DATENSCHUTZERKLÄRUNG

Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche Personendaten wir wie, wo und wofür verarbeiten, insbesondere im Zusammenhang mit unserer SHUBiDU-App und unserem sonstigen Angebot, einschließlich der SHUBiDU-Website. Zudem erläutern wir die Rechte von Personen, deren Daten wir verarbeiten.

Für bestimmte Angebote und Dienstleistungen können ergänzende Datenschutzerklärungen oder andere rechtliche Dokumente, wie z. B. unsere Nutzungsbedingungen, gelten.

Unser Angebot unterliegt dem schweizerischen Datenschutzrecht und, soweit anwendbar, dem ausländischen Datenschutzrecht, insbesondere dem der Europäischen Union (EU) gemäß der Datenschutz-Grundverordnung (DSGVO). Die Europäische Kommission hat anerkannt, dass das Schweizer Datenschutzrecht ein angemessenes Datenschutzniveau gewährleistet.

1. Kontaktadressen

Verantwortliche Stelle im Sinne des schweizerischen Datenschutzgesetzes (DSG) sowie, soweit anwendbar, der Datenschutz-Grundverordnung (DSGVO):

Shubidu AG

Wengisteinstrasse 3b

4500 Solothurn

Schweiz

E-Mail: feedback@shubidu.com

Für Nutzerinnen und Nutzer mit Wohnsitz in der Schweiz gilt primär das DSG. Für Nutzerinnen und Nutzer mit Wohnsitz in der EU oder im Europäischen Wirtschaftsraum (EWR) gilt die DSGVO.

Verantwortlichkeiten:

Allgemeine Anfragen zu Datenschutz und Datensicherheit: Wenden Sie sich bitte direkt an die Shubidu AG über die oben genannte Kontaktadresse.
Anfragen im Zusammenhang mit der Datenschutz-Grundverordnung (DSGVO) für den Europäischen Wirtschaftsraum (EWR): Unsere Datenschutz-Vertretung im EWR dient als zusätzliche Anlaufstelle und kann für DSGVO-bezogene Anfragen kontaktiert werden.

Datenschutz-Vertretung in der EU gemäss Art. 27 DSGVO:

VGS Datenschutzpartner UG

Am Kaiserkai 69

20457 Hamburg

Deutschland

E-Mail: info@datenschutzpartner.eu

Alle Anfragen zu Betroffenenrechten (z. B. Auskunft, Berichtigung, Löschung, Widerruf einer Einwilligung) richten Sie bitte an feedback@shubidu.com oder an die oben genannten Adressen.

Wir sind nach aktueller Rechtslage nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Sollten sich Änderungen ergeben, werden wir diese Datenschutzerklärung entsprechend anpassen. Wir prüfen regelmässig, ob eine Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO besteht.

2. Bearbeitung von Personendaten

2.1 Begriffe

Personendaten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Eine betroffene Person ist eine Person, deren Personendaten verarbeitet werden. „Bearbeiten“ umfasst jeden Umgang mit Personendaten, unabhängig von den eingesetzten Methoden und Verfahren, insbesondere das Aufbewahren, Weitergeben, Erheben, Löschen, Speichern, Verändern und Verwenden von Personendaten.

Der Europäische Wirtschaftsraum (EWR) umfasst die Europäische Union (EU) sowie Liechtenstein, Island und Norwegen. In der DSGVO wird die Bearbeitung von Personendaten als Verarbeitung personenbezogener Daten bezeichnet.

2.2 Rechtsgrundlagen

Wir verarbeiten Personendaten im Einklang mit dem schweizerischen Datenschutzgesetz (DSG) und, soweit die DSGVO anwendbar ist, auf folgender Grundlage:

Vertrag (Art. 6 Abs. 1 lit. b DSGVO): zur Bereitstellung und Nutzung der SHUBiDU-App und Website, einschliesslich Nutzerkonten, Kalenderfunktionen und Synchronisation.
Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): für bestimmte Funktionen wie den Zugriff auf Kontakte, Fotos oder Standort, für Newsletter, Marketing und Cookies.
Aktive Handlung / konkludente Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): bei der Nutzung von SHUBiDU Magic (Einsenden von Terminzetteln) sowie von SHUBiDU Magic+ (Weiterleiten von Terminen an die persönliche SHUBiDU-Inbox-Adresse). Durch das aktive Einsenden willigen die Nutzerinnen und Nutzer in die Verarbeitung der darin enthaltenen Daten ein.
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): zur Sicherstellung von IT-Sicherheit, Missbrauchsverhinderung, Fehleranalyse und zur statistischen Reichweitenmessung.
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten, insbesondere bei Zahlungen.

Wir verarbeiten besondere Kategorien von Personendaten (z. B. Gesundheits- oder Religionsdaten), soweit diese von den Nutzerinnen und Nutzern freiwillig im Kalender eingetragen oder im Rahmen von SHUBiDU Magic oder SHUBiDU Magic+ übermittelt werden. Dies geschieht ausschliesslich auf Grundlage einer ausdrücklichen oder konkludenten Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).

2.3 Speicherdauer

Wir speichern Personendaten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder wir gesetzlich dazu verpflichtet sind.

