Datenschutzerklärung

1. Verantwortliche Stelle und Kontakt

Verantwortlich für die Datenbearbeitung im Zusammenhang mit der Website kmu-nity.ch und der Web-App KMUnity ist:

Moritz Stangwald, Obermattweg 3A, 3645 Thun, Schweiz

Datenschutz-Kontakt: hallo@kmu-nity.ch

Wir haben keine Datenschutzberaterin oder -berater nach Art. 10 DSG ernannt, da keine Pflicht dazu besteht. Anfragen beantworten wir über die genannte Adresse.

2. Geltungsbereich

Diese Erklärung gilt für die öffentliche Website kmu-nity.ch, die Web-App («App», erreichbar nach Anmeldung), unsere E-Mails und den Support. Sie beschreibt drei unterschiedliche Rollen:

a) Daten über Besucherinnen, Besucher und Kundinnen, Kunden. Hier sind wir Verantwortliche im Sinne des DSG.

b) Daten, die Kundinnen und Kunden im CRM erfassen (etwa Kontaktpersonen ihrer Kunden). Hier ist die Kundin oder der Kunde verantwortlich, und wir bearbeiten die Daten als Auftragsbearbeiterin gemäss unserem Auftragsverarbeitungsvertrag.

c) Firmendaten im Leadfinder (öffentlich verfügbare Geschäftsangaben Dritter). Dazu Ziffer 9.

Grundlage ist das Bundesgesetz über den Datenschutz (DSG, in Kraft seit 1. September 2023). Soweit Personen in der EU betroffen sind, gelten ergänzend die Hinweise zur DSGVO in Ziffer 6.

3. Welche Daten wir bearbeiten

3.1 Besuch der Website

Beim Aufruf unserer Website verarbeitet unser Hosting-Anbieter Netlify Server-Logdaten: IP-Adresse (gekürzt), Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem, Referrer. Zweck: technischer Betrieb, Sicherheit, Fehleranalyse. Aufbewahrung: 30 Tage.

3.2 Kontaktformular und Demo-Anfrage

Name, E-Mail-Adresse, optional Firma und Telefon, Thema, Nachricht; bei Demo-Anfragen zusätzlich Teamgrösse, Branche und Wunschtermine. Zweck: Beantwortung der Anfrage. Aufbewahrung: bis zur Erledigung plus 12 Monate. Zum Schutz vor Spam setzen wir ein verstecktes Feld, eine Zeitprüfung und ein Rate-Limit ein; optional Cloudflare Turnstile (dann gilt Ziffer 7).

3.3 Newsletter

E-Mail-Adresse, Zeitpunkt der Anmeldung und der Bestätigung (Double-Opt-in), Zeitpunkt der Abmeldung. Zweck: Versand von Produktneuigkeiten und Ratgebern mit Ihrer Einwilligung. Abmeldung jederzeit über den Link in jeder E-Mail oder per Nachricht an hallo@kmu-nity.ch.

3.4 Kundenkonto

Vorname, Nachname, E-Mail-Adresse, Passwort (gehasht, verwaltet durch Supabase; wir sehen es nie im Klartext), Firma, Rolle im Workspace, optional Profilbild, Position, Telefon, Spracheinstellungen, Zeitzone, Darstellungseinstellungen. Login-Verlauf (gekürzte IP-Adresse, Browser, Zeitpunkt, Erfolg) für die letzten 20 Anmeldungen. Status der Zwei-Faktor-Authentifizierung.

3.5 Nutzung der App

• Suchparameter im Leadfinder: Branche, Freitext, Ort oder Kanton, Radius, Anzahl, Filter.
• Suchergebnisse und Website-Check-Resultate (siehe Ziffer 9).
• CRM-Inhalte: Firmen, Kontakte, Deals, Aufgaben, Notizen, Dateien, Vorlagen, Tags, eigene Felder.
• Produktnutzungs-Ereignisse: welche Funktionen und Seiten wie oft genutzt werden, ohne Inhalte (zum Beispiel «Suche gestartet», nicht «welche Branche»).
• Benachrichtigungen und deren Status.

3.6 Abrechnung

Gewählter Plan, Abo-Status, Abrechnungszeitraum, Rechnungen, Rechnungsadresse, Rechnungs-E-Mail, Zahlungsreferenzen des Zahlungsdienstleisters. Zahlungsdaten (Karte, TWINT) werden ausschliesslich vom Zahlungsdienstleister (Stripe, sobald aktiviert) bearbeitet; wir sehen nur Kartentyp und die letzten vier Ziffern. Bis zur Aktivierung läuft die Abrechnung im Testmodus ohne echte Zahlungen.

3.7 Support

Inhalte von Support-Tickets, Anhänge (zum Beispiel Screenshots) und technische Kontextdaten (Plan, Browser, aktuelle Seite), damit wir Probleme nachvollziehen können. Aufbewahrung: 24 Monate.

