Datenschutzerklärung

Verantwortliche Stelle

Verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen ist, soweit nicht in Abschnitt 8 etwas anderes bestimmt ist:

Vertreter in der Europäischen Union (Art. 27 DSGVO)

Da die SQARES AG ihren Sitz in der Schweiz hat und Personen in der Europäischen Union Dienste anbietet, hat sie nach Art. 27 DSGVO einen Vertreter in der Union benannt:

Der Vertreter ist für betroffene Personen und für Aufsichtsbehörden neben der SQARES AG oder an deren Stelle Anlaufstelle in allen Fragen der Verarbeitung. Bitte geben Sie bei Anfragen an den Vertreter „SQARES AG — Art. 27 DSGVO" an.

Begriffe und anwendbares Recht

Personenbezogene Daten sind alle Informationen, die sich auf eine bestimmte oder bestimmbare Person beziehen. Verarbeitung ist jeder Umgang mit solchen Daten.

Da SQARES ihren Sitz in der Schweiz hat und Personen im Europäischen Wirtschaftsraum Dienste anbietet, gelten sowohl das schweizerische Datenschutzgesetz (DSG) als auch die Datenschutz-Grundverordnung (DSGVO). Soweit nachfolgend Artikel der DSGVO genannt werden, gelten die entsprechenden Bestimmungen des DSG sinngemäß.

Besuch der Website

Beim Aufruf unserer Website werden durch den Webserver automatisch Daten verarbeitet, die Ihr Browser übermittelt:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und übertragene Datenmenge
• Meldung über den Erfolg des Abrufs
• Browsertyp und Version, Betriebssystem, verweisende Seite

Zweck: Bereitstellung der Website, Gewährleistung der Systemsicherheit, Erkennung und Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb.
Speicherdauer: Server-Protokolle werden nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Vorfalls benötigt werden.

Cookies und Reichweitenmessung

Die Website setzt keine Cookies zu Analyse- oder Werbezwecken und bindet keine Dienste zur Reichweitenmessung ein. Auf der Q-Plattform wird ein technisch notwendiges Sitzungscookie gesetzt (Abschnitt 5).

Schriftarten

Die Website lädt Schriftarten von Google Fonts (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei wird Ihre IP-Adresse an Google übermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — einheitliche Darstellung der Website.

Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen Anfragen; im Übrigen Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: bis zur abschließenden Bearbeitung, anschließend im Rahmen handels- und steuerrechtlicher Aufbewahrungsfristen.

Konto auf der Q-Plattform

Für die Nutzung der Q-Plattform richten Sie ein Konto ein. Verarbeitet werden:

• Zugangsdaten: E-Mail-Adresse, Name, Passwort (ausschließlich als nicht umkehrbarer Prüfwert gespeichert — das Passwort im Klartext ist uns nicht bekannt)
• Unternehmens- und Rechnungsdaten: Firma, Rechtsform, Anschrift, Umsatzsteuer-Identifikationsnummer, Ansprechpartner, Telefonnummer, abweichende Rechnungsanschrift
• Vertragsdaten: freigeschaltete Module, Stufe, Zustand, Zeitpunkt der Freischaltung
• Nutzungs- und Abrechnungsdaten: Umfang der Inanspruchnahme, offene und abgerechnete Beträge, Guthaben
• Protokolldaten: Zeitpunkt der letzten Anmeldung, fehlgeschlagene Anmeldeversuche und die dabei verwendete IP-Adresse
• Erteilte Zustimmungen: Fassung, Zeitpunkt und IP-Adresse der Zustimmung zur wiederkehrenden Belastung

Zwecke: Begründung und Durchführung des Vertrages, Abrechnung, Zugangssicherung, Abwehr missbräuchlicher Anmeldeversuche, Nachweis erteilter Zustimmungen.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Zugangs, Nachweisführung).

Ein technisch notwendiges Sitzungscookie hält Ihre Anmeldung aufrecht. Es enthält keine Inhalte, wird nicht zu Analysezwecken ausgewertet und verfällt mit dem Ende der Sitzung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG bzw. die entsprechende schweizerische Regelung; eine Einwilligung ist dafür nicht erforderlich.

