Datenschutzerklärung für UDKS Schweiz

Diese Erklärung beschreibt, wie C&W Software Labs AG Personendaten beim Besuch von udks.cundw.ch, bei Anfragen, Bestellungen, Zahlungen und bei der Bereitstellung von UDKS bearbeitet. Das zugehörige Dienstleister- und Transferverzeichnis ergänzt die Angaben zu Empfängern, Bearbeitungsstaaten und Garantien; es gehört zu dieser Erklärung. Fassung 1.5 ersetzt die Fassung 1.4 vom 26.10.2026 und nennt erstmals vollständig die eingesetzten Dienste; die Fristen und Zugangsregeln sind unverändert.

Inhaltsübersicht: 1 Kontakt und Rollen · 2 Zwecke und Grundsätze · 3 Website · 4 Bestellung · 5 Stripe · 6 Kundenkonto · 7 Office und Brevo · 8 UDKS Betrieb · 9 Vertrieb · 10 Empfänger und Ausland · 11 Aufbewahrung · 12 Rechte · 13 Änderungen.

1 Verantwortliche und Kontakt

1.1 Verantwortliche für unsere Website, Anfragen, Vertragsverwaltung, Abrechnung und eigene Geschäftskorrespondenz ist C&W Software Labs AG, Bundesplatz 4, 6300 Zug, Schweiz, UID CHE-101.808.011. Kontakt für Datenschutzanliegen: techsupport@cundw.ch. Für die Geschäftsleitung handelt Dennis Poschner. Die Kontaktangabe bedeutet keine Bestellung eines gesetzlichen Datenschutzberaters.

1.2 Für die von einer Kundin in UDKS bearbeiteten Personendaten ist grundsätzlich die Kundin verantwortlich; wir bearbeiten sie nach ihren Weisungen auf Grundlage der vereinbarten AVV. Dazu gehören auch personenbezogene Dokumentmetadaten und Nutzungsnachweise. Diese Erklärung ersetzt die Datenschutzinformation der Kundin an ihre betroffenen Personen nicht. Betroffenenanfragen zu solchen Daten leiten wir an die zuständige Kundin weiter.

2 Zwecke und Grundsätze

2.1 Wir bearbeiten Personendaten zur Bereitstellung und Absicherung der Website, zur Bearbeitung von Anfragen, zum Abschluss und zur Durchführung von Verträgen, zur Zahlung, Einrichtung und Unterstützung, zur Provisionsabrechnung sowie zur Erfüllung gesetzlicher Pflichten und zur Wahrung oder Abwehr konkreter Rechtsansprüche. Wir beschränken die Daten auf das für den jeweiligen Zweck Erforderliche.

2.2 Es gilt das Schweizer Datenschutzgesetz. Soweit eine Rechtfertigung erforderlich ist, kommen insbesondere Einwilligung, überwiegende private oder öffentliche Interessen oder das Gesetz in Betracht. Die Vertragsabwicklung, die Sicherheit unserer Dienste und die Bearbeitung geschäftlicher Anfragen können solche Interessen begründen. Die Bezeichnung eines Interesses ersetzt nicht die erforderliche Beurteilung im Einzelfall.

2.3 Soweit die DSGVO auf eine konkrete Bearbeitung zwingend anwendbar ist, stützen wir die Bearbeitung je nach Zweck auf Art. 6 Abs. 1 lit. b für einen Vertrag mit der betroffenen natürlichen Person beziehungsweise deren angefragte vorvertragliche Massnahmen, lit. c für anwendbare gesetzliche Pflichten und lit. f insbesondere für sichere Dienste und die Abwicklung von Geschäftsbeziehungen mit Organisationen. Für Ansprechpersonen eines Unternehmens wird nicht allein deshalb ein eigener Vertrag mit dieser Person angenommen. Eine erforderliche Einwilligung wird gesondert eingeholt und kann für die Zukunft widerrufen werden.

3 Website und Browser

3.1 Website und Bestelldienst werden auf Servern bei Exoscale, Akenes SA, in Zürich betrieben. Zur Auslieferung und Absicherung werden technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt und angefragte Adresse bearbeitet. Das Bestellprotokoll erfasst einen gekürzten und gehashten IP-Bezug zur Missbrauchsnachverfolgung. Ein solcher Wert kann weiterhin personenbeziehbar sein; er wird nicht als anonyme Information behandelt.