Server-Logs: maximal 30 Tage, anschliessend Löschung.
Bewerbungsdaten: 6 Monate nach Abschluss des Bewerbungsverfahrens, sofern kein Arbeitsvertrag zustande kommt.
Terminzettel (SHUBiDU Magic): werden ausschliesslich für die automatische bzw. manuelle Extraktion der relevanten Termindaten genutzt. Nicht bestätigte Daten werden nach Abschluss der Verarbeitung zeitnah gelöscht oder anonymisiert. Nur die von den Nutzerinnen und Nutzern bestätigten Termindaten werden im Kalender gespeichert.
E-Mails, die an die persönliche SHUBiDU-Inbox-Adresse gesendet werden (SHUBiDU Magic+): werden nach der Verarbeitung ausschliesslich für die Extraktion der Termindaten genutzt. Nicht bestätigte Daten werden nach Abschluss der Verarbeitung zeitnah gelöscht oder anonymisiert. Nur die von den Nutzerinnen und Nutzern bestätigten Termindaten werden im Kalender gespeichert.
Nutzerkonten und Kalenderdaten: werden so lange gespeichert, wie das Nutzerkonto aktiv ist. Nach Löschung des Kontos – sei es durch die Nutzerin oder den Nutzer in der App oder durch eine Anfrage an uns – werden die Daten innerhalb von 7 Tagen gelöscht oder anonymisiert.
Rechnungs- und Zahlungsdaten: Die Abwicklung von Zahlungen erfolgt ausschliesslich über die App-Stores (Apple In-App Purchases, Google Play Billing). Wir selbst speichern keine Zahlungsdaten (z. B. Kreditkarteninformationen). Abrechnungs- und Zahlungsinformationen werden von den jeweiligen Anbietern gemäss deren Datenschutzbestimmungen verarbeitet.
Sonstige Daten (z. B. Supportanfragen, Marketing-Daten, Vertragsunterlagen mit Partnern) werden nach den jeweils einschlägigen gesetzlichen Aufbewahrungspflichten oder internen Löschkonzepten verarbeitet.

2.4 Übermittlung in Drittstaaten
Einige unserer Dienstleister befinden sich in Staaten ausserhalb der Schweiz und des Europäischen Wirtschaftsraums (EWR), insbesondere in den Vereinigten Staaten von Amerika (USA) und in Israel. Für Israel hat die Europäische Kommission einen Angemessenheitsbeschluss erlassen, der ein gleichwertiges Datenschutzniveau bestätigt.

Für Übermittlungen in die USA und andere Länder ohne Angemessenheitsbeschluss stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission sowie auf zusätzliche technische und organisatorische Massnahmen, um ein angemessenes Datenschutzniveau sicherzustellen.

Unsere Partnerfirma eAssistant GmbH hat ihren Sitz in Deutschland. Mitarbeitende dieser Firma können jedoch in verschiedenen Ländern tätig sein. In diesen Fällen stellen wir durch vertragliche Vereinbarungen sicher, dass Zugriffe aus Drittländern ausschliesslich auf Grundlage der Standardvertragsklauseln und vergleichbarer Garantien erfolgen.

Eine aktuelle Übersicht unserer Dienstleister, deren Sitzstaat und die jeweilige Rechtsgrundlage der Übermittlung finden Sie in Anhang 1 dieser Datenschutzerklärung.

2.5 Besondere Kategorien personenbezogener Daten

Unsere Nutzerinnen und Nutzer können in der SHUBiDU-App oder in Kalendern Angaben speichern, die Rückschlüsse auf sogenannte besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO zulassen (z. B. Gesundheitsdaten, religiöse Zugehörigkeit, Angaben zu Kindern wie Schul- oder Religionsunterricht).

Eine Verarbeitung solcher Daten erfolgt ausschliesslich, wenn diese von den Nutzerinnen und Nutzern freiwillig eingetragen oder im Rahmen von SHUBiDU Magic (eingesendete Terminzettel) oder SHUBiDU Magic+ (an die persönliche SHUBiDU-Inbox-Adresse gesendete Termine) aktiv übermittelt werden. Mit diesem bewussten Handeln erteilen die Nutzerinnen und Nutzer ihre ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO.

Die eingesendeten Unterlagen bzw. Nachrichten (z. B. Fotos von Terminzetteln oder an die persönliche Inbox gesendete E-Mails) werden ausschließlich zur Extraktion der relevanten Termindaten genutzt.

Nicht bestätigte Daten: Wenn die extrahierten Termine nicht übernommen werden, löschen oder anonymisieren wir die Unterlagen unmittelbar nach der Verarbeitung.
Bestätigte Daten: Wenn ein Termin übernommen wird, können die hochgeladenen Fotos oder E-Mail-Anhänge als Bestandteil des Termins im Kalender gespeichert bleiben und sind für die Nutzerinnen und Nutzer weiterhin zugänglich.

2.6 Art, Umfang und Zweck

Wir bearbeiten jene Personendaten, die erforderlich sind, um unser Angebot einschliesslich SHUBiDU-App dauerhaft, nutzerfreundlich, sicher und zuverlässig bereitstellen zu können. Solche Personendaten können insbesondere folgende Kategorien umfassen:

Bestandes- und Kontaktdaten (z. B. Name, E-Mail-Adresse, Telefonnummer)
Browser- und Gerätedaten (z. B. IP-Adresse, Logfiles)
Inhalts- und Kalenderdaten (z. B. Termine, Geburtstage, Notizen)
Adressbuchdaten (nur mit ausdrücklicher Einwilligung)
Fotos und Kameraaufnahmen (z. B. Profilbilder, Terminfotos, eingesendete Terminzettel über SHUBiDU Magic)
E-Mail-Inhalte, die an die persönliche SHUBiDU-Inbox-Adresse (SHUBiDU Magic+) gesendet werden (z. B. Termine aus externen Kalendern oder von Dritten übermittelte Termindaten)
Standortdaten (nur zur erleichterten Eingabe von Adressen, ohne dauerhafte Speicherung)
Meta- bzw. Randdaten und Nutzungsdaten (z. B. Zeitpunkt des Zugriffs, Gerätetyp)
Abrechnungs- und Zahlungsinformationen, soweit erforderlich (z. B. über externe Zahlungsdienstleister wie App-Stores)
Nutzungs- und Kommunikationsdaten (z. B. Gerätetyp, App-Aktivitäten, Klickverhalten in E-Mails oder Push-Mitteilungen; gespeichert in unserem Messaging-System customer.io).

