Datenschutzerklärung

1. Verantwortliche Stelle und unsere Doppelrolle

Diese Datenschutzerklärung informiert darüber, wie im Zusammenhang mit finra.ch Personendaten bearbeitet werden. Massgebend ist das revidierte Schweizer Datenschutzgesetz (revDSG) samt Verordnung (VDSG).

Anbieterin und für den Betrieb von finra.ch verantwortlich ist:

finra — Einzelunternehmen von R. Selimi
9470 Buchs SG, Schweiz
E-Mail: info@finra.ch

finra bearbeitet Personendaten in zwei unterschiedlichen Rollen. Davon hängt ab, an wen Sie sich mit Ihren Anliegen wenden:

• Als verantwortliche Person handeln wir für die Konto- und Vertragsdaten der Broker und Treuhänder (unserer Geschäftskunden) sowie für den technischen Betrieb, die Sicherheit und die Weiterentwicklung der Plattform. Für diese Bearbeitungen sind wir Ihre Ansprechstelle.
• Als Auftragsbearbeiterin handeln wir für die von den Brokern und Treuhändern über das Portal entgegengenommenen Dokumente und Angaben ihrer eigenen End-Kunden. Für diese Daten ist der jeweilige Broker beziehungsweise Treuhänder die verantwortliche Person; er bestimmt Zweck und Mittel der Bearbeitung. Wir bearbeiten diese Daten ausschliesslich weisungsgebunden im Auftrag und im Rahmen eines Auftragsbearbeitungsvertrags nach Art. 9 revDSG. Möchten End-Kunden Rechte an diesen Dokumenten ausüben, wenden sie sich an ihren Broker; wir unterstützen diesen dabei.

2. Welche Daten wir bearbeiten

• Konto- und Registrierungsdaten (als Verantwortliche): Name, E-Mail-Adresse, Firma, Rolle, Sprache und Login-Daten der Broker, Treuhänder und der von ihnen angelegten Benutzerinnen und Benutzer.
• Vertrags- und Zahlungsdaten (als Verantwortliche): gewähltes Paket, Laufzeit, Rechnungs- und Zahlungsangaben.
• Hochgeladene Dokumente (als Auftragsbearbeiterin): steuer-, versicherungs- und finanzrelevante Unterlagen, die End-Kunden über das Portal einreichen. Diese können Angaben zu Einkommen, Vermögen, Gesundheit oder Versicherungsverhältnissen enthalten und gelten als besonders schützenswerte Personendaten nach Art. 5 lit. c revDSG.
• Nutzungs- und Server-Logdaten (als Verantwortliche): IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Seiten, Browsertyp — zur Gewährleistung von Betrieb und Sicherheit.
• Angaben aus dem Kontaktformular (als Verantwortliche): Name, E-Mail-Adresse, Telefonnummer und Nachrichteninhalt.

3. Zwecke der Bearbeitung

Wir bearbeiten Personendaten zur Erfüllung des Nutzungsvertrags (Bereitstellung und Betrieb des Kundenportals), zur Rechnungsstellung und Vertragsverwaltung, zur Beantwortung von Kontaktanfragen, zur Gewährleistung von Systemsicherheit und Missbrauchsprävention, zur Weiterentwicklung des Angebots sowie zur Erfüllung gesetzlicher Pflichten. Die im Auftrag der Broker bearbeiteten End-Kunden-Dokumente verwenden wir ausschliesslich für den vom jeweiligen Broker vorgegebenen Zweck (Entgegennahme, Bereitstellung und Statusverwaltung der Unterlagen) und nicht für eigene Zwecke.

Als privates Unternehmen benötigen wir für diese Bearbeitungen nach revDSG keine gesonderte gesetzliche Grundlage; wir halten die Bearbeitungsgrundsätze nach Art. 6 revDSG (Treu und Glauben, Verhältnismässigkeit, Zweckbindung, Richtigkeit) ein. Wo wir uns auf eine Einwilligung stützen (etwa beim Kontaktformular), können Sie diese jederzeit widerrufen.

4. Hosting, Auftragsbearbeiter und keine Auslandsbekanntgabe

• Hosting und E-Mail erfolgen bei der Infomaniak SA, Genf, Schweiz. Sämtliche Daten und hochgeladenen Dokumente bleiben in der Schweiz.
• Es findet keine Bekanntgabe von Personendaten ins Ausland statt.
• Von uns beigezogene Auftragsbearbeiter sind vertraglich zur Vertraulichkeit, zur Datensicherheit und zur Einhaltung des Schweizer Datenschutzrechts verpflichtet (Art. 9 revDSG); sie bearbeiten Daten nur nach unseren Weisungen.
• Hinweis für die Zukunft: Sobald wir die Zahlungsabwicklung über einen externen Zahlungsdienstleister einführen, werden dabei Zahlungs- und Kontaktdaten an diesen übermittelt, was eine Bekanntgabe ins Ausland zur Folge haben kann. Wir werden diese Erklärung vor dem Livegang entsprechend ergänzen und die erforderlichen Garantien nach Art. 16 f. revDSG sicherstellen.

