Datenschutzerklärung

1. Einleitung

Schweizerform («wir», «uns», «unser») betreibt die Schweizerform-Plattform — einen in der Schweiz entwickelten, Ende-zu-Ende-verschlüsselten Formularerstellungsdienst. Diese Datenschutzerklärung erläutert, wie wir Ihre Informationen erheben, verwenden, speichern und schützen, wenn Sie unsere Plattform nutzen.

Wir verpflichten uns, Ihre Privatsphäre durch unsere Zero-Knowledge-Architektur zu schützen. Das bedeutet, dass der Grossteil der Daten, die Sie über Schweizerform verarbeiten, in Ihrem Browser verschlüsselt wird, bevor er unsere Server erreicht, und wir technisch nicht in der Lage sind, darauf zuzugreifen.

2. Zero-Knowledge-Architektur

Schweizerform verwendet ein Zero-Knowledge-Modell mit Ende-zu-Ende-Verschlüsselung. Dies ist nicht bloss eine Funktion — es ist das Fundament unserer Plattform. Folgendes bedeutet das für Ihre Daten:

• •Formularantworten: Alle Formulardaten werden im Browser des Teilnehmenden mittels AES-256-GCM-Verschlüsselung verschlüsselt, bevor sie an unsere Server übertragen werden. Wir speichern ausschliesslich verschlüsselte Datenblöcke, die wir nicht entschlüsseln können.
• •Dateianhänge: Hochgeladene Dateien werden clientseitig vor dem Upload verschlüsselt. Originaldateinamen werden auf unseren Servern durch randomisierte Bezeichner ersetzt.
• •Tresorschlüssel: Ihr Hauptschlüssel wird in Ihrem Browser aus Ihrem Tresorschlüssel abgeleitet, mittels PBKDF2-HMAC-SHA256 mit 600'000 Iterationen und individuellem Salt. Ihr Tresorschlüssel wird zu keinem Zeitpunkt an Systeme von Schweizerform übermittelt oder dort gespeichert. Der Hauptschlüssel besteht im Klartext ausschliesslich im Arbeitsspeicher Ihres Browsers. Zusätzlich speichern wir eine mit Ihrem Wiederherstellungscode verschlüsselte Kopie des Hauptschlüssels, damit Sie mit dem Wiederherstellungscode wieder Zugriff erlangen können. Der Wiederherstellungscode selbst wird nie übermittelt und nie gespeichert, weshalb diese Kopie für Schweizerform ohne Nutzen ist.
• •Verschlüsselungsschlüssel: RSA-Privatschlüssel und AES-Schlüssel auf Formularebene werden mit Ihrem Hauptschlüssel verschlüsselt, bevor sie gespeichert werden. Wir speichern ausschliesslich verschlüsseltes Schlüsselmaterial.

3. Informationen, die wir erheben

3.1 Kontoinformationen

Bei der Erstellung eines Kontos erheben wir Ihre E-Mail-Adresse und Ihren vollständigen Namen. Diese werden für die Kontoauthentifizierung, Passwortwiederherstellung und servicebezogene Kommunikation verwendet. Ihre Postadresse, Ihre Telefonnummer und Ihre Zahlungsdaten erheben wir bei der Registrierung nicht.

3.2 Formular-Metadaten

Wir speichern Formular-Metadaten, die für den Betrieb des Dienstes erforderlich sind, einschliesslich Formulartitel, Erstellungsdaten, Statusinformationen, Planungseinstellungen und Einreichungszähler. Formularantwortinhalte sind stets verschlüsselt und für uns nicht zugänglich.

3.3 Abonnement & Abrechnung

Die Zahlungsabwicklung wird vollständig von Stripe Payments Europe, Ltd. (Dublin, Irland) durchgeführt. Für die konzerninterne Weitergabe an Stripe, LLC (USA) gilt: Stripe, LLC ist nach dem Swiss–U.S. Data Privacy Framework zertifiziert, und Anhang 1 der Datenschutzverordnung anerkennt für zertifizierte Empfänger in den USA einen angemessenen Datenschutz. Soweit dieses Framework nicht greift, stützt sich der Datenverarbeitungszusatz von Stripe auf die Standardvertragsklauseln der Europäischen Kommission. Wir erhalten oder speichern Ihre Kreditkartennummer nicht. Wir erhalten von Stripe lediglich eine Kundenkennung, den Abonnementstatus, Plandetails und Abrechnungszyklusinformationen, die zur Verwaltung Ihres Abonnements erforderlich sind.