Zahlungsabwicklung

Für die Abwicklung von Zahlungen setzen wir Stripe ein (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland; für bestimmte Verarbeitungen Stripe, Inc., USA).

Ihre Zahlungsdaten — Kartennummer, Ablaufdatum, Prüfziffer, Kontoverbindung — geben Sie ausschließlich bei Stripe ein. Diese Daten werden uns nicht übermittelt und von uns nicht gespeichert. Wir speichern lediglich eine Kundenkennung von Stripe, den Zustand des Zahlungswegs und den Zeitpunkt der Hinterlegung.

An Stripe übermitteln wir die für die Zahlung erforderlichen Angaben, insbesondere E-Mail-Adresse, Name, Rechnungsanschrift und den Betrag. Stripe verarbeitet diese Daten teilweise als eigenständig Verantwortlicher, insbesondere zur Betrugsprävention und zur Erfüllung eigener aufsichtsrechtlicher Pflichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrages), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten), Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).
Weitere Informationen: stripe.com/de/privacy

E-Mail-Versand

Für den Versand von E-Mails im Zusammenhang mit Ihrem Konto — Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Hinweise zu Zahlungen und Freischaltungen — setzen wir Brevo ein (Sendinblue GmbH / Brevo, Köpenicker Straße 126, 10179 Berlin, Deutschland; Muttergesellschaft Brevo SAS, Paris, Frankreich).

Übermittelt werden Ihre E-Mail-Adresse, Ihr Name und der Inhalt der jeweiligen Nachricht. Brevo verarbeitet diese Daten als Auftragsverarbeiter für uns.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für vertragsbezogene Nachrichten. Für Informationen ohne unmittelbaren Vertragsbezug holen wir Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ein; Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen.

Nutzung der Module — Verarbeitung in Ihrem Auftrag

Wenn Sie ein Modul nutzen und dabei Unterlagen, Belege, Verträge, Korrespondenz oder sonstige Inhalte einbringen, kann darin eine Vielzahl personenbezogener Daten enthalten sein — etwa Daten Ihrer Mandanten, Kunden, Beschäftigten oder Geschäftspartner.

Für diese Daten sind Sie die verantwortliche Stelle. Sie entscheiden über Zweck und Mittel der Verarbeitung, über die Rechtsgrundlage und über die Information der betroffenen Personen. SQARES verarbeitet diese Daten ausschließlich in Ihrem Auftrag und nach Ihren Weisungen als Auftragsverarbeiterin nach Art. 28 DSGVO.

Grundlage dafür ist der Vertrag über die Auftragsverarbeitung, den Sie mit uns schließen. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die eingesetzten Unterauftragsverarbeiter, die technischen und organisatorischen Maßnahmen sowie Ihre Kontrollrechte. Ohne wirksamen Vertrag über die Auftragsverarbeitung dürfen Sie personenbezogene Daten Dritter nicht einbringen.

Berufsgeheimnis

Unterliegen Sie einer beruflichen Schweigepflicht — etwa als Steuerberaterin oder Steuerberater, Wirtschaftsprüferin oder Wirtschaftsprüfer, Rechtsanwältin oder Rechtsanwalt —, werden wir als mitwirkende Person im Sinne von § 203 Abs. 3 StGB tätig. Die von uns eingesetzten Personen werden zur Verschwiegenheit verpflichtet; dies gilt auch nach Beendigung ihrer Tätigkeit. Die Einzelheiten regelt der Vertrag über die Auftragsverarbeitung.

Bitte beachten Sie: Die Einbeziehung mitwirkender Personen setzt voraus, dass Sie die dafür erforderlichen Voraussetzungen geschaffen und die Ihnen obliegenden Pflichten erfüllt haben.

Einsatz von KI-Diensten

Die Module nutzen zur Verarbeitung Sprachmodelle des Anbieters OpenAI (OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland; Verarbeitung auch durch OpenAI, L.L.C., USA).