3.2 Auf der Website setzen wir keine eigenen Werbepixel oder Analysedienste ein. Schriften und Logos werden von unserem Server geladen. Die Anmeldung verwendet technisch erforderliche Sitzungscookies. Nach Weiterleitung zu einem externen Zahlungsdienst gelten für dessen Oberfläche zusätzlich seine eigenen Informationen über Cookies und Datenbearbeitungen.

3.3 Der Browser speichert Regionswahl, Darstellung, das Schliessen des Hinweises, einen laufenden Bestellentwurf und gegebenenfalls die Partnerkennung lokal. Bestelldaten und Partnerkennung werden bei der Bestellung an uns übermittelt. Die Partnerkennung bleibt höchstens 30 Tage im lokalen Speicher. Die anderen lokalen Einstellungen und Entwürfe können Sie über «Lokale Daten löschen» oder die Browser-Einstellungen entfernen. Nutzen Sie gemeinsam verwendete Geräte, löschen Sie nach Abschluss die nicht mehr benötigten Entwürfe und melden Sie sich ab.

3.4 Die Regionswahl erfolgt manuell. Eine automatische Länderbestimmung über einen externen IP-Dienst wird für dieses Angebot nicht eingesetzt. Eine spätere Aktivierung würde vorab in der Datenschutzinformation ausgewiesen.

4 Anfragen und Bestellungen

4.1 Wir bearbeiten Firmenname, UID, Rechnungsadresse, Kontaktperson, geschäftliche E-Mail und Telefonnummer, gewählte Gesellschaften und Zugänge, Konfiguration, Zahlungsart, Bestellreferenz sowie Zeitpunkt und Fassungen der abgegebenen Vertragserklärungen. Diese Angaben stammen von Ihnen, Ihrer Organisation oder dem für Sie handelnden Vertriebspartner. Bei Anfragen bearbeiten wir zusätzlich Ihre Angaben zum Vorhaben und den Gesprächsverlauf.

4.2 Erforderliche Angaben dienen der Zuordnung, Annahme und Erfüllung des Auftrags sowie der Rechnungsstellung. Ohne diese Angaben kann die entsprechende Bestellung nicht abgewickelt werden. Freiwillige Zusatzangaben werden nur für den damit verbundenen Zweck verwendet. Die Bereitstellung einer Datenschutzerklärung ist keine pauschale Einwilligung in beliebige Bearbeitungen.

4.3 Das Onboarding-Kit wird digital im Kundenkonto bereitgestellt. Wünscht die Kundin den Get-started-Brief per Post, drucken und versenden wir ihn selbst; eine Druckerei oder ein Versanddienstleister erhält dafür keine Daten, die Zustellung erfolgt durch die Schweizerische Post.

5 Zahlung über Stripe und Banküberweisung

5.1 Bei Kartenzahlung verwenden wir die Zahlungsdienste von Stripe Payments Europe, Limited, Irland. Übermittelt werden insbesondere Kontakt- und Rechnungsangaben, Bestellreferenz, Konfiguration, Steuerstatus und der zu zahlende Betrag. Vollständige Kartennummer und Prüfnummer werden auf der Stripe-Zahlungsoberfläche eingegeben. Wir erhalten Zahlungsstatus, Referenzen und begrenzte Zahlungsmerkmale wie die letzten vier Ziffern, nicht die vollständigen Kartenangaben.

5.2 Stripe bearbeitet Personendaten abhängig vom konkreten Dienst und Zweck teilweise als eigenständig Verantwortliche, etwa zur Erfüllung eigener Zahlungs-, Sicherheits- und gesetzlicher Pflichten, und teilweise in unserem Auftrag. Für eigene Stripe-Zwecke gelten die Datenschutzhinweise von Stripe. Welche Stripe-Gesellschaften, Unterdienstleister, Bearbeitungsstaaten und Transfergarantien für unsere bezogenen Dienste einschlägig sind, wird im zugehörigen Dienstleisterverzeichnis ausgewiesen. Eine pauschale Behauptung ausschliesslich europäischer Bearbeitung wird damit nicht verbunden.

5.3 Rechnungen und Gutschriften erstellen wir selbst und stellen sie per E-Mail und im Kundenkonto bereit. Bei Banküberweisung erhalten wir die im Zahlungsverkehr erforderlichen Angaben, insbesondere Name, Kontobezug, Betrag, Referenz und Zahlungsdatum. Die beteiligten Banken bearbeiten Zahlungsdaten auch in eigener Verantwortung.

