Datenschutzerklärung
Vertragspartnerin und Rechnungsstellerin ist die Betreiberin ([folgt]); Wichtli ist eine Marke von ihr.
Diese Erklärung gilt nach dem Schweizer Datenschutzgesetz (revDSG) und der EU-Datenschutz-Grundverordnung (DSGVO). Wo die beiden abweichen, halten wir uns an die strengere Regel.
Verantwortliche und Auftragsbearbeitung
Daten der Teilnehmenden (Namen, Arbeits-E-Mails, Teams, Auslosung, Wunschlisten, Nachrichten, Lieferadressen): Verantwortlich ist die Firma, die eine Wichtli-Runde bestellt. Wir bearbeiten diese Daten nur in ihrem Auftrag (Art. 9 revDSG / Art. 28 DSGVO) nach dem AVV. Für Teilnehmende gibt es einen eigenen Hinweis für Teilnehmende.
Daten unserer Kundinnen und der Website (Kontakt der Admins, Rechnungsdaten, Stripe-Kundennummer, Support-E-Mails, Sicherheitslogs, Meldungen von Missbrauch): Verantwortlich ist die Betreiberin [folgt], [folgt], privacy@wichtli.ch.
Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten müssen wir nicht bestellen. Eine Vertretung in der EU (Art. 27 DSGVO) ist zum Start nicht bestellt.
Welche Daten
- Von der Firma hochgeladen: Name, Arbeits-E-Mail, optional Team, Standort und E-Mail der vorgesetzten Person (für Auslosungsregeln).
- Von Teilnehmenden selbst: Zusage, Fragebogen, Wunschliste, Hinweise, Bürotage und Arbeitsplatz, Fun Facts, Nachrichten im anonymen Chat, freiwillig Unverträglichkeiten (nur ab 16 Jahren und mit ausdrücklicher Einwilligung), Wohnadresse nur für eine bestellte Lieferung nach Hause.
- Von Admins und Bestellenden: Name, geschäftliche E-Mail, Firma, UID bzw. USt-IdNr., Rechnungsadresse, Datenschutz-Kontakt der Firma.
- Technisch: Sicherheits- und Zugriffslogs ohne Inhalte; Cloudflare Web Analytics ohne Cookies und ohne Personenbezug.
Zwecke und Rechtsgrundlagen
Wir verwenden die Daten nur, um die Wichtli-Runde durchzuführen, abzurechnen und den Dienst sicher zu betreiben; nie für Werbung an Teilnehmende und nie für Produktanalysen über aggregierte Zahlen hinaus. Die Auslosung ist zufällig; es gibt keine automatisierten Einzelentscheidungen.
| Bearbeitung | Rechtsgrundlage |
|---|---|
| Einladung und Erinnerungen | Berechtigtes Interesse der Arbeitgeberin (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 revDSG) |
| Teilnahme, Fragebogen, Bürotage und Arbeitsplatz | Freiwillige Teilnahme (Art. 6 Abs. 1 lit. a/b DSGVO; in DE Art. 88 DSGVO / § 26 BDSG Freiwilligkeit) |
| Fun Facts | Einwilligung |
| Unverträglichkeiten und No-gos beim Essen | Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO; Art. 6 Abs. 7 revDSG) |
| Wohnadresse | Von der Empfängerin oder dem Empfänger für die gewünschte Lieferung eingegeben (Art. 6 Abs. 1 lit. a DSGVO) |
Für Daten unserer Kundinnen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Aufbewahrungspflichten (lit. c) und berechtigtes Interesse an einem sicheren Betrieb (lit. f). Angebots-E-Mails an Bestellende nur mit Abmeldelink in jeder E-Mail; «Für 2027 vormerken» nur nach Bestätigung (Double-Opt-in).
Freitextfelder (Wunschliste, Hinweise) tragen den Hinweis «Bitte keine Gesundheitsdaten eintragen.» Unverträglichkeiten werden verschlüsselt gespeichert, nie per E-Mail versandt, nie exportiert und nie HR gezeigt.
