Datenschutzerklärung

VIOO ist ein Produkt, das von der Averion GmbH (nachfolgend «Averion»), einer in der Schweiz eingetragenen Gesellschaft, entwickelt, betrieben und geführt wird. Averion GmbH ist alleinige Inhaberin und Betreiberin von VIOO.

Diese Datenschutzerklärung (nachfolgend «Erklärung») beschreibt, wie die Averion GmbH als alleinige Inhaberin und Betreiberin von VIOO Personendaten im Rahmen des Produkts erhebt, bearbeitet, speichert und schützt. Diese Erklärung ist auf die Einhaltung des Schweizer Bundesgesetzes über den Datenschutz vom 25. September 2020 (DSG/nDSG), das am 1. September 2023 in Kraft getreten ist, sowie der zugehörigen Datenschutzverordnung (DSV) ausgerichtet.

Die Averion GmbH handelt als Verantwortliche im Sinne des DSG für sämtliche Personendaten, die über VIOO bearbeitet werden. Als Produktinhaberin bestimmt Averion allein die Zwecke und Mittel der Datenbearbeitung und trägt die volle Verantwortung für die Einhaltung der geltenden datenschutzrechtlichen Anforderungen.

Diese Erklärung gilt für alle Personendaten, die über das Produkt VIOO bearbeitet werden, einschliesslich der Webseite, der Applikation und der damit verbundenen Dienstleistungen. Sie umfasst Daten von Nutzerinnen und Nutzern, Kundinnen und Kunden sowie allen weiteren natürlichen Personen, deren Daten im Zusammenhang mit der Nutzung von VIOO erhoben oder bearbeitet werden.

Sie gilt für alle Mitarbeitenden, Auftragnehmer und sonstige Personen, die im Auftrag der Averion GmbH Zugang zu Personendaten im Rahmen von VIOO haben.

Die folgenden Begriffe werden in dieser Erklärung gemäss Art. 5 DSG verwendet:

Diese Datenschutzerklärung (nachfolgend «Erklärung») beschreibt, wie die Averion GmbH als alleinige Inhaberin und Betreiberin von VIOO Personendaten im Rahmen des Produkts erhebt, bearbeitet, speichert und schützt. Diese Erklärung ist auf die Einhaltung des Schweizer Bundesgesetzes über den Datenschutz vom 25. September 2020 (DSG/nDSG), das am 1. September 2023 in Kraft getreten ist, sowie der zugehörigen Datenschutzverordnung (DSV) ausgerichtet.

Die Averion GmbH handelt als Verantwortliche im Sinne des DSG für sämtliche Personendaten, die über VIOO bearbeitet werden. Als Produktinhaberin bestimmt Averion allein die Zwecke und Mittel der Datenbearbeitung und trägt die volle Verantwortung für die Einhaltung der geltenden datenschutzrechtlichen Anforderungen.

VIOO kann je nach konkretem Anwendungsfall und Konfiguration folgende Kategorien von Personendaten bearbeiten:

• Konto- und Identifikationsdaten (z. B. Name, E-Mail-Adresse, Benutzer-ID)
• Kontaktdaten (z. B. Telefonnummer, Postadresse)
• Zahlungs- und Rechnungsdaten (Abwicklung über Stripe; siehe Abschnitt 10)
• Nutzungs- und Protokolldaten (z. B. IP-Adresse, Browsertyp, Zeitstempel, Interaktionsprotokolle)
• Analysedaten, die über Google Analytics erhoben werden (siehe Abschnitt 9)
• Cookie- und Trackingdaten (siehe Abschnitt 9)
• Konfigurations- und Präferenzdaten
• Weitere Daten, die von der nutzenden Person freiwillig angegeben werden

VIOO erhebt oder bearbeitet keine besonders schützenswerten Personendaten im Sinne von Art. 5 Bst. c DSG, es sei denn, dies ist für einen konkreten Anwendungsfall ausdrücklich erforderlich und es liegt eine entsprechende Rechtsgrundlage vor (z. B. ausdrückliche Einwilligung).

