Datenschutzerklärung

01Verantwortlich und erreichbar

Verantwortlich für die in dieser Erklärung beschriebenen Datenbearbeitungen ist:

Diese Erklärung betrifft die Website codezwerk.ch, Anfragen an CodezWerk und das zugehörige Kundenportal. Für Datenbearbeitungen innerhalb separat angebotener Kundenanwendungen gelten die jeweiligen Vereinbarungen und Datenschutzhinweise.

02Zwecke und anwendbares Recht

Wir bearbeiten Personendaten, um die Website bereitzustellen, ihre Sicherheit zu gewährleisten, Anfragen zu beantworten, Angebote vorzubereiten und vereinbarte Leistungen abzuwickeln. Massgebend ist insbesondere das schweizerische Datenschutzgesetz (DSG).

Soweit im Einzelfall zusätzlich die EU-Datenschutz-Grundverordnung (DSGVO) anwendbar ist, stützen wir die Bearbeitung je nach Zweck auf vorvertragliche Massnahmen oder Vertragserfüllung (Art. 6 Abs. 1 lit. b), gesetzliche Pflichten (lit. c), das berechtigte Interesse an einem sicheren Betrieb und der Bearbeitung geschäftlicher Anfragen (lit. f) oder eine erforderliche Einwilligung (lit. a).

03Website, Hosting und technische Daten

Beim Aufruf der Website werden technisch notwendige Daten an die beteiligten Server übermittelt. Dazu gehören insbesondere IP-Adresse, Zeitpunkt, angefragte Adresse, Browser- und Geräteinformationen sowie technische Verbindungs- und Fehlerdaten. Je nach Browser kann auch die zuvor besuchte Seite als Referrer übermittelt werden.

Die Website wird als Next.js-Anwendung hinter einem Nginx Proxy Manager betrieben. Technische Protokolle können für die Auslieferung, Fehleranalyse und Abwehr von Missbrauch verarbeitet werden. Der Proxy ist Software innerhalb der Infrastruktur; seine Verwendung allein bedeutet keine Datenübermittlung an den Hersteller.

Für den Betrieb der Website nutzen wir einen Server der Contabo GmbH, Deutschland, mit Serverstandort in Deutschland. Dabei werden die für den Websitebetrieb benötigten Daten in Deutschland bearbeitet. Weitere Informationen: Datenschutzerklärung von Contabo.

04Kontaktformular und E-Mail

Wenn du uns kontaktierst, bearbeiten wir deinen Namen, deine E-Mail-Adresse, eine freiwillig angegebene Firma und den Inhalt deiner Nachricht. Diese Angaben dienen der Beantwortung und Bearbeitung deiner Anfrage. Ohne die als Pflichtfelder markierten Angaben kann das Formular nicht versendet werden.

Nach erfolgreicher Prüfung wird die Anfrage per E-Mail an info@codezwerk.ch übermittelt. Deine E-Mail-Adresse wird als Antwortadresse verwendet. Die Anwendung legt keine eigene Datenbank mit Kontaktanfragen an; die Nachricht wird jedoch im E-Mail-System verarbeitet und kann dort sowie in dessen Sicherungen gespeichert werden.

Die SMTP-Verbindung ist auf verschlüsselte Übertragung ausgelegt. Gewöhnliche E-Mail ist nicht automatisch Ende-zu-Ende-verschlüsselt. Bitte übermittle über das Formular keine Passwörter oder besonders schützenswerten Daten.

Für Domain- und E-Mail-Dienste nutzen wir Hostpoint AG, Neue Jonastrasse 60, 8640 Rapperswil, Schweiz. Hostpoint betreibt die Hosting- und E-Mail-Infrastruktur nach eigenen Angaben in der Schweiz. Informationen zur Datenbearbeitung durch den Anbieter: Datenschutz und Rechtliches bei Hostpoint. Bei E-Mail-Korrespondenz ist auch der von dir gewählte E-Mail-Anbieter an der Übermittlung und Speicherung beteiligt.

05Eigenes Captcha und notwendiges Cookie

Das Formular verwendet eine einfache Rechenaufgabe gegen automatisierte Anfragen. Die Aufgabe wird auf unserem Anwendungsserver erstellt und geprüft. Es ist kein externer Captcha-Dienst eingebunden.

Dafür wird das Cookie cw-contact mit einer zufälligen Sitzungskennung gesetzt. Es gilt für den Formularbereich /api/contact und hat eine Laufzeit von einer Stunde ab der letzten Erneuerung. Im Produktionsbetrieb ist es als HttpOnly, Secure und SameSite=Strict gekennzeichnet. Es wird nicht für Werbung oder eine websiteübergreifende Wiedererkennung verwendet.

