Diese Erklärung beschreibt, wie die Kansoft (Schweiz) GmbH die Anforderungen der EU-Datenschutz-Grundverordnung (DSGVO) erfüllt. Sie richtet sich an Kundinnen und Kunden im EWR, die vor einer Zusammenarbeit die auftragsbezogenen Angaben benötigen.
Wie wir Personendaten von Website-Besuchern bearbeiten, steht in der Datenschutzerklärung. Für Personen in der Schweiz ist das revidierte Datenschutzgesetz (revDSG) massgebend; die DSGVO kommt zusätzlich zur Anwendung, wenn Daten von Personen im EWR bearbeitet werden.
1. Unsere Rolle
Unsere Rolle richtet sich danach, wessen Daten wir zu welchem Zweck bearbeiten:
- Verantwortliche. Für Daten, die wir über diese Website, unseren Newsletter und Bewerbungen erheben, bestimmen wir Zweck und Mittel selbst.
- Auftragsbearbeiterin. Für Daten, die wir im Rahmen eines Projekts in Ihren Systemen oder in einer für Sie betriebenen Umgebung bearbeiten, handeln wir ausschliesslich nach Ihren Weisungen.
Vor Projektbeginn schliessen wir einen Auftragsbearbeitungsvertrag ab, der Gegenstand, Dauer, Art und Zweck der Bearbeitung, die Kategorien von Daten und betroffenen Personen sowie Ihre Weisungsrechte festhält.
2. Grundsätze
- Rechtmässigkeit und Transparenz — wir bearbeiten Daten nur auf einer gültigen Grundlage und legen offen, was wir tun.
- Zweckbindung — Daten werden nur zu dem Zweck bearbeitet, für den sie erhoben wurden.
- Datenminimierung — wir erheben nur, was für den Zweck erforderlich ist.
- Richtigkeit — unrichtige Daten werden berichtigt oder gelöscht.
- Speicherbegrenzung — Daten werden nicht länger aufbewahrt als nötig.
- Integrität und Vertraulichkeit — Zugriffe folgen dem Prinzip der geringsten Rechte und werden protokolliert.
- Rechenschaftspflicht — wir dokumentieren unsere Bearbeitungen und können sie belegen.
3. Rechtsgrundlagen
- Vertrag (Art. 6 Abs. 1 lit. b DSGVO) — Erbringung vereinbarter Leistungen und vorvertragliche Abklärungen.
- Berechtigtes Interesse (lit. f) — Sicherheit und Betrieb unserer Systeme, Verbesserung unserer Leistungen, Geschäftskorrespondenz.
- Einwilligung (lit. a) — Newsletter sowie Analyse- und Marketing-Cookies. Jederzeit widerrufbar.
- Rechtliche Verpflichtung (lit. c) — handels-, steuer- und aufsichtsrechtliche Aufbewahrungspflichten.
4. Rechte betroffener Personen
Betroffene Personen haben Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenübertragbarkeit sowie Widerspruch. Zudem besteht das Recht, eine Einwilligung zu widerrufen und sich bei einer Aufsichtsbehörde zu beschweren.
Handeln wir als Auftragsbearbeiterin, leiten wir Anfragen unverzüglich an Sie weiter und unterstützen Sie bei der Beantwortung. Wir beantworten solche Anfragen nicht selbständig, sofern Sie uns nicht dazu anweisen.
Anfragen, die uns als Verantwortliche betreffen, beantworten wir innerhalb der gesetzlichen Fristen — in der Regel innerhalb eines Monats.
5. Bekanntgabe ins Ausland
Die Kansoft (Schweiz) GmbH hat ihren Sitz in der Schweiz. Daten werden standardmässig in der Schweiz und in der Europäischen Union bearbeitet. Wo das Vorhaben es erfordert, können auch Engineering-Teams der Kansoft-Gruppe in Indien darauf zugreifen.
Indien steht weder auf der Liste der Staaten mit angemessenem Datenschutz des Schweizerischen Bundesrats noch liegt ein Angemessenheitsbeschluss der Europäischen Kommission vor. Für Bekanntgaben dorthin — und in jeden anderen Staat ohne Angemessenheitsfeststellung — stützen wir uns auf geeignete Garantien, namentlich:
- Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) für Übermittlungen aus dem EWR;
- die vom EDÖB anerkannten Standardvertragsklauseln für Bekanntgaben aus der Schweiz;
- eine Prüfung der Rechtslage im Empfängerstaat sowie ergänzende technische und organisatorische Massnahmen, insbesondere Verschlüsselung und Zugriffsbeschränkungen.
Auf Wunsch arbeiten unsere Teams ausschliesslich in Umgebungen, die in der Schweiz oder in der EU betrieben werden.
