Política de privacidad

Datenschutzerklärung und Cookie-Richtlinie

Stand: 26. August 2025

Übersicht

Wir bei ecom GmbH schützen Ihre Daten mit höchster Priorität. Diese Erklärung beschreibt klar und einfach die Verarbeitung personenbezogener Daten auf www.coversmart.ch. Sie basiert auf dem revidierten Schweizer Bundesgesetz über den Datenschutz (nFADP, SR 235.1, seit 1. September 2023), der Datenschutz-Grundverordnung der EU (DSGVO, Verordnung (EU) 2016/679), dem UK General Data Protection Regulation (UK GDPR, Teil des Data Protection Act 2018, geändert durch den Data (Use and Access) Act 2025 vom 19. Juni 2025), den Privacy and Electronic Communications Regulations 2003 (PECR, SI 2003/2426, geändert durch SI 2011/1208 und SI 2019/419), dem California Consumer Privacy Act (CCPA, Cal. Civ. Code § 1798.100 ff., geändert durch CPRA 2020, mit Strafanpassungen vom 17. Dezember 2024) und dem liechtensteinischen Datenschutzgesetz (DSG, LGBl. 2018 Nr. 272, ausgerichtet an der DSGVO).

• Gesammelte Daten: IP-Adresse, Name, E-Mail, Adresse, Zahlungsdetails (nur bei Käufen).
• Zwecke: Website-Betrieb, Kaufabwicklung, Optimierung und Sicherheit.
• Rechtsgrundlagen: Einwilligung, Vertragserfüllung, berechtigtes Interesse oder gesetzliche Pflicht.
• Datenweitergabe: Nur essenziell, z. B. an Zahlungsdienstleister (Stripe) oder Versandpartner – detailliert unten.
• Ihre Rechte: Auskunft, Berichtigung, Löschung, Widerspruch, Übertragbarkeit. Für US-Nutzer (CCPA): Do Not Sell or Share My Personal Information (inkl. Global Privacy Control-Unterstützung).
• Cookies: Essentielle automatisch; Analyse- und Marketing-Cookies nur mit expliziter Opt-in-Zustimmung über unseren Banner (keine Dark Patterns, gemäss CPPA-Richtlinie vom September 2024). Verwalten Sie Einstellungen jederzeit.

Diese Übersicht erfüllt Transparenzpflichten (Art. 19 nFADP; Art. 13/14 DSGVO/UK GDPR; CCPA § 1798.130). Für Details scrollen Sie nach unten. Wir prüfen diese Erklärung quartalsweise; Änderungen im Protokoll am Ende. Fragen? hello@coversmart.ch.

Detaillierte Erklärung

Als verantwortliche Stelle verarbeiten wir personenbezogene Daten mit Sorgfalt, Transparenz und in Übereinstimmung mit den genannten Regelwerken. Diese Erklärung erfüllt Informationspflichten (Art. 19 nFADP; Art. 13/14 DSGVO; Art. 13 UK GDPR; Regel 6 PECR; CCPA § 1798.130) und integriert die Cookie-Richtlinie. Wir berücksichtigen etablierte Grundsätze der Rechtsprechung, einschliesslich BGE 146 IV 28 (Verhältnismässigkeit der Datenspeicherung), BGE 143 II 297 (Ausgewogene Datenspeicherung), des Bundesgerichtsentscheids vom 13. Juni 2025 (Verweigerung von Auskunftsrechten in akademischen Kontexten, Betonung der Klarheit), EuGH C-311/18 (Schrems II, Angemessenheit internationaler Übermittlungen), EuGH C-582/14 (Zahlungsdaten), CJEU-Entscheid vom 7. März 2024 (Schadensersatz bei DSGVO-Verstössen), Lloyd v Google LLC [2021] UKSC 50 (Schadenshaftung) und In re Uber Technologies, Inc., 412 F. Supp. 3d 1101 (N.D. Cal. 2019) (Haftung bei Datenverletzungen).

Verarbeitung basiert auf:

• Einwilligung (Art. 31 Abs. 1 nFADP; Art. 6 Abs. 1 lit. a DSGVO/UK GDPR; CCPA § 1798.140(h));
• Vertragserfüllung (Art. 31 Abs. 2 lit. a nFADP; Art. 6 Abs. 1 lit. b DSGVO/UK GDPR);
• Berechtigtem Interesse (Art. 31 Abs. 1 nFADP; Art. 6 Abs. 1 lit. f DSGVO/UK GDPR, mit Abwägungstest gemäss EDPB-Leitlinien 06/2020);
• Gesetzlicher Pflicht (Art. 31 Abs. 2 lit. c nFADP; Art. 6 Abs. 1 lit. c DSGVO/UK GDPR; CCPA § 1798.105).

