Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung im Sinne des Schweizer Datenschutzgesetzes (DSG) ist VectorAgency GmbH, Zürcherstrasse 57, 8102 Oberengstringen, Schweiz.

Kontakt in Datenschutzfragen: doby@vectoragency.ch

Für bestimmte DOBY-Funktionen handeln wir nicht als eigenständig Verantwortliche, sondern als Auftragsbearbeiterin im Auftrag unserer Kunden. Welche Bearbeitungen das betrifft, erläutern wir in Abschnitt 12.

2. Grundsätze

Der Schutz personenbezogener Daten hat für uns höchste Priorität. Wir richten unsere Website, unser Kundenportal und unsere Dienste an den Grundsätzen von Privacy by Design, Privacy by Default und Datenminimierung aus. Dabei treffen wir angemessene technische und organisatorische Massnahmen, um die Anforderungen des Schweizer Datenschutzrechts (DSG, revidiert 2023) zu erfüllen.

3. Geltungsbereich und unsere Rolle

Diese Erklärung umfasst:

• die öffentliche Website vectoragency.ch;
• das DOBY-Kundenportal und den Login;
• die Organisationsadministration (Firmenprofil, Logo, Adressdaten);
• die Plan- und Abonnementverwaltung;
• die Mitgliederverwaltung und Einladungen;
• die Akzeptanz rechtlicher Dokumente (Agreement-Unterzeichnung);
• Nutzungs- und Verbrauchsdaten (Usage-Logs) sowie Sicherheitsprotokolle;
• Abrechnung, Rechnungen und Zahlungsabwicklung;
• Support und Produktkommunikation;
• DOBY-bezogene Metadaten.

Diese Datenschutzerklärung beschreibt Datenbearbeitungen, für die VectorAgency selbst verantwortlich ist, insbesondere im Zusammenhang mit Website, Kundenportal, Vertragsabschluss, Abrechnung, Support, Kommunikation sowie bestimmten Sicherheits- und Nutzungsmetadaten.

Soweit VectorAgency im Rahmen von DOBY Personendaten im Auftrag einer Kundenorganisation bearbeitet, ist die Kundenorganisation verantwortlich. Diese Auftragsbearbeitungen werden nicht abschliessend in dieser Datenschutzerklärung, sondern im Auftragsbearbeitungsvertrag, den TOMs und der Subprozessorenliste geregelt. In dieser Datenschutzerklärung informieren wir lediglich zusammenfassend über solche Bearbeitungen, soweit dies für Transparenz und Abgrenzung erforderlich ist (siehe Abschnitt 12).

4. Datenverarbeitung auf der Website

5. Kundenportal und Organisationsadministration

6. Vertragsabschluss, Agreement-Akzeptanz und Dokumentenversionierung

Wenn ein Administrator im Portal rechtliche Dokumente akzeptiert (zum Beispiel AGB, Nutzungsbedingungen oder den Auftragsbearbeitungsvertrag), speichern wir zu Nachweis- und Compliance-Zwecken: die akzeptierende Person (als Kennung), die Organisation, das betroffene Dokument, die akzeptierte Dokumentversion, den Zeitpunkt sowie die IP-Adresse zum Zeitpunkt der Zustimmung. Ein Browser-Kennzeichen (User-Agent) wird dabei nicht gespeichert.

Ergänzend können wir festhalten, wann und durch wen eine DPA/Zusatzvereinbarung unterzeichnet beziehungsweise ein Hinweis nach Art. 19 DSG zur Kenntnis genommen wurde.

Zweck: Nachweis vertraglicher Zustimmungen und der jeweils gültigen Dokumentversion. Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse an der Compliance-Dokumentation. Frühere Dokumentversionen werden intern archiviert.

7. Abonnements, Rechnungen und Zahlungsabwicklung

Die kostenpflichtige Abonnementverwaltung und die Online-Zahlungsabwicklung befinden sich derzeit in Vorbereitung. Adress- und UID-Angaben können bereits heute im Organisationsprofil hinterlegt werden (siehe Abschnitt 5.3).

Sobald aktiv, verarbeiten wir im Zusammenhang mit Abonnements und Abrechnung insbesondere: das gewählte Abonnement und Abrechnungsintervall, die Anzahl Plätze (Seats), gebuchte Token-Pakete und Verbrauchsguthaben, die Rechnungsadresse, die UID/MwSt.-Nummer, den Zahlungsstatus, Rechnungen (Rechnungsnummer, Betrag, Währung, Abrechnungszeitraum, PDF) sowie Buchungen im Token-Guthaben (Gutschriften und Belastungen).