4. Zwecke der Bearbeitung

• Bereitstellung der Plattform und Erfüllung des Vertrags mit Ihnen.
• Abrechnung und Buchhaltung.
• Support und Kommunikation (Service-Mails, auf Wunsch Newsletter).
• Sicherheit und Missbrauchsbekämpfung, einschliesslich der Auswertung von Suchanfragen zur Erkennung missbräuchlicher Nutzung und zur Kontrolle der Kosten externer Schnittstellen.
• Produktverbesserung auf Basis aggregierter Nutzungsdaten.
• Erfüllung gesetzlicher Pflichten (zum Beispiel Aufbewahrung von Geschäftsunterlagen).

5. Einsicht des Betreibers in Nutzungsdaten

Wir sagen offen, was wir sehen. Im Admin-Bereich sieht der Betreiber, welche Suchen ein Konto durchführt (Branche, Ort, Anzahl, Zeitpunkt, verbrauchte Credits, Kosten), sowie Abo- und Nutzungsdaten. Das ist für Betrieb, Abrechnung und Missbrauchserkennung nötig.

Inhalte des CRM (Firmen, Kontakte, Notizen) werden nur eingesehen, wenn dies für den Support auf Ihre Anfrage hin, aus Sicherheitsgründen oder aufgrund gesetzlicher Pflichten nötig ist. Ein solcher Zugriff erfolgt ausschliesslich lesend («Als Nutzer ansehen»), wird im Audit-Log protokolliert, und Sie werden standardmässig per E-Mail darüber informiert.

6. Rechtsgrundlagen (für betroffene Personen in der EU)

Soweit die DSGVO anwendbar ist, stützen wir die Bearbeitung auf: Vertragserfüllung (Art. 6 Abs. 1 lit. b), berechtigte Interessen an Sicherheit, Missbrauchsbekämpfung und Produktverbesserung (lit. f), Einwilligung für Newsletter und optionale Cookies (lit. a) sowie rechtliche Pflichten (lit. c). Nach Schweizer DSG ist keine Rechtsgrundlage erforderlich, solange die Bearbeitung den Grundsätzen (Rechtmässigkeit, Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Transparenz) entspricht.

7. Weitergabe an Dritte und Auftragsbearbeiter

Wir geben Personendaten nur weiter, soweit es für die genannten Zwecke nötig ist. Folgende Dienstleister bearbeiten Daten in unserem Auftrag:

Eine aktuelle Liste führen wir auf der Seite Sicherheit. Mit allen Auftragsbearbeitern bestehen Verträge, die sie an unsere Weisungen binden und zur Datensicherheit verpflichten. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben.

8. Datenübermittlung ins Ausland

Einige Dienstleister haben ihren Sitz in den USA oder bearbeiten Daten dort (Netlify, Google, Stripe, Supabase als Unternehmen). Wir sichern Übermittlungen ab durch den Angemessenheitsbeschluss des Bundesrats (Swiss-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist) oder durch die Standardvertragsklauseln der EU mit den vom EDÖB anerkannten Anpassungen für die Schweiz. Länder: Schweiz, EU/EWR (Deutschland, Irland, Niederlande), USA.

9. Firmendaten im Leadfinder (Daten über Dritte)

Der Leadfinder zeigt Kundinnen und Kunden öffentlich verfügbare Geschäftsangaben von Firmen, damit sie passende Geschäftskontakte finden können.

Welche Daten: Firmenname, Geschäftsadresse, geschäftliche Telefonnummer, Website, Bewertung und Anzahl Bewertungen, Öffnungsstatus, Branche; technische Messwerte der öffentlichen Website (Erreichbarkeit, HTTPS, Ladezeiten, SEO-Grundlagen, Aktualität, Pflichtseiten, Kontaktmöglichkeiten, verwendetes System), gegebenenfalls ein Bildschirmfoto der Startseite.

Quellen: Google Places API, Google PageSpeed Insights API, unser eigener Website-Check (nur öffentliche Startseite und maximal zwei Unterseiten, unter Beachtung von robots.txt), optional OpenStreetMap und das Handelsregister (Zefix). Details auf der Seite Datenquellen.

Personenbezug: Daten juristischer Personen (GmbH, AG, Vereine) sind vom DSG nicht erfasst. Bei Einzelfirmen, deren Name eine natürliche Person bezeichnet, kann ein Personenbezug bestehen. Wir speichern in diesem Fall ausschliesslich geschäftliche, öffentlich publizierte Angaben mit Quelle und Abrufdatum und stützen uns auf das berechtigte Interesse unserer Kundinnen und Kunden an der Geschäftsanbahnung.