6 Kundenkonto und Zugänge

6.1 Das Kundenkonto zeigt Abonnement, Rechnungen und Einrichtung und ermöglicht Vertragsänderung, Storno und Kündigung. Die Anmeldung erfolgt mittels eines einmalig verwendbaren E-Mail-Codes beziehungsweise eines bereitgestellten Anmeldelinks. Der sechsstellige Code gilt 15 Minuten. Die Sitzung im Kundenkonto hat eine maximale Dauer von 30 Tagen; Abmeldung beziehungsweise Sperrung beendet die entsprechende Nutzungsmöglichkeit früher.

6.2 Im internen beziehungsweise Partnerbereich gelten getrennte Zugangsverfahren. Ein dortiger Anmeldelink gilt 20 Minuten; die dortige Sitzung dauert maximal zwölf Stunden. Diese Zeiten sind nicht die Gültigkeitszeiten der Kundenschlüssel für UDKS.

6.3 Vertragsänderungen, Stornierungen und Kündigungen werden mit Zeitpunkt und zuordenbarem Vorgang protokolliert. Zweck ist die Durchführung der Erklärung und deren Nachweis. Zugangsmittel dürfen nicht an unberechtigte Personen weitergegeben werden.

7 Microsoft Office und automatisierte E-Mails

7.1 Für techsupport@cundw.ch verwenden wir Microsoft 365 beziehungsweise Exchange Online, bezogen über GoDaddy. Dabei werden Absender, Empfänger, Betreff, Nachricht, Anhänge sowie technische Übermittlungs- und Sicherheitsdaten bearbeitet. GoDaddy kann im Rahmen von Bezug, Administration und Produktsupport beteiligt sein; Microsoft stellt die technische E-Mail-Leistung bereit. Die konkreten juristischen Gesellschaften und Speicher- und Zugriffsorte ergeben sich aus dem zugehörigen Dienstleisterverzeichnis.

7.2 Unser Supportablauf sieht eine Kopie an die berechtigte Supportgruppe unter cundw.io vor. Der Zugang ist auf die für den Vorgang zuständigen Personen zu beschränken. Zusätzliche Postfächer und Weiterleitungen gehören zur Verarbeitungskette und unterliegen denselben Zweck- und Löschvorgaben. Nachrichten und Anhänge sind nicht durch die Inhaltsverschlüsselung von UDKS geschützt.

7.3 Automatisierte Bestellbestätigungen und Anmeldenachrichten werden daneben über Brevo, Sendinblue SAS, Frankreich, versandt. Brevo bearbeitet hierfür insbesondere Empfängeradressen, Nachrichteninhalt und technische Zustellinformationen. Microsoft 365 und Brevo erfüllen unterschiedliche Aufgaben; die Verwendung von Office beendet den automatisierten Versand über Brevo nicht.

7.4 Senden Sie uns keine privaten Schlüssel, Passphrasen oder unverschlüsselten Kundendokumente per gewöhnlicher E-Mail. Für eine Unterstützung genügen grundsätzlich Vorgangskennung, Zeitpunkt und eine datensparsame Problembeschreibung. Wird ein Zugriff auf Auftragsdaten erforderlich, ist zuvor ein nach AVV zugelassener Bearbeitungsweg festzulegen. Diese Verhaltensregel ersetzt nicht unsere Pflichten für die ohnehin anfallenden Kontakt- und Nachrichtendaten.

8 Betrieb von UDKS und Sicherungen

8.1 Im Auftrag bearbeiten wir Nutzerkonten, Rollen und Berechtigungen, öffentliche Schlüssel, verschlüsselte Schlüsselkapseln, verschlüsselte Dokumentinhalte, Dokumentkennzeichen, Status, Zeitstempel sowie Freigabe-, Kenntnisnahme- und andere notwendige Nachweise. Auch Metadaten können vertraulich und personenbeziehbar sein.

8.2 Die Inhalte werden vor der Übertragung im Browser verschlüsselt. Private Nutzerschlüssel und Passphrasen werden im vorgesehenen Verfahren durch die berechtigten Nutzer beziehungsweise die Kundin verwahrt. Ein kundenseitiges Wiederherstellungsverfahren ist gesondert dokumentiert. Daraus folgt keine Garantie, dass Endgeräte, E-Mail-Nachrichten oder sämtliche Metadaten von UDKS verschlüsselt werden.