Die konkret eingesetzten Zahlungs- und Billing-Dienstleister sowie die damit verbundenen Datenbearbeitungen, einschliesslich allfälliger Bekanntgaben ins Ausland, weisen wir vor Aktivierung der Zahlungsfunktion in dieser Datenschutzerklärung und gegebenenfalls in der Subprozessorenliste aus. Vollständige Zahlungsmitteldaten wie Kreditkartennummern verarbeiten wir nicht selbst.

Zweck: Vertragsabwicklung, Abrechnung und Buchhaltung. Rechtsgrundlage: Vertragserfüllung und gesetzliche Aufbewahrungspflichten.

8. Nutzungsmetadaten, Usage-Logs und Sicherheitsprotokolle

Im Zusammenhang mit der Nutzung von DOBY verarbeiten wir serverseitig vorrangig Metadaten. Konkret können dies sein: Organisations-Kennung, Nutzer-Kennung, Plan, Token- und Verbrauchszahlen, Modell-, Kanal- und Regions-Metadaten, technische Ereignisse, Fehlerprotokolle, Sicherheits- und Audit-Protokolle, Dokument-Kennungen (als technische ID, nicht der Inhalt) sowie Werkzeug-Bezeichnungen mit reinen Zählwerten.

Keine Inhalte im Klartext: Im Rahmen der regulären DOBY-Nutzung speichern wir serverseitig grundsätzlich keine Prompt- oder Antwortinhalte und keine Dokumentinhalte im Klartext. Serverseitig verarbeitet werden insbesondere technische Metadaten, Nutzungs- und Verbrauchsdaten sowie verschlüsselte Datenpakete, soweit Funktionen wie Backup oder Sharing aktiviert sind. Diese Abgrenzung ist technisch abgesichert: Unsere serverseitigen Protokollierungs- und Nutzungs-Schnittstellen nehmen inhaltstragende Felder nicht zur Speicherung an; entsprechende Eingaben werden abgewiesen.

Ausnahmen können entstehen, wenn Nutzer uns im Support freiwillig Inhalte, Screenshots oder Anhänge übermitteln. Für den Support gilt deshalb der Grundsatz, keine sensiblen Klartextdaten zu übermitteln (siehe Abschnitt 9).

IP-Adresse und Browser-Kennzeichen (User-Agent) werden nur in eng begrenzten Sicherheitsprotokollen erfasst, insbesondere beim Setzen oder Abrufen von KI-Schlüsseln und beim Bezug von DOBY-Cloud-Zugangsdaten. Das allgemeine Zugriffsprotokoll der Programmierschnittstelle verzichtet bewusst auf IP-Adresse und User-Agent.

KI-Schlüssel (BYOK): Von Kunden hinterlegte API-Schlüssel werden verschlüsselt gespeichert (AES-256-GCM) und sind in der Verwaltung nicht im Klartext einsehbar; angezeigt werden lediglich die letzten Zeichen zur Wiedererkennung.

Geteilte Inhalte (Sharing): Beim Teilen von Dokumenten werden serverseitig nur verschlüsselte Datenpakete beziehungsweise Verweise darauf gespeichert; den Klartext sieht der Server nicht.

Zur Datenschutz-Transparenz halten wir bei KI-Verarbeitungen fest, in welcher Region oder Rechtsordnung die Verarbeitung erfolgt (zum Beispiel Schweiz, EU oder USA).

Zweck: Abrechnung und Kontingentverwaltung, Sicherheit, Fehleranalyse und Nachweispflichten. Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse an Sicherheit und stabilem Betrieb.

9. Support und Kommunikation

Bei Supportanfragen verarbeiten wir die von Ihnen übermittelten Angaben, in der Regel per E-Mail an doby@vectoragency.ch sowie über die In-App-Feedbackfunktion von DOBY. Dabei können anfallen: Betreff und Beschreibung, Kontaktangaben, technische Diagnosedaten zur App sowie von Ihnen freiwillig beigefügte Inhalte wie Screenshots, Anhänge oder Gesprächsausschnitte.

Grundsatz: Bitte übermitteln Sie im Standardsupport keine sensiblen Personendaten im Klartext. Supportdaten werden gelöscht, sobald sie zur Bearbeitung nicht mehr erforderlich sind, soweit keine Aufbewahrungspflichten entgegenstehen.

Zweck: Bearbeitung von Anfragen, Fehlerbehebung und Produktverbesserung. Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse an gutem Support.

10. E-Mail-Versand

Transaktions-E-Mails (zum Beispiel Kontakt- und Beta-Bestätigungen, Einladungen, Passwort-Zurücksetzungen und Abrechnungshinweise) versenden wir über einen Schweizer E-Mail- und SMTP-Anbieter, TLS-verschlüsselt. Eingehende Formulardaten werden kurzfristig auf unserem Schweizer Server zwischengespeichert (Ausfallsicherung) und anschliessend in unserem E-Mail-Postfach abgelegt, bis Sie eine Löschung beantragen. Sie erhalten in der Regel eine automatische Bestätigungsmail.