Die Averion GmbH bearbeitet Personendaten im Rahmen von VIOO für folgende Zwecke:

• Bereitstellung und Betrieb des Produkts VIOO und seiner Kernfunktionen
• Kontoerstellung, Authentifizierung und Benutzerverwaltung
• Abwicklung von Zahlungen und Rechnungsstellung (über Stripe)
• Gewährleistung der Systemsicherheit, Stabilität und Leistungsüberwachung
• Analyse der Produktnutzung zur Verbesserung und Weiterentwicklung von VIOO (über Google Analytics)
• Erfüllung vertraglicher Verpflichtungen gegenüber Nutzerinnen und Nutzern sowie Kundinnen und Kunden
• Einhaltung gesetzlicher und regulatorischer Pflichten nach Schweizer Recht
• Beantwortung von Anfragen und Kundensupport

Nach Schweizer Recht bedarf die Bearbeitung von Personendaten grundsätzlich keiner Einwilligung, sofern keine Persönlichkeitsverletzung vorliegt. Die Averion GmbH stützt sich für die Bearbeitung von Personendaten im Rahmen von VIOO auf folgende Rechtsgrundlagen:

• Erfüllung eines Vertrags oder vorvertraglicher Massnahmen (Art. 31 Abs. 2 Bst. a DSG)
• Berechtigte Interessen der Averion GmbH, sofern diese die Interessen der betroffenen Person nicht überwiegen (Art. 31 Abs. 1 DSG)
• Erfüllung einer gesetzlichen Pflicht
• Einwilligung der betroffenen Person, insbesondere für den Einsatz von Analyse-Cookies und Trackingtechnologien (siehe Abschnitt 9)

Die primären Daten von VIOO werden in der Schweiz und im Europäischen Wirtschaftsraum (EWR) gespeichert.

VIOO wird auf der Infrastruktur von Amazon Web Services (AWS) in der EU-/Schweiz-Region gehostet. Die Averion GmbH hat AWS-Regionen gewählt, die sicherstellen, dass die Daten nach Möglichkeit in der Schweiz oder im EWR verbleiben.

AWS handelt als Auftragsbearbeiter im Auftrag der Averion GmbH und ist vertraglich durch einen Auftragsbearbeitungsvertrag (AVV) gebunden, der den Anforderungen des DSG entspricht. AWS setzt branchenführende technische und organisatorische Sicherheitsmassnahmen zum Schutz der Personendaten ein.

Bestimmte in VIOO integrierte Drittanbieterdienste (siehe Abschnitte 9 und 10) können begrenzte Kategorien von Personendaten ausserhalb der Schweiz, insbesondere in den USA, bearbeiten. Wo solche Übermittlungen stattfinden, stellt die Averion GmbH geeignete Schutzmassnahmen gemäss Abschnitt 11 sicher.

Cookies sind kleine Textdateien, die auf dem Gerät der nutzenden Person abgelegt werden, wenn sie eine Webseite besucht. Sie werden häufig verwendet, um Webseiten funktionsfähig zu machen, dem Betreiber Informationen bereitzustellen und die Benutzererfahrung zu verbessern.

VIOO verwendet die folgenden Kategorien von Cookies:

VIOO verwendet Google Analytics, einen Webanalysedienst der Google Ireland Limited («Google»). Google Analytics setzt Cookies ein, um die Nutzung von VIOO zu analysieren. Die durch das Cookie erzeugten Informationen über Ihre Nutzung von VIOO (einschliesslich Ihrer IP-Adresse) werden an Server von Google übermittelt und dort gespeichert. Diese Server können sich in den USA befinden.

Die Averion GmbH hat folgende Massnahmen zum Schutz Ihrer Privatsphäre im Zusammenhang mit Google Analytics getroffen:

• Die IP-Anonymisierung ist aktiviert, sodass Google Ihre IP-Adresse innerhalb der EU/des EWR vor der Übermittlung in die USA kürzt
• Die Averion GmbH hat mit Google einen Auftragsbearbeitungsvertrag abgeschlossen
• Die Datenweitergabe an andere Google-Dienste ist deaktiviert
• Google-Analytics-Daten werden nach 26 Monaten automatisch gelöscht

Sie können das Google-Analytics-Tracking jederzeit deaktivieren, indem Sie das Browser- Add-on zur Deaktivierung von Google Analytics installieren
(https://tools.google.com/dlpage/gaoptout) oder Ihre Cookie-Einstellungen innerhalb von VIOO anpassen.

Beim ersten Besuch von VIOO wird Ihnen ein Cookie-Banner angezeigt, über das Sie nicht notwendige Cookies (funktionale und Analyse-Cookies) akzeptieren oder ablehnen können. Unbedingt erforderliche Cookies können nicht deaktiviert werden, da sie für den Betrieb von VIOO notwendig sind.