Die Rechenaufgabe ist höchstens zehn Minuten gültig und wird bei einem zugehörigen Lösungsversuch verbraucht. Aufgabe und vorübergehende Anfragezähler werden im Arbeitsspeicher gehalten. Die Zählfenster betragen eine beziehungsweise 15 Minuten; abgelaufene Einträge werden bei weiteren Prüfungen bereinigt und bei einem Neustart gelöscht. Name und Nachricht werden nicht in diesen Zählern gespeichert.

Du kannst Cookies im Browser sperren oder löschen. Ohne das erforderliche Cookie funktioniert der Formularversand nicht. Alternativ kannst du uns direkt per E-Mail kontaktieren.

06Kundenkonto, Projekte und Rechnungen

Im Kundenportal bearbeiten wir Kontaktdaten, Rechnungsadressen, Spracheinstellungen, Projektinformationen, Nachrichten, Offerten, Vertragsfassungen, dokumentierte Annahmen oder Ablehnungen, Rechnungen sowie Zahlungs- und Buchungsreferenzen. Dies dient der Zusammenarbeit, Vertragsabwicklung, Rechnungsstellung und dem Nachweis geschäftlicher Vorgänge. Die Daten werden in der Datenbank auf unserer Serverinfrastruktur gespeichert. Kunden erhalten Zugriff auf die ihrem Konto zugeordneten Projekte; die Administration verwaltet die Geschäftsabläufe.

Offerten können als PDF per E-Mail versendet werden. Ein persönlicher, zufälliger Zugangslink ermöglicht die Ansicht und eine ausdrücklich bestätigte Annahme oder Ablehnung dieser Offerte. Wir speichern den Link nur als Hashwert sowie Empfänger, Versandstatus, Entscheidungszeitpunkt, zugeordnetes Kundenkonto, Entscheidungskanal und Prüfsumme der ausgestellten Fassung. Der Link gewährt keinen Zugang zu anderen Kundendaten und sollte nicht weitergegeben werden.

Passwörter werden als kryptografische Hashwerte gespeichert. Bei aktivierter Zwei-Faktor-Anmeldung speichern wir den Authenticator-Schlüssel verschlüsselt und Wiederherstellungscodes nur als Hashwerte. Bei Passkeys speichern wir den öffentlichen Schlüssel, eine Kennung, den von dir gewählten Namen und technische Prüfdaten. Biometrische Daten wie Fingerabdrücke oder Gesichtsdaten werden nicht an CodezWerk übermittelt; die Gerätebestätigung erfolgt auf deinem Gerät. Das notwendige Cookie cw-session enthält eine zufällige Sitzungskennung und gilt acht Stunden beziehungsweise bei Auswahl von „Angemeldet bleiben“ 30 Tage. Im Produktionsbetrieb ist es HttpOnly, Secure und SameSite=Lax. Einladungs- und Wiederherstellungslinks sind einmalig verwendbar und höchstens 24 Stunden gültig. Anmeldung und Änderungen werden zur Sicherheit und Nachvollziehbarkeit protokolliert. Technische Anfragezähler werden zeitlich begrenzt in der Datenbank geführt; Einladungen können über den oben genannten E-Mail-Anbieter versendet werden.

07QR-Rechnungen und optionale Stripe-Zahlungen

QR-Zahlteile werden auf unserem Server erzeugt und enthalten die für eine Bankzahlung erforderlichen Angaben zu Zahlungsempfänger, Rechnungsadresse, Betrag und Referenz beziehungsweise Mitteilung. Wenn du den QR-Zahlteil in deiner Banking-App verwendest, verarbeitet dein Finanzinstitut die Zahlung nach seinen eigenen Bedingungen. Bankzahlungen werden im Portal nach Prüfung des Zahlungseingangs erfasst.

Wenn die Online-Zahlung aktiviert ist und du diese wählst, übermitteln wir an Stripe deine E-Mail-Adresse, die Rechnungskennung, den offenen Betrag und technische Zuordnungsdaten. Die Eingabe der Zahlungsdaten erfolgt auf der von Stripe bereitgestellten Zahlungsseite. Wir speichern keine vollständigen Kartennummern oder Kartenprüfnummern. Wir erhalten Zahlungsstatus, Zahlungsreferenzen und gegebenenfalls Rückerstattungsinformationen zur Zuordnung und Abrechnung.

Stripe verarbeitet Daten je nach Dienst als Auftragsbearbeiter oder für eigene Zwecke, insbesondere Zahlungsabwicklung, Betrugsbekämpfung und gesetzliche Pflichten. Dabei können Stripe-Gesellschaften, Finanzpartner und Dienstleister im Ausland, auch in den USA, beteiligt sein. Welche Stripe-Gesellschaft zuständig ist und welche Übermittlungsmechanismen eingesetzt werden, ergibt sich aus den geltenden Stripe-Verträgen und den Datenschutzhinweisen von Stripe. Eine Zahlung per Bank-/QR-Rechnung bleibt als Alternative verfügbar.