8.3 Die Schweizer Instanz und ihre Schnappschüsse liegen bei Exoscale in Zürich. Die Anbieterin hält zusätzlich eine Sicherung auf einem eigenen Speichersystem in der Schweiz. Kundinnen können eigene verschlüsselte Sicherungen auf ihre Systeme beziehen und bestimmen deren Standorte und weitere Bearbeitung selbst. Die Datensätze und Löschzyklen der Instanz, des Bestelldienstes und der zusätzlichen Sicherung werden getrennt geführt.

8.4 Eine Dokumentvernichtung im Dienst löscht ältere Sicherungskopien nicht automatisch. Nach einer Wiederherstellung wird der zwischenzeitliche Löschstand erneut angewandt. Bei Export und Löschung gelten die AVV und die konkret vereinbarte Vertragsfassung.

9 Vertrieb und Partnerregister

9.1 Unser eigenes Vertriebsregister enthält Firma, Ansprechperson, Kontaktangaben, Vorhaben und Gesprächsverlauf. Anfragen ohne Vertrag werden grundsätzlich 24 Monate nach dem letzten sachlichen Kontakt gelöscht, sofern keine frühere Erledigung oder ein fortbestehender konkret dokumentierter Grund eine andere Frist erfordert. Eine wiederholte Werbenachricht verlängert diese Frist nicht automatisch. Werbung ohne Ihre Einwilligung ist für dieses Verfahren nicht vorgesehen.

9.2 Bei einer Bestellung mit Partnerkennung erhält der zugeordnete Partner die für Betreuung und Provision erforderlichen Angaben: Firma und Kontakt, Bestellreferenz und Umfang, Stand von Bestellung, Einrichtung und Abonnement sowie abrechnungsrelevante Netto-, Zahlungs- und Provisionsstände. Er erhält über diese Funktion keine Kundendokumente, privaten Schlüssel, Kartendaten oder Rechnungs-PDFs. Der Zugriff ist auf seine eigenen Zuordnungen begrenzt.

9.3 Führt ein externer Partner sein eigenes Kontaktregister in unserem Vertriebswerkzeug, ist er dafür grundsätzlich selbst verantwortlich und wir handeln insoweit nach seiner gesonderten Auftragsvereinbarung. Für unsere eigene Vertragsverwaltung nach einer Bestellung bleiben wir verantwortlich. Der Partner muss seine betroffenen Personen über seine eigene Bearbeitung informieren.

10 Empfänger und Bekanntgabe ins Ausland

10.1 Neben den genannten Zahlungs-, Hosting- und E-Mail-Diensten erhalten berechtigte Mitarbeitende, zugeordnete Partner und erforderlichenfalls gesetzlich zuständige Behörden oder beigezogene Berufsgeheimnisträger die für ihren jeweiligen Zweck benötigten Daten. Eine gesetzlich erforderliche Bekanntgabe wird auf das notwendige Mass beschränkt.

10.2 Der Sitz einer Vertragsgesellschaft bezeichnet nicht automatisch den Speicherort oder sämtliche Fernzugriffsländer. Das zugehörige Verzeichnis nennt deshalb die tatsächlichen Bearbeitungsstaaten und die jeweils anwendbaren Garantien. Ein pauschaler Verweis auf «weltweit» oder die Website eines Providers ersetzt diese Information nicht.

10.3 Für Auslandbekanntgaben ist ein nach Schweizer Recht angemessener Schutz erforderlich. Soweit der Empfängerstaat beziehungsweise die konkret zertifizierte Stelle über einen anwendbaren Angemessenheitsmechanismus erfasst ist, wird dieser im Verzeichnis genannt. Andernfalls werden geeignete Garantien, insbesondere anerkannte Standarddatenschutzklauseln mit erforderlichen Schweizer Anpassungen und zusätzlichen Massnahmen, vor dem betreffenden Transfer nachgewiesen. Eine Ausnahme wird nur bei erfüllten gesetzlichen Voraussetzungen eingesetzt und als solche bezeichnet. Auf Anfrage erhalten Sie die für Sie relevanten Informationen oder Garantien unter Schutz berechtigter Geheimhaltungsinteressen.