Wir passen uns laufend an, einschliesslich des Swiss-US Data Privacy Frameworks (anerkannt als angemessen durch Bundesratsbeschluss vom 14. August 2024) und des Data (Use and Access) Act 2025 (UK). Keine automatisierte Einzelentscheidung (Art. 21 nFADP; Art. 22 DSGVO/UK GDPR; CCPA § 1798.106, vgl. CJEU-Entscheid vom 6. März 2025 zu automatisierter Entscheidungsfindung).

1. Zugriff auf unser Portal

Beim Besuch erfassen wir IP-Adresse, Zeitstempel, Browser-Typ, Betriebssystem und besuchte Seiten für Sicherheit, Funktionalität und Optimierung (berechtigtes Interesse, Art. 31 Abs. 1 nFADP; Art. 6 Abs. 1 lit. f DSGVO/UK GDPR; CCPA § 1798.140(o)(2)). Speicherung: Maximal 12 Monate, länger nur zur Anspruchsabwehr (BGE 143 II 297; FTC v. Wyndham Worldwide Corp., 799 F.3d 236 (3d Cir. 2015)). Keine personenbezogenen Profile ohne Einwilligung.

2. Kundenkonto

Erhebung: Name, E-Mail, Adresse, Passwort (Einwilligung per Checkbox, Art. 31 Abs. 1 nFADP; Art. 6 Abs. 1 lit. a DSGVO/UK GDPR; CCPA § 1798.140(h)). Freiwillig und widerrufbar per E-Mail oder Konto (Art. 7 Abs. 3 DSGVO/UK GDPR; CCPA § 1798.120, ohne Beeinträchtigung vergangener Verarbeitung). Löschung nach Inaktivierung, ausser Aufbewahrungspflichten (Art. 958f OR).

3. Kaufabwicklung

Verarbeitung: Name, Adresse, Zahlungsdetails (Vertragserfüllung, Art. 31 Abs. 2 lit. a nFADP; Art. 6 Abs. 1 lit. b DSGVO/UK GDPR; CCPA § 1798.140(o)(1)). Pseudonymisiert, nicht dauerhaft gespeichert (EuGH C-582/14; In re Adobe Sys. Privacy Litig., 66 F. Supp. 3d 1197 (N.D. Cal. 2014)).

4. Weitergabe an Dritte

Nur zur Vertragserfüllung, Einwilligung oder Pflicht. Empfänger, geteilte Daten und Zwecke:

• Transportdienstleister (Logistik): Name, Adresse (Versand).
• Infomaniak (Hosting, Schweiz): Technische Daten (z. B. IP-Adresse) (Serverbetrieb).
• Twint (Zahlungen, Schweiz): Transaktions-ID, Zahlungsdetails (Abwicklung).
• Stripe (Zahlungen, EU-US/Swiss-US DPF-zertifiziert): Pseudonymisierte Kreditkarteninfo (Verarbeitung).
• PayPal (Zahlungen): Zahlungsdetails (Abwicklung).
• Coinbase (Zahlungen, EU-US/Swiss-US DPF-zertifiziert): Crypto-Transaktionsdaten (Abwicklung).
• CRIF AG (Bonitätsprüfung): Name, Adresse (Kreditprüfung, nur bei Bedarf).

Alle als Auftragsverarbeiter (Art. 9 nFADP; Art. 28 DSGVO/UK GDPR; CCPA § 1798.140(v)) mit Verträgen für technische/organisatorische Massnahmen (TOMs) und Audits. Kein Verkauf (CCPA § 1798.140(t)).

5. Internationale Datenübermittlungen

Nur mit Garantien (Art. 16 nFADP; Art. 44 ff. DSGVO/UK GDPR; CCPA § 1798.140(ag)). Schweiz (EU-Angemessenheit 2000/2021), UK (EU-Angemessenheit 2021, erweitert 24. Juni 2025), Liechtenstein (Art. 7 DSG, EEA-Ausrichtung). US-Übermittlungen (z. B. Stripe): EU-US/Swiss-US DPF (10. Juli 2023/15. September 2024, Swiss-Anerkennung 14. August 2024), SCCs (EU-Beschluss 2021/914), TIAs (EuGH C-311/18; EDPB 01/2020, aktualisiert 2025) und ergänzende Massnahmen (z. B. Verschlüsselung).

6. Cookies und ähnliche Technologien

Cookies verbessern Funktionalität, Sicherheit und Analyse (Art. 31 Abs. 1 nFADP; Art. 5 Abs. 3 ePrivacy-Richtlinie via PECR Regel 6; Art. 6 Abs. 1 lit. f/a DSGVO/UK GDPR; CCPA § 1798.140(h)). Unsere Mechanismen vermeiden Dark Patterns (CPPA-Enforcement Advisory September 2024).

Essentielle Cookies (berechtigtes Interesse, keine Einwilligung; PECR Regel 6(2)):

• wpEmojiSettingsSupports (Sitzung): Emoji-Unterstützung.
• cookieyes-consent (1 Jahr): Einwilligungspräferenzen (keine personenbezogenen Daten).

Analyse-Cookies (explizite Einwilligung per Opt-in-Banner; PECR Regel 6(1); EDPB 05/2020):

• sbjs_migrations/current_add/first_add/current/first/udata (Sitzung): Quellenidentifikation.
• sbjs_session (1 Stunde): Sitzungsanalyse.

Verwaltung: Banner für granulare Auswahl/Widerruf (Art. 7 DSGVO/UK GDPR; CCPA § 1798.120). Browser-Links: Chrome, Safari, Firefox, Edge. Widerruf zukünftig wirksam. Unterstützung für Global Privacy Control (CCPA). Generiert mit CookieYes, PECR/CCPA-konform.

7. Analytische Optimierung

Google Analytics (IP-anonymisiert, berechtigtes Interesse; Art. 31 Abs. 1 nFADP; Art. 6 Abs. 1 lit. f DSGVO/UK GDPR; CCPA § 1798.140(o)(2)). Opt-out verfügbar. US-Übermittlungen: SCCs, DPF, TIA (EDPB 05/2021; 16 C.F.R. § 314).

8. Ihre Rechte

• Auskunft (Art. 25 nFADP; Art. 15 DSGVO/UK GDPR; CCPA § 1798.130);
• Berichtigung (Art. 32 nFADP; Art. 16 DSGVO/UK GDPR; CCPA § 1798.106);
• Löschung (Art. 32 nFADP; Art. 17 DSGVO/UK GDPR; CCPA § 1798.105);
• Einschränkung (Art. 18 DSGVO/UK GDPR);
• Widerspruch (Art. 21 DSGVO/UK GDPR; CCPA § 1798.120);
• Übertragbarkeit (Art. 35 nFADP; Art. 20 DSGVO/UK GDPR; CCPA § 1798.130);
• Keine Diskriminierung (CCPA § 1798.125).

Anfragen: Innerhalb 30 Tagen (Art. 12 Abs. 3 DSGVO/UK GDPR) oder 45 Tagen (CCPA § 1798.130(a)(2), verlängerbar). Verifizierung nur zum Zweck der Identifikation. Beschwerden: EDÖB, EDPB/EDSA, ICO, Liechtenstein Datenschutzstelle, FTC/California Attorney General (vgl. Cross-Border-GDPR-Abkommen vom 16. Juni 2025).

9. Datensicherheit

Verschlüsselung, Zugriffssteuerungen, regelmässige Audits und Schulungen (Art. 8 nFADP; Art. 32 DSGVO/UK GDPR; CCPA § 1798.150; BGE 144 II 184; FTC v. Equifax, Case No. 1:19-mi-99999 (N.D. Ga. 2019)).

10. Aufbewahrungsfristen

Minimalprinzip: Kundendaten 10 Jahre (Art. 958f OR), Logs 12 Monate. Automatisierte Löschung (CCPA § 1798.105).

11. Hinweis zu US-Übermittlungen

Gesichert durch DPF (Swiss-Anerkennung 14. August 2024), SCCs und Massnahmen (Art. 16 nFADP; Art. 46 DSGVO/UK GDPR; CCPA § 1798.140(ag)).

Änderungsprotokoll

• 26. August 2025: Integration Data (Use and Access) Act 2025 (UK); Swiss-US DPF-Anerkennung; aktuelle Rechtsprechung (z. B. Bundesgericht 13. Juni 2025; CJEU 6. März 2025); Dark-Pattern-Vermeidung; Global Privacy Control; quartalsweise Überprüfung.
• August 2025: Initialversion.

Für Fragen: hello@coversmart.ch.