Grundlage: Bundesgesetz über den Datenschutz (DSG, in Kraft seit 01.09.2023) und Datenschutzverordnung (DSV). Erfüllt die Informationspflicht nach Art. 19 DSG.
Diese Erklärung deckt nur Daten ab, für die der Anbieter selbst Verantwortlicher ist: Besuch der öffentlichen Website, Vereinskonto, Abo und Rechnungsstellung, Server-Protokolle und Support-Anfragen.
Für die Daten der Vereinsmitglieder ist der jeweilige Verein verantwortlich. Der Anbieter bearbeitet sie ausschliesslich im Auftrag und nach Weisung dieses Vereins (Auftragsbearbeitung nach Art. 9 DSG). Wer als Mitglied wissen will, was mit seinen Daten geschieht, wendet sich an seinen Verein; dieser informiert nach Art. 19 DSG.
Die Trennlinie verläuft am Zweck, nicht an der Person. Ein Vorstandsmitglied kommt in beiden Rollen vor, und beide Male gilt etwas anderes:
| Es geht um … | Verantwortlich | Wo geregelt |
|---|---|---|
| das Vertragsverhältnis mit dem Verein — Konto des Verwalters, Abo, Rechnung, Support | Anbieter | diese Erklärung |
| den Betrieb des Portals für den Verein — dieselbe Person als Funktionärin im Mitgliederbestand, ihre Einsätze, Beiträge, Zugangsdaten im Portal | Verein | Auftragsbearbeitungsvertrag |
Was der Anbieter auch über Mitglieder in eigener Verantwortung bearbeitet: die Server-Protokolle nach Ziffer 3. Sie entstehen bei jedem Aufruf, also auch bei dem eines Mitglieds. Sie sind der einzige Fall, und sie werden nicht mit den Auftragsdaten zusammengeführt. Der Textbaustein, den der Verein seinen Mitgliedern gibt, nennt sie ausdrücklich. Das Anmeldeprotokoll gehört dagegen zur Auftragsbearbeitung — der Verein sieht es im Portal unter Verwaltung → Protokoll und entscheidet über seine Verwendung.
Jonas Rohner, Leeweg 17, 5223 Riniken E-Mail: datenschutz@helfer-portal.ch
Der Anbieter hat seinen Sitz in der Schweiz. Das Angebot richtet sich an Vereine in der Schweiz.
| Kategorie | Daten | Zweck | Aufbewahrung |
|---|---|---|---|
| Vereinskonto | Name, E-Mail, Passwort-Hash, Vereinsname, Rolle der verwaltenden Person | Zugang, Betrieb, Support | für die Dauer des Vertrags, danach bis zum Ablauf der Nachlauffrist (AGB Ziff. 8) |
| Abo und Rechnung | Vereinsname, Rechnungsadresse, Laufzeit, Zahlungen, Rabattcodes | Vertragsabwicklung, gesetzliche Aufbewahrung | 10 Jahre (Art. 958f OR) |
| Server-Protokolle | IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserangabe, Fehlermeldungen | Betrieb, Fehlersuche, Abwehr von Angriffen | 30 Tage |
| Reichweitenmessung | keine IP-Adresse — nur eine Prüfsumme aus IP und einem täglich wechselnden Geheimnis (Ziffer 4) | Zahl unterschiedlicher Besucher je Tag | Geheimnis 2 Tage, Tageszeilen 30 Tage; die blosse Tageszahl bleibt |
| E-Mails an den Support | Inhalt der Nachricht und Absenderangaben | Bearbeitung der Anfrage | 12 Monate. Belegt eine Nachricht einen Vertrags- oder Zahlungsvorgang (z. B. Kündigung, Wechsel der Stufe), gilt für sie die Aufbewahrung der Zeile «Abo und Rechnung». |
Nicht in dieser Tabelle und deshalb nicht Gegenstand dieser Erklärung: alle Daten der Vereinsmitglieder einschliesslich des Anmeldeprotokolls. Sie stehen im Anhang A des Auftragsbearbeitungsvertrags, und verantwortlich ist der Verein.
Sicherungskopien der Daten werden 30 Tage aufbewahrt und danach überschrieben (AGB Ziffer 6).
Das Portal setzt ausschliesslich technisch notwendige Cookies für die angemeldete Sitzung — sowohl bei verwaltenden Personen als auch bei Mitgliedern. Es sind keine Analyse-, Werbe- oder Tracking-Dienste eingebunden, insbesondere kein Google Analytics, kein Google Tag Manager, keine Social-Media-Zählpixel. Es werden keine Nutzungsprofile gebildet.