11. Speicherort und Sicherheit

Die von uns genutzte Hosting-Infrastruktur wird in Schweizer Rechenzentren betrieben, deren Betreiber nach ISO/IEC 27001:2022 zertifiziert ist. VectorAgency selbst ist nicht ISO-zertifiziert. Backup- und Sharing-Daten werden in verschlüsselter Form in einem Schweizer Objektspeicher abgelegt. Sicherheitsmassnahmen: verschlüsselte Datenübertragung (HTTPS/TLS), Zugriffskontrolle und Firewalls, Verschlüsselung sensibler Daten im Ruhezustand, regelmässige Sicherheitsupdates, Rate-Limiting und Protokollierung.

12. Bearbeitungen im Auftrag des Kunden

Bestimmte Bearbeitungen im Zusammenhang mit DOBY erfolgen im Auftrag unserer Kunden. Dazu zählen je nach vertraglicher Ausgestaltung insbesondere Serverfunktionen, die für die Bereitstellung von DOBY-Funktionen im Auftrag des Kunden erforderlich sind, etwa VPS-Synchronisierung, Backup, DOBY-Cloud, Sharing-Funktionen sowie bestimmte Telemetrie- und Metadaten. In diesen Fällen ist die Kundenorganisation verantwortlich; wir handeln als Auftragsbearbeiterin nach ihren Weisungen.

Soweit solche Funktionen produktiv genutzt werden, werden die Einzelheiten dieser Auftragsbearbeitung, einschliesslich der technischen und organisatorischen Massnahmen (TOM) und der eingesetzten Subprozessoren, in einem Auftragsbearbeitungsvertrag (AVV/ABV) samt TOM-Anhang und Subprozessorenliste geregelt.

Abgrenzung: In eigener Verantwortung bearbeiten wir Daten für Website, Kundenportal, Vertrag, Abrechnung, Support und Kommunikation. Im Auftrag der Kunden bearbeiten wir bestimmte DOBY-Funktionen wie vorstehend beschrieben. Für die Inhalte und die betroffenen Personen bleibt stets der Kunde verantwortlich.

13. Empfänger, Dienstleister und Auslandbekanntgabe

Wir geben Personendaten nur weiter, soweit dies für die genannten Zwecke erforderlich ist oder wir gesetzlich dazu verpflichtet sind. Empfänger können sein:

• Auftragsbearbeiter: ein Schweizer Hosting- und Infrastrukturanbieter (ISO 27001:2022 zertifiziert) sowie ein Schweizer E-Mail- und SMTP-Anbieter. Mit allen Auftragsbearbeitern bestehen Verträge nach Schweizer Datenschutzrecht.
• Eigenständig Verantwortliche: ein Zahlungs- und Billing-Dienstleister im Rahmen der Abrechnung (in Vorbereitung), je nach Rolle.
• Behörden: soweit gesetzlich vorgeschrieben.
• Berater: zum Beispiel Rechts- oder Steuerberatung, soweit erforderlich und vertraulich.

Unser Analyse-Tool (Umami) betreiben wir selbst gehostet; es werden keine Analysedaten an Dritte weitergegeben.

Auslandbekanntgabe durch VectorAgency: Unsere primären Systeme für Website, Kontakt, Hosting, E-Mail-Versand und DOBY-Cloud werden nach heutigem Stand in der Schweiz betrieben. Soweit wir selbst oder von uns beigezogene Dienstleister Personendaten in Staaten ohne angemessenes Datenschutzniveau bekanntgeben, stützen wir die Bekanntgabe auf geeignete Garantien, insbesondere vom EDÖB anerkannte Standarddatenschutzklauseln, oder auf eine gesetzliche Ausnahme. Allfällige abweichende Bearbeitungsorte, Empfängerkategorien und Garantien weisen wir in dieser Datenschutzerklärung oder in den einschlägigen Vertragsunterlagen aus.

Kundenseitig gewählte KI-Anbieter (BYOK): Hinterlegt eine Kundenorganisation eigene Zugangsdaten für externe KI-Anbieter oder Cloud-Plattformen, speichern wir diese pro Organisation verschlüsselt und protokollieren sicherheits- und nutzungsbezogene Metadaten, insbesondere Zeitpunkt, Organisation und technische Nutzungszuordnung, nicht jedoch Prompt-, Antwort- oder Dokumentinhalte. Nach aktuellem Architekturstand erfolgen KI-Anfragen direkt durch die lokale DOBY-Anwendung an den von der Kundenorganisation gewählten Anbieter. Die Kundenorganisation wählt Anbieter, Modell, Region, Routing-Einstellung und Vertragsgrundlage selbst und ist für Datenschutz, Berufsgeheimnisse, Auftragsbearbeitung und allfällige Auslandbekanntgaben dieser direkten Anbieterbeziehung verantwortlich. Die Einzelheiten unserer Schlüsselverwahrung und der durch uns bearbeiteten Metadaten regeln, soweit anwendbar, der AVV/ABV und die zugehörigen Anhänge.