Sie können Ihre Cookie-Einstellungen jederzeit über die in VIOO verfügbaren Cookie-Einstellungen ändern. Darüber hinaus ermöglichen die meisten Webbrowser die Verwaltung von Cookies über ihre Einstellungen. Bitte beachten Sie, dass die Deaktivierung bestimmter Cookies die Funktionalität von VIOO beeinträchtigen kann.

Die Averion GmbH setzt eine begrenzte Anzahl von Drittanbietern ein, die als Auftragsbearbeiter im Auftrag von Averion tätig sind. Diese Dienstleister bearbeiten Personendaten nur in dem Umfang, der für die Erbringung ihrer Dienstleistungen erforderlich ist, und sind vertraglich zur Einhaltung der geltenden Datenschutzvorschriften verpflichtet.

Wichtig: Die Averion GmbH verkauft, vermietet oder handelt nicht mit Personendaten. Die oben aufgeführten Anbieter bearbeiten Personendaten ausschliesslich im Auftrag und nach Weisung der Averion. Ausserhalb dieser Dienstleister werden keine Personendaten an Dritte weitergegeben, es sei denn, dies ist aufgrund einer zwingenden gesetzlichen Verpflichtung erforderlich (z. B. eine verbindliche Anordnung eines Schweizer Gerichts oder einer zuständigen Behörde).

Wenn Sie eine Zahlung über VIOO tätigen, werden Ihre Zahlungsinformationen durch Stripe, Inc. bearbeitet. Stripe ist ein nach PCI DSS Level 1 zertifizierter Zahlungsdienstleister. Die Averion GmbH speichert keine vollständigen Kreditkartendaten auf ihren eigenen Servern. Die Bearbeitung von Personendaten durch Stripe unterliegt der Datenschutzerklärung von Stripe (https://stripe.com/privacy) sowie einem zwischen der Averion GmbH und Stripe geschlossenen Auftragsbearbeitungsvertrag.

Die Averion GmbH speichert die primären Daten von VIOO in der Schweiz und im EWR. Bestimmte Auftragsbearbeiter (siehe Abschnitt 10) können jedoch begrenzte Kategorien von Personendaten in die USA übermitteln. In diesen Fällen stellt die Averion GmbH einen angemessenen Schutz durch eine oder mehrere der folgenden Massnahmen sicher:

• Das Swiss-U.S. Data Privacy Framework, sofern der Empfänger zertifiziert ist
• Von der Europäischen Kommission genehmigte und vom EDÖB anerkannte Standardvertragsklauseln (SCCs)
• Verbindliche unternehmensinterne Datenschutzvorschriften (Binding Corporate Rules) des Empfängers, sofern anwendbar
• Ausdrückliche Einwilligung der betroffenen Person, sofern keine andere Schutzmassnahme verfügbar ist

Die Averion GmbH überprüft diese Übermittlungsmechanismen regelmässig, um die fortlaufende Einhaltung des DSG und etwaiger Leitlinien des EDÖB sicherzustellen.

Gemäss Art. 8 DSG und Art. 1–4 DSV trifft die Averion GmbH angemessene technische und organisatorische Massnahmen, um Personendaten vor unbefugtem Zugriff, Verlust, Zerstörung oder Veränderung zu schützen.

• Verschlüsselung der Personendaten bei der Übertragung (TLS) und bei der Speicherung
• Zugangskontrollen und Authentifizierungsmechanismen (rollenbasierter Zugriff)
• Regelmässige Sicherheitsupdates und Patch-Management
• Protokollierung und Überwachung des Zugriffs auf Personendaten
• Regelmässige Datensicherungen mit sicherer Aufbewahrung
• Netzwerksegmentierung und Firewall-Schutz
• PCI-DSS-konforme Zahlungsabwicklung über Stripe

• Datenschutzschulungen und Sensibilisierungsprogramme für alle Mitarbeitenden
• Vertraulichkeitsverpflichtungen für alle Personen mit Zugang zu Personendaten
• Definierte interne Prozesse für den Umgang mit Datenschutzvorfällen
• Regelmässige Überprüfung und Prüfung der Sicherheitsmassnahmen
• Beschränkung des Zugangs zu Personendaten nach dem Need-to-know-Prinzip

