Datenschutzerklärung

2.1 Verantwortlich für die hier beschriebene Bearbeitung ist, soweit nicht anders angegeben:

SBZ Schweizer Bildungszentrum AG
Bächaustrasse 75
8806 Bäch SZ
Schweiz
E-Mail: isofee@sbz-ag.ch
Telefon: +41 43 888 04 01

2.2 Unternehmen, die ISOfee nutzen, bleiben für die Personendaten verantwortlich, die sie oder ihre Benutzer:innen in ISOfee eingeben, hochladen oder erzeugen lassen. Das SBZ bearbeitet solche Daten grundsätzlich als Auftragsbearbeiterin nach Weisung der Kund:innen. Für Benutzerkonten, Vertragsabwicklung, Abrechnung, Plattformsicherheit sowie eigene Kommunikation und Marketing bearbeitet das SBZ Personendaten in eigener Verantwortung.

Je nach Kontakt und Nutzung bearbeiten wir insbesondere:

Stamm- und Kontaktdaten: Name, Unternehmen, Funktion, Adresse, E-Mail-Adresse, Telefonnummer und Korrespondenz;

Vertrags- und Zahlungsdaten: Bestellungen, Offerten, gebuchte Leistungen, Rechnungen, Zahlungen und Vertragsverlauf;

Kursdaten: Anmeldungen, Teilnahme, Lernfortschritt, Arbeitsergebnisse, Feedback, Absenzen und ausgestellte Teilnahmebestätigungen oder Zertifikate;

Benutzer- und Nutzungsdaten: Konto, Berechtigungen, Login-Zeitpunkte, Einstellungen, verwendete Funktionen und Supportfälle;

ISOfee-Inhalte: Unternehmensangaben, Eingaben, Prompts, KI-Antworten, Dokumente, Nachweise, Auditinformationen und weitere von Kund:innen bereitgestellte oder erzeugte Inhalte;

Technische Daten: IP-Adresse, Gerät, Browser, Betriebssystem, Protokoll-, Sicherheits- und Diagnosedaten;

Website- und Marketingdaten: besuchte Seiten, Formulareingaben, Newsletter-Nutzung, Cookie- und Einwilligungseinstellungen sowie Reaktionen auf Kampagnen;

Weitere Daten: Daten aus geschäftlicher Kommunikation, öffentlichen Quellen, Behördenverfahren oder zur Durchsetzung und Abwehr von Ansprüchen. ISOfee ist nicht für die Bearbeitung besonders schützenswerter Personendaten vorgesehen. Kund:innen sind verpflichtet, entsprechende Informationen vor der Eingabe oder dem Hochladen zu entfernen oder so zu anonymisieren, dass die betroffenen Personen nicht mehr bestimmbar sind. Dies gilt insbesondere für Informationen aus dem Arbeitsschutz (ISO 45001) und dem Informationssicherheitsmanagement (ISO 27001), etwa Unfall-, Absenz- oder Vorfallmeldungen, die nur ohne Namen, Personalnummern oder andere identifizierende Merkmale erfasst werden dürfen.

4.1 Wir erhalten Personendaten hauptsächlich von Ihnen, von Ihrem Unternehmen oder von Personen, die Sie zu einem Kurs oder einer Leistung anmelden. Weitere Quellen sind Vertragspartner:innen, technische Dienstleister, Zertifizierungs- und Bildungspartner, öffentlich zugängliche Register, Websites sowie Behörden.

4.2 Geben Sie uns Daten anderer Personen bekannt, stellen Sie sicher, dass Sie dazu berechtigt sind, die Angaben korrekt sind und die betroffenen Personen über diese Datenschutzerklärung informiert wurden.

Wir bearbeiten Personendaten insbesondere, um:

• Verträge anzubahnen, abzuschliessen, zu verwalten und abzurechnen;
• ISOfee, Testzugänge, Benutzerkonten, Support und IT-Sicherheit bereitzustellen;
• Kurse, Veranstaltungen, Beratung, Zertifikate und die Zertifizierungsgarantie abzuwickeln;
• Anfragen zu beantworten und mit Kund:innen, Interessent:innen und Partner:innen zu kommunizieren;
• unsere Angebote, Inhalte, Prozesse und Benutzerfreundlichkeit zu analysieren und weiterzuentwickeln;
• Newsletter und Informationen zu eigenen Angeboten zu versenden, soweit zulässig;
• Missbrauch und Sicherheitsvorfälle zu verhindern, Fehler zu analysieren und Rechte durchzusetzen;
• gesetzliche, regulatorische und behördliche Pflichten zu erfüllen.

Soweit eine Einwilligung erforderlich ist, holen wir sie ein. Sie können eine Einwilligung jederzeit für die Zukunft widerrufen. Bereits erfolgte Bearbeitungen bleiben rechtmässig. Newsletter können jederzeit über den darin enthaltenen Abmeldelink abbestellt werden.

6.1 Das SBZ beauftragt die Schweizer aineo AG mit dem Betrieb und der technischen Betreuung von ISOfee. aineo bearbeitet die dafür erforderlichen Personendaten als Auftragsbearbeiterin des SBZ und darf für einzelne Leistungen weitere Unterauftragsbearbeiter beiziehen. Das SBZ unterhält keine direkten Vertragsbeziehungen mit diesen weiteren Anbietern.

6.2 aineo setzt für das Hosting der Anwendung, Datenbank und Dokumentenspeicher die hosttech GmbH mit Rechenzentren in Appenzell und Nottwil ein. Für Standard-Chat und Dokumentenerstellung setzt aineo KI-Dienste der Phoenix Technologies AG («PHOENIQS»), der Infomaniak Network SA (beide Schweiz) sowie von OpenAI ein. Diese KI-Dienste verarbeiten die für die jeweilige Funktion erforderlichen Eingaben, Unternehmensinformationen und Dokumentinhalte, ohne dabei auf das offene Internet zuzugreifen.

6.3 Bei der gesondert gekennzeichneten Funktion «Chat mit Websuche» setzt aineo ebenfalls Dienste von OpenAI ein. Im Unterschied zu den übrigen Funktionen greift OpenAI dabei zusätzlich auf öffentlich zugängliche Internetinhalte zu. Kund:innen entscheiden, ob sie eine solche Funktion verwenden.

6.4 aineo verpflichtet die von ihr beigezogenen Anbieter im Rahmen der vertraglichen Kette, übermittelte Kund:inneninhalte nicht zum Training allgemeiner KI-Modelle zu verwenden. KI-Ausgaben können unvollständig oder unrichtig sein. Diese Datenschutzerklärung regelt die Datenbearbeitung; die Verantwortung für die fachliche Prüfung richtet sich nach den AGB.

6.5 Kategorien, Zwecke, Bearbeitungsorte, Unterauftragsbearbeiter, Sicherheitsmassnahmen, Rückgabe und Löschung der im Auftrag bearbeiteten ISOfee-Daten regelt der AVV abschliessend.

7.1 Wir geben Personendaten nur bekannt, soweit dies für die beschriebenen Zwecke erforderlich ist. Empfänger:innen können insbesondere sein:

• IT-, Hosting-, Plattform-, KI-, Kommunikations-, Analyse- und Supportdienstleister sowie deren Unterauftragsbearbeiter;
• Zahlungs-, Buchhaltungs-, Beratungs- und Verwaltungsdienstleister;
• Kursleiter:innen, Veranstaltungsorte und Bildungspartner;
• ATTESTA Schweizer Zertifizierungsgesellschaft AG, soweit dies für die Zertifizierungsgarantie, die Auditkoordination oder auf Ihre Weisung erforderlich ist;
• Behörden, Gerichte und andere Stellen, wenn eine Pflicht oder Berechtigung besteht;
• Erwerber:innen oder Interessent:innen bei Unternehmenstransaktionen, unter angemessener Vertraulichkeit.

7.2 Ein Teil der ISOfee-Datenbearbeitung erfolgt durch OpenAI ausserhalb der Schweiz, insbesondere in den USA. Das betrifft den Standard-Chat, die Dokumentenerstellung sowie die Funktion «Chat mit Websuche». Daneben können weitere Dienstleister, insbesondere Anbieter von Website-, Analyse-, Marketing- oder Kommunikationsdiensten, Daten im Europäischen Wirtschaftsraum, in den USA oder in anderen Staaten bearbeiten.

7.3 Fehlt im Empfängerstaat ein angemessener Datenschutz, stützen wir die Bekanntgabe insbesondere auf anerkannte Standarddatenschutzklauseln mit erforderlichen Ergänzungen, eine gesetzliche Ausnahme oder eine ausdrückliche Einwilligung. Ein verbleibender Zugriff ausländischer Behörden kann nicht vollständig ausgeschlossen werden.

8.1 Wir bewahren Personendaten so lange auf, wie es für den jeweiligen Zweck, gesetzliche Pflichten, die Vertragserfüllung, Sicherheit sowie die Dokumentation oder Durchsetzung von Ansprüchen erforderlich ist. Danach löschen oder anonymisieren wir die Daten im Rahmen unserer ordentlichen Abläufe.

8.2 Für produktive ISOfee-Kundendaten gilt grundsätzlich eine Löschfrist von spätestens 90 Tagen nach Vertragsende, soweit keine gesetzlichen Pflichten oder abweichenden Vereinbarungen entgegenstehen. Sicherungskopien werden nach dem im AVV bezeichneten technischen Überschreibzyklus gelöscht. Kund:innen kopieren benötigte Chat-Inhalte und laden benötigte Dokumente vor Vertragsende herunter.

8.3 Daten aus Buchhaltung und Vertragsabwicklung bewahren wir entsprechend den gesetzlichen Fristen auf. Newsletter-Daten bearbeiten wir bis zur Abmeldung oder bis der Versand eingestellt wird. Technische Protokolle und Website-Daten bewahren wir nur so lange auf, wie dies für Betrieb, Sicherheit und Analyse erforderlich ist. Daten aus abgelaufenen Testzugängen werden spätestens 90 Tage nach Ablauf des Testzugangs gelöscht oder anonymisiert. Daten in Sicherungskopien werden mit dem ordentlichen technischen Überschreibzyklus gelöscht.

9.1 Wir treffen angemessene technische und organisatorische Massnahmen, um Personendaten vor Verlust, unbefugtem Zugriff, Veränderung und Offenlegung zu schützen. Dazu gehören je nach Risiko insbesondere Zugriffs- und Berechtigungskonzepte, Verschlüsselung, Protokollierung, Sicherungen, Wiederherstellungsverfahren, Aktualisierungen und Verpflichtungen zur Vertraulichkeit.

9.2 Kein System ist vollständig sicher. Kund:innen schützen ihre Zugangsdaten, vergeben Berechtigungen zurückhaltend und melden vermutete Sicherheitsvorfälle unverzüglich. Die für Auftragsbearbeitungen geltenden Massnahmen werden im AVV beschrieben.

10.1 Unsere Websites verwenden Cookies und vergleichbare Technologien. Cookies sind kleine Dateien, die im Browser oder auf dem Endgerät gespeichert werden. Sie ermöglichen technische Funktionen, die Wiedererkennung von Besucher:innen sowie die Analyse der Nutzung unserer Websites. Wir verwenden technisch notwendige Cookies sowie Analyse- und Marketing-Cookies.

