Datenschutzerklärung (CH – revDSG)

Ergänzende Datenschutzhinweise nach dem Schweizer Datenschutzgesetz

1. Geltungsbereich

Diese ergänzenden Datenschutzhinweise richten sich an Kunden, Interessenten, Geschäftspartner und Nutzer in der Schweiz.

Sie ergänzen die allgemeine Datenschutzerklärung der KrambergAI GmbH:

https://krambergai.com/datenschutzerklaerung/

Die allgemeine Datenschutzerklärung enthält insbesondere Informationen über:

• den Betrieb der Website,
• Hosting und technische Infrastruktur,
• Kontaktformulare,
• Terminbuchungen,
• Newsletter,
• Kunden- und Interessentenverwaltung,
• interaktive Anwendungen,
• Webanalyse,
• externe Plattformen und Dienste.

Diese Ergänzung erläutert insbesondere die Anwendung des Schweizer Bundesgesetzes über den Datenschutz, die Bearbeitung von Kundendaten im Auftrag, grenzüberschreitende Datenbekanntgaben und den Einsatz von KI-Systemen.

Bei Widersprüchen gehen zwingende gesetzliche Bestimmungen vor. Projektbezogene Datenschutzvereinbarungen und Vereinbarungen zur Auftragsbearbeitung können ergänzende oder speziellere Regelungen enthalten.

Stand: 17. Juli 2026

2. Verantwortlicher

Verantwortlicher für die Bearbeitung von Personendaten im Zusammenhang mit der Website, Vertragsanbahnung, Kundenverwaltung, Abrechnung und eigenen Geschäftstätigkeit ist:

KrambergAI GmbH
Im Gässle 4
D-70771 Leinfelden-Echterdingen
Deutschland

Vertreten durch:

Dipl.-Inform. Volker Kramberg, MBA
Geschäftsführer

E-Mail: datenschutz@krambergai.com
Website: https://krambergai.com/

Registergericht: Amtsgericht Stuttgart
Handelsregisternummer: HRB 804171
Umsatzsteuer-Identifikationsnummer: DE462052988

Nicht der Geschäftsführer persönlich, sondern die KrambergAI GmbH ist Verantwortlicher für die unternehmerischen Datenbearbeitungen.

3. Datenschutzkontakt

Für Auskunftsbegehren, Berichtigungs- oder Löschanträge, Widersprüche und andere Datenschutzanliegen ist erreichbar:

KrambergAI GmbH – Datenschutzkontakt
E-Mail: datenschutz@krambergai.com

Bei dieser Kontaktstelle handelt es sich nicht um einen förmlich ernannten Schweizer Datenschutzberater oder Datenschutzbeauftragten, sofern eine solche Ernennung nicht ausdrücklich mitgeteilt wird.

Auskunftsbegehren werden grundsätzlich innerhalb von 30 Tagen beantwortet. Die Frist kann verlängert werden, wenn die Bearbeitung besonders aufwendig ist oder gesetzliche Ausnahmen greifen. Die betroffene Person wird in diesem Fall entsprechend informiert.

4. Anwendbares Datenschutzrecht

Das Schweizer Datenschutzgesetz gilt auch für Sachverhalte, die im Ausland veranlasst werden, sich aber in der Schweiz auswirken. Deshalb kann das Schweizer DSG auf Leistungen der KrambergAI GmbH gegenüber Personen und Unternehmen in der Schweiz anwendbar sein.

Abhängig vom jeweiligen Sachverhalt können insbesondere folgende Vorschriften gelten:

• Schweizer Bundesgesetz über den Datenschutz, DSG,
• Schweizer Verordnung über den Datenschutz, DSV,
• Schweizer Fernmeldegesetz, insbesondere Art. 45c FMG,
• Schweizer Obligationenrecht und Geschäftsbücherverordnung,
• Datenschutz-Grundverordnung der Europäischen Union,
• deutsches Bundesdatenschutzgesetz,
• weitere anwendbare handels-, steuer- und vertragsrechtliche Vorschriften.

Die DSGVO kann zusätzlich zum Schweizer DSG gelten, insbesondere weil die KrambergAI GmbH ihren Sitz in Deutschland hat oder weil eine Bearbeitung dem räumlichen Anwendungsbereich der DSGVO unterliegt.

5. Grundsätze der Datenbearbeitung

Die KrambergAI GmbH bearbeitet Personendaten nach folgenden Grundsätzen:

• Rechtmässigkeit,
• Treu und Glauben,
• Verhältnismässigkeit,
• Zweckbindung,
• Transparenz und Erkennbarkeit,
• Datenminimierung,
• Richtigkeit,
• angemessene Datensicherheit,
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.

Personendaten werden nur für Zwecke beschafft und bearbeitet, die bei der Beschaffung angegeben, aus den Umständen erkennbar oder gesetzlich vorgesehen sind.

Personendaten werden nicht länger aufbewahrt, als es für den jeweiligen Zweck oder gesetzliche Pflichten erforderlich ist.

6. Rechtfertigung von Datenbearbeitungen

Das Schweizer Datenschutzrecht verwendet für private Unternehmen nicht in jeder Situation denselben Katalog von Rechtsgrundlagen wie Art. 6 DSGVO.

Private Verantwortliche müssen zunächst die allgemeinen Bearbeitungsgrundsätze einhalten. Verletzt eine Bearbeitung die Persönlichkeit einer betroffenen Person, muss die Verletzung insbesondere gerechtfertigt sein durch:

• die Einwilligung der betroffenen Person,
• ein überwiegendes privates Interesse,
• ein überwiegendes öffentliches Interesse,
• eine gesetzliche Grundlage.

Eine Einwilligung wird nur eingeholt, wenn sie für die betreffende Bearbeitung erforderlich oder zweckmässig ist. Sie muss freiwillig und nach angemessener Information erfolgen.

Für besonders schützenswerte Personendaten oder Profiling mit hohem Risiko kann eine ausdrückliche Einwilligung erforderlich sein.

Soweit die DSGVO anwendbar ist, stützt die KrambergAI GmbH die Verarbeitung zusätzlich insbesondere auf:

• Einwilligung,
• Vertragserfüllung und vorvertragliche Massnahmen,
• gesetzliche Verpflichtungen,
• berechtigte Interessen.