Im Falle einer Verletzung der Datensicherheit, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person zur Folge hat, wird die Averion GmbH gemäss Art. 24 DSG:

• Den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch wie möglich benachrichtigen
• Die Art der Verletzung des Schutzes von Personendaten beschreiben
• Die wahrscheinlichen Folgen der Verletzung beurteilen und mitteilen
• Die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung beschreiben
• Die betroffenen Personen informieren, soweit dies erforderlich ist, um ihnen die Wahrung ihrer Rechte zu ermöglichen

Nach Ablauf der jeweiligen Aufbewahrungsfrist werden Personendaten sicher gelöscht oder unwiderruflich anonymisiert.

Nach dem DSG haben betroffene Personen die folgenden Rechte in Bezug auf ihre von der Averion GmbH im Rahmen von VIOO bearbeiteten Personendaten:

Jede betroffene Person hat das Recht, Auskunft darüber zu verlangen, ob Personendaten über sie bearbeitet werden, und eine Kopie dieser Daten zu erhalten. Dieses Recht ist kostenlos, und die Averion GmbH antwortet innerhalb von 30 Tagen nach Eingang eines gültigen Gesuchs.

Betroffene Personen können verlangen, dass ihre Personendaten in einem gängigen elektronischen Format an sie herausgegeben oder an einen anderen Verantwortlichen übertragen werden.

Betroffene Personen haben das Recht, die Berichtigung unrichtiger Personendaten zu verlangen, ohne dies begründen zu müssen.

Betroffene Personen können die Löschung ihrer Personendaten verlangen, wenn diese für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind oder keine Rechtsgrundlage für die weitere Bearbeitung besteht.

Betroffene Personen können der Bearbeitung ihrer Personendaten widersprechen, wenn die Bearbeitung auf berechtigten Interessen beruht oder für automatisierte Einzelentscheidungen verwendet wird.

Um eines der oben beschriebenen Rechte auszuüben, können sich betroffene Personen an die Averion GmbH unter der in Abschnitt 18 genannten Adresse wenden. Die Averion GmbH wird die Identität der anfragenden Person überprüfen, bevor sie ein Gesuch bearbeitet.

Gemäss Art. 22 DSG führt die Averion GmbH eine Datenschutz-Folgenabschätzung (DSFA) durch, bevor sie eine Datenbearbeitung einleitet, die voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Personen mit sich bringen kann. Ergibt eine DSFA, dass die beabsichtigte Bearbeitung ein hohes Risiko zur Folge hat, das nicht gemindert werden kann, konsultiert die Averion GmbH den EDÖB, bevor sie fortfährt.

Die Averion GmbH führt ein Verzeichnis der Bearbeitungstätigkeiten gemäss Art. 12 DSG. Dieses Verzeichnis enthält für jede Bearbeitungstätigkeit die Identität des Verantwortlichen, den Bearbeitungszweck, eine Beschreibung der Kategorien betroffener Personen und Personendaten, die Kategorien der Empfänger, die Aufbewahrungsdauer sowie die technischen und organisatorischen Sicherheitsmassnahmen.

Für Fragen zu dieser Erklärung, zur Ausübung Ihrer Datenschutzrechte oder zur Verwaltung Ihrer Cookie-Einstellungen wenden Sie sich bitte an die Produktinhaberin:

Für Beschwerden über die Bearbeitung von Personendaten können sich betroffene Personen auch an die Schweizer Aufsichtsbehörde wenden:

Diese Erklärung untersteht Schweizer Recht. Allfällige Streitigkeiten aus oder im Zusammenhang mit dieser Erklärung unterstehen der ausschliesslichen Zuständigkeit der ordentlichen Gerichte am Sitz der Averion GmbH in Zürich, Schweiz.

Die Averion GmbH behält sich das Recht vor, diese Erklärung jederzeit zu ändern, um Änderungen der gesetzlichen Anforderungen, der Produktfunktionen oder der Datenbearbeitungspraktiken Rechnung zu tragen. Wesentliche Änderungen werden den Nutzenden über geeignete Kanäle mitgeteilt (z. B. per E-Mail oder Hinweis in der Applikation). Die aktuelle Fassung dieser Erklärung ist jederzeit innerhalb von VIOO oder auf Anfrage bei der Averion GmbH verfügbar.