Reichweitenmessung in eigener Sache. Um zu erkennen, wie oft die öffentliche Website aufgerufen wird, zählt der Anbieter je Kalendertag die Zahl unterschiedlicher IP-Adressen. Die IP-Adresse wird dafür nicht gespeichert: aus ihr und einem geheimen, täglich wechselnden Zusatzwert wird eine Prüfsumme gebildet, die keinen Rückschluss auf die Adresse erlaubt; der Zusatzwert wird nach zwei Tagen gelöscht, die Tageszeilen nach 30 Tagen. Es werden keine Cookies gesetzt, keine Dienste Dritter eingebunden, keine Seitenpfade, keine Herkunft und keine Verweildauer erfasst und keine Nutzungsprofile gebildet. Zweck ist die Beurteilung der eigenen Reichweite (Art. 31 Abs. 2 DSG, berechtigtes Interesse); darüber hinaus aufbewahrt bleibt nur die Zahl je Tag, die keine Personendaten mehr enthält.
Personendaten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Beigezogen werden ausschliesslich folgende Dienstleister:
| Dienstleister | Leistung | Standort | Nur bei |
|---|---|---|---|
| Infomaniak Network SA | Hosting des Servers und der Datenbank | Schweiz | immer |
| Infomaniak Network SA | Versand von System- und Benachrichtigungs-E-Mails | Schweiz | immer |
| Apple, Google, Mozilla (Zustelldienste der Geräte und Browser) | Zustellung von Push-Benachrichtigungen | Ausland | nur bei eingeschaltetem Modul «Push-Benachrichtigungen» |
⚠ Ob Daten die Schweiz verlassen, hängt an einem Modul. Ohne das Modul «Push-Benachrichtigungen» findet keine Bekanntgabe ins Ausland statt. Ist es eingeschaltet, laufen die Meldungen technisch über die Zustelldienste der Geräte- und Browserhersteller; übermittelt werden die Geräte-Adresse und der Meldungsinhalt. Der Verein entscheidet über dieses Modul. (Der Mailversand läuft über Infomaniak, Schweiz — die Frage nach einem Drittland stellt sich damit nicht.)
Wechsel eines Dienstleisters wird mindestens 30 Tage im Voraus mitgeteilt — dieselbe Frist wie im Auftragsbearbeitungsvertrag Ziffer 6, und diese Erklärung wird in derselben Frist nachgeführt. Eine stillschweigende Änderung durch blosses Aktualisieren dieser Seite findet nicht statt.
Eine Herausgabe an Behörden erfolgt nur, soweit gesetzlich verpflichtend.
Angemessene technische und organisatorische Massnahmen nach Art. 8 DSG und Art. 1–3 DSV, insbesondere:
FORCE) — ein Verein kann die Daten eines anderen technisch nicht sehen, auch nicht bei einem Fehler in der AnwendungDer Anbieter meldet dem EDÖB nach Art. 24 DSG jede Verletzung der Datensicherheit, die Daten aus dieser Erklärung betrifft, so rasch als möglich, und informiert die betroffenen Personen, soweit erforderlich.
Betrifft eine Verletzung Daten der Vereinsmitglieder, meldet der Anbieter sie unverzüglich dem Verein; die Meldung an den EDÖB und die Information der Mitglieder obliegen dann dem Verein als Verantwortlichem (AVV Ziffer 7).
Sie haben nach DSG das Recht auf Auskunft (Art. 25), Berichtigung (Art. 32), Löschung, Widerspruch gegen eine Bearbeitung sowie Datenherausgabe und -übertragung (Art. 28). Zur Ausübung genügt eine E-Mail an die Adresse unter Ziffer 2; zur Identitätsprüfung können Rückfragen nötig sein. Die Auskunft ist grundsätzlich kostenlos.
Dieselbe Liste steht wortgleich im Auftragsbearbeitungsvertrag und im Textbaustein für die Mitglieder — es gibt nur eine.
Betrifft Ihre Anfrage Daten, die Sie als Mitglied eines Vereins betreffen, richten Sie sie an Ihren Verein. Der Anbieter leitet solche Anfragen an den Verein weiter und unterstützt ihn bei der Beantwortung. Ausgenommen sind die Server-Protokolle nach Ziffer 3 — dafür ist der Anbieter selbst zuständig.
Sie können sich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, wenden.
Für die Daten dieser Erklärung findet keine automatisierte Einzelentscheidung im Sinne von Art. 21 DSG statt.
Zu den Berechnungen des Portals — Soll-Ist-Stunden, Beiträge, Sanktionen, Ersatzabgaben — informiert der Verein seine Mitglieder; der Textbaustein enthält den entsprechenden Abschnitt. Kurz gesagt: Es sind Rechenhilfen, die Entscheidung trifft der Verein (AGB Ziffer 5).
Diese Erklärung kann angepasst werden, wenn sich Leistungen, Dienstleister oder die Rechtslage ändern. Änderungen, die Dienstleister oder den Bearbeitungsort betreffen, werden nach Ziffer 5 mindestens 30 Tage im Voraus mitgeteilt.