7. Datenschutzrechtliche Rollen

Die datenschutzrechtliche Rolle der KrambergAI GmbH hängt von der konkreten Bearbeitung ab.

7.1 KrambergAI als Verantwortlicher

Die KrambergAI GmbH handelt als Verantwortlicher, wenn sie Zweck und wesentliche Mittel einer Bearbeitung selbst festlegt.

Dies betrifft insbesondere:

• den Betrieb der eigenen Website,
• Kontakt- und Projektanfragen,
• Angebotserstellung,
• Vertragsverwaltung,
• Kunden- und Interessentenverwaltung,
• eigene Geschäftskommunikation,
• Terminvereinbarungen,
• Rechnungsstellung und Buchhaltung,
• Newsletter und eigene Marketingmassnahmen,
• Unternehmens- und Community-Profile,
• Absicherung des eigenen Geschäftsbetriebs.

7.2 KrambergAI als Auftragsbearbeiter

Die KrambergAI GmbH handelt als Auftragsbearbeiter, wenn sie Personendaten ausschliesslich im Auftrag und nach dokumentierten Weisungen eines Kunden bearbeitet.

Dies kann insbesondere zutreffen bei:

• kundenspezifischen KI-Anwendungen,
• Company-Brain- und UnternehmensGPT-Lösungen,
• KI-Assistenten,
• Automatisierung von Kundenprozessen,
• Bearbeitung von CRM- oder ERP-Daten,
• kundenspezifischen Formularen und Portalen,
• Dokumenten- und Wissenssystemen,
• Service- und Kommunikationslösungen,
• Betrieb kundenspezifischer Datenbanken.

In diesen Fällen wird eine Vereinbarung zur Auftragsbearbeitung nach Art. 9 DSG geschlossen. Soweit die DSGVO anwendbar ist, berücksichtigt die Vereinbarung zusätzlich Art. 28 DSGVO.

Auch beim Einsatz eines Auftragsbearbeiters bleibt der Kunde als Verantwortlicher für die Rechtmässigkeit der beauftragten Bearbeitung zuständig. Er muss den Auftragsbearbeiter sorgfältig auswählen, instruieren und angemessen überwachen.

7.3 Unterschiedliche Rollen innerhalb eines Projekts

Innerhalb eines Kundenprojekts können unterschiedliche Rollen nebeneinander bestehen.

Beispielsweise kann KrambergAI:

• für die eigene Abrechnung Verantwortlicher,
• für Endkundendaten Auftragsbearbeiter,
• für bestimmte Sicherheits- und Missbrauchsdaten eigener Verantwortlicher sein.

Massgeblich sind die tatsächlichen Zwecke und Entscheidungsbefugnisse, nicht allein die Bezeichnung im Vertrag.

8. Pflichten des Kunden

Soweit der Schweizer Kunde Verantwortlicher ist, bleibt er insbesondere zuständig für:

• die Rechtmässigkeit der Datenbeschaffung,
• die Festlegung zulässiger Bearbeitungszwecke,
• die Information der betroffenen Personen,
• die Erteilung dokumentierter Weisungen,
• die Festlegung von Berechtigungen,
• die Bestimmung von Aufbewahrungs- und Löschfristen,
• die Bearbeitung von Betroffenenanfragen,
• die Prüfung von Profiling und automatisierten Entscheidungen,
• gegebenenfalls die Durchführung einer Datenschutz-Folgenabschätzung,
• die Beachtung arbeitsrechtlicher und branchenspezifischer Vorschriften.

KrambergAI unterstützt den Kunden im vertraglich vereinbarten Umfang, übernimmt aber nicht automatisch dessen gesetzliche Verantwortlichkeit.

9. Kategorien bearbeiteter Personendaten

Abhängig von der Leistung können insbesondere folgende Personendaten bearbeitet werden:

9.1 Stamm- und Kontaktdaten

• Name,
• Unternehmen,
• geschäftliche Anschrift,
• E-Mail-Adresse,
• Telefonnummer,
• Funktion und Abteilung,
• Kunden- oder Lieferantennummer.

9.2 Vertrags- und Abrechnungsdaten

• Angebote und Aufträge,
• Vertragsgegenstand und Laufzeit,
• Rechnungen und Gutschriften,
• Zahlungsinformationen,
• Leistungsnachweise,
• Projekt- und Abrechnungsstatus.

9.3 Nutzungs- und Systemdaten

• IP-Adresse,
• Benutzerkennung,
• Datum und Uhrzeit,
• Browser- und Geräteinformationen,
• Anmelde- und Zugriffsprotokolle,
• API-Aufrufe,
• Fehler- und Diagnosedaten,
• Sicherheitsereignisse.

9.4 Inhalts- und Prozessdaten

• CRM- und ERP-Daten,
• Auftrags- und Servicedaten,
• Projektinformationen,
• Tickets und Anfragen,
• E-Mails und Kommunikationsinhalte,
• Dokumente und Dateien,
• Formulareingaben,
• Wissensdatenbanken,
• KI-Eingaben und KI-Ausgaben.

9.5 Daten von Mitarbeitern und Dritten

Je nach Anwendungsfall können Personendaten von:

• Mitarbeitern,
• Bewerbern,
• Kunden,
• Interessenten,
• Lieferanten,
• Ansprechpartnern,
• Dienstleistern,
• sonstigen betroffenen Personen

bearbeitet werden.

Besonders schützenswerte Personendaten dürfen nur verarbeitet werden, wenn dies ausdrücklich vereinbart, rechtlich zulässig und technisch angemessen abgesichert ist.

10. Herkunft der Personendaten

Personendaten können insbesondere stammen:

• unmittelbar von der betroffenen Person,
• vom Kunden als Verantwortlichem,
• von Mitarbeitern oder Beauftragten des Kunden,
• aus angebundenen CRM-, ERP- oder Fachsystemen,
• aus Formularen und Webanwendungen,
• aus öffentlich zugänglichen Unternehmensquellen,
• aus beruflichen Netzwerken und Verzeichnissen,
• aus technischen Protokollen,
• von eingesetzten Dienstleistern und Integrationspartnern.