Für die Verarbeitung eingesendeter Terminzettel im Rahmen von SHUBiDU Magic gelten die besonderen Regelungen in Kapitel 2.5 (besondere Kategorien personenbezogener Daten) sowie die Vorgaben zur Speicherdauer in Kapitel 2.3.

Die jeweilige Rechtsgrundlage der Verarbeitung richtet sich nach dem Zweck:

Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Nutzerkonten, Kalendernutzung, Synchronisation
Einwilligung oder aktive Handlung (Art. 6 Abs. 1 lit. a DSGVO): Zugriff auf Kontakte, Fotos, Standort, Newsletter, Cookies sowie Nutzung von SHUBiDU Magic
Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): IT-Sicherheit, Missbrauchsverhinderung, Fehleranalyse, Reichweitenmessung
Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Abrechnungs- und Zahlungsinformationen

Für Informationen zur Speicherdauer siehe Kapitel 2.3 (Speicherdauer).
Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die rechtliche Wirkung entfalten oder Nutzer erheblich beeinträchtigen.

2.7 Bearbeitung von Personendaten durch Dritte, auch im Ausland

Wir können Personendaten durch beauftragte Dritte bearbeiten lassen oder gemeinsam mit Dritten sowie mit Hilfe von Dritten bearbeiten oder an Dritte übermitteln. Dabei handelt es sich insbesondere um Anbieter, deren Leistungen wir in Anspruch nehmen (z. B. Hosting, Support, Analyse, Kommunikation, Zahlungsabwicklung).

Solche Dritte befinden sich grundsätzlich in der Schweiz oder im Europäischen Wirtschaftsraum (EWR). In bestimmten Fällen kann jedoch eine Übermittlung in andere Staaten erfolgen:

Google (z. B. Google Cloud, Google Gemini, Google Ads/AdMob): Hierbei kann eine Übermittlung in die USA stattfinden. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission sowie zusätzliche Schutzmassnahmen.
eAssistant GmbH (Deutschland): Die Firma hat ihren Sitz in Deutschland. Mitarbeitende können jedoch auch aus anderen Ländern auf Daten zugreifen. In diesen Fällen stellen wir durch vertragliche Vereinbarungen sicher, dass Zugriffe aus Drittländern ausschliesslich auf Grundlage der Standardvertragsklauseln oder vergleichbarer Garantien erfolgen.

Für Übermittlungen in Länder mit einem von der Europäischen Kommission anerkannten Angemessenheitsbeschluss (z. B. Schweiz, Israel) gilt, dass ein angemessenes Datenschutzniveau bestätigt ist.

Für Übermittlungen in Länder ohne solchen Beschluss (z. B. USA) stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission sowie auf zusätzliche technische und organisatorische Massnahmen, um ein angemessenes Datenschutzniveau sicherzustellen.

Eine aktuelle Übersicht unserer Dienstleister, deren Sitzstaat und die jeweilige Rechtsgrundlage der Übermittlung finden Sie in Anhang 1 dieser Datenschutzerklärung.

Für die Bearbeitung von Supportanfragen und die Verwaltung von Kundenbeziehungen (CRM) setzen wir HubSpot ein. HubSpot wird sowohl für die Bearbeitung von Anfragen über Kontaktformulare oder per E-Mail als auch zur Dokumentation von Kundeninteraktionen genutzt. Anbieter ist HubSpot Ireland Ltd. (Irland) sowie HubSpot Inc. (USA). Dabei können personenbezogene Daten in die USA übermittelt werden. Grundlage hierfür sind die Standardvertragsklauseln der Europäischen Kommission sowie zusätzliche technische und organisatorische Massnahmen.

Für die Analyse der Nutzung unserer App sowie zur Erfolgsmessung von Marketingkampagnen setzen wir AppsFlyer ein. Anbieter ist AppsFlyer Ltd. (Israel). Dabei können personenbezogene Daten in Drittländer (z. B. USA) übermittelt werden. Israel verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission. Für weitere Übermittlungen stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission sowie zusätzliche Schutzmassnahmen.

Im Rahmen unserer Marketingaktivitäten setzen wir zudem GoMarketMe ein. Dabei können personenbezogene Daten verarbeitet werden. Soweit Daten ausserhalb der Schweiz/EU/EWR verarbeitet werden, erfolgt dies auf Grundlage geeigneter Garantien, insbesondere der Standardvertragsklauseln der Europäischen Kommission.

Für die Entwicklung, Betreuung und den technischen Support unserer Systeme (einschließlich App und Backend) setzen wir externe Partner ein.
• LetMeCode LLC (Georgien)
• Mühlemann + Popp GmbH (Schweiz, Mitarbeitende teilweise außerhalb der Schweiz/EU/EWR)

Mit beiden Partnern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Bei Zugriffen aus Drittländern stellen wir durch die Verwendung der Standardvertragsklauseln der Europäischen Kommission sowie zusätzliche technische und organisatorische Maßnahmen ein angemessenes Datenschutzniveau sicher.