3.4 Analysedaten

Auf unseren Marketing- und Anwendungsseiten erheben wir Nutzungsdaten zur Verbesserung unseres Dienstes, namentlich Seitenaufrufe, eine Sitzungskennung (aus Browser-Merkmalen abgeleitet, ohne Cookies), Gerätetyp und Land. Diese Sitzungskennung ist pseudonym, nicht anonym. Auf öffentlichen Formularseiten wird sie nicht verwendet: Dort gibt es keine Analyse-Sitzung, keinen Browser-Fingerabdruck, keine Länderauswertung und keine Analyse-, Werbe- oder Tracking-Dienste von Dritten. Erhoben werden dort: aggregierte Tageszähler pro Formular (Anzahl Aufrufe, Anzahl Einreichungen, Geräteklasse – Desktop, Mobil oder Tablet – sowie Zugangskanal – Link oder QR-Code); aggregierte Zähler pro Frage (wie oft eine Frage angezeigt und wie oft sie beantwortet wurde); sowie je Einreichung die Bearbeitungsdauer, die Anzahl der Fragen, die Anzahl der beantworteten Fragen, die Gesamtgrösse der gespeicherten Einreichung (Chiffrat der Antworten und allfällige verschlüsselte Dateianhänge) und die verwendete Anzeigesprache. Die Geräteklasse wird beim Absenden serverseitig aus dem User-Agent abgeleitet; der User-Agent selbst wird nicht gespeichert. Die aggregierten Zähler werden weder untereinander noch mit Fragen noch mit einzelnen Einreichungen verknüpft. Sie werden zusammen mit dem Formular gelöscht. Wir verwenden keine Analyse-, Werbe- oder Tracking-Dienste von Drittanbietern. Alle Analysedaten werden in unserer eigenen Schweizer Infrastruktur gespeichert. Die Kennung wird nur für die Dauer Ihres Besuchs in der sessionStorage Ihres Browsers gehalten und beim Schliessen des Tabs gelöscht; über getrennte Besuche hinweg erkennen wir Sie nicht wieder. Wenn Sie sich anmelden, wird die während desselben Besuchs erfasste Nutzung Ihrem Konto zugeordnet.

3.5 Technische Daten

Bei der Nutzung der Plattform können wir technische Daten erheben, die für die Diensterbringung erforderlich sind, einschliesslich Session-Tokens (als HTTP-Only-Cookies gespeichert), CSRF-Tokens, Sprachpräferenzen und Fehlerprotokolle. Fehlerprotokolle werden bereinigt, um sensible oder personenbezogene Informationen auszuschliessen.

3.6 Automatische Übersetzung & übermittelte Sprache

Wenn Sie als Formularinhaber die automatische Übersetzung für ein Formular aktivieren, werden die von Ihnen verfassten Inhalte des Formulars – Fragetexte, Optionen und Beschriftungen – an die Infomaniak AI Services übermittelt und dort vollständig in der Schweiz verarbeitet, um übersetzte Versionen zu erstellen. Dabei werden zu keinem Zeitpunkt Daten von Teilnehmenden oder Antwortinhalte verwendet. Wenn eine Person ein Formular absendet, erfassen wir zudem die Sprache, in der ihre Oberfläche angezeigt wurde – ein begrenzter, anonymer Wert – als Teil unserer aggregierten, nicht identifizierenden Analysen.

4. Wie wir Ihre Informationen verwenden

Wir verwenden die erhobenen Informationen ausschliesslich für folgende Zwecke:

• •Betrieb und Pflege der Schweizerform-Plattform
• •Authentifizierung Ihrer Identität und Verwaltung Ihres Kontos
• •Abwicklung von Abonnementzahlungen über Stripe
• •Versand servicebezogener Mitteilungen (z. B. Passwortwiederherstellung, Abonnementbestätigungen, Benachrichtigungen über Aktivitäten in Ihren eigenen Formularen)
• •Verbesserung unseres Dienstes auf Basis aggregierter und pseudonymer Analysedaten
• •Diagnose und Behebung technischer Probleme mittels bereinigter Fehlerprotokolle

Wir verkaufen, vermieten oder teilen Ihre personenbezogenen Daten nicht mit Dritten zu Marketingzwecken. Wir verwenden Ihre Daten nicht für Werbung oder Profilbildung.

Als Kontoinhaberin oder Kontoinhaber erhalten Sie gelegentlich E-Mails von uns über neue Funktionen, Verbesserungen und Ankündigungen zur Plattform. Jede dieser E-Mails enthält einen Abmeldelink; eine Abmeldung wird sofort wirksam. E-Mails zu Ihrem Konto und dessen Sicherheit – Anmeldecodes, Passwortzurücksetzungen, Rechnungen und die von Ihnen aktivierten Benachrichtigungen zu Ihren eigenen Formularen – sind für die Erbringung der Dienstleistung erforderlich und werden versandt, solange Ihr Konto besteht.

5. Cookies & Lokaler Speicher

Schweizerform verwendet folgende clientseitige Speichermechanismen:

• •Session-Cookie: Ein HttpOnly-, sicheres Sitzungs-Cookie authentifiziert Sie. Es gilt bis zu 30 Tage und wird bei fortgesetzter Nutzung erneuert; ein separater, konfigurierbarer Inaktivitäts-Timer (standardmässig 2 Stunden) meldet diesen Browser ab und entfernt Ihren Tresor aus dessen Speicher. Ihre anderen Geräte und Sitzungen sind nicht betroffen.
• •CSRF-Token-Cookie: Ein Cookie mit einem CSRF-Token wird verwendet, um Cross-Site-Request-Forgery-Angriffe zu verhindern.
• •Lokaler Speicher: Wenn Sie Ihren Tresorschlüssel lokal speichern möchten, wird eine verschlüsselte Version im localStorage Ihres Browsers gespeichert. Der Verschlüsselungsschlüssel ist ein nicht-extrahierbarer CryptoKey, der in IndexedDB gespeichert wird. Ihr Klartext-Tresorschlüssel wird niemals gespeichert.
• •Sprachpräferenz: Ihre gewählte Sprache wird lokal gespeichert, um ein konsistentes Benutzererlebnis zu gewährleisten.
• •Länder-Cookie: Ein funktionales Cookie speichert das für Ihre Verbindung ermittelte Land, damit wir es nicht auf jeder Seite erneut prüfen müssen. