Datenschutzerklärung

gestützt auf Art. 19 DSG und Art. 13 DSV
Personenbezeichnungen sind nicht geschlechtsspezifisch

Einleitung
Das Kerngeschäft der Zentrum X AG ist die qualifizierte und unabhängige Beratung, Betreuung und Verwaltung von beruflichen Vorsorgeeinrichtungen in allen Belangen, Erbringen allgemeiner Dienstleistungen, Führen von EDV-Lizenzen, Entwicklung und Vertrieb von EDV-Software aller Art, Projektentwicklungen und Schulungen aller Art, Verkauf und Handel von medizinischen Hilfsmitteln, Produkten zur Optimierung der Lebensqualität, Antiquitäten sowie Waren aller Art, Erstellen und Betreiben von Regenerationsräumen, Durchführung von Events für Kunst, Kultur, Sport und Erziehung sowie Führen eines Gewerbebetriebs. Die Gesellschaft kann alle Geschäfte eingehen, Verträge abschliessen und Darlehen gewähren, die geeignet sind, den Zweck der Gesellschaft zu fördern, oder die direkt oder indirekt damit in Zusammenhang stehen. Ferner kann sie Zweigniederlassungen und Tochtergesellschaften im In- und Ausland errichten und sich an anderen Unternehmungen beteiligen oder sich mit diesen zusammenschliessen. Die Gesellschaft kann Grundstücke erwerben, verwalten, belasten und veräussern. Im Übrigen kann die Gesellschaft alle kommerziellen, finanziellen und anderen Tätigkeiten ausüben, die ihr Zweck mit sich bringt.

Mit dieser Datenschutzerklärung möchten wir Sie darüber aufklären, welche Arten Ihrer Daten, die Rückschluss auf Ihre Person geben (nachfolgend auch kurz als "Daten" bezeichnet) sowie welche besonders schützenwerten Daten wir zu welchen Zwecken und in welchem Umfang bearbeiten. Die Datenschutzerklärung gilt für alle von uns durchgeführten Bearbeitungen, sei dies im Rahmen der Erbringung unserer vertraglichen Leistungen als auch für den Einsatz von Websites und Online-Applikationen. Wir bearbeiten nicht nur Daten unserer Vertragspartner, sondern insbesondere von folgenden Personen (jeweils «Sie» genannt): Personen, die in Verbindung mit den o.g. Tätigkeiten stehen (z.B. Eventteilnehmer, Hypothekarnehmer, Mieter, Nutzer unseres Regenerationsraums)