2.8 Verarbeitung von Terminzetteln (SHUBiDU Magic & Magic+)
Nutzerinnen und Nutzer können Termine entweder über SHUBiDU Magic (Hochladen oder Fotografieren von Terminzetteln) oder über SHUBiDU Magic+ (Weiterleitung an eine persönliche SHUBiDU-Inbox-Adresse) an uns übermitteln.

Die enthaltenen Termindaten (z. B. Datum, Uhrzeit, Ort, Anlass) werden automatisch oder manuell extrahiert und den Nutzerinnen und Nutzern als Terminvorschlag zurückgesendet. Die Speicherung im Kalender erfolgt ausschliesslich nach ausdrücklicher Bestätigung durch die Nutzerin oder den Nutzer.

Automatisierte Verarbeitung:
Wenn die Zettel klar strukturiert sind, erfolgt die Extraktion automatisiert mit Hilfe der Google Gemini API. Dabei kann eine Datenübermittlung an Server von Google (Sitz u. a. in den USA) stattfinden. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission sowie zusätzliche Schutzmassnahmen. Hinweise zum Einsatz von Google Gemini finden Sie im nachfolgenden Abschnitt.
Manuelle Verarbeitung:
Wenn die automatisierte Verarbeitung nicht möglich ist, erfolgt eine manuelle Prüfung. Diese wird durch Mitarbeitende der SHUBiDU AG oder durch die externe Partnerin eAssistant GmbH, Deutschland durchgeführt. Mit eAssistant besteht eine vertragliche Vereinbarung zur Auftragsdatenverarbeitung.
Rechtsgrundlage:
Die Verarbeitung der übermittelten Termine erfolgt ausschliesslich auf Grundlage einer ausdrücklichen oder konkludenten Einwilligung (Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO), da die Unterlagen auch Angaben enthalten können, die besondere Kategorien personenbezogener Daten darstellen (z. B. Gesundheitsdaten, religiöse Zugehörigkeit von Kindern).
Speicherdauer:
- Bestätigte Termine: Fotos oder E-Mails, die einem Termin zugeordnet wurden, bleiben als Anhang im Kalender gespeichert und sind für die Nutzerinnen und Nutzer weiterhin zugänglich.
- Nicht bestätigte Termine: Eingesendete Daten, die nicht übernommen werden, nutzen wir ausschliesslich zur Verarbeitung. Sie verbleiben nach Abschluss des Prozesses für maximal 24 Stunden in einem geschützten Zwischenspeicher (z. B. zur Fehlerkorrektur oder Wiederherstellung) und werden danach automatisch gelöscht.

Besondere Hinweise:

SHUBiDU Magic (Upload): Termine werden durch Hochladen oder Fotografieren von Zetteln übermittelt.
SHUBiDU Magic+ (Inbox): Nutzerinnen und Nutzer erhalten eine persönliche, pseudonymisierte SHUBiDU-Inbox-E-Mail-Adresse. Darüber können Termine aus beliebigen Quellen (z. B. Schulen, Vereinen oder anderen Kalenderdiensten) weitergeleitet werden. Die Adresse ist so gestaltet, dass keine direkten Rückschlüsse auf die private E-Mail-Adresse der Nutzerinnen und Nutzer möglich sind.

Hinweise zum Einsatz von Google Gemini
Bei der automatisierten Verarbeitung von Terminzetteln über die Google Gemini API werden die Daten während der Anfrage („in-flight“) verarbeitet. Dabei kann eine Datenübermittlung an Server von Google (u. a. in den USA) stattfinden. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission sowie zusätzlicher Schutzmassnahmen. Nach Informationen von Google ist es möglich, dass Eingaben und Ausgaben kurzfristig in Form von Protokollen („Logs“) gespeichert werden (in der Regel bis zu 30 Tage). Google nutzt diese Daten nicht für Trainingszwecke der KI-Modelle.

Da für die Erkennung von Termindaten aus eingesendeten Zetteln die Originalbilder erforderlich sind, ist eine vollständige Anonymisierung vor der Übermittlung nicht möglich. Wir prüfen jedoch laufend, ob zusätzliche technische Massnahmen (z. B. Teilpseudonymisierung oder Reduktion von Metadaten) eingesetzt werden können, um die Datenverarbeitung weiter zu minimieren.

3. Rechte von betroffenen Personen
Personen, deren Daten wir verarbeiten, haben nach dem schweizerischen Datenschutzgesetz (DSG) und – soweit anwendbar – nach der Datenschutz-Grundverordnung (DSGVO) folgende Rechte.

3.1 Recht auf Auskunft (Art. 15 DSGVO)
Sie haben das Recht, eine Bestätigung zu erhalten, ob wir personenbezogene Daten über Sie verarbeiten. Wenn dies der Fall ist, können Sie Auskunft über diese Daten und weitere Informationen (z. B. Verarbeitungszwecke, Kategorien von Daten, Empfänger, Speicherdauer) verlangen.

3.2 Recht auf Berichtigung (Art. 16 DSGVO)
Sie haben das Recht, unrichtige oder unvollständige personenbezogene Daten unverzüglich berichtigen oder ergänzen zu lassen.

3.3 Recht auf Löschung (Art. 17 DSGVO, „Recht auf Vergessenwerden“)
Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden Gründe entgegenstehen. Dies umfasst auch Daten, die im Rahmen von SHUBiDU Magic (eingesendete Terminzettel) oder SHUBiDU Magic+ (Inbox-E-Mails) übermittelt wurden.

3.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Unter bestimmten Voraussetzungen können Sie verlangen, dass Ihre Daten nur noch eingeschränkt verarbeitet werden (z. B. wenn die Richtigkeit bestritten wird oder Sie Widerspruch eingelegt haben).