Der Kunde darf KrambergAI nur solche Personendaten bereitstellen, die er rechtmässig bearbeiten und an einen Auftragsbearbeiter übermitteln darf.

11. Zwecke der Datenbearbeitung

Personendaten werden insbesondere bearbeitet zur:

• Bereitstellung von Software- und Plattformfunktionen,
• Durchführung von Beratungs- und Entwicklungsprojekten,
• Automatisierung von Geschäftsprozessen,
• Bearbeitung und Klassifizierung von Anfragen,
• Erstellung von Zusammenfassungen und Entwürfen,
• Suche innerhalb freigegebener Unternehmensinformationen,
• Erstellung von Analysen und Berichten,
• Durchführung von Systemintegrationen,
• Synchronisierung von Daten,
• Unterstützung von Kundenservice und Vertrieb,
• Dokumentenverarbeitung,
• Termin- und Kommunikationsverwaltung,
• Abrechnung,
• Fehleranalyse,
• Gewährleistung von Sicherheit und Verfügbarkeit,
• Datensicherung und Wiederherstellung.

Eine Bearbeitung zu anderen Zwecken erfolgt nur, wenn sie rechtlich zulässig und für die betroffene Person erkennbar ist oder eine entsprechende Weisung des verantwortlichen Kunden vorliegt.

12. Bearbeitung durch KI-Systeme

Beim Einsatz von KI-Systemen können insbesondere folgende Informationen bearbeitet werden:

• Eingaben und Anweisungen,
• hochgeladene Dokumente,
• freigegebene Wissensinhalte,
• Kontextinformationen,
• Gesprächsverläufe,
• erzeugte Antworten und Ergebnisse,
• technische Protokollinformationen.

Die konkrete Bearbeitung hängt ab von:

• dem eingesetzten Modell,
• dem Betriebsmodell,
• dem Hosting,
• den angebundenen Datenquellen,
• den Benutzerberechtigungen,
• den Speicher- und Protokollierungseinstellungen,
• den vertraglichen Bedingungen des jeweiligen Anbieters.

KrambergAI berücksichtigt bei der Konzeption insbesondere:

• Datenminimierung,
• Zweckbindung,
• Zugriffsbeschränkungen,
• Trennung von Kundenbereichen,
• Löschfristen,
• menschliche Kontrollmöglichkeiten,
• Schutz vor unbeabsichtigtem Datenabfluss,
• Begrenzung unnötiger personenbezogener Eingaben.

KI-Ausgaben können unzutreffend, unvollständig oder auslegungsbedürftig sein. Ergebnisse müssen vor wichtigen rechtlichen, personellen, technischen oder wirtschaftlichen Entscheidungen durch eine fachlich geeignete Person geprüft werden.

13. Kein eigenes Training allgemeiner KI-Modelle

Die KrambergAI GmbH verwendet im Rahmen ihrer Standardleistungen keine personenbezogenen Kundendaten zum Training eigener allgemeiner KI-Modelle.

Kundendaten werden insbesondere bearbeitet, um:

• die vereinbarte Leistung bereitzustellen,
• die kundenspezifische Anwendung auszuführen,
• Fehler zu analysieren,
• Sicherheit und Verfügbarkeit zu gewährleisten,
• dokumentierte Weisungen umzusetzen.

Eine Verwendung für ein kundenspezifisch beauftragtes Modelltraining erfolgt nur, wenn:

• dies ausdrücklich vereinbart wurde,
• der Kunde zur Verwendung der Daten berechtigt ist,
• die betroffenen Personen angemessen informiert wurden,
• erforderliche Einwilligungen oder Rechtfertigungsgründe vorliegen,
• geeignete Sicherheits- und Löschmassnahmen festgelegt wurden.

Ein solches Training gehört nicht zum Standardbetrieb.

14. a. Lovable Business

Für die Entwicklung und gegebenenfalls Bereitstellung einzelner Webanwendungen verwendet KrambergAI Lovable Business.

Anbieter:

Lovable Labs Incorporated
1111B South Governors Avenue
Dover, Delaware 19904
USA

Website: https://lovable.dev/

Lovable stellt Funktionen zur Entwicklung, Veröffentlichung und technischen Bereitstellung von Webanwendungen bereit.

Abhängig von der Konfiguration können insbesondere folgende Daten über Lovable bearbeitet werden:

• IP-Adresse,
• Browser- und Geräteinformationen,
• technische Protokollinformationen,
• aufgerufene Anwendungen und Funktionen,
• Projekt- und Workspace-Informationen,
• Quellcode,
• Formulareingaben,
• hochgeladene Inhalte,
• Fehler- und Sicherheitsdaten.

14.1 Auftragsbearbeitung

Für Lovable Business gilt eine Vereinbarung zur Auftragsbearbeitung.

Soweit Lovable personenbezogene Kundendaten nach dokumentierten Weisungen von KrambergAI bearbeitet, handelt Lovable als Auftragsbearbeiter beziehungsweise Unterauftragsbearbeiter.

Lovable verpflichtet sich im DPA insbesondere zu:

• weisungsgebundener Bearbeitung,
• Vertraulichkeit,
• angemessenen Sicherheitsmassnahmen,
• Unterstützung bei Betroffenenanfragen,
• Information bei bestätigten Datenschutzverletzungen,
• Regelungen über Unterauftragsbearbeiter,
• Löschung oder Rückgabe nach Vertragsende.

14.2 Modelltraining

Nach dem Lovable-DPA werden „Customer Personal Data“, die Lovable im Auftrag des Kunden bearbeitet, nicht zum Training, Nachtraining, Fine-Tuning oder zur sonstigen Entwicklung allgemeiner KI- oder Machine-Learning-Modelle verwendet.

Davon zu unterscheiden sind insbesondere:

• aggregierte oder anonymisierte Servicedaten,
• technische Protokolldaten,
• Projekt-, Code- oder Workspace-Daten, die nicht unter die Definition personenbezogener Kundendaten fallen.

Lovable Business stellt dafür die Workspace-Funktion Data collection opt out bereit. Wird diese Funktion aktiviert, sollen proprietärer Code, Projekte und Workspace-Daten nicht für KI-Modelltraining oder interne Evaluation verwendet werden. Die Einstellung ist bei Business- und Enterprise-Tarifen verfügbar und standardmässig nicht zwingend aktiviert.