6. Unsere Zusagen als Auftragsbearbeiter
- Bearbeitung ausschliesslich nach Ihren dokumentierten Weisungen.
- Vertraulichkeitsverpflichtung jeder beteiligten Person, nicht nur auf Unternehmensebene.
- Einsatz von Unterauftragsbearbeitern nur mit Ihrer Zustimmung und unter gleichwertigen Pflichten.
- Unterstützung bei Anfragen betroffener Personen, bei Folgenabschätzungen und gegenüber Aufsichtsbehörden.
- Löschung oder Rückgabe der Daten bei Beendigung, nach Ihrer Wahl.
- Bereitstellung der Informationen, die Sie zum Nachweis der Einhaltung benötigen, sowie Ermöglichung von Audits.
7. Technische und organisatorische Massnahmen
- Verschlüsselung der Übertragung (TLS) und der Speicherung ruhender Daten.
- Berechtigungen nach dem Prinzip der geringsten Rechte, protokollierte Zugriffe, Mehrfaktor-Authentisierung für administrative Konten.
- Getrennte Umgebungen für Entwicklung, Test und Produktion.
- Sicheres Software-Engineering mit Code-Review vor jeder Auslieferung.
- Regelmässige Sicherungen mit geprüfter Wiederherstellung.
- Zertifizierung nach ISO 27001 sowie ein SOC 2 Type II Report.
8. Unterauftragsbearbeiter
Wir setzen Unterauftragsbearbeiter für Hosting, E-Mail-Versand, CRM und Website-Analyse ein. Die im Rahmen eines Projekts eingesetzten Dienstleister führen wir im Auftragsbearbeitungsvertrag auf und informieren Sie vor einem Wechsel, damit Sie widersprechen können.
Für diese Website sind es Plausible (Analyse), Google (Tag-Verwaltung) und HubSpot (Formulare und CRM).
9. Verzeichnis der Bearbeitungen
Wir führen ein Verzeichnis unserer Bearbeitungstätigkeiten mit Zwecken, Kategorien von Daten und betroffenen Personen, Empfängern, Bekanntgaben ins Ausland, Aufbewahrungsfristen und Schutzmassnahmen. Es wird bei Änderungen nachgeführt und Aufsichtsbehörden auf Verlangen offengelegt.
10. Meldung von Verletzungen
Stellen wir eine Verletzung des Datenschutzes fest, halten wir den Vorfall fest, begrenzen die Auswirkungen und prüfen die Meldepflichten. Handeln wir als Auftragsbearbeiterin, informieren wir Sie unverzüglich, damit Sie Ihre Fristen einhalten können — als Verantwortliche melden wir innerhalb von 72 Stunden nach Kenntnisnahme, soweit eine Meldepflicht besteht.
11. Datenschutz-Folgenabschätzungen
Bringt eine Bearbeitung ein hohes Risiko für betroffene Personen mit sich, ist eine Folgenabschätzung erforderlich. Verantwortlich dafür sind Sie; wir liefern die technischen Angaben, die Sie dafür benötigen — Architektur, Datenflüsse, Zugriffsmodell, Aufbewahrung und Schutzmassnahmen.
12. Ansprechstelle und EU-Vertretung
Fragen zum Datenschutz richten Sie an hello@kansoft.ch. Anfragen werden intern der dafür zuständigen Stelle zugewiesen.
Eine Datenschutzberatung oder eine Vertretung in der EU nach Art. 27 DSGVO benennen wir, sobald die gesetzlichen Voraussetzungen dafür erfüllt sind. Bis dahin erreichen Sie uns unter der oben genannten Adresse.
13. Schulung der Mitarbeitenden
Mitarbeitende mit Zugang zu Personendaten werden bei Eintritt und danach regelmässig zu Datenschutz und Informationssicherheit geschult. Die Schulungen werden dokumentiert.
14. Aufsichtsbehörden
Beschwerden können Sie an die zuständige Behörde richten:
- Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), edoeb.admin.ch
- EWR: die Datenschutzbehörde Ihres Wohnsitzstaates
- Vereinigtes Königreich: Information Commissioner’s Office (ICO), ico.org.uk
15. Änderungen
Wir aktualisieren diese Erklärung, wenn sich unsere Bearbeitungen, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Massgebend ist die jeweils auf dieser Seite veröffentlichte Fassung; das Datum der letzten Aktualisierung finden Sie oben.
16. Kontakt
- E-Mail: hello@kansoft.ch
- Adresse: Kansoft (Schweiz) GmbH, St. Leonhard-Strasse 45, CH-9000 St. Gallen, Schweiz