Der Schutz Ihrer Personendaten ist uns wichtig. Diese Datenschutzerklärung beschreibt, welche Personendaten die AIO Services GmbH (nachfolgend „wir“) im Rahmen der Swiss Max Cloud bearbeitet, zu welchen Zwecken und auf welcher Rechtsgrundlage.
Massgebend ist das revidierte Schweizer Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023) sowie die Datenschutzverordnung (DSV). Für natürliche Personen mit Wohnsitz in der EU gilt ergänzend die DSGVO. Diese Erklärung erfüllt die Informationspflichten nach Art. 19 nDSG sowie — soweit anwendbar — Art. 13 DSGVO.
1. Verantwortliche Stelle
Verantwortlich im Sinne von Art. 4 nDSG:
AIO Services GmbH
Adresse wird ergänzt
Schweiz
E-Mail: privacy@swissmax.cloud
2. Welche Daten wir bearbeiten
- Stammdaten: Firmenname, Adresse, UID/MWST-Nummer, Kontaktperson, E-Mail, Telefon.
- Zugangsdaten: Benutzernamen, Rollen, Tokens; Passwörter ausschliesslich als salted-Hash (bcrypt).
- Nutzungsdaten: Log-Einträge, Fehlermeldungen, abrechnungsrelevante Verbrauchsmetriken.
- Zahlungsdaten: Rechnungsanschrift, Kartenreferenzen (Karteninformationen nur über Stripe verarbeitet, nicht bei uns gespeichert).
- Kommunikation: Support-Ticket-Inhalte, Benachrichtigungen, Korrespondenz.
- Kundendaten (SaaS): Vom Kunden in SaaS-Dienste eingebrachte Daten — Bearbeitung ausschliesslich nach Weisung (AVV).
3. Zwecke der Bearbeitung
- Bereitstellung und Betrieb der beauftragten Dienste.
- Vertragsverwaltung, Rechnungsstellung, Zahlungsabwicklung.
- Sicherheit, Missbrauchserkennung, Betrugsprävention.
- Gesetzliche Aufbewahrungs- und Meldepflichten (inkl. Art. 24 nDSG bei Datenpannen).
- Kommunikation, Support, Serviceverbesserung.
4. Rechtsgrundlagen
- Vertragserfüllung (Art. 31 Abs. 2 lit. a nDSG / Art. 6 Abs. 1 lit. b DSGVO): Leistungserbringung, Rechnungsstellung.
- Gesetzliche Pflichten (Art. 31 Abs. 2 lit. c nDSG / Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung nach OR Art. 958f (10 Jahre).
- Überwiegendes berechtigtes Interesse(Art. 31 Abs. 1 nDSG / Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Missbrauchserkennung.
5. Empfänger und Auftragsbearbeiter
Personendaten werden nur an Auftragsbearbeiter weitergegeben, die angemessene technische und organisatorische Massnahmen gewährleisten. Den Auftragsverarbeitungsvertrag (AVV / DPA) finden Sie hier oder auf Anfrage unter privacy@swissmax.cloud.
Weitergabe in Länder ohne angemessenes Datenschutzniveau (ausserhalb CH/EWR) nur mit geeigneten Garantien, insbesondere EU-SCCs (Art. 16 Abs. 2 lit. d nDSG).
6. Speicherdauer
Vertragsdaten werden für die Vertragsdauer sowie die gesetzlichen Aufbewahrungsfristen gespeichert (Buchungsbelege: 10 Jahre, OR Art. 958f). Log-Daten nach spätestens 12 Monaten anonymisiert oder gelöscht. Diagnosedaten nach spätestens 90 Tagen gelöscht. Nach Vertragsende werden alle Kundendaten innerhalb von 30 Tagen gelöscht, sofern kein Datenexport beantragt wurde.
7. Ihre Rechte
- Auskunftsrecht (Art. 25 nDSG / Art. 15 DSGVO).
- Berichtigungsrecht (Art. 32 Abs. 1 nDSG / Art. 16 DSGVO).
- Löschungsrecht (Art. 32 Abs. 2 lit. c nDSG / Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen.
- Datenübertragbarkeit (Art. 28 Abs. 5 nDSG / Art. 20 DSGVO): Portal → „Datenschutz / Datenexport“ oder Support-Ticket.
- Widerspruchsrecht (Art. 21 DSGVO, soweit anwendbar).
Anfragen an privacy@swissmax.cloud oder im Portal unter „Datenschutz / Datenanfragen“.
8. Aufsichtsbehörde
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern, Schweiz · www.edoeb.admin.ch
Für Personen mit Wohnsitz in der EU ist zusätzlich die nationale Datenschutzbehörde des Wohnsitzlandes zuständig.
9. Auftragsbearbeiter
- Rechenzentrums-Betreiber — Hosting (Schweiz)
- Stripe Inc. — Zahlungsverarbeitung (Schweiz / EU / USA, SCCs)
- Keycloak (self-hosted) — IAM (Schweiz)
- SMTP-Dienst — Transaktionsmails (Schweiz / EU)
- Prometheus / Loki (self-hosted) — Monitoring und Logs (Schweiz)
10. Externe Dienste für Entwicklung und Betrieb
Für Entwicklung, Betrieb und Qualitätssicherung der Plattform nutzen wir Drittdienste, die teilweise ausserhalb der Schweiz betrieben werden. Diese Dienste erhalten keinen Zugang zu Kundendaten:
- Azure DevOps (Microsoft, USA) — CI/CD, Ticketverfolgung, Quellcode-Verwaltung.
- GitHub (Microsoft, USA) — Versionsverwaltung von Open-Source-Bestandteilen.
- KI-Entwicklungsassistenten (z. B. Anthropic Claude, OpenAI) — Unterstützung bei der Softwareentwicklung.
- Figma / Design-Tools — UI/UX-Design.
- Playwright / Test-Frameworks — Automatisierte Tests gegen Testdaten (keine Produktiv-Kundendaten).
Rechtsgrundlage: überwiegendes berechtigtes Interesse am effizienten Plattformbetrieb (Art. 31 Abs. 1 nDSG). Da keine Kundendaten verarbeitet werden, sind für diese Dienste keine AVV erforderlich.
11. Cookies
Wir setzen ausschliesslich technisch notwendige Cookies (Session-Cookie, CSRF-Schutz-Token). Diese erfordern keine Einwilligung gemäss Art. 45c des revidierten Fernmeldegesetzes (FMG). Wir verzichten auf Analyse-, Tracking- oder Marketing-Cookies.
12. Datenpannen
Bei einer Verletzung der Datensicherheit mit hohem Risiko für betroffene Personen informieren wir diese unverzüglich (Art. 24 nDSG). Als Auftragsbearbeiter melden wir Datenpannen dem Verantwortlichen innerhalb von 72 Stunden (AVV Ziffer 10).