3.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Soweit wir Daten auf Grundlage einer Einwilligung oder eines Vertrags verarbeiten und die Verarbeitung automatisiert erfolgt, haben Sie das Recht, diese Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übertragen zu lassen. Dies gilt auch für Kalenderdaten, die über Funktionen wie SHUBiDU Magic oder SHUBiDU Magic+ hinzugefügt wurden.

3.6 Widerspruchsrecht (Art. 21 DSGVO)
Sie können der Verarbeitung Ihrer personenbezogenen Daten jederzeit widersprechen, wenn diese auf Grundlage eines berechtigten Interesses erfolgt. Dies gilt insbesondere für die Verarbeitung zu Zwecken der Direktwerbung oder eines damit verbundenen Profilings.

3.7 Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
Eine einmal erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmässigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Ein Widerruf erstreckt sich auch auf zukünftige Verarbeitungen im Rahmen von SHUBiDU Magic und SHUBiDU Magic+.

3.8 Beschwerderecht (Art. 77 DSGVO)
Sie haben das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen geltendes Recht verstösst.
• In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).
• Im Europäischen Wirtschaftsraum (EWR) können Sie sich an die Aufsichtsbehörde Ihres Wohnsitzes wenden.

3.9 Recht auf Schutz vor automatisierten Entscheidungen (Art. 22 DSGVO)
Sie haben das Recht, nicht einer ausschliesslich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt. Wir treffen keine solchen automatisierten Entscheidungen.

4. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten und die Vertraulichkeit, Integrität und Verfügbarkeit dieser Daten zu schützen. Unsere Sicherheitsmassnahmen werden regelmässig überprüft und angepasst, um dem aktuellen Stand der Technik zu entsprechen.

4.1 Technische Sicherheitsmaßnahmen

Verschlüsselung: Der Zugriff auf unser Online-Angebot erfolgt über Transportverschlüsselung (SSL/TLS, insbesondere HTTPS). Daten werden sowohl während der Übertragung (SSL/TLS) als auch im Ruhezustand („at rest“, z. B. in Datenbanken, Backups und Speichersystemen) verschlüsselt gespeichert.
Zugriffsbeschränkungen: Systeme sind durch Firewalls und rollenbasierte Berechtigungskonzepte geschützt. Nur autorisierte Personen haben Zugriff.
Pseudonymisierung/Anonymisierung: Wo möglich, verwenden wir Verfahren zur Pseudonymisierung oder Anonymisierung (z. B. Hashing von Kontakten).
Datensicherungen: Regelmässige Backups stellen sicher, dass Daten im Falle eines Verlusts wiederhergestellt werden können.

4.2 Organisatorische Sicherheitsmaßnahmen

Schulung: Mitarbeitende mit Zugang zu personenbezogenen Daten werden regelmässig im Datenschutz geschult.
Verpflichtung: Alle Mitarbeitenden sind auf Vertraulichkeit verpflichtet.
Kontrolle von Dienstleistern: Mit Auftragsverarbeitern schliessen wir Verträge nach Art. 28 DSGVO und überprüfen deren Sicherheitsmassnahmen regelmässig.

4.3 Besondere Schutzmassnahmen

SHUBiDU Magic und Magic+: Eingesendete Terminzettel sowie an die persönliche SHUBiDU-Inbox-Adresse weitergeleitete E-Mails werden nur für die Extraktion relevanter Termindaten genutzt und anschliessend gelöscht oder anonymisiert. Daten, die über KI-Dienste verarbeitet werden, werden gemäss den Angaben der jeweiligen Anbieter nicht für Trainingszwecke der Modelle genutzt. Eine kurzfristige Speicherung in Logdateien kann jedoch nicht ausgeschlossen werden.
Kinder: Wenn Kinder über Familienkonten eingebunden werden, stellen wir sicher, dass nur kindgerechte Werbung angezeigt wird und zusätzliche Schutzmassnahmen (z. B. eingeschränkte Funktionen) gelten.

4.4 Vorgehen bei Sicherheitsvorfällen

Sollten trotz aller Vorsichtsmassnahmen Sicherheitsvorfälle auftreten, die personenbezogene Daten betreffen, verfügen wir über ein Verfahren zur schnellen Reaktion. Dies umfasst:

interne Dokumentation,
Benachrichtigung der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden (soweit DSGVO anwendbar),
Information der betroffenen Personen, wenn ein hohes Risiko für deren Rechte und Freiheiten besteht.

5. Nutzung der Website

5.1 Cookies und ähnliche Technologien
Unsere Website verwendet Cookies und ähnliche Technologien (z. B. Pixel oder Local Storage), um die Funktionalität sicherzustellen und das Nutzungserlebnis zu verbessern.

Notwendige Cookies: Diese sind für den Betrieb der Website zwingend erforderlich (z. B. Session-Cookies zur Login-Steuerung). Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Analyse- und Marketing-Cookies: Diese dienen z. B. der Reichweitenmessung oder zur Anzeige personalisierter Werbung. Sie werden nur gesetzt, wenn Sie uns hierzu Ihre Einwilligung erteilen (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TTDSG).

Sie können Ihre Einwilligung jederzeit über unser Cookie-Banner oder die Einstellungen Ihres Browsers widerrufen. Weitere Details zu einzelnen Cookies finden Sie in unserem Cookie-Consent-Tool.

Einsatz des Consent-Management-Tools CCM19
Wir nutzen das Consent-Management-Tool CCM19 (Papoo Software & Media GmbH, Deutschland), um Einwilligungen in die Speicherung bestimmter Cookies und den Einsatz von vergleichbaren Technologien einzuholen, zu verwalten und zu dokumentieren.