10.2 Wir verwenden HubSpot für den Betrieb und die Analyse unserer Websites, für Formulare, Kundenbeziehungen und den Newsletterversand. HubSpot kann insbesondere besuchte Seiten, Zeitpunkt und Dauer des Besuchs, technische Angaben, Interaktionen und Formulareingaben erfassen und mit bestehenden Kontaktangaben verknüpfen. Die wichtigsten HubSpot-Tracking-Cookies werden bis zu sechs Monate gespeichert. Sitzungscookies werden in der Regel nach 30 Minuten oder am Ende der Browsersitzung gelöscht.

10.3 Wir verwenden Google Analytics, einen Analysedienst von Google. Google Analytics bearbeitet insbesondere technische Angaben zum Gerät und Browser, IP- und Standortinformationen, besuchte Seiten, Verweildauer, Interaktionen und Herkunft des Zugriffs. Google erstellt daraus Auswertungen über die Nutzung unserer Websites. Die Aufbewahrungsdauer für Nutzer- und Ereignisdaten beträgt 14 Monate. Einzelne Google-Analytics-Cookies können bis zu zwei Jahre gespeichert bleiben.

10.4 Wir verwenden Google Ads zur Messung des Erfolgs unserer Werbeanzeigen und für Remarketing. Google kann erkennen, ob Besucher:innen über eine Anzeige auf unsere Website gelangt sind und dort bestimmte Aktionen ausgeführt haben. Dabei können Cookies, Gerätekennungen, technische Daten und Angaben zur Websitenutzung bearbeitet und mit einem Google-Konto verknüpft werden. Der von uns verwendete Conversion-Zeitraum beträgt 30 Tage. Einzelne Marketing-Cookies können bis zu 90 Tage gespeichert bleiben.

10.5 HubSpot und Google können Daten im Europäischen Wirtschaftsraum, in den USA und in weiteren Staaten bearbeiten. Informationen zu Bekanntgaben ins Ausland finden Sie in Kapitel 7.

10.6 Sie können Cookies in den Einstellungen Ihres Browsers vollständig oder teilweise blockieren und bereits gespeicherte Cookies löschen. Sie können der personalisierten Werbung von Google über die Werbeeinstellungen Ihres Google-Kontos widersprechen. Google stellt zudem ein Browser-Add-on zur Deaktivierung von Google Analytics zur Verfügung. Das Blockieren von Cookies kann einzelne Funktionen unserer Websites einschränken.

11.1 Wir unterhalten Präsenzen auf LinkedIn und können weitere soziale Netzwerke nutzen. Beim Besuch bearbeiten die Plattformbetreiber Daten in eigener Verantwortung und können Nutzungsprofile erstellen. Es gelten zusätzlich deren Datenschutzhinweise und Einstellungen.

11.2 Binden wir externe Inhalte, Videos, Karten oder Links ein, kann der jeweilige Anbieter beim Aufruf technische und Nutzungsdaten erhalten. Wo erforderlich, erfolgt die Einbindung erst nach Ihrer Einwilligung.

12.1 Im Rahmen des anwendbaren Datenschutzrechts können Sie insbesondere Auskunft, Berichtigung, Löschung, Einschränkung oder Widerspruch sowie die Herausgabe oder Übertragung bestimmter Personendaten verlangen und Einwilligungen widerrufen. Sie können sich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten beschweren.

12.2 Rechte können eingeschränkt sein, etwa zum Schutz anderer Personen, von Geschäftsgeheimnissen oder aufgrund gesetzlicher Aufbewahrungspflichten. Zur Verhinderung von Missbrauch dürfen wir Ihre Identität prüfen. Die Ausübung Ihrer Rechte ist grundsätzlich kostenlos.

12.3 Bezieht sich Ihr Anliegen auf Daten, die Ihr Unternehmen in ISOfee bearbeitet, richten Sie es zuerst an Ihr Unternehmen als verantwortliche Stelle. Wir unterstützen unsere Kund:innen nach Massgabe des AVV.

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Bearbeitungen, Angebote oder die Rechtslage ändern. Es gilt die auf unserer Website veröffentlichte Fassung. Wesentliche Änderungen kommunizieren wir in geeigneter Form.