Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich im Sinne des schweizerischen Datenschutzgesetzes (DSG) sowie – soweit Besucher:innen aus der EU betroffen sind – der Datenschutz-Grundverordnung (DSGVO) ist die oben genannte Stelle.

2. Grundsatz der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies für einen wirksamen Internetauftritt sowie unsere Dienstleistungen erforderlich ist oder du ausdrücklich eingewilligt hast. Wir behandeln deine Daten vertraulich und gemäss den gesetzlichen Bestimmungen.

3. Erstellung dieser Website & Einsatz von KI

Wir legen Wert auf Transparenz: Diese Website wurde mit Unterstützung von KI-Werkzeugen erstellt. Ein Teil der gezeigten Bilder wurde ebenfalls mit KI-gestützten Werkzeugen bearbeitet bzw. optisch verbessert (z. B. Zuschnitt, Belichtung, Retusche).

Für die Verwaltung von Anfragen, Terminen, Kundendaten und Eventfotos setzen wir eine eigene Verwaltungssoftware ein (Details dazu unter Ziffer 4). Dabei werden keine Besucherdaten dieser Website zum Training von KI-Modellen verwendet – KI-Werkzeuge kamen ausschliesslich bei der Erstellung dieser Website und der genannten Bildbearbeitung zum Einsatz.

4. Deine Anfrage, unsere Verwaltungssoftware & Auftragsverarbeitung

Wenn du über das Kontaktformular oder per WhatsApp eine Anfrage stellst, verarbeiten wir die von dir angegebenen Daten (z. B. Name, Ort der Feier, Datum, Telefonnummer) ausschliesslich zur Bearbeitung deiner Anfrage und – im Falle einer Buchung – zur Vertragserfüllung. Auch die während deines Events in der Fotobox entstandenen Fotos und Videos werden über diese Software gespeichert.

Auftragsverarbeiter

Mit diesem Anbieter besteht ein Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO für den Betrieb der Verwaltungssoftware „spassboxx.app". Deine Daten werden nicht an weitere Dritte weitergegeben, ausser dies ist zur Vertragserfüllung nötig, gesetzlich vorgeschrieben oder unter Ziffer 4 als Unterauftragsverarbeiter genannt.

Ort der Verarbeitung

• Anwendung und Datenbank: dedizierter Server der Hetzner Online GmbH, betrieben als virtuelle Maschine auf eigener Hardware (kein geteiltes Hosting).
• Standort des Rechenzentrums: Rechenzentrum HEL1 in Helsinki, Finnland – Europäische Union. Vertragspartner ist die Hetzner Online GmbH mit Sitz in Deutschland; eine Drittlandübermittlung liegt insoweit nicht vor.
• Fotos und hochgeladene Dateien: Hetzner Object Storage (S3-kompatibel), eigener Speicherbereich je Betrieb.
• Sicherungen: Hetzner Storage Box (Off-Site).
• Übertragung: ausschliesslich TLS-verschlüsselt (HTTPS).
• Verschlüsselung im Ruhezustand: nicht umgesetzt.

Kategorien verarbeiteter Daten

• Anfragende und Kundschaft: Name, E-Mail, Telefonnummer, Veranstaltungsort und -datum, Gästezahl, Freitext aus dem Formular.
• Gäste am Event: Fotos und Videos aus der Fotobox – je nach Anlass regelmässig auch von Kindern.
• Zahlungsdaten: nur Vorgangs- und Statusdaten. Kartendaten werden nicht bei uns erhoben oder gespeichert, sie laufen direkt beim Zahlungsdienstleister.
• Nutzungsdaten der Verwaltung: Anmeldedaten des Betreibers, Protokolle der Boxen, Gerätekopplungen.

Unterauftragsverarbeiter

• Hetzner Online GmbH – Server, Objektspeicher, Sicherungen – EU, Helsinki (HEL1), Finnland; Vertragspartner in Deutschland.
• Stripe – Zahlungsabwicklung – USA (nur bei Online-Zahlung).
• Microsoft (365 / Graph) – E-Mail-Versand, Kalender- und Kontaktabgleich – EU/Drittland, anbieterseitig noch zu klären (nur bei aktivierter Anbindung).
• Apple (APNs) – Mitteilungen an die iPhone-App – USA (nur bei Nutzung der App).
• Cloudflare – Spam-Schutz vorgeschalteter Formulare – Standort noch zu klären (nur bei Formularen mit Captcha).
• Meta (WhatsApp Business) – eingehende Nachrichten-Ereignisse – USA (nur bei WhatsApp-Anbindung).