Hierbei werden folgende Daten verarbeitet:

Ihre erteilten oder widerrufenen Einwilligungen,
eine anonyme Nutzer-ID,
Zeitpunkt der Zustimmung oder Ablehnung,
technische Informationen zu Ihrem Browser und Endgerät.

Die Rechtsgrundlage für diese Verarbeitung ist unsere rechtliche Verpflichtung zur datenschutzkonformen Einholung von Einwilligungen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 25 TTDSG) sowie unser berechtigtes Interesse an einer nutzerfreundlichen und rechtssicheren Verwaltung von Einwilligungen (Art. 6 Abs. 1 lit. f DSGVO).

Ihre Einwilligungen können Sie jederzeit über die Einstellungen in unserem Cookie-Banner widerrufen.

5.2 Server-Logdateien

Bei jedem Zugriff auf unsere Website werden automatisch bestimmte Informationen gespeichert (z. B. IP-Adresse, Browsertyp, Betriebssystem, Referrer-URL, Uhrzeit des Zugriffs). Diese Daten sind technisch erforderlich, um die Website bereitzustellen und die Systemsicherheit zu gewährleisten.

Daten aus Server-Logs werden kurzfristig gespeichert und regelmäßig gelöscht oder anonymisiert. Die genaue Dauer orientiert sich an internen Richtlinien und gesetzlichen Anforderungen (z. B. 30 Tage)

5.3 Zählpixel

Unsere Website verwendet Zählpixel (Web-Beacons), die teilweise von Drittanbietern bereitgestellt werden. Mit Hilfe dieser Technologien können wir das Nutzerverhalten analysieren und unsere Angebote optimieren.

Eine Verarbeitung erfolgt nur, wenn Sie uns hierzu Ihre Einwilligung erteilt haben (Art. 6 Abs. 1 lit. a DSGVO). Eingesetzte Drittanbieter sind in Kapitel 8 (Dienste von Dritten) beschrieben.

6. Benachrichtigungen und Mitteilungen

6.1 Einwilligung und Double-Opt-in
Für den Versand von E-Mails (z. B. Informationen zur Nutzung der App oder Newsletter) verwenden wir Ihre E-Mail-Adresse, die Sie im Rahmen der Registrierung oder Nutzung der App freiwillig angegeben haben. Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Eine zusätzliche Bestätigung im Sinne eines Double-Opt-in-Verfahrens erfolgt derzeit nicht. Wir stellen jedoch sicher, dass E-Mails nur an Nutzerinnen und Nutzer versendet werden, die sich aktiv registriert und ihre E-Mail-Adresse angegeben haben.

Sie können den Erhalt solcher E-Mails jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in jeder E-Mail oder durch Mitteilung an uns.

6.2 System- und Marketing-Mitteilungen

System- und Servicemitteilungen (z. B. Erinnerungen zu Terminen, Hinweise zur Kontosicherheit, technische Benachrichtigungen) erfolgen auf Grundlage der Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Marketing-Nachrichten (z. B. Newsletter, Informationen zu neuen Funktionen, Empfehlungen oder Sonderaktionen) versenden wir ausschliesslich auf Grundlage einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Push-Benachrichtigungen können Sie jederzeit in den Einstellungen des Smartphones deaktivieren.

6.3 Erfolgsmessung und Reichweitenanalyse
Unsere E-Mails können sogenannte Zählpixel und Links enthalten, mit denen wir erfassen, ob eine Nachricht geöffnet oder welche Links angeklickt wurden. Diese Informationen werden pseudonymisiert gespeichert und dienen ausschliesslich der statistischen Auswertung zur Verbesserung unserer Kommunikation.
Die Verarbeitung erfolgt nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

6.4 Dienstleister
Für den Versand und die Analyse unserer Mitteilungen setzen wir folgende Dienstleister ein:

Segment.io (Segment.io Inc., USA): Datenintegration und Analyse von Nutzungsdaten. Segment.io dient ausschliesslich der Datenverarbeitung im Hintergrund und wird nicht für den Versand von Mitteilungen genutzt. Übermittlung in die USA auf Grundlage der Standardvertragsklauseln.
Twilio Inc. (USA): Versand von SMS zur technischen Unterstützung der App (z. B. Bestätigungs- oder Servicenachrichten). Twilio wird nicht für Werbung oder Marketing-Nachrichten eingesetzt. Übermittlung in die USA auf Grundlage der Standardvertragsklauseln.
customer.io (Peaberry Software Inc., USA): Versand und Analyse von E-Mails (z. B. Newsletter), Push-Benachrichtigungen und In-App-Nachrichten. Zusätzlich werden in customer.io bestimmte Nutzer- und Aktivitätsdaten gespeichert, z. B. Angaben zum Nutzerkonto, verwendetes Gerät, App-Aktivitäten (z. B. Nutzung bestimmter Funktionen) sowie Reaktionen auf Mitteilungen (Öffnungen, Klicks). Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln.

Wir stellen sicher, dass diese Dienstleister ein angemessenes Datenschutzniveau gewährleisten. Weitere Informationen finden Sie in Kapitel 8 (Dienste von Dritten).

7. Social Media

Wir unterhalten Auftritte auf verschiedenen Social-Media-Plattformen (z. B. Facebook, Instagram, LinkedIn, TikTok, X), um mit interessierten Personen zu kommunizieren und über unser Angebot zu informieren. Bei der Nutzung dieser Plattformen gelten die Datenschutzerklärungen und Nutzungsbedingungen der jeweiligen Betreiber.