08Schriftarten, Analyse und externe Dienste

Die verwendeten Schriftarten werden zusammen mit der Website ausgeliefert. Dein Browser muss dafür keine Schriftdateien von Google Fonts oder anderen externen Schriftanbietern laden.

Im Website-Code sind keine Analyse- oder Werbetracker, Social-Media-Pixel, eingebetteten Karten oder Videos und keine externen Captcha-Dienste integriert. Wir verwenden die Kontaktangaben nicht automatisch für einen Newsletter.

Beim Öffnen externer Links verlässt du unsere Website. Für die dortige Bearbeitung deiner Daten ist der jeweilige Anbieter verantwortlich.

09Empfänger und Bearbeitung im Ausland

Die wesentlichen technischen Empfänger sind Contabo GmbH für den Serverbetrieb in Deutschland und Hostpoint AG für die Domain- und E-Mail-Dienste in der Schweiz. Die Bearbeitung durch diese Anbieter dient den oben beschriebenen Zwecken.

Personendaten können im für den Betrieb und die Kommunikation notwendigen Umfang von beauftragten Hosting-, Infrastruktur- und E-Mail-Anbietern bearbeitet werden. Weitere Bekanntgaben können erforderlich sein, wenn gesetzliche Pflichten bestehen oder berechtigte Rechtsansprüche verfolgt werden.

Mit dem Serverbetrieb in Deutschland werden Personendaten auch ausserhalb der Schweiz bearbeitet. Deutschland gehört zu den Staaten mit einem vom Bundesrat anerkannten angemessenen Datenschutzniveau. Allein für diese Übermittlung sind daher keine zusätzlichen Standarddatenschutzklauseln zur Absicherung eines unangemessenen Drittlandniveaus erforderlich. Anforderungen an Auftragsbearbeitung und Datensicherheit bleiben bestehen.

10Aufbewahrung

Die Aufbewahrung richtet sich nach dem Bearbeitungszweck: Anfragen werden für die Bearbeitung und notwendige Rückfragen aufbewahrt; daraus entstehende Vertrags- und Geschäftsunterlagen zusätzlich im Rahmen gesetzlicher Aufbewahrungspflichten. Eine weitere Aufbewahrung kann erforderlich sein, um berechtigte Rechtsansprüche geltend zu machen oder abzuwehren. Entfallen diese Gründe, sind die Daten zu löschen oder zu anonymisieren.

Technische Protokolle dienen dem sicheren Betrieb, der Fehleranalyse und gegebenenfalls der Aufklärung eines konkreten Sicherheitsvorfalls. Ihre Aufbewahrung ist auf diese Zwecke zu begrenzen. Sicherungskopien werden im jeweiligen Sicherungszyklus überschrieben; gelöschte Inhalte können bis dahin noch in Sicherungen enthalten sein. Die kurzen technischen Laufzeiten des Captchas und des Cookies sind oben beschrieben.

11Datensicherheit

Die öffentliche Website verwendet HTTPS. Das Formular prüft Eingaben auf dem Server, begrenzt die Grösse von Anfragen und setzt ein Captcha sowie vorübergehende Ratenbegrenzungen ein. SMTP-Zugangsdaten werden serverseitig konfiguriert und nicht an den Browser ausgeliefert. Trotz technischer und organisatorischer Massnahmen kann keine absolute Sicherheit gewährleistet werden.

12Deine Rechte

Im Rahmen des anwendbaren Rechts kannst du Auskunft über die Bearbeitung deiner Personendaten sowie deren Berichtigung verlangen. Je nach Voraussetzungen kannst du auch Löschung, Einschränkung oder Unterlassung einer Bearbeitung und die Herausgabe oder Übertragung bestimmter Daten verlangen. Gesetzliche Aufbewahrungs- und andere überwiegende Pflichten können diese Rechte begrenzen.

Falls eine Bearbeitung auf deiner Einwilligung beruht, kannst du diese für die Zukunft widerrufen. Soweit die DSGVO anwendbar ist, besteht insbesondere ein Widerspruchsrecht gegen Bearbeitungen aufgrund berechtigter Interessen unter den gesetzlichen Voraussetzungen.

Wende dich dazu an info@codezwerk.ch. Wir können geeignete Angaben zur Prüfung deiner Identität verlangen. Du kannst dich auch an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder eine andere zuständige Aufsichtsbehörde wenden.

13Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die eingesetzten Dienste oder Datenbearbeitungen ändern. Die jeweils veröffentlichte Fassung trägt das oben angegebene Datum. Über wesentliche Änderungen informieren wir, soweit dies gesetzlich erforderlich ist.