Nachrichten im anonymen Chat lesen wir nicht, ausser eine Person meldet eine Nachricht; dann liest nur das Wichtli-Team, und nur die gemeldete Nachricht. E-Mails enthalten nie den Namen des Wichtelkinds oder Wichtels und standardmässig keinen Nachrichtentext.
Empfänger und Unterauftragsbearbeiter
Wir geben Daten nur an die folgenden Unterauftragsbearbeiter weiter, an Behörden nur auf gültige behördliche oder gerichtliche Anordnung und den Absender einer gemeldeten Nachricht nur auf schriftliches Verlangen der HR-Kontaktperson der Kundin (protokolliert). Stripe ist für die Zahlungs-Compliance selbst Verantwortliche. Änderungen kündigen wir unseren Kundinnen 30 Tage im Voraus per E-Mail an.
| Anbieter | Zweck | Sitz | Speicherung / Verarbeitung | Transfermechanismus | Status |
|---|---|---|---|---|---|
| Cloudflare Inc. (Workers, D1, R2, CDN) | Hosting, Datenbank | USA (Muttergesellschaft) | Speicherung in der EU (D1 EU-Jurisdiktion); weltweites Edge-Netz | DPF (EU-US, Swiss-US) + Standardvertragsklauseln im Cloudflare-AVV | aktiv |
| Cloudflare Email Service | Transaktions-E-Mails, Chat-Weiterleitung | USA (Muttergesellschaft) | weltweites Edge-Netz, nur Durchleitung | DPF + Standardvertragsklauseln (Cloudflare-AVV) | noch nicht aktiv |
| Stripe Payments Europe Ltd. / Stripe Inc. | Zahlung (geschäftliche Kontaktdaten + Kartendaten; Stripe ist für die Zahlungs-Compliance selbst Verantwortliche) | IE / USA | EU/US | Stripe ist unter dem EU-US DPF inkl. Swiss-US DPF zertifiziert; Data Transfers Addendum als Rückfallebene | noch nicht aktiv |
| Gelato (print, gift, home delivery) | Verarbeitung von Name und Adresse der Empfängerin oder des Empfängers | NO (EWR) | CH/EU/EWR, erst nach schriftlicher Bestätigung (AVV oder API-Einstellung) vor der Aktivierung; die Unterauftragsbearbeiter von Gelato werden vor der Aktivierung hier aufgeführt oder verlinkt | EWR, angemessen; unterzeichneter AVV vor der Aktivierung | noch nicht aktiv |
| Prodigi Group Ltd (print, backup) | Verarbeitung von Name und Adresse der Empfängerin oder des Empfängers | UK | UK, EU; CH/EU/EWR/UK erst nach schriftlicher Bestätigung vor der Aktivierung | Angemessenheit UK (CH und EU) | noch nicht aktiv |
| Die Post (Swiss Post) | Postkarten / Pakete | CH | CH | nicht nötig (Inland) | noch nicht aktiv |
| Anbieter für KI-/GIF-Erstellung (falls genutzt) | personalisierte GIFs | noch nicht gewählt | noch nicht gewählt | nur mit AVV; zum Start keine echten Fotos von Personen, nur textbasierte Personalisierung | noch nicht aktiv |
Länder
Gespeichert in der EU (Cloudflare D1, EU-Jurisdiktion). Einzelne Dienstleister haben ihren Sitz in den USA und sind über das Data Privacy Framework (EU-US und Swiss-US) und Standardvertragsklauseln abgesichert. Nichts wird in der Schweiz gehostet. Die Schweiz anerkennt die EU und den EWR als angemessen und umgekehrt.