11 Aufbewahrung und Löschung

11.1 Geschäftsbücher und Buchungsbelege werden nach Art. 958f OR zehn Jahre ab Ablauf des betreffenden Geschäftsjahres aufbewahrt. Diese Frist wird nicht pauschal auf sämtliche Supportinhalte, Browserdaten, Anmeldecodes oder Dokumentinhalte übertragen. Andere notwendige Vertragsnachweise werden nur im für konkrete Pflichten und Rechtsansprüche erforderlichen Umfang und für die dafür massgebliche Zeit gesondert aufbewahrt.

11.2 Gewöhnliche Supportinhalte ohne notwendigen Beleg- oder Streitbezug werden spätestens zwölf Monate nach Abschluss des Vorgangs gelöscht. Für darin enthaltene Auftragsdaten gelten eine frühere Löschweisung und die vereinbarten Fristen vorrangig. Die Löschung erfasst innerhalb der genannten Fristen auch interne Kopien, Weiterleitungen und Archive. Für eine längere Aufbewahrung werden Zweck, Datenumfang und Frist gesondert festgehalten.

11.3 Für neue Verträge unter AGB 1.2 bleiben die erfassten Auftragsdaten während 30 Kalendertagen nach Vertragsende exportierbar. Produktiv zugängliche Daten werden anschliessend unverzüglich, spätestens am Tag 35, und getrennte Sicherungsreste spätestens am Tag 60 gelöscht. Gesetzlich erforderliche, gesondert dokumentierte Ausnahmen bleiben vorbehalten. Für ältere Verträge gelten ihre jeweils vereinbarten Fristen; diese Erklärung verlängert sie nicht.

11.4 Sicherheits- und Zugriffsprotokolle werden zweckbezogen begrenzt aufbewahrt. Soweit Art. 4 DSV anwendbar ist, werden die vorgeschriebenen Protokolle mindestens ein Jahr getrennt und nur für die zulässigen Kontrollzwecke aufbewahrt. Die blosse Existenz einer Protokollfunktion begründet keine unbegrenzte Aufbewahrung von Dokumentinhalten. Gesetzlich nicht erforderliche Protokollbestände werden nach Wegfall ihres konkreten Sicherheits- oder Nachweiszwecks gelöscht.

11.5 Browserbestände können Sie selbst löschen; die Partnerkennung läuft nach 30 Tagen aus. Die Gültigkeitszeiten der Anmeldemittel sind in Ziffer 6 beschrieben. Eine abgelaufene Gültigkeit ist nicht mit der Löschung sämtlicher zugehörigen Sicherheitsnachweise gleichzusetzen.

12 Ihre Rechte

12.1 Sie können nach den gesetzlichen Voraussetzungen Auskunft über die Bearbeitung Ihrer Personendaten sowie Berichtigung unrichtiger Angaben verlangen. Sie können der Bearbeitung widersprechen und gegebenenfalls deren Unterlassung oder Löschung sowie die Herausgabe beziehungsweise Übertragung Ihrer Daten verlangen. Diese Rechte gelten nicht ausnahmslos; insbesondere gesetzliche Aufbewahrungspflichten und Rechte Dritter können entgegenstehen.

12.2 Anfragen richten Sie an techsupport@cundw.ch. Wir prüfen die Identität mit angemessenen Mitteln und verlangen nur notwendige Angaben. Auskunft wird grundsätzlich kostenlos und innerhalb von 30 Tagen erteilt. Ist eine gesetzlich zulässige Einschränkung oder Verzögerung erforderlich, teilen wir Grund und weiteres Vorgehen mit. Für Auftragsdaten unterstützen wir die zuständige Kundin bei der Erfüllung Ihrer Rechte.

12.3 Sie können den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten, EDÖB, kontaktieren; zuständige Gerichte bleiben zur Durchsetzung privatrechtlicher Ansprüche verfügbar. Soweit die DSGVO anwendbar ist, bestehen zusätzlich deren Rechte einschliesslich Einschränkung und Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde.

13 Änderungen

13.1 Diese Erklärung wird bei Änderungen der Bearbeitung aktualisiert und mit Fassung und Datum versehen. Wesentliche neue Bearbeitungszwecke werden vor ihrer Aufnahme transparent mitgeteilt; erforderliche Einwilligungen oder Genehmigungen werden gesondert eingeholt. Eine neue Datenschutzerklärung ändert bestehende Verträge nicht automatisch.

13.2 Das jeweils bereitgestellte Dienstleister- und Transferverzeichnis gehört zu dieser Information. Für Auftragsdaten gilt daneben das vertragliche Informations- und Widerspruchsverfahren der AVV.