Der Status dieser Einstellung wird für produktive Kundenprojekte projektbezogen geprüft und dokumentiert.

14.3 Drittlandbezug

Lovable hat seinen Sitz in den USA und kann weitere Unterauftragsbearbeiter einsetzen. Eine Bearbeitung in den USA oder anderen Staaten ausserhalb der Schweiz und des EWR kann deshalb nicht ausgeschlossen werden.

Weitere Informationen zu Bekanntgaben ins Ausland enthält Abschnitt 18.

14. b. Nutzung von Vercel für Schweizer Kundenprojekte

Für die Entwicklung, Bereitstellung, Auslieferung und technische Absicherung einzelner Websites und Webanwendungen verwendet die KrambergAI GmbH Vercel.

Anbieter ist:

Vercel Inc.
440 N Barranca Avenue #4133
Covina, CA 91723
USA

Website: https://vercel.com/
Datenschutzerklärung: https://vercel.com/legal/privacy-notice
Vereinbarung zur Auftragsbearbeitung: https://vercel.com/legal/dpa
Sicherheitsinformationen: https://vercel.com/security

Vercel stellt eine global verteilte Cloud-, Deployment- und Anwendungsplattform bereit.

Abhängig von der jeweiligen Anwendung können über Vercel insbesondere folgende Funktionen verwendet werden:

• Build- und Deployment-Prozesse,
• Vorschau-, Test- und Produktivumgebungen,
• Auslieferung von Inhalten über ein globales Netzwerk,
• serverseitige Funktionen,
• Programmierschnittstellen,
• Protokollierung und Fehleranalyse,
• Sicherheits- und Schutzfunktionen,
• Verwaltung technischer Konfigurationen.

Bearbeitete Personendaten

Je nach Anwendung können insbesondere folgende Personendaten bearbeitet werden:

• IP-Adresse,
• Datum und Uhrzeit eines Zugriffs,
• aufgerufene Domain, URL und Ressource,
• Referrer,
• Browser-, Geräte- und Betriebssysteminformationen,
• technische Anfrage- und Headerdaten,
• Protokoll-, Diagnose-, Fehler- und Sicherheitsdaten,
• Benutzer- und Sitzungskennungen,
• Formulareingaben,
• Anwendungs- und Prozessdaten,
• hochgeladene Inhalte,
• über Programmierschnittstellen übertragene Daten,
• Quellcode, Konfigurations- und Deploymentdaten,
• Konto-, Support- und Abrechnungsdaten.

Rolle von Vercel

Soweit Vercel Personendaten nach dokumentierten Weisungen der KrambergAI GmbH bearbeitet, handelt Vercel als Auftragsbearbeiter beziehungsweise Unterauftragsbearbeiter.

Die Vereinbarung zur Auftragsbearbeitung von Vercel berücksichtigt nach eigenen Angaben auch das Schweizer Datenschutzgesetz und enthält ergänzende Regelungen für die Schweiz.

Ist KrambergAI gegenüber einem Schweizer Kunden Auftragsbearbeiter, wird Vercel als Unterauftragsbearbeiter eingesetzt und entsprechend der projektbezogenen Vereinbarung oder Unterauftragsbearbeiterliste dokumentiert.

Bestimmte Kontakt-, Konto-, Support-, Abrechnungs-, Sicherheits- und durch den Dienst erzeugte Daten kann Vercel in eigener Verantwortlichkeit bearbeiten.

Bearbeitungszwecke

Personendaten werden über Vercel insbesondere bearbeitet zur:

• Entwicklung und technischen Bereitstellung von Anwendungen,
• Ausführung angeforderter Funktionen,
• Verarbeitung von Web- und API-Anfragen,
• globalen Auslieferung von Inhalten,
• Bereitstellung von Vorschau- und Testumgebungen,
• Sicherstellung von Verfügbarkeit und Leistung,
• Fehlerdiagnose und Wartung,
• Abwehr von Angriffen und missbräuchlichen Zugriffen,
• Verwaltung technischer Konfigurationen.

Kein Vercel-Modelltraining mit Inhalten von KrambergAI

Die KrambergAI GmbH hat in den Vercel-Team-Einstellungen der Verwendung ihrer Inhalte für das Training von KI- und Machine-Learning-Modellen widersprochen.

Der Vercel-seitige Model-Training-Opt-out ist aktiviert.

Nach den geltenden Vercel-Bedingungen werden die von KrambergAI bereitgestellten Inhalte ab dem Wirksamwerden des Opt-outs nicht für Vercels Modelltraining verwendet und nicht zu diesem Zweck an Dritte weitergegeben.

Diese Einstellung gilt für das allgemeine Modelltrainingsprogramm von Vercel.

Werden über eine Anwendung zusätzliche KI-Anbieter oder der Vercel AI Gateway eingesetzt, gelten ergänzend die Bedingungen und Datenschutzmaßnahmen dieser Anbieter.

Der Vercel-Model-Training-Opt-out verhindert nicht automatisch ein Training durch einen angebundenen KI-Modellanbieter.

Für Anwendungen mit vertraulichen oder personenbezogenen Inhalten können deshalb zusätzlich die AI-Gateway-Funktionen „Disallow Prompt Training“ oder „Zero Data Retention“ eingesetzt werden. Die konkrete Konfiguration wird projektbezogen geprüft und dokumentiert.

Datenstandorte und globale Bearbeitung

Vercel betreibt eine global verteilte Infrastruktur mit Zugangspunkten und Rechenregionen in verschiedenen Staaten.

Serverseitige Funktionen können abhängig von der Konfiguration in einer europäischen Region, beispielsweise Frankfurt, ausgeführt werden.

Eine europäische Funktionsregion bedeutet jedoch nicht, dass sämtliche Personendaten ausschließlich in dieser Region bearbeitet werden.

Insbesondere technische:

• Protokolldaten,
• Supportdaten,
• Konto- und Verwaltungsdaten,
• Sicherheitsinformationen,
• Servicedaten,
• Sicherungskopien

können über eine globale Infrastruktur bearbeitet werden.

Ein ausschließlicher Datenstandort in der Schweiz wird nur zugesichert, wenn dies für das konkrete Projekt technisch umgesetzt und ausdrücklich vertraglich vereinbart wurde.

Die Nutzung eines Schweizer oder europäischen Datenbankstandorts neben Vercel schließt einen Auslandsbezug der Vercel-Infrastruktur nicht vollständig aus.

Bekanntgabe in die USA und andere Staaten

Vercel hat seinen Sitz in den USA. Die primären Verarbeitungseinrichtungen von Vercel befinden sich nach dem Vercel-DPA in den USA.

Personendaten können daher in die USA und weitere Staaten bekanntgegeben werden, in denen Vercel oder seine Unterauftragsbearbeiter Datenbearbeitungen durchführen.

Vercel ist nach eigenen Angaben nach dem:

• EU-US Data Privacy Framework,
• Swiss-U.S. Data Privacy Framework

zertifiziert.

Soweit eine Bekanntgabe nicht von einem Angemessenheitsentscheid oder einer wirksamen Zertifizierung erfasst wird, können insbesondere eingesetzt werden:

• an das Schweizer Datenschutzrecht angepasste Standardvertragsklauseln,
• vertragliche Datenschutzgarantien,
• zusätzliche technische und organisatorische Schutzmaßnahmen,
• weitere gesetzlich zulässige Übermittlungsgrundlagen.

Die Vercel-Vereinbarung zur Auftragsbearbeitung enthält ergänzende Bestimmungen für Daten aus der Schweiz und internationale Datenübermittlungen.

Unterauftragsbearbeiter

Vercel setzt weitere Unterauftragsbearbeiter ein, insbesondere für:

• Cloud- und Rechenzentrumsinfrastruktur,
• Netzwerkauslieferung,
• Datenspeicher,
• Monitoring und Protokollierung,
• IT-Sicherheit,
• Support und Kommunikation.

Vercel verpflichtet die eingesetzten Unterauftragsbearbeiter nach eigenen Angaben zur Einhaltung vertraglicher Datenschutz- und Sicherheitsanforderungen.

Die aktuelle Unterauftragsbearbeiterliste wird von Vercel über seine Sicherheits- und Vertragsseiten bereitgestellt.

Datensicherheit

Vercel gibt an, Kundendaten:

• bei der Speicherung mit AES-256,
• bei der Übertragung mit TLS 1.2 oder höher

zu verschlüsseln.

Weitere Maßnahmen umfassen insbesondere Zugriffsbeschränkungen, Sicherheitsüberwachung, Schwachstellenprüfungen, unabhängige Audits und Prozesse für Sicherheitsvorfälle.

Die konkrete Sicherheit einer Anwendung hängt zusätzlich von der Konfiguration durch KrambergAI und den Schweizer Kunden ab.

Hierzu gehören insbesondere:

• Benutzer- und Rollenberechtigungen,
• Schutz von Umgebungsvariablen,
• Verwaltung von API-Schlüsseln,
• Datenbankberechtigungen,
• Schutz von Vorschauumgebungen,
• Konfiguration von Protokollen,
• Absicherung angebundener Dienste.

Aufbewahrung und Löschung

Personendaten werden über Vercel nur so lange bearbeitet, wie dies für:

• den Betrieb der jeweiligen Anwendung,
• den vertraglich festgelegten Zweck,
• die Systemsicherheit,
• die Fehleranalyse,
• gesetzliche Pflichten

erforderlich ist.

Die konkrete Aufbewahrungsdauer richtet sich nach dem eingesetzten Vercel-Dienst, der Projektkonfiguration und den dokumentierten Weisungen des verantwortlichen Kunden.

Kundendaten können während der Nutzung entsprechend den verfügbaren Funktionen exportiert oder gelöscht werden.

Nach Beendigung des Vertragsverhältnisses werden Kundendaten nach Maßgabe der Vercel-Vereinbarung zur Auftragsbearbeitung innerhalb eines wirtschaftlich angemessenen Zeitraums gelöscht, soweit keine gesetzliche Pflicht zur weiteren Aufbewahrung besteht.

Besonders schützenswerte Personendaten

Besonders schützenswerte Personendaten, umfangreiche Persönlichkeitsprofile, Gesundheitsdaten, biometrische Daten, amtliche Identifikationsdaten oder vergleichbar sensible Inhalte dürfen über Vercel nur bearbeitet werden, wenn:

• dies ausdrücklich vereinbart wurde,
• eine datenschutzrechtliche Prüfung durchgeführt wurde,
• das eingesetzte Vercel-Produkt hierfür vertraglich geeignet ist,
• angemessene technische Schutzmaßnahmen eingerichtet wurden,
• die erforderlichen Informations-, Einwilligungs- und Dokumentationspflichten erfüllt sind.

15. Weitere Unterauftragsbearbeiter

KrambergAI kann spezialisierte Unterauftragsbearbeiter einsetzen, insbesondere für:

• Hosting und Cloud-Infrastruktur,
• Datenbanken,
• Anwendungsentwicklung,
• KI-Modelle und KI-Schnittstellen,
• E-Mail-Kommunikation,
• Newsletter,
• Terminbuchung,
• Monitoring,
• IT-Sicherheit,
• Datensicherung,
• Support.

Zu den abhängig von der konkreten Leistung eingesetzten Anbietern können insbesondere gehören:

• ALL-INKL.COM, Deutschland, https://all-inkl.com/
• Pipedrive OÜ, Estland, https://www.pipedrive.com/
• Brevo, Frankreich, https://www.brevo.com/
• Lovable Labs Incorporated, USA, https://lovable.dev/
• Supabase, Inc., USA, https://supabase.com/
• Cloudflare, Inc., USA, https://www.cloudflare.com/
• Cal.com, Inc., USA, https://cal.com/
• Slack Technologies, USA, https://slack.com/
• Vercel Inc., USA, https://vercel.com/

Nicht jeder Anbieter wird in jedem Projekt eingesetzt.

Die projektspezifische Liste der Unterauftragsbearbeiter wird dem Kunden entsprechend der vertraglichen Vereinbarung zur Verfügung gestellt.

Unterauftragsbearbeiter werden vertraglich zur Vertraulichkeit, Datensicherheit und zweckgebundenen Bearbeitung verpflichtet.

