer Systeme zu gewährleisten. Wo eine Bearbeitung nicht für den Betrieb nötig ist, fragen wir Sie vorher.

Die Bekanntgabe Ihrer Daten an Dritte zu Werbezwecken findet nicht statt. Wir verkaufen keine Daten.

Für den Betrieb der Website setzen wir nur technisch notwendige Cookies, etwa für die Sitzung im Bestellprozess und für den Spamschutz der Formulare. Sie können nicht abgewählt werden, ohne dass die jeweilige Funktion ausfällt.

Zur Reichweitenmessung und zur Messung der Werbewirkung setzen wir zusätzlich Google Analytics 4, Google Ads samt der Klick-Kennungen, eingebettete Google-Maps-Karten, das Meta-Pixel und Microsoft Clarity ein. Diese Dienste setzen Cookies oder vergleichbare Kennungen und geben Daten an die Anbieter bekannt, teilweise in die USA. Sie werden beim Besuch geladen, sofern Sie nicht widersprochen haben. Sie können dem jederzeit mit dem Schalter unten widersprechen (Art. 45c des Fernmeldegesetzes); danach wird nichts davon mehr geladen, und die Website funktioniert vollständig. Sendet Ihr Browser das Signal Global Privacy Control, behandeln wir das ebenfalls als Widerspruch.

Plausible läuft auch nach einem Widerspruch. Wir betreiben den Dienst selbst auf eigener Infrastruktur in der Schweiz. Er setzt keine Cookies, speichert Ihre IP-Adresse nicht, bildet keine geräteübergreifende Kennung und gibt nichts an Dritte bekannt. Damit erhebt er nach unserer Einschätzung keine Daten, die Sie identifizierbar machen, und es findet keine Auslandbekanntgabe statt.

Ihren Widerspruch speichern wir lokal in Ihrem Browser (localStorage, Schlüsselhb-consent-v1), nicht auf unseren Servern. Sie gilt deshalb pro Gerät und Browser.

Wir ziehen Dritte nur bei, wo es für den Betrieb, die Abrechnung oder die Sicherheit nötig ist, und binden sie vertraglich auf den Zweck. Die folgende Liste ist vollständig; Änderungen halten wir hier nach.

Verbinden Sie eine KI-App (etwa Claude oder ChatGPT) mit Ihrem Kundenkonto, übermitteln wir die von Ihnen freigegebenen Daten auf Ihre Anweisung an diese App. Deren Anbieter ist nicht unser Empfänger, sondern Ihrer: Er bearbeitet die Daten nach seinen eigenen Bedingungen und je nach Anbieter auch im Ausland (Ziff. 16 der AGB). Die Verbindung trennen Sie jederzeit unter „Verbundene Apps“.

Dazu kommen Behörden und Gerichte, soweit wir gesetzlich zur Herausgabe verpflichtet sind. Einem Ersuchen einer ausländischen Behörde geben wir nicht freiwillig statt; es ist auf dem Rechtshilfeweg zu stellen.

Der Betrieb Ihrer Dienste findet in der Schweiz statt: die Server stehen in Untervaz, die Off-site-Kopie der Sicherungen liegt bei einem Schweizer Anbieter. Eine Bekanntgabe ins Ausland entsteht nur bei den in der obigen Tabelle mit einem ausländischen Sitzstaat genannten Empfängern.

Für Empfänger in Staaten mit angemessenem Datenschutz nach Art. 16 Abs. 1 revDSG, namentlich den Mitgliedstaaten des EWR einschliesslich Irlands, stützen wir die Bekanntgabe auf den Beschluss des Bundesrates (Anhang 1 DSV).

Die USA stehen auf dieser Liste nur für Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Soweit ein Empfänger dort nicht zertifiziert ist, stützen wir die Bekanntgabe auf die vom EDÖB anerkannten Standardvertragsklauseln der EU-Kommission nach Art. 16 Abs. 2 lit. d revDSG. Den Diensten, die Ihr Verhalten auswerten, können Sie jederzeit widersprechen.

Wir sagen dazu offen: Bei einer Bekanntgabe in die USA lässt sich ein Zugriff durch dortige Behörden nicht vollständig ausschliessen. Wer das vermeiden will, widerspricht mit dem Schalter im Abschnitt Cookies und Widerspruch. Der Betrieb Ihrer gehosteten Dienste ist davon nicht berührt.

Administrative Zugriffe auf unsere Systeme können auf Reisen auch aus dem Ausland erfolgen, ausschliesslich über eine verschlüsselte Verbindung in unser Netz. Ein Datenbestand wird dabei nicht ins Ausland übertragen.

Wir treffen angemessene technische und organisatorische Massnahmen nach Art. 8 revDSG. Damit Sie einschätzen können, was das konkret heisst, hier die Punkte, die erfahrungsgemäss gefragt werden:

• Alle Verbindungen laufen verschlüsselt über TLS 1.3, mit eigenem Zertifikat pro Domain.
• Datensicherungen sind mit AES-256 verschlüsselt. Die Off-site-Kopie wird vor dem Verlassen des Hauses clientseitig verschlüsselt; der Speicheranbieter sieht nur Chiffrat.
• Die ruhenden Datenträger in unseren Servern sind nicht verschlüsselt. Wer physischen Zugriff auf die Hardware erlangt, umgeht die logischen Zugriffskontrollen. Wir sagen das ausdrücklich, weil die Gegenbehauptung häufig ungeprüft in Sicherheitsübersichten steht.
• Für Nextcloud aktivieren wir auf Wunsch die Ende-zu-Ende-Verschlüsselung pro Ordner. Die Schlüssel liegen dann ausschliesslich bei Ihnen, und wir können die betroffenen Inhalte weder lesen noch wiederherstellen.
• Die Server stehen in einem abschliessbaren, eigenen Serverraum in Untervaz mit Rauchmelder und unterbrechungsfreier Stromversorgung. Es handelt sichnicht um ein zertifiziertes Rechenzentrum, und es bestehtkeine Georedundanz.
• Zugriff auf Produktivsysteme hat ausschliesslich der Inhaber, über Mehrfaktor-Authentisierung. Der Support ist Montag bis Freitag von 08:00 bis 18:00 Uhr besetzt; eine Pikettbereitschaft ausserhalb dieser Zeiten gibt es nicht.

Eine Verletzung der Datensicherheit, die für die betroffenen Personen ein hohes Risiko mit sich bringt, melden wir dem EDÖB so rasch als möglich (Art. 24 revDSG) und informieren die Betroffenen, soweit es zu deren Schutz erforderlich ist.

Für eine Anfrage genügt eine E-Mail an info [at] hostbott [dot] choder ein Brief an die oben genannte Adresse. Wir dürfen Ihre Identität überprüfen, bevor wir Auskunft erteilen; das schützt Ihre Daten vor der Herausgabe an Unbefugte.

Sie können sich jederzeit beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden, wenn Sie der Ansicht sind, dass wir Ihre Daten nicht rechtmässig bearbeiten. Personen in der EU steht zusätzlich der Weg zu ihrer örtlichen Aufsichtsbehörde offen.

Wir passen diese Erklärung an, wenn sich unsere Dienste, die eingesetzten Drittanbieter oder die Rechtslage ändern. Massgebend ist die jeweils hier veröffentlichte Fassung. Das Datum oben nennt den Stand.