Mitglieder unserer Organisation (z. B. Stiftungsratsmitglieder, Geschäftsführer, Verwaltungsmitarbeiter)
Wenn Sie uns Daten über Dritte übermitteln, gehen wir davon aus, dass Sie dazu befugt und diese Daten richtig sind. Bitte informieren Sie diese Dritten über die Datenbearbeitung durch uns und geben ihnen eine Kopie dieser Datenschutzerklärung in der jeweils aktuellen Version.
Die Zentrum X AG stellt sicher, dass die mit der Datenbearbeitung betrauten Personen die gesetzlichen Bestimmungen berücksichtigen, welche für das Bearbeiten von Daten der Vertragspartner massgebend sind (z. B. BVG, OR, ZGB, ATSG, VVG, AHVG, IVG, UVG, MVG, KVG etc.).
Verantwortliche Personen
Zur Einhaltung der Gesetze zum Datenschutz und dieser Datenschutzerklärung ist die gemäss Handelsregister eingetragene Geschäftsleitung verantwortlich.
Für Datenschutzanliegen wurde ein Datenschutzberater ernannt.
Grundsätze der Datenverarbeitung
Die personenbezogenen Daten werden
auf rechtmässige Weise, nach Treu und Glauben und in einer für betroffene Person nachvollziehbaren Weise bearbeitet.
einzig für die Durchführung und Abwicklung der angebotenen Dienstleistungen verwendet (Zweckmässigkeit) unverzüglich gelöscht oder berichtigt, wenn sie im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind.
nur so lange gespeichert, wie es für die gesetzliche Aufbewahrungspflicht oder für die Zwecke, für die sie bearbeitet werden, erforderlich ist.
auf eine Weise bearbeitet, die eine angemessene Sicherheit gewährleistet. Dies beinhaltet den Schutz vor unbefugter oder unrechtmässiger Bearbeitung bzw. Einsichtnahme und unabsichtlichem Verlust, Zerstörung oder Schädigung.
Rechtmässigkeit der Datenverarbeitung
Je nach Anlass und Zweck bearbeiten wir unterschiedliche Daten. Mit der Nutzung der Website oder dem Vertragsverhältnis gibt der Nutzer bzw. Vertragspartner seine Einwilligung zur Bearbeitung der betreffenden personenbezogenen Daten. Ebenfalls gibt er seine Einwilligung mit einer gegebenenfalls notwendigen Erteilung einer Vollmacht bzw. Einwilligungserklärung (dies insbesondere bei besonders schützenswerten Daten).
Die Daten werden einzig für die Durchführung und Abwicklung der angebotenen Dienstleistungen und Angebote verwendet. Unter keinen Umständen werden sie in einer Weise bearbeitet, die nicht mit diesem Zweck zu vereinbaren ist.
Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen (Korrespondenz an unseren Datenschutzberater siehe unten). Durch einen solchen Widerruf wird die Rechtmässigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Bearbeitung nicht berührt.
Gesetzliche Grundlagen
Die Pflicht zum Schutz der Persönlichkeitsrechte beim Bearbeiten personenbezogener Daten ist primär im Bundesgesetz über den Datenschutz (DSG) und ihrer Verordnung (DSV) geregelt. Die Zentrum X AG und alle in ihrem Auftrag tätigen Personen und Drittanbieter sind zur Einhaltung der Gesetze und zur Wahrung des Geschäftsgeheimnisses verpflichtet. Eine entsprechende Schweigepflichtserklärung wird von allen Mitarbeitenden und Anbietern eingeholt, sofern diese nicht schon aufgrund der Gesetze bestehen (ärztliche Schweigepflicht).
Die Zentrum X AG informiert mittels dieser Datenschutzerklärung die betroffenen Personen über die Identität der verantwortlichen Personen und deren Kontaktdaten, den Bearbeitungszweck sowie die Empfänger bzw. Kategorien von Empfängern der Daten. Eine Datenschutz-Folgenabschätzung wird bei Notwendigkeit durchgeführt und dokumentiert.
Soweit wir Sie für bestimmte Formen der Bearbeitung um Ihre Einwilligung bitten, informieren wir Sie gesondert über die entsprechenden Zwecke der Bearbeitung. Einwilligungen können Sie jederzeit durch eine schriftliche Mitteilung mit Wirkung für die Zukunft widerrufen. Sobald wir die Mitteilung über den Widerruf Ihrer Einwilligung erhalten haben, werden wir Ihre Daten nicht mehr für die Zwecke bearbeiten, denen Sie ursprünglich zugestimmt hatten. Durch einen solchen Widerruf wird die Rechtmässigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Bearbeitung nicht berührt.
Bei Verletzungen der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeitsrechte der betroffenen Personen führen kann, ist der Datenschutzberater verpflichtet, diese dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu melden. Diese Meldung muss so rasch wie möglich erfolgen. Wenn es zum Schutz der betroffenen Personen notwendig ist oder der EDÖB es verlangt, muss der Datenschutzberater zudem die betroffenen Personen informieren.
Datensicherheit (Art. 8 DSG und DSV)
Zum Schutz der Daten vor missbräuchlicher Bearbeitung erfüllt das Datenschutzsystem die Anforderungen zur Einhaltung der gesetzlichen Vorschriften. Privacy-by-Design und Privacy-by-Default werden gewährleistet. Innerhalb der Zentrum X AG ist ein Datenschutzberater für die regelmässige Schulung und die Aktualisierung auf die neusten technischen Sicherheitsstandards zuständig.

Folgende technische organisatorische Massnahmen werden umgesetzt:

Zugangskontrolle
Zutritt zu den Räumlichkeiten, in denen die Daten bearbeitet werden, haben nur die mit der Datenbearbeitung beauftragten Personen. Der Haupteingangsbereich ist zusätzlich mit einer Sicherheitstür ausgestattet. Besucher können nur mit Anmeldung das Gebäude betreten.

Zugriffskontrolle
Die Berechtigungen für Datenzugriffe sind von den Mitarbeitenden zu beantragen, bzw. werden gemäss Funktion freigeschaltet. Die bearbeitenden Personen besitzen nur die Rechte für die zur Aufgabenerfüllung notwendigen Funktionsbereiche. Der Fernzugriff auf die Daten ist nur über verschlüsselte Zugänge mit Mehrfaktorauthentifizierung möglich.

Nutzung Hard- und Software
Für die Nutzung von Hard- und Software, Internet und E-Mail sind zudem die Weisungen zu sicherem Umgang massgebend. Zum Schutz der Systeme sind generell Zugriffe nur mit Autorisierung durch Benutzername und Kennwort möglich. Bei Webportalen ist ein zeitlich begrenzter Zugriff eingerichtet. Wird das System längere Zeit nicht genutzt, ist eine erneute Kennworteingabe notwendig (Art 3 DSV). Passwörter müssen systembedingt periodisch gewechselt werden. Der Austausch von Daten erfolgt über verschlüsselte Datenkanäle. Personendaten werden nur dann über unverschlüsselte E-Mails versendet, wenn es sich beim Empfänger um die betroffene Person handelt und diese die unverschlüsselte Übertragung wünscht.