16. Datenstandorte

KrambergAI bevorzugt für produktive Kundensysteme Datenstandorte innerhalb:

• der Schweiz,
• Deutschlands,
• der Europäischen Union,
• des Europäischen Wirtschaftsraums.

Ein ausschliesslicher Datenstandort in der Schweiz wird nur zugesichert, wenn dies:

• technisch umgesetzt,
• ausdrücklich vertraglich vereinbart,
• für alle beteiligten Dienste und Unterauftragsbearbeiter überprüft wurde.

Auch bei einem Rechenzentrum in der Schweiz können ausländische Anbieter, Supportzugriffe oder zentrale Verwaltungsdienste beteiligt sein. Ein Schweizer Serverstandort bedeutet daher nicht automatisch, dass keinerlei Auslandsbezug besteht.

Der konkrete Datenstandort wird abhängig vom Projekt insbesondere dokumentiert in:

• Leistungsbeschreibung,
• Auftragsbearbeitungsvereinbarung,
• Systemarchitektur,
• Unterauftragsbearbeiterliste,
• Sicherheits- oder Datenschutzkonzept.

17. Optionales Hosting in der Schweiz

Soweit technisch verfügbar, kann für einzelne Kundenprojekte ein Hosting in einem Schweizer Rechenzentrum vereinbart werden.

Dabei wird projektbezogen geprüft:

• wo Anwendungsdaten gespeichert werden,
• wo Sicherungskopien gespeichert werden,
• von welchen Staaten aus Supportzugriffe möglich sind,
• welche Unterauftragsbearbeiter eingesetzt werden,
• wo Protokoll- und Metadaten verarbeitet werden,
• welche Daten an KI- oder Infrastrukturanbieter übermittelt werden.

Eine Zusicherung ausschliesslicher Schweizer Datenbearbeitung erfolgt nur in der individuellen Vertrags- und Leistungsbeschreibung.

18. Bekanntgabe ins Ausland

Personendaten dürfen ins Ausland bekanntgegeben werden, wenn der betreffende Staat nach Anhang 1 DSV ein angemessenes Datenschutzniveau gewährleistet.

Fehlt ein entsprechender Angemessenheitsentscheid, kann eine Bekanntgabe insbesondere auf Grundlage erfolgen von:

• anerkannten Standarddatenschutzklauseln,
• spezifischen vertraglichen Datenschutzgarantien,
• verbindlichen unternehmensinternen Datenschutzvorschriften,
• einer gesetzlichen Ausnahme,
• einer ausdrücklichen Einwilligung im Einzelfall.

Bei Verwendung der Standardvertragsklauseln der Europäischen Kommission werden die für das Schweizer Datenschutzrecht erforderlichen Anpassungen berücksichtigt. Der EDÖB erkennt die EU-Standardvertragsklauseln unter diesen Voraussetzungen an.

Betroffene Personen werden entsprechend den gesetzlichen Anforderungen über den Empfängerstaat und die eingesetzten Garantien informiert. Das Schweizer DSG verlangt bei Auslandbekanntgaben insbesondere Angaben zum jeweiligen Staat und gegebenenfalls zu den verwendeten Schutzinstrumenten.

19. Bekanntgaben in die USA

Seit dem 15. September 2024 gilt das Swiss-U.S. Data Privacy Framework.

Personendaten können ohne zusätzliche Garantien an US-Unternehmen übermittelt werden, wenn diese für das Swiss-U.S. Data Privacy Framework wirksam zertifiziert sind und die betreffende Datenbearbeitung von der Zertifizierung umfasst wird.

Bei nicht zertifizierten Empfängern oder nicht von der Zertifizierung erfassten Bearbeitungen werden andere geeignete Garantien eingesetzt, insbesondere:

• angepasste Standardvertragsklauseln,
• zusätzliche technische Massnahmen,
• Verschlüsselung,
• Datenminimierung,
• Beschränkung von Zugriffsrechten.

Die Zertifizierung eines Empfängers wird bei Bedarf anhand der offiziellen Zertifizierungsliste geprüft.

20. Datensicherheit

KrambergAI setzt risikobasierte technische und organisatorische Massnahmen ein.

Abhängig vom jeweiligen System können hierzu gehören:

• TLS-verschlüsselte Übertragung,
• Verschlüsselung gespeicherter Daten, soweit unterstützt,
• rollenbasierte Berechtigungen,
• Mehrfaktor-Authentisierung,
• Mandanten- und Projekttrennung,
• sichere Verwaltung von Zugangsdaten und API-Schlüsseln,
• Protokollierung sicherheitsrelevanter Ereignisse,
• regelmässige Sicherheitsupdates,
• Datensicherungen,
• Wiederherstellungsverfahren,
• Zugriffsbeschränkungen,
• Schutz vor automatisierten Angriffen,
• Verfahren zur Behandlung von Sicherheitsvorfällen,
• Verpflichtung berechtigter Personen zur Vertraulichkeit.

Die konkrete Ausgestaltung richtet sich nach:

• Art und Umfang der Bearbeitung,
• Sensibilität der Daten,
• Anzahl betroffener Personen,
• möglichen Schäden,
• eingesetzten Systemen,
• vertraglichen Anforderungen,
• Stand der Technik.

Eine Ende-zu-Ende-Verschlüsselung oder vollständige Verschlüsselung aller gespeicherten Daten wird nur zugesichert, wenn sie im konkreten System tatsächlich technisch umgesetzt ist.

21. Aufbewahrung und Löschung

Personendaten werden nur so lange aufbewahrt, wie dies erforderlich ist für:

• den jeweiligen Bearbeitungszweck,
• die Vertragserfüllung,
• gesetzliche Aufbewahrungspflichten,
• die Geltendmachung oder Abwehr von Ansprüchen,
• die Aufklärung von Sicherheitsvorfällen.

21.1 Daten in Auftragsbearbeitung

Für Personendaten, die KrambergAI im Auftrag eines Kunden bearbeitet, legt grundsätzlich der Kunde die Speicher- und Löschfristen fest.

Nach Beendigung der Auftragsbearbeitung werden die Daten entsprechend der dokumentierten Weisung des Kunden:

• gelöscht,
• zurückgegeben,
• exportiert,
• in ein vereinbartes Folgesystem übertragen.

Ein Löschungsprotokoll wird erstellt, wenn dies vertraglich vereinbart ist.

21.2 Schweizer Geschäftsunterlagen

Nach Schweizer Recht müssen bestimmte Geschäftsbücher, Buchungsbelege, Geschäftsberichte und Revisionsberichte grundsätzlich zehn Jahre aufbewahrt werden. Die gesetzliche Grundlage ist insbesondere Art. 958f OR.

Der Schweizer Kunde bleibt dafür verantwortlich, die auf seine Unterlagen anwendbaren Aufbewahrungsfristen festzulegen und KrambergAI entsprechend zu instruieren.

Eigene Rechnungs- und Buchhaltungsunterlagen der KrambergAI GmbH unterliegen grundsätzlich den für KrambergAI geltenden deutschen Vorschriften.

21.3 Datensicherungen

Gelöschte Daten können während begrenzter Zeit noch in Sicherungskopien enthalten sein.

Sicherungskopien werden:

• gegen gewöhnlichen Zugriff gesperrt,
• nicht für neue operative Zwecke verwendet,
• entsprechend festgelegter Sicherungszyklen überschrieben oder gelöscht.

Eine sofortige selektive Löschung einzelner Datensätze aus technisch unveränderbaren Sicherungskopien kann ausgeschlossen sein.

22. Rechte betroffener Personen

Betroffene Personen haben nach Massgabe des Schweizer DSG insbesondere folgende Rechte:

• Recht auf Information,
• Recht auf Auskunft,
• Recht auf Berichtigung,
• Recht auf Löschung beziehungsweise Vernichtung,
• Recht auf Beendigung oder Einschränkung einer widerrechtlichen Bearbeitung,
• Widerspruchsrecht,
• Recht auf Datenherausgabe oder Datenübertragung unter den gesetzlichen Voraussetzungen,
• Rechte bei automatisierten Einzelentscheidungen.

Der EDÖB nennt insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenportabilität und die manuelle Überprüfung automatisierter Entscheidungen als durchsetzbare Rechte.

Ein Antrag kann gerichtet werden an:

datenschutz@krambergai.com

Zur Verhinderung einer unbefugten Datenbekanntgabe kann ein geeigneter Identitätsnachweis verlangt werden.

22.1 Auskunft

Die betroffene Person kann Auskunft darüber verlangen, ob Personendaten über sie bearbeitet werden.

Die Auskunft umfasst abhängig vom Sachverhalt insbesondere:

• bearbeitete Personendaten,
• Bearbeitungszwecke,
• Aufbewahrungsdauer oder deren Kriterien,
• verfügbare Angaben zur Datenherkunft,
• Empfänger oder Empfängerkategorien,
• Empfängerstaaten,
• verwendete Auslandsgarantien,
• Angaben zu automatisierten Einzelentscheidungen.

Die Auskunft erfolgt grundsätzlich kostenlos und innerhalb von 30 Tagen. Bei unverhältnismässigem Aufwand können gesetzlich zulässige Kosten verlangt werden.

22.2 Datenherausgabe und Übertragung

Die betroffene Person kann unter den gesetzlichen Voraussetzungen verlangen, dass ihr Personendaten in einem gängigen elektronischen Format herausgegeben oder an einen anderen Verantwortlichen übertragen werden.

Das Recht gilt insbesondere, wenn:

• die Daten automatisiert bearbeitet werden,
• die betroffene Person die Daten bereitgestellt hat,
• die Bearbeitung auf einer Einwilligung oder unmittelbar auf einem Vertrag beruht.

23. Betroffenenanfragen bei Auftragsbearbeitung

Soweit KrambergAI als Auftragsbearbeiter handelt, bleibt der Kunde für die Bearbeitung von Betroffenenanfragen verantwortlich.

Erhält KrambergAI eine Anfrage unmittelbar von einer betroffenen Person, wird die Anfrage grundsätzlich an den verantwortlichen Kunden weitergeleitet, soweit dies rechtlich zulässig und zur Bearbeitung erforderlich ist.

KrambergAI unterstützt den Kunden im vertraglich vereinbarten Umfang insbesondere bei:

• Suche nach betroffenen Daten,
• Berichtigung,
• Export,
• Einschränkung,
• Löschung,
• Bereitstellung technischer Informationen,
• Dokumentation durchgeführter Massnahmen.

24. Profiling

Profiling ist eine automatisierte Bearbeitung von Personendaten, mit der persönliche Aspekte einer natürlichen Person bewertet, analysiert oder vorhergesagt werden.

Hierzu können insbesondere gehören:

• Arbeitsleistung,
• wirtschaftliche Lage,
• Gesundheit,
• Interessen,
• Zuverlässigkeit,
• Verhalten,
• Aufenthaltsort,
• Ortswechsel.

KrambergAI führt im Rahmen seiner Standardleistungen kein Profiling mit hohem Risiko zu eigenen Werbe-, Personal- oder Bewertungszwecken durch.

Wird eine Profilbildung oder Segmentierung durch einen Kunden beauftragt, muss projektbezogen geprüft werden:

• ob ein Profiling vorliegt,
• ob ein hohes Risiko besteht,
• ob eine ausdrückliche Einwilligung erforderlich ist,
• ob eine Datenschutz-Folgenabschätzung durchzuführen ist,
• welche Informations- und Widerspruchsmöglichkeiten erforderlich sind.

25. Automatisierte Einzelentscheidungen

Eine automatisierte Einzelentscheidung liegt vor, wenn eine Entscheidung ausschliesslich automatisiert getroffen wird und für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt.

KrambergAI setzt im Rahmen seiner Standardleistungen keine ausschliesslich automatisierten Einzelentscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung ein.

Automatisch erzeugte:

• Bewertungen,
• Scores,
• Klassifizierungen,
• Empfehlungen,
• Reifegrade,
• Priorisierungen,
• Zusammenfassungen,
• Berechnungen

dienen grundsätzlich der Unterstützung und Orientierung.

