Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung im Rahmen dieser Website und der Kundenbox-Plattform ist:

Patrick Lauber, Kundenbox, Reutlenring 15, 8302 Kloten, Schweiz

E-Mail: privacy@kundenbox.ch

2. Welche Daten wir erheben

Kontodaten: Wenn du ein Konto erstellst, erheben wir Name, E-Mail-Adresse und Profilinformationen über unseren Authentifizierungsdienst.

Kommunikationsdaten: Kundenbox verarbeitet Kundenanfragen, die über angebundene Kanäle eingehen (E-Mail, WhatsApp, Webformulare), einschliesslich Absenderangaben, Nachrichteninhalten und Anhängen. Diese Daten verarbeiten wir im Auftrag unserer Kunden (der jeweiligen Unternehmen).

Nutzungsdaten: Beim Besuch unserer Website erheben wir technische Daten wie IP-Adresse, Browsertyp, Gerätedaten und Zugriffszeitpunkte.

Kalender- und E-Mail-Integrationen: Wenn du eine Integration (z. B. E-Mail oder Kalender) verbindest, verarbeiten wir die dafür erforderlichen Zugriffsdaten ausschliesslich zur Bereitstellung der jeweiligen Funktion.

3. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten, um die Kundenbox-Plattform bereitzustellen und zu betreiben, Kundenanfragen aus verschiedenen Kanälen in einem Posteingang zusammenzuführen, KI-gestützte Funktionen wie Zusammenfassungen und Antwortvorschläge anzubieten, die Sicherheit und Stabilität unserer Dienste zu gewährleisten sowie gesetzliche Pflichten zu erfüllen.

4. Rechtsgrundlagen

Die Verarbeitung erfolgt zur Erfüllung des Vertrags mit unseren Kunden, auf Grundlage berechtigter Interessen (z. B. Sicherheit und Weiterentwicklung der Plattform), aufgrund gesetzlicher Pflichten oder — wo erforderlich — auf Grundlage deiner Einwilligung. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

5. Auftragsbearbeiter und Drittanbieter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag bearbeiten. Diese Liste führen wir zusammen mit unserem Bearbeitungsverzeichnis nach Art. 12 DSG; ein neuer Dienst erscheint hier, sobald er angebunden ist. Angegeben ist jeweils, wo der Dienst die Daten bearbeitet und was er dabei erhält.