14. Aufbewahrungsdauer

• Kontakt- und Beta-Anmeldungen: bis zur Löschung auf Anfrage oder wenn nicht mehr benötigt.
• Konto- und Portaldaten: für die Dauer des Vertragsverhältnisses. Archivierte Konten bleiben gespeichert; eine endgültige Löschung erfolgt auf Anfrage an doby@vectoragency.ch.
• Zustimmungsnachweise (Agreements): für die Vertragsdauer und solange für Nachweiszwecke erforderlich.
• Rechnungs- und Buchhaltungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht).
• Server-Zugriffslogs: 90 Tage.
• Backup-Daten (Formular-JSON auf dem Server): nach erfolgreichem E-Mail-Versand gelöscht, spätestens nach 30 Tagen.
• Nutzungsmetadaten: für die Dauer des Vertragsverhältnisses sowie gesetzliche Fristen.
• Sicherheits- und Audit-Protokolle: solange für Sicherheits- und Nachweiszwecke erforderlich. Kennungen in Audit-Protokollen können aus Nachweisgründen über eine Kontolöschung hinaus bestehen bleiben.
• Umami-Analytics: aggregierte Daten ohne Personenbezug (unbegrenzt).

15. Ihre Rechte

Sie haben folgende Rechte: Auskunftsrecht (Art. 25 DSG), Recht auf Berichtigung (Art. 32 Abs. 1 DSG), Recht auf Löschung, Recht auf Datenherausgabe (Art. 28 DSG), Widerspruchsrecht, Widerruf einer erteilten Einwilligung sowie das Recht, bestimmte Bearbeitungen einschränken oder untersagen zu lassen, soweit anwendbar.

Soweit wir Daten im Auftrag eines Kunden bearbeiten, können wir Betroffenenanfragen gegebenenfalls nicht selbst inhaltlich beantworten, sondern leiten sie an die verantwortliche Kundenorganisation weiter oder stimmen die Bearbeitung mit ihr ab.

Ausübung: Senden Sie eine E-Mail an doby@vectoragency.ch. Wir bearbeiten Ihre Anfrage innerhalb von 30 Tagen.

16. Sicherheitspannen

Bei Verletzungen der Datensicherheit ergreifen wir geeignete Massnahmen zur Eindämmung, prüfen Meldepflichten gegenüber dem EDÖB und informieren betroffene Personen, soweit gesetzlich erforderlich.

17. Automatisierte Entscheidungen und Profiling

Wir verwenden die in dieser Erklärung beschriebenen Daten nicht für automatisierte Einzelentscheidungen mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung. Ein Profiling mit hohem Risiko findet nicht statt.

18. Minderjährige

Unsere Website und unser Kundenportal richten sich nicht an Kinder als direkte Nutzer. Im Rahmen der Nutzung durch unsere Kunden können jedoch, je nach Branche, auch Daten Minderjähriger als Kundendaten verarbeitet werden. Hierfür ist der jeweilige Kunde verantwortlich; solche Bearbeitungen werden im Auftragsbearbeitungsvertrag und den zugehörigen Massnahmen geregelt.

19. Nutzer aus der EU/dem EWR

Unser Angebot richtet sich derzeit primär an Kundenorganisationen in der Schweiz und nicht gezielt an Personen oder Organisationen in der EU oder im EWR. Soweit in Einzelfällen zusätzlich die Datenschutz-Grundverordnung (DSGVO) anwendbar sein sollte, bearbeiten wir Personendaten nach den in dieser Datenschutzerklärung beschriebenen Grundsätzen. Eine Vertretung in der EU gemäss Art. 27 DSGVO ist derzeit nicht benannt, da wir unser Angebot nicht gezielt auf die EU oder den EWR ausrichten.

20. Beschwerderecht

Sie haben das Recht, eine Beschwerde bei der zuständigen Datenschutzbehörde einzureichen: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern, Schweiz, www.edoeb.admin.ch.

21. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei technischen oder rechtlichen Änderungen anzupassen. Die jeweils aktuelle Version ist stets auf unserer Website einsehbar. Stand dieser Fassung: 4. Juni 2026 (Version 1.0).

22. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte: doby@vectoragency.ch.