Aufbewahrung und Löschung
Am 31. Januar löschen wir die Daten der Teilnehmenden automatisch; Sicherungskopien verfallen spätestens 30 Tage später. Die Ausnahmen stehen in der Tabelle. E-Mail-Kopien in Firmen-Postfächern liegen ausserhalb der Löschung durch Wichtli.
| Daten | Ort | Aufbewahrung | Löschung |
|---|---|---|---|
| Einladungen ohne Antwort (eingeladen, weder dabei noch abgesagt) | D1 | bis J + 1 Tag | J + 1 Tag, automatischer Job purge-unjoined; danach Nicht-Teilnehmende nur noch als Anzahl |
| Abgesagte Einladung («Nein, danke») | D1 | Name und Daten: keine; gesalzener E-Mail-Hash nur für diese Runde | Daten sofort; Hash am 31.1. |
| Feld für Unverträglichkeiten (verschlüsselt, Einwilligung) | D1 | bis zum Widerruf oder Saisonende | beim Widerruf, sonst 31.1. |
| Profil der Teilnehmenden (Name, Arbeits-E-Mail, Wunschliste, Hinweistext) | D1 | bis Saisonende | 31.1. automatischer Job; zudem jederzeit selbst löschbar |
| Auslosung/Paare | D1 | bis Saisonende | 31.1. |
| Inhalt der Nachrichten und Hinweise (anonymer Chat) | D1 | bis Saisonende; gemeldete Nachrichten und Hinweise inkl. Absenderidentität als Beweismittel bis 90 Tage nach der Meldung | 31.1. (gemeldet: +90 Tage) |
| Lieferadresse (verschlüsselt) | D1 | von der Eingabe bis zur bestätigten Lieferung | 14 Tage nach der Lieferung (ohne Zustellmeldung: 30 Tage nach dem Versand), 14 Tage nach einer fehlgeschlagenen oder gutgeschriebenen Bestellung, spätestens 31.1.; entschlüsselt nur für den Versandexport |
| Personalisierte GIFs und Karten | D1 (Datei: R2 EU, sobald aktiv) | bis Saisonende; früher, wenn Absender oder Empfänger austritt | 31.1. |
| Paar-Gedächtnis fürs zweite Jahr (HMAC mit firmeneigenem Schlüssel; nur wenn die Firma es wählt) | D1 | bis zur nächsten Runde, max. 13 Monate | nach 13 Monaten, bei Kündigung des Abos oder der Verlängerung oder auf Löschwunsch der Person |
| Firmenkonto (Name und E-Mail der Admins) | D1 | solange die Kundenbeziehung besteht | auf Verlangen; nach 24 Monaten Inaktivität gelöscht |
| «Für 2027 vormerken» (Double-Opt-in-E-Mail + Zeitstempel) | D1 | bis 31.10.2027 | 31.10.2027 oder bei Abmeldung |
| Rechnungen, Stripe-Zahlungsdaten, Bestelldaten | Stripe + D1 | 10 Jahre gesetzlich (Art. 958f OR) | nach 10 Jahren |
| Sicherheits- und Zugriffslogs (ohne Inhalte) | Workers-Logs | 30 Tage | laufend |
| Protokoll der Adress-Entschlüsselungen (wer/wann, ohne Adresse) | D1 | 12 Monate | laufend |
| Protokoll der Datenschutzverletzungen | intern | 2 Jahre ab Meldung | danach gelöscht |
| Backups/Time Travel | D1 | bis 30 Tage | verfallen automatisch |
J = Anmeldeschluss der Runde. Saisonende ist der 31. Januar. Aggregierte Zahlen ohne Personenbezug (z. B. Anzahl Teilnehmende pro Runde) dürfen bleiben.
Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe bzw. -übertragbarkeit und Widerspruch (Art. 25, 28, 32 revDSG; Art. 15–22 DSGVO) sowie das Recht, eine Einwilligung jederzeit zu widerrufen. Wir antworten innert 30 Tagen.
Teilnehmende können ihre Daten in der App selbst exportieren und löschen und die Teilnahme beenden. Anfragen zu Daten von Teilnehmenden leiten wir innert 3 Arbeitstagen an die verantwortliche Firma weiter und setzen deren Weisung innert 5 Arbeitstagen um.
Beschwerde
Sie können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren, in der EU bei der Aufsichtsbehörde Ihres Landes bzw. Bundeslandes.
Kontakt
Fragen zum Datenschutz: privacy@wichtli.ch