• Anthropic, USA — KI-gestützte Auswertung von Nachrichten und Entwürfen. Dabei wird der Text einer eingehenden Nachricht übermittelt.
• Attio, USA — Abgleich von Kunden und Ansprechpersonen mit dem CRM des Betriebs, in beide Richtungen, sofern der Betrieb die Anbindung einrichtet.
• bexio, Schweiz — Übergabe von Belegen in die Buchhaltung, sofern der Betrieb die Anbindung einrichtet.
• Bundesamt für Landestopografie swisstopo, Schweiz — Umwandlung einer Adresse in Koordinaten und Abfrage der Gebäudedaten. Übermittelt wird die Adresse eines Objekts.
• Clerk, USA — Anmeldung und Verwaltung der Mitarbeitenden: Name, E-Mail-Adresse und Anmeldedaten.
• CRB (Schweizerische Zentralstelle für Baurationalisierung), Schweiz — Lizenzprüfung und Bezug der CRB-Standards NPK, BKP und eBKP. Übermittelt werden die CRB-Kunden- und Lizenznummer des Betriebs und eine Kennung seines Arbeitsplatzes, keine Personendaten.
• ELDAS, Schweiz — Artikelstamm des Elektrogrosshandels. Übermittelt werden Artikelnummern, keine Personendaten.
• Google Ads (gtag.js), USA — Messung der Werbewirkung auf elektro.box: welche Seitenaufrufe und Anmeldungen aus einer Anzeige stammen, samt IP-Adresse, Gerät und einer Werbekennung im Cookie. Nur auf elektro.box, nicht auf kundenbox.ch und nicht auf den Belegseiten, die ein Kunde eines Betriebs öffnet.
• Google Cloud Storage; Vertragspartner: Google Cloud EMEA Limited, Irland; gespeichert in der Schweiz (Region europe-west6, Zürich) — nächtliche Sicherungskopie der Dateiablage: Anhänge, Beleg-PDFs, Quittungen, Unterschriften, Verträge und Logos. Wird eine Datei aus der Dateiablage gelöscht oder dort ersetzt, bleibt ihre bisherige Kopie in der Regel bis zu 90 Tage nach der nächsten nächtlichen Sicherung erhalten und ist danach innert rund 31 weiteren Tagen auch bei Google endgültig gelöscht. Solange eine Datei in der Dateiablage liegt, bleibt auch ihre Sicherungskopie. Das gilt auch für die Dateien von Einträgen, die im Papierkorb endgültig gelöscht wurden, weil diese Dateien in der Dateiablage bleiben, und für Dateien, die als Nachweis zu einem ausgestellten oder abgeschlossenen Beleg aufbewahrt werden. Ausgenommen sind Kreditorenrechnungen und Quittungen: Beim Löschen wird die Datei auch aus der Dateiablage entfernt, und ihre Sicherungskopie läuft danach innerhalb der oben genannten Fristen ab.
• Google, USA — Zugriff auf das Gmail-Postfach, sofern ein Betrieb es verbindet.
• Langfuse, EU/EWR — Protokoll der KI-Aufrufe samt der dabei übermittelten Texte.
• Linear, USA — unser Ticketsystem. Meldet jemand über den Assistenten einen Fehler oder einen Wunsch, werden der gemeldete Text im Wortlaut, Name und E-Mail-Adresse der meldenden Person, Betrieb, Seite und Gerät übermittelt.
• Meta Platforms (WhatsApp Business), USA — Empfang und Versand von WhatsApp-Nachrichten, sofern der Betrieb diesen Kanal nutzt.
• Microsoft, USA — Zugriff auf das Outlook-Postfach, sofern ein Betrieb es verbindet.
• OpenRouter, USA — Ausweichweg für die KI-Auswertung, wenn Anthropic nicht antwortet. Übermittelt werden dieselben Texte wie an Anthropic.
• Otto Fischer AG, Schweiz — Übergabe einer Materialbestellung an den Grossisten, sofern der Betrieb seine eigenen Shop-Zugangsdaten hinterlegt. Übermittelt werden Artikelnummern, Mengen und die Belegnummer als Kommission.
• PostHog, EU/EWR — Nutzungsstatistik der Anwendung: welche Seiten und Funktionen aufgerufen und welche Vorgänge ausgelöst werden, samt Benutzerkennung, Rolle und Betrieb. Für angemeldete Personen werden zusätzlich Name und E-Mail-Adresse übermittelt. Ebenfalls festgehalten wird der Ablauf des Besuchs als Sitzungsaufzeichnung: Seitenaufbau, Mausbewegungen, Klicks, Scrollen und Seitenwechsel. Sämtliche Texte und Eingaben werden dabei vor der Übertragung maskiert und Bilder ausgeblendet; übermittelt werden Aufbau und Bedienung der Seite, nicht deren Inhalte.
• Postmark, USA — Versand und Empfang von E-Mail, einschliesslich Absenderangaben, Inhalt und Anhängen.
• Pronovo, Schweiz — Einreichung von Förderanträgen im Auftrag des Betriebs, sofern er sie über uns einreicht.
• Push-Dienste der Browserhersteller (Google, Apple, Mozilla, Microsoft), USA — Zustellung von Benachrichtigungen an ein Gerät, sofern jemand sie einschaltet.
• Railway, EU/EWR — Betrieb unserer Server, der Hintergrundprozesse und der Website, samt deren Protokollen.
• Sentry, EU/EWR — Fehlerprotokolle. Sie enthalten IP-Adresse, Gerät und Benutzerkennung und können Bruchstücke von Nutzdaten enthalten.
• simap.ch (Verein simap.ch), Schweiz — Abruf von Ausschreibungsunterlagen mit dem eigenen simap-Anbieterkonto des Betriebs, sofern er es verbindet. simap erfährt dabei, welche Unterlagen der Betrieb bezieht; übermittelt wird nur die Anmeldung dieses Kontos, keine Daten der Kundschaft.
• Stripe, USA — Abwicklung des Abonnements des Betriebs. Daten der Kundschaft eines Betriebs werden nicht übermittelt.
• Supabase, EU/EWR — Datenbank und Dateiablage. Hier liegen sämtliche Daten, die im Konto erfasst werden, samt Anhängen.
• TypeSafe, USA — Einordnung eingehender E-Mails nach Art der Nachricht. Übermittelt werden Absender, Betreff, ein Auszug des Textes und Angaben zu den Anhängen.
• VSAS (Verband Schaltanlagen und Automatik Schweiz), Schweiz — Kalkulationsdaten für den Schaltanlagenbau. Übermittelt werden Suchbegriffe und Artikelnummern, keine Personendaten.
• Zeitstempeldienst (SwissSign oder Swisscom), Schweiz — Zeitstempel für die Nachvollziehbarkeit von Dokumenten. Übermittelt wird ein Hashwert, keine Nutzdaten.