Wird ausnahmsweise eine relevante automatisierte Einzelentscheidung eingesetzt, wird die betroffene Person darüber informiert. Sie erhält grundsätzlich die Möglichkeit:

• ihren Standpunkt darzulegen,
• eine Überprüfung durch eine natürliche Person zu verlangen.

26. Datenschutz-Folgenabschätzung

Kann eine geplante Bearbeitung ein hohes Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen mit sich bringen, muss der Verantwortliche prüfen, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

Ein hohes Risiko kann sich insbesondere ergeben aus:

• umfangreicher Bearbeitung besonders schützenswerter Personendaten,
• Profiling mit hohem Risiko,
• systematischer Überwachung,
• neuen Technologien,
• grossen Datenmengen,
• weitreichenden automatisierten Entscheidungen,
• umfangreichen Auslandbekanntgaben.

KrambergAI unterstützt den Kunden im vertraglich vereinbarten Umfang mit technischen und organisatorischen Informationen.

Die Entscheidung über die Durchführung und das Ergebnis der Datenschutz-Folgenabschätzung verbleibt grundsätzlich beim verantwortlichen Kunden.

27. Verletzungen der Datensicherheit

Eine Verletzung der Datensicherheit liegt vor, wenn Personendaten unbeabsichtigt oder widerrechtlich:

• verloren gehen,
• gelöscht oder vernichtet werden,
• verändert werden,
• unbefugten Personen offengelegt werden,
• unbefugt zugänglich werden.

27.1 KrambergAI als Auftragsbearbeiter

Stellt KrambergAI eine Verletzung innerhalb einer Auftragsbearbeitung fest, informiert KrambergAI den verantwortlichen Kunden so schnell wie möglich.

Die Mitteilung enthält, soweit verfügbar:

• Art des Vorfalls,
• betroffene Systeme,
• betroffene Datenkategorien,
• mögliche Anzahl betroffener Personen,
• mögliche Folgen,
• ergriffene Massnahmen,
• empfohlene weitere Schritte,
• Ansprechpartner.

27.2 Kunde als Verantwortlicher

Der verantwortliche Kunde prüft, ob die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt.

Besteht ein hohes Risiko, muss der Verantwortliche den EDÖB so schnell wie möglich informieren.

Anders als nach der DSGVO besteht nach dem Schweizer DSG keine allgemeine starre 72-Stunden-Frist. Massgeblich ist eine Meldung so schnell wie möglich, sobald die gesetzlichen Voraussetzungen vorliegen.

Betroffene Personen werden informiert, wenn dies zu ihrem Schutz erforderlich ist oder der EDÖB eine Information verlangt.

27.3 KrambergAI als Verantwortlicher

Soweit KrambergAI selbst Verantwortlicher der betroffenen Bearbeitung ist, nimmt KrambergAI die Bewertung, Dokumentation und erforderliche Meldung in eigener Verantwortung vor.

28. Cookies und ähnliche Technologien

Für den Einsatz von Cookies und ähnlichen Technologien gelten insbesondere:

• das Schweizer Datenschutzgesetz,
• Art. 45c Fernmeldegesetz,
• bei Anwendung der DSGVO zusätzlich die europäischen Einwilligungsanforderungen.

Unsere Website verwendet insbesondere technisch erforderliche Technologien für:

• WordPress,
• Sprachwahl mit Polylang,
• Einwilligungsverwaltung mit Complianz,
• Sicherheit und Formularschutz.

Die Websiteanalyse erfolgt über eine selbst gehostete Matomo-Installation entsprechend der allgemeinen Datenschutzerklärung.

Nicht erforderliche Technologien werden über die Cookie-Einstellungen verwaltet. Nutzer können solche Technologien ablehnen und ihre Auswahl später ändern.

Der EDÖB verlangt bei nicht notwendigen Cookies mindestens eine wirksame Widerspruchsmöglichkeit. Bei besonders eingriffsintensiven Bearbeitungen, insbesondere Profiling mit hohem Risiko, kann eine ausdrückliche Einwilligung erforderlich sein.

Weitere Informationen enthält die Cookie-Richtlinie:

https://krambergai.com/cookie-richtlinie-eu/

29. Schweizer Vertretung

Private Verantwortliche mit Sitz im Ausland müssen eine Vertretung in der Schweiz benennen, wenn folgende Voraussetzungen kumulativ erfüllt sind:

• die Bearbeitung steht im Zusammenhang mit Waren- oder Dienstleistungsangeboten an Personen in der Schweiz oder mit der Beobachtung ihres Verhaltens,
• die Bearbeitung ist umfangreich,
• die Bearbeitung erfolgt regelmässig,
• die Bearbeitung bringt ein hohes Risiko für die Persönlichkeit betroffener Personen mit sich.

KrambergAI überprüft anhand der tatsächlich bestehenden und geplanten Bearbeitungen, ob diese Voraussetzungen erfüllt sind.

Sofern eine Pflicht zur Benennung entsteht, werden Name und Anschrift der Schweizer Vertretung in dieser Datenschutzerklärung veröffentlicht.

Eine freiwillige Schweizer Vertretung kann unabhängig von einer gesetzlichen Verpflichtung benannt werden.

30. Kontakt mit dem EDÖB und Rechtsdurchsetzung

Betroffene Personen können sich bei Fragen zum Schweizer Datenschutz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wenden.

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, EDÖB
Feldeggweg 1
CH-3003 Bern
Schweiz

Telefon: +41 58 462 43 95
Website: https://www.edoeb.admin.ch/

Die Kontaktaufnahme mit dem EDÖB ersetzt nicht zwingend die zivilrechtliche Durchsetzung individueller Ansprüche. Betroffene Personen können ihre Rechte je nach Sachverhalt auch auf dem Zivilrechtsweg geltend machen.

31. Änderungen dieser Datenschutzerklärung

Diese ergänzenden Datenschutzhinweise können angepasst werden, wenn sich insbesondere ändern:

• gesetzliche Anforderungen,
• Rechtsprechung oder Behördenpraxis,
• technische Systeme,
• eingesetzte Anbieter,
• Datenstandorte,
• Leistungen und Produkte,
• Bearbeitungszwecke.

Die jeweils aktuelle Fassung wird auf der Website der KrambergAI GmbH veröffentlicht.

Wesentliche Änderungen werden in angemessener Form kenntlich gemacht.