Wiederherstellung
Ein automatisiertes «Full-Backup» der Datenbanken und IT-Infrastruktur erfolgt täglich auf internen wie externen Datenträgern. Die Wiederbeschaffung der Daten ist somit sichergestellt.

Cyber-Security Checks + Penetration Tests
Diese werden wiederholt durchgeführt.

Schulungen und Infos für Mitarbeitende
Schulungen werden kontinuierlich durchgeführt. Informationen bei Änderungen z. B. bezüglich Datenschutzneuerungen erfolgen durch Infomails. Die Massnahmen werden dokumentiert.
Datenübermittlung ins Ausland (Art. 9 DSG und Art. 7 DSV)
Grundsätzlich werden Personendaten von uns nicht ins Ausland bekanntgegeben, ausser an die betroffenen Personen selbst. Eine Ausnahme kann namentlich bei Rechtsverfahren im Ausland gelten, aber auch in Fällen eines überwiegenden öffentlichen Interesses oder wenn eine Vertragsabwicklung eine solche Bekanntgabe erfordert, wenn Ihre Einwilligung vorliegt oder wenn es sich um Daten handelt, die Sie allgemein zugänglich gemacht haben und deren Bearbeitung Sie nicht widersprochen haben.

Im Rahmen der Auftragsverarbeitung werden Ihre Daten nur dann in Länder ausserhalb der Schweiz übermittelt, wenn das betreffende Land (oder der für dieses Land geltende Datenschutzrahmen) nach Auffassung des Bundesrats ein angemessenes Datenschutzniveau bietet; insbesondere, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des betreffenden Staats einen angemessenen Schutz bietet, oder, falls ein solcher Angemessenheitsbeschluss nicht vorliegt, wenn der Empfänger einen angemessenen Schutz auf der Grundlage geeigneter Garantien gewährleistet, oder auf der Grundlage von im DSG aufgeführten Ausnahmeregelungen (z. B. Ihre ausdrückliche Einwilligung). Eine Kopie der entsprechenden Garantien kann bei unserem Datenschutzberater angefordert werden.

In den aufgeführten Fällen können Ihre Daten ausserhalb der Schweiz oder der Europäischen Union bzw. des Europäischen Wirtschaftsraums (d.h. auch in sogenannten Drittstaaten wie z.B. den Vereinigten Staaten von Amerika) bearbeitet werden.
Profiling
Die Zentrum X AG nutzt kein Profiling.
Pflicht zur Bereitstellung von Personendaten
Für unsere Geschäftsbeziehung müssen die Personendaten bereitgestellt werden, die für die Aufnahme und Durchführung einer Geschäftsbeziehung und der Erfüllung der damit verbundenen vertraglichen Pflichten erforderlich sind. Ohne diese Daten werden wir in der Regel nicht in der Lage sein, einen Vertrag mit Ihnen (oder der Stelle oder Personen, die Sie vertreten) zu schliessen und abzuwickeln oder zu erfüllen.
Technologien bei Nutzung der Website
Server-Log-Dateien
Wie bei jeder Verbindung mit einem Webserver protokolliert und speichert der Server unseres Webhosting-Anbieters bestimmte technische Daten. Zu diesen Daten gehören die IP-Adresse und das Betriebssystem Ihres Geräts, die Daten, die Zugriffszeit, die Art des Browsers sowie die Browser-Anfrage inklusive der Herkunft der Anfrage (Referrer). Dies ist aus technischen Gründen erforderlich, um Ihnen unsere Website zur Verfügung zu stellen. Der Webhosting-Anbieter schützt diese Daten mit technischen und organisatorischen Massnahmen vor unerlaubten Zugriffen und gibt sie nicht an Dritte weiter. Soweit wir dabei personenbezogene Daten verarbeiten, tun wir dies aufgrund unseres Interesses, Ihnen die bestmögliche Nutzererfahrung zu bieten und die Sicherheit und Stabilität unserer Systeme zu gewährleisten.
Arten der verarbeiteten Daten
Stammdaten (z.B. Namen, Adressen, Geburtsdatum, Geschlecht)
Kontaktdaten (z. B. E-Mail, Telefonnummern)
Vermögens- und Finanzdaten
Zahlungsdaten (z.B. Bankverbindungen, Rechnungen, Zahlungshistorie)
Vertragsdaten (z.B. Vertragsgegenstand, Laufzeit, Kundenkategorie) Inhaltsdaten (z. B. Texteingaben, Fotografien, Videos)
Meta-/Kommunikationsdaten (z. B. Geräte-Informationen, IP-Adressen) Nutzungsdaten (z. B. besuchte Webseiten, Interesse an Inhalten, Zugriffszeiten)
Standortdaten (Daten, die den Standort des Endgeräts eines Endnutzers angeben)
Besondere Kategorien von Daten (besonders schützenswerte Daten)
Gesundheitsdaten
Kategorien der Datenempfänger
Mitarbeitende
Geschäfts- und Vertragspartner
Kommunikationspartner
Auftraggeber
Externe Dienstleister (z. B. IT-Dienstleister, Kommunikations- oder Druckdienstleister)
Mieter
Besucher Regenerationsraum
Betroffene unserer Datenbearbeitung
Mitarbeitende
Mitglieder unserer Organisation
Haftpflichtige oder Anspruchsteller
Geschäfts- und Vertragspartner
Externe Dienstleister
Auftragnehmer
Eventteilnehmer
Besucher des Regenerationsraums
Mieter

Bearbeiten wir von Dritten erhaltene Daten, gehen wir davon aus, dass die betroffene Person über die Datenbearbeitung durch uns informiert und damit einverstanden ist.
Zwecke der Bearbeitung
Vertragliche Leistungen und Services

Beratungstätigkeiten und Schulungen

Veranstaltungen und Events (Wir verarbeiten die Daten der Teilnehmer der von uns angebotenen oder ausgerichteten Veranstaltungen, Events und ähnlichen Aktivitäten (nachfolgend einheitlich als "Teilnehmer" und „Veranstaltungen“ bezeichnet), um ihnen die Teilnahme an den Veranstaltungen und Inanspruchnahme der mit der Teilnahme verbundenen Leistungen oder Aktionen zu ermöglichen).

Marketing (z. B. Übermittlung von Informationen und von Werbung von uns und Dritten, z.B. als Newsletter oder Drucksache, gezielte Ansprache bestehender Kunden, Durchführung von Kundenanlässen und von Gewinnspielen und Wettbewerben, Personalisierung von Informationen und Werbung).

Weitere Zwecke (z. B. Sicherheitszwecke, Überwachung von Gebäuden und öffentlich zugänglichen Räumlichkeiten, interne Administration, Schulung und Ausbildung, Buchhaltung, Datenarchivierung, Verwaltung der IT, Wahrung unserer Rechte, Evaluation und Verbesserung interner Abläufe, Statistik.

Vermietung von Immobilien der Zentrum X AG (z.B. Mietverträge, Zahlungsdaten).

Kontaktanfragen und Kommunikation

Liste nicht abschliessend
Aufbewahrung von Daten
Wir bearbeiten und speichern Personendaten, solange es für die Erfüllung unserer vertraglichen und gesetzlichen Pflichten oder für die mit der Bearbeitung verfolgten Zwecke erforderlich ist. Das heisst für Beziehungen von der Anbahnung, Abwicklung bis zur Beendigung der Verträge. Es ist auch möglich, dass Personendaten darüber hinaus für den Zeitraum aufbewahrt werden, in der Ansprüche gegenüber unserer Unternehmung geltend gemacht werden können oder die gesetzlichen Aufbewahrungspflichten dies verlangen. Ansonsten werden die Daten gelöscht oder anonymisiert.
Datenschutzberater
Die Zentrum X AG hat einen Datenschutzberater beim EDÖB angemeldet und auf der Website publiziert.
Publikation / Änderungsvorbehalt
Diese Datenschutzerklärung wird gemäss DSG auf unserer Website publiziert.

Diese Datenschutzerklärung kann jederzeit geändert werden. Die auf dieser Website veröffentlichen Version ist die aktuelle Fassung.
Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung
Wenn Sie ein Anliegen bezüglich der hierin genannten Punkte oder zur Datenschutzpolitik der Zentrum X AG haben, nehmen Sie bitte Kontakt mit uns auf. Unser Datenschutzberater wird diese in absehbarer Frist beantworten.

Zentrum X AG
Datenschutzberaterin
Heidi Neubacher
Hauptstrasse 105
4147 Aesch

Kontaktformular
Recht auf Datenübertragbarkeit
Sie haben das Recht, die Personendaten in einem gängigen elektronischen Format zu erhalten. Für die Ausübung des Rechts können Ausnahmen oder Einschränkungen bestehen (z. B. bei Rechtsfällen, Schutz Dritter).

Stand 01.09.2023 Version 1