Mit allen Dienstleistern bestehen Verträge zur Auftragsbearbeitung mit angemessenen Datenschutzgarantien. Dienste, die nur bei einer eingerichteten Anbindung zum Einsatz kommen, sind oben als solche gekennzeichnet.

6. Datenübermittlung ins Ausland

Einige unserer Dienstleister verarbeiten Daten ausserhalb der Schweiz bzw. des EWR, insbesondere in den USA. In diesen Fällen stellen wir durch geeignete Garantien — etwa Standardvertragsklauseln oder Zertifizierungen nach dem Swiss-U.S. Data Privacy Framework — ein angemessenes Datenschutzniveau sicher.

7. Aufbewahrung und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Kommunikationsdaten, die wir im Auftrag unserer Kunden verarbeiten, werden gemäss deren Weisungen gespeichert und gelöscht. Nach Vertragsende werden die Daten gelöscht oder anonymisiert.

8. Deine Rechte

Du hast das Recht auf Auskunft über die zu deiner Person gespeicherten Daten, auf Berichtigung unrichtiger Daten, auf Löschung, auf Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie das Recht, der Verarbeitung zu widersprechen. Zur Ausübung deiner Rechte genügt eine E-Mail an privacy@kundenbox.ch. Du hast zudem das Recht, dich bei der zuständigen Aufsichtsbehörde zu beschweren — in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

9. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um deine Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen. Dazu gehören Verschlüsselung bei der Übertragung, Zugriffskontrollen, mandantengetrennte Datenhaltung und regelmässige Sicherheitsüberprüfungen.

10. Cookies

Wir setzen drei Arten von Cookies und vergleichbaren Speichern im Browser (localStorage) ein.

Notwendig: Sitzungs-Cookies unseres Authentifizierungsdienstes Clerk. Ohne sie funktionieren die Anmeldung und die Grundfunktionen der Plattform nicht; sie lassen sich darum nicht abschalten.

Nutzungsstatistik: PostHog legt eine zufällige Kennung im Browser ab, um Seitenaufrufe, genutzte Funktionen und den maskierten Ablauf eines Besuchs (Sitzungsaufzeichnung, siehe «Auftragsbearbeiter und Drittanbieter») einander zuzuordnen — auch bei Besuchen ohne Anmeldung.

Werbemessung: Nur auf elektro.box setzen wir Cookies von Google Ads ein, um zu messen, welche Besuche und Anmeldungen aus einer Anzeige stammen.

Auf den Belegseiten, die ein Kunde eines Betriebs über einen zugesandten Link öffnet, setzen wir weder Nutzungsstatistik noch Werbemessung ein.

So lehnst du Nutzungsstatistik und Werbemessung ab: mit dem Schalter direkt unter diesem Abschnitt; mit dem Signal «Global Privacy Control» oder «Do Not Track» deines Browsers — sendet er eines davon, starten wir beides gar nicht; oder indem du Cookies in deinem Browser blockierst oder löschst. Die Plattform bleibt nutzbar, wenn du Statistik und Werbemessung ablehnst; wer auch die notwendigen Cookies blockiert, kann sich allerdings nicht mehr anmelden.

11. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung bei Bedarf anpassen, etwa bei Änderungen unserer Dienste oder der Rechtslage. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

12. Kontakt

Bei Fragen zum Datenschutz erreichst du uns unter privacy@kundenbox.ch oder per Post: Patrick Lauber, Kundenbox, Reutlenring 15, 8302 Kloten, Schweiz.