5. Bekanntgabe an Dritte

Wir geben Personendaten grundsätzlich nicht an Dritte weiter. Eine Bekanntgabe erfolgt ausschliesslich an die vorstehend genannten Auftragsbearbeiter im Rahmen der Auftragsbearbeitung sowie dann, wenn wir gesetzlich dazu verpflichtet sind oder eine behördliche oder gerichtliche Anordnung vorliegt. Es findet kein Verkauf von Daten und keine Weitergabe zu Werbezwecken statt.

6. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz Ihrer Daten (Art. 8 revDSG, Art. 1–6 VDSG), insbesondere:

• durchgehende TLS-Verschlüsselung sämtlicher Verbindungen zu finra.ch,
• Speicherung in der Schweiz mit Zugriffsschutz und rollenbasiertem Berechtigungskonzept — hochgeladene Dokumente sind nur nach Anmeldung mit einem persönlichen Konto einsehbar,
• Trennung der Mandanten (jeder Broker mit eigener Subdomain und getrennter Sichtbarkeit),
• Protokollierung von Zugriffen auf sensible Vorgänge (Audit-Trail),
• regelmässige Datensicherungen.

Kommt es trotz aller Vorkehrungen zu einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko für die betroffenen Personen, melden wir dies dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) und, soweit erforderlich, den betroffenen Personen so rasch als möglich (Art. 24 revDSG). Betrifft der Vorfall im Auftrag bearbeitete End-Kunden-Dokumente, benachrichtigen wir unverzüglich den betroffenen Broker als verantwortliche Person.

7. Verzeichnis der Bearbeitungstätigkeiten

Da wir besonders schützenswerte Personendaten bearbeiten, führen wir ein Verzeichnis der Bearbeitungstätigkeiten nach Art. 12 revDSG. Die Ausnahme für kleinere Unternehmen kommt hier nicht zur Anwendung.

8. Aufbewahrung und Löschung

Wir bewahren Personendaten nur so lange auf, wie es der jeweilige Zweck oder eine gesetzliche Pflicht erfordert (Art. 6 Abs. 4 revDSG):

• Konto- und hochgeladene Dokumentdaten werden nach Beendigung des Vertragsverhältnisses beziehungsweise nach Löschung eines Kontos innert einer angemessenen Frist gelöscht; während dieser Frist bleibt ein Datenexport möglich. Bezüglich der End-Kunden-Dokumente handeln wir nach Weisung des jeweiligen Brokers.
• Server-Logdaten werden nach kurzer Zeit (in der Regel wenige Monate) automatisch gelöscht.
• Kontaktformular-Anfragen werden gelöscht, sobald sie erledigt sind und keine weitere Korrespondenz zu erwarten ist.
• Eigene Geschäfts- und Buchhaltungsunterlagen bewahren wir während der gesetzlichen Frist von zehn Jahren auf (Art. 958f OR).

Eine vorzeitige Löschung können Sie jederzeit beantragen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

9. Cookies · 10. Keine automatisierten Einzelentscheide

finra.ch verwendet ausschliesslich technisch notwendige Session-Cookies, um den Login-Status und die Sicherheit während der Nutzung sicherzustellen. Es findet kein Tracking statt, es werden keine Werbe-Cookies gesetzt und keine Analyse-Tools von Drittanbietern eingebunden.

Wir treffen keine automatisierten Einzelentscheidungen im Sinne von Art. 21 revDSG, die für Sie mit rechtlichen oder erheblichen Auswirkungen verbunden wären, und wir betreiben kein Profiling.

11. Ihre Rechte

Im Rahmen des revDSG haben Sie insbesondere das Recht auf Auskunft (Art. 25), Berichtigung (Art. 32), Löschung sowie das Recht, einer Bearbeitung zu widersprechen oder sie einschränken zu lassen, und das Recht auf Herausgabe oder Übertragung Ihrer Daten (Datenportabilität, Art. 28). Auskunft erteilen wir kostenlos und in der Regel innert 30 Tagen.

• Betreffen Ihre Anliegen Ihr Konto oder unseren Betrieb (Verantwortliche-Rolle), genügt eine E-Mail an info@finra.ch.
• Betreffen Ihre Anliegen von einem Broker hochgeladene Dokumente (Auftragsbearbeiter-Rolle), wenden Sie sich bitte an den betreffenden Broker beziehungsweise Treuhänder als verantwortliche Person. Wir leiten solche Anfragen an ihn weiter und unterstützen ihn.

Sind Sie mit unserer Antwort nicht einverstanden, können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, wenden.

12. Änderungen

Wir können diese Datenschutzerklärung anpassen, um sie an geänderte rechtliche oder technische Gegebenheiten anzupassen. Massgebend ist die jeweils auf finra.ch publizierte Fassung.