Dabei werden die von Ihnen eingebrachten Inhalte sowie die zur Verarbeitung erforderlichen Anweisungen an OpenAI übermittelt und dort verarbeitet. Wir nutzen die Schnittstelle für Geschäftskunden. Nach den vertraglichen Zusagen von OpenAI werden über die Schnittstelle übermittelte Inhalte nicht zum Training der Modelle verwendet; sie werden für eine begrenzte Zeit zur Missbrauchskontrolle vorgehalten und anschließend gelöscht.

OpenAI wird für uns als Unterauftragsverarbeiter tätig. Der maßgebliche Vertrag ist Bestandteil des Vertrages über die Auftragsverarbeitung nach Abschnitt 8.

Bitte beachten Sie: Ergebnisse KI-gestützter Verarbeitung sind maschinell erzeugte Entwürfe. Sie können unzutreffend oder unvollständig sein und sind vor jeder Verwendung fachlich zu prüfen. Eine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO — also eine Entscheidung mit rechtlicher Wirkung ohne menschliches Zutun — findet nicht statt; die Ergebnisse werden stets durch Sie geprüft und verantwortet.

Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies zur Erbringung der Leistung erforderlich ist, Sie eingewilligt haben oder wir gesetzlich dazu verpflichtet sind. Eingesetzt werden derzeit:

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Daneben können Daten an Steuerberater, Wirtschaftsprüfer, Rechtsberater sowie an Behörden weitergegeben werden, soweit dies gesetzlich vorgeschrieben oder zur Rechtsverfolgung erforderlich ist.

Eine aktuelle Übersicht der Unterauftragsverarbeiter ist Bestandteil des Vertrages über die Auftragsverarbeitung. Über beabsichtigte Änderungen informieren wir rechtzeitig; Ihr Widerspruchsrecht ergibt sich aus jenem Vertrag.

Übermittlung in Drittländer

Die Verarbeitung findet grundsätzlich in Deutschland, der Europäischen Union und der Schweiz statt. Bei den in Abschnitt 10 genannten Diensten kann es zu einer Verarbeitung in den Vereinigten Staaten kommen.

Die Schweiz verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission; Übermittlungen dorthin bedürfen keiner zusätzlichen Garantien.

Für Übermittlungen in die Vereinigten Staaten stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO und, soweit der jeweilige Empfänger zertifiziert ist, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Ergänzend haben wir die Wirksamkeit dieser Garantien geprüft und geeignete zusätzliche Maßnahmen vereinbart, insbesondere Verschlüsselung bei Übertragung und Speicherung sowie Beschränkungen der Zugriffsrechte.

Wir weisen darauf hin, dass in Drittländern ein Zugriff staatlicher Stellen nicht vollständig ausgeschlossen werden kann und dass das Schutzniveau von dem in der EU und der Schweiz abweichen kann.

Speicherdauer

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert, sofern keine andere Rechtsgrundlage die weitere Aufbewahrung erfordert.

Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO, Art. 25 DSG)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO, Art. 32 DSG)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO, Art. 28 DSG)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Zur Ausübung genügt eine Nachricht an datenschutz@sqares.finance. Betreffen Ihre Rechte Daten, die wir im Auftrag eines Kunden verarbeiten (Abschnitt 8), wenden Sie sich bitte an diesen Kunden als verantwortliche Stelle; wir leiten Ihr Anliegen andernfalls dorthin weiter.

Beschwerderecht: Sie können sich bei einer Aufsichtsbehörde beschweren. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern. In der Europäischen Union können Sie sich an die Aufsichtsbehörde Ihres Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

Sicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Zerstörung, Manipulation und unbefugten Zugriff zu schützen. Dazu gehören insbesondere:

• durchgehende Verschlüsselung der Übertragung (TLS)
• Speicherung von Passwörtern ausschließlich als nicht umkehrbarer Prüfwert
• Ablage von Zugangsschlüsseln außerhalb des über das Internet erreichbaren Verzeichnisses
• Beschränkung der Zugriffsrechte auf das Erforderliche
• Sperrung nach wiederholten fehlgeschlagenen Anmeldeversuchen
• regelmäßige Sicherungen und Protokollierung sicherheitsrelevanter Vorgänge
• Verpflichtung aller eingesetzten Personen zur Vertraulichkeit

Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die rechtlichen Rahmenbedingungen ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir angemeldete Kunden gesondert.