Speicherdauer: Inhalte aus der Google Places API bleiben höchstens 30 Tage im Leadfinder-Zwischenspeicher; danach wird nur die Referenz-ID behalten und die Daten werden bei Bedarf neu abgerufen. Übernimmt eine Kundin oder ein Kunde einen Lead bewusst ins eigene CRM, entsteht ein Datensatz im Verantwortungsbereich der Kundin oder des Kunden.

Keine automatische Kontaktaufnahme: KMUnity versendet keine E-Mails an gefundene Firmen. Kundinnen und Kunden werden auf das Lauterkeitsrecht (UWG) hingewiesen und verpflichten sich in den AGB und der Nutzungsrichtlinie zur rechtmässigen Verwendung.

Widerspruchsrecht: Betroffene Firmen können verlangen, dass sie nicht mehr angezeigt werden: Widerspruch einreichen. Nach Bestätigung setzen wir die Firma auf eine Sperrliste und entfernen sie aus bestehenden Leadfinder-Ergebnissen. Bearbeitung innert 30 Tagen.

10. Cookies und lokale Speicherung

Wir setzen nur technisch notwendige Cookies: für die Anmeldung (Session), die Sicherheit, den aktiven Workspace und die Speicherung Ihrer Cookie-Auswahl. Darstellungseinstellungen (Hell/Dunkel, geschlossene Hinweise) speichern wir lokal in Ihrem Browser. Optionale Analyse-Cookies werden nur mit Ihrer Einwilligung gesetzt, falls wir eine Analyse aktivieren. Alle Einträge sind in der Cookie-Richtlinie aufgeführt.

11. Analyse

Standardmässig setzen wir keine Analyse-Werkzeuge von Drittanbietern ein. Wir können eine datenschutzfreundliche, cookielose Reichweitenmessung (Plausible oder Umami, in der EU gehostet) aktivieren; sie verwendet keine Cookies und erstellt keine Profile. In der App erfassen wir eigene, minimale Produktnutzungs-Ereignisse ohne Inhalte, um die Software zu verbessern.

12. Aufbewahrung und Löschung

• Kundenkonto und Workspace: bis zur Löschung durch Sie, plus 14 Tage Wiederherstellungsfrist. Danach werden die Daten endgültig gelöscht; Backups werden spätestens nach 30 Tagen überschrieben.
• Rechnungs- und Buchhaltungsdaten: 10 Jahre (Art. 958f OR).
• Server-Logs: 30 bis 90 Tage.
• Support-Tickets: 24 Monate.
• Kontaktanfragen: bis zur Erledigung plus 12 Monate.
• Newsletter: bis zur Abmeldung; der Nachweis der Einwilligung wird danach drei Jahre aufbewahrt.

Export und Löschung Ihrer Daten können Sie jederzeit selbst in den Einstellungen der App auslösen.

13. Datensicherheit

Wir treffen technische und organisatorische Massnahmen, die dem Risiko angemessen sind: Verschlüsselung jeder Verbindung (TLS), Verschlüsselung gespeicherter Daten durch unsere Anbieter, Zugriffskontrolle pro Workspace in der Datenbank (Row Level Security), Zwei-Faktor-Authentifizierung, Protokollierung sicherheitsrelevanter Aktionen, Prinzip der minimalen Rechte, regelmässige Backups, Rate-Limits und Schutz vor missbräuchlichen Abrufen. Details auf der Seite Sicherheit.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 25 DSG), Berichtigung, Löschung, Einschränkung, Widerspruch gegen bestimmte Bearbeitungen, Datenherausgabe und -übertragung (Art. 28 DSG) sowie Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft. Betroffene Personen in der EU haben zusätzlich die Rechte nach Art. 15 bis 21 DSGVO.

Wenden Sie sich an hallo@kmu-nity.ch. Wir antworten innert 30 Tagen. Zur Identifikation können wir eine Bestätigung über Ihre registrierte E-Mail-Adresse verlangen. Sie können sich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, edoeb.admin.ch) beziehungsweise bei der für Sie zuständigen EU-Aufsichtsbehörde beschweren.

Export und Löschung Ihres Kontos erledigen Sie in Selbstbedienung unter Einstellungen → Daten.

15. Automatisierte Einzelentscheidungen

Wir treffen keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Personen. Der Website-Score ist eine technische Bewertung öffentlicher Websites, keine Entscheidung über Personen oder Firmen.

16. Minderjährige

Unser Angebot richtet sich an Unternehmen und Selbständige. Personen unter 16 Jahren dürfen KMUnity nicht ohne Einwilligung der Erziehungsberechtigten nutzen.

17. Änderungen

Die aktuelle Fassung ist auf der Website veröffentlicht. Bei wesentlichen Änderungen informieren wir registrierte Nutzerinnen und Nutzer per E-Mail oder durch einen Hinweis in der App.

18. Stand

Version 0.1, Stand 11.10.2026 (provisorisch).