Technisch-organisatorische Massnahmen

Bereits umgesetzt:

• Mandantentrennung: Besitzerfeld an jedem Datensatz, Standardfilter auf den eigenen Betrieb, eigener Speicherbereich je Betrieb
• Negative Zugriffstests (Kreuzzugriff) als Teil der Testsuite, erzwungen für jede neue Verwaltungsseite
• Passwörter und Gerätetoken nur als Hash gespeichert
• Galerien sind nicht auffindbar und durch Zugriffsprüfung geschützt
• Dateizugriff über zeitlich begrenzte signierte Adressen
• Gerätekopplung über Einmal-Codes mit Ablauf, jederzeit widerrufbar
• Zugangsschlüssel für Schnittstellen nur als Hash, widerrufbar, mit Nutzungsgrenze
• Übertragung ausschliesslich über TLS

Noch nicht umgesetzt:

• Zwei-Faktor-Anmeldung, Passwortregeln und Sperrlogik
• Zentrale, änderungsgeschützte Zugriffsprotokolle
• Festgelegte Löschfristen
• Erprobte Wiederherstellung der Sicherungen, Monitoring und Alarmierung
• Verschlüsselung im Ruhezustand
• Regelmässige Schwachstellenprüfung mit Patchfristen
• Dokumentierte Vertraulichkeitsverpflichtung aller Zugriffsberechtigten

Deine Daten werden gelöscht, sobald sie für die Zweckerreichung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten (z. B. handels- und steuerrechtlich) entgegenstehen.

5. Cookies & Einwilligung

Diese Website verwendet Cookies. Technisch notwendige Cookies werden ohne gesonderte Einwilligung gesetzt, da sie für den Betrieb der Website erforderlich sind. Cookies für Statistik (Google Analytics) und Marketing (Facebook-Pixel) werden erst aktiviert, wenn du dem im Cookie-Banner ausdrücklich zustimmst.

Du kannst deine Auswahl jederzeit über den Link „Cookie-Einstellungen" im Footer ändern.

6. Google Analytics

Mit deiner Einwilligung nutzen wir Google Analytics, einen Webanalysedienst der Google Ireland Limited. Google Analytics verwendet Cookies, die eine Analyse der Benutzung dieser Website ermöglichen (z. B. Seitenaufrufe, Verweildauer, Herkunft der Besucher:innen).

Die dabei erzeugten Informationen können an Server von Google, auch in die USA, übertragen und dort verarbeitet werden. Weitere Informationen findest du in der Datenschutzerklärung von Google. Du kannst deine Einwilligung jederzeit über die Cookie-Einstellungen widerrufen.

7. Facebook-/Meta-Pixel

Mit deiner Einwilligung setzen wir den Meta-Pixel (Facebook) der Meta Platforms Ireland Limited ein. Dieser ermöglicht es uns, den Erfolg unserer Werbeanzeigen zu messen und Besucher:innen dieser Website ggf. relevante Inhalte auf Facebook/Instagram anzuzeigen (Remarketing).

Dabei können Daten an Meta, auch in die USA, übermittelt werden. Weitere Informationen findest du in der Datenschutzerklärung von Meta. Du kannst deine Einwilligung jederzeit über die Cookie-Einstellungen widerrufen sowie deine Werbeeinstellungen direkt bei Meta verwalten.

8. Deine Rechte

Du hast im Rahmen des Schweizer DSG (und ggf. der DSGVO) das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten
• Berichtigung unrichtiger Daten
• Löschung deiner Daten, soweit keine Aufbewahrungspflicht besteht
• Widerspruch gegen bestimmte Verarbeitungen
• Widerruf einmal erteilter Einwilligungen mit Wirkung für die Zukunft

Wende dich dazu einfach an hallo@spassboxx.ch. Zudem steht dir das Recht zu, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen.

9. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um deine Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen. Bitte beachte, dass die Datenübertragung im Internet (z. B. per E-Mail) grundsätzlich Sicherheitslücken aufweisen kann.

10. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, um sie an geänderte Rechtslagen oder neue Funktionen unserer Website anzupassen. Es gilt jeweils die zum Zeitpunkt deines Besuchs aktuelle Fassung.