7.1 Gemeinsame Verantwortlichkeit mit Meta (Facebook/Instagram Insights)
Für unsere Facebook- und Instagram-Seiten sind wir gemeinsam mit Meta Platforms Ireland Limited, Dublin, Irland, für die Verarbeitung sogenannter Seiten-Insights verantwortlich. Diese liefern uns statistische Informationen über die Nutzung unserer Seiten.
Grundlage ist eine Vereinbarung nach Art. 26 DSGVO (das „Page Insights Controller Addendum“), in der Meta die primäre Verantwortung übernimmt. Weitere Informationen finden Sie in den Datenschutzinformationen von Meta.

7.2 Social Plugins und SDKs
Unsere App und Website können Funktionen und Inhalte von Drittanbietern einbinden, z. B. das Facebook SDK, Social Plugins (z. B. Like- oder Share-Buttons) oder vergleichbare Schnittstellen. Wenn Sie diese nutzen und gleichzeitig bei dem jeweiligen Anbieter eingeloggt sind, kann dieser Anbieter die Nutzung unserem Angebot Ihrem Profil zuordnen.

Die Einbindung solcher Funktionen erfolgt nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Ohne Einwilligung werden keine Daten an die Anbieter übertragen.

Soweit unsere Website lediglich Links zu unseren Social-Media-Auftritten (z. B. LinkedIn, TikTok, X) enthält, erfolgt keine Datenübertragung an die jeweiligen Plattformen, solange Sie den Link nicht anklicken. Erst beim Anklicken des Links werden Sie auf die jeweilige Plattform weitergeleitet, und es gelten deren Datenschutzbestimmungen.

7.3 Social Login
Auf einigen Plattformen bieten wir die Möglichkeit, sich mit einem bestehenden Nutzerkonto (z. B. Facebook Login, Google Login) bei SHUBiDU anzumelden. Bei der Nutzung gelten die Datenschutzerklärungen des jeweiligen Anbieters. Wir erhalten von den Anbietern nur die für die Anmeldung notwendigen Daten (z. B. Name, E-Mail-Adresse).

7.4 Datenübermittlung
Viele Social-Media-Anbieter (z. B. Meta, TikTok, X) haben ihren Sitz teilweise ausserhalb der Schweiz und des EWR, insbesondere in den USA. Für diese Übermittlungen werden die Standardvertragsklauseln der Europäischen Kommission eingesetzt, um ein angemessenes Datenschutzniveau sicherzustellen.
Bei Anbietern mit Sitz in der EU (z. B. LinkedIn Ireland Unlimited Company) erfolgt die Verarbeitung grundsätzlich im EWR.

8. Dienste von Dritten

Wir nutzen Dienste von Drittanbietern, um unsere Website und App dauerhaft, nutzerfreundlich, sicher und zuverlässig bereitzustellen. Dabei können personenbezogene Daten (z. B. IP-Adressen, Nutzungsdaten, Zahlungsinformationen) verarbeitet werden.

Die Einbindung erfolgt – je nach Zweck – auf folgenden Rechtsgrundlagen:

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO),
berechtigtes Interesse an einer sicheren und effizienten Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO),
oder auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, z. B. bei Tracking- und Marketing-Diensten).

8.1 Hosting und Infrastruktur

Wix.com Ltd. (Israel/EU/USA): Website-Hosting.
Google Cloud (Google Ireland Ltd., Irland; Google LLC, USA): Datenbank, Storage, Firebase.
Übermittlungen in die USA erfolgen auf Grundlage der Standardvertragsklauseln.

8.2 Kommunikation und Benachrichtigungen

customer.io (Peaberry Software Inc., USA): Neben den für den Versand erforderlichen Kontaktdaten (z. B. E-Mail-Adresse) verarbeitet customer.io auch technische Informationen (z. B. IP-Adresse, Gerätetyp) und Nutzungsaktivitäten (z. B. App-Interaktionen, Öffnungs- und Klickverhalten). Die Daten werden genutzt, um Mitteilungen zuzustellen, personalisierte Inhalte zu ermöglichen und unsere Kommunikation auszuwerten. Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln.
Segment.io (Segment.io Inc., USA): Datenintegration, Analyse.
Twilio SMS (Twilio Inc., USA): SMS-Kommunikation.
Alle Übermittlungen in die USA basieren auf Standardvertragsklauseln.

8.3 Medien und Inhalte

YouTube (Google Ireland Ltd., Irland): Videointegration.
Font Awesome (Fonticons Inc., USA): Darstellung von Icons.
Google Fonts (Google Ireland Ltd., Irland): Darstellung von Schriftarten.

8.4 Tracking und Analyse

Google Analytics (Google Ireland Ltd., Irland): Reichweiten- und Nutzungsanalyse (nur mit Einwilligung).
Google Tag Manager (Google Ireland Ltd., Irland): Verwaltung von Tracking-Skripten.
Meta Pixel (Meta Platforms Ireland Ltd., Irland)
Wir nutzen auf unserer Website das Meta Pixel, um das Verhalten von Besucherinnen und Besuchern nachzuverfolgen, die über eine Facebook- oder Instagram-Werbeanzeige auf unsere Website gelangt sind. Dadurch können wir die Wirksamkeit unserer Werbung messen und unser Angebot optimieren.
Die erfassten Daten (z. B. IP-Adresse, Browser-Informationen, Referrer-URL) werden von Meta verarbeitet und können mit dem jeweiligen Facebook- oder Instagram-Profil der Nutzerinnen und Nutzer verknüpft werden.
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Widerspruch: Nutzerinnen und Nutzer können ihre Einwilligung jederzeit über unser Cookie-Banner (CCM19) widerrufen.
Weitere Informationen zur Datenverarbeitung durch Meta finden Sie in der Datenschutzerklärung von Meta.

8.5 Werbung (Online)

Google Ads (Google Ireland Ltd., Irland): Online-Werbung und Conversion-Tracking.
Meta Ads (Meta Platforms Ireland Ltd., Irland): Werbung auf Facebook/Instagram.
Diese Dienste setzen Cookies oder ähnliche Technologien nur mit Ihrer Einwilligung.

8.6 Werbung in der kostenlosen App-Version
In der kostenlosen Version der SHUBiDU-App werden Werbeanzeigen über das Google Ads Network (Google AdMob) eingeblendet. Dabei verarbeitet Google personenbezogene Daten, um Anzeigen bereitzustellen, die möglichst relevant und kindgerecht sind.

Rechtsgrundlage: Die Einblendung von Werbung in der App erfolgt auf Grundlage unseres berechtigten Interesses an der Finanzierung der kostenlosen Version (Art. 6 Abs. 1 lit. f DSGVO). Für die Nutzung von personalisierter Werbung holen wir zusätzlich Ihre Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO).
Kindgerechte Anzeigen: Über die Einstellungen im Google Ads Network stellen wir sicher, dass Anzeigen, die Kindern gezeigt werden, den Vorgaben für kindgerechte Inhalte entsprechen.
Einstellungen: Nutzerinnen und Nutzer können in den App-Einstellungen oder über das Google-Konto personalisierte Werbung deaktivieren.

Weitere Informationen zur Datenverarbeitung durch Google finden Sie in der Google-Datenschutzerklärung.

8.7 Zahlungen
Zur sicheren Abwicklung von Zahlungen nutzen wir die In-App-Kaufsysteme der jeweiligen App-Stores:

Apple In-App Purchases (Apple Inc., USA/Irland)
Google Play Billing (Google Ireland Ltd., Irland; Google LLC, USA)
Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Es gelten zusätzlich die Bedingungen der jeweiligen Anbieter.

8.8 Internationale Datenübermittlung
Einige unserer Dienstleister verarbeiten Daten ausserhalb der Schweiz und des EWR. In diesen Fällen stellen wir ein angemessenes Datenschutzniveau durch die Standardvertragsklauseln der Europäischen Kommission sicher.

Weitere Informationen zur Datenverarbeitung durch die genannten Anbieter finden Sie in den jeweiligen Datenschutzerklärungen, abrufbar über die Links in Anhang 1.

8.9 Support & CRM
Wir nutzen HubSpot, um Supportanfragen effizient zu bearbeiten und Kundenbeziehungen zu verwalten.
• Anbieter: HubSpot Ireland Ltd. (Irland) / HubSpot Inc. (USA)
• Zweck: Supportanfragen, Sales-CRM
• Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO) für Supportanfragen sowie berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einer effizienten Kundenverwaltung
• Übermittlung: USA auf Grundlage der Standardvertragsklauseln der Europäischen Kommission
Weitere Informationen: Weitere Informationen finden Sie in der Datenschutzerklärung von HubSpot: https://legal.hubspot.com/privacy-policy.

8.10 Mobile Analytics & Attribution (AppsFlyer)
Wir nutzen AppsFlyer zur Analyse der Nutzung unserer App sowie zur Erfolgsmessung von Marketingkampagnen.

Anbieter: AppsFlyer Ltd., Israel
Zweck: Attribution, Analyse von Nutzerverhalten, Kampagnen-Tracking
Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), soweit erforderlich
Übermittlung: Drittstaaten (z. B. Israel / USA) auf Grundlage geeigneter Garantien (z. B. SCC)
Weitere Informationen: https://www.appsflyer.com/legal/privacy-policy/

8.11 Marketing & Kampagnenmanagement (GoMarketMe)
Wir nutzen GoMarketMe zur Unterstützung unserer Marketingaktivitäten und Kampagnensteuerung.

Anbieter: GoMarketMe
Zweck: Marketing, Kampagnenmanagement
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) bzw. Einwilligung, soweit erforderlich
Weitere Informationen: [Link einfügen]

9. Website-Erweiterungen
Unsere Website verwendet Erweiterungen und Bibliotheken, um Geschwindigkeit und Funktionalität zu verbessern.

9.1 jQuery (StackPath CDN)
Wir nutzen die JavaScript-Bibliothek jQuery, die über das Content Delivery Network (CDN) von StackPath LLC (USA) eingebunden wird. Dabei wird Ihre IP-Adresse an StackPath übermittelt, damit die Inhalte ausgeliefert werden können.

Rechtsgrundlage: Berechtigtes Interesse an einer technisch sicheren und effizienten Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO).
Drittlandübermittlung: Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission.

Alternativ könnten Sie die Ausführung von Skripten in den Einstellungen Ihres Browsers deaktivieren; dadurch kann die Funktionalität der Website jedoch eingeschränkt sein.

10. Schlussbestimmungen

Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen oder zu ergänzen.

Die jeweils aktuelle Fassung ist jederzeit auf unserer Website www.shubidu.com abrufbar.
Über wesentliche Änderungen, die sich auf die Verarbeitung personenbezogener Daten auswirken, informieren wir die betroffenen Personen in geeigneter Weise, z. B. per E-Mail, In-App-Hinweis oder Banner auf unserer Website.
Änderungen treten mit der Veröffentlichung der aktualisierten Fassung in Kraft, sofern nicht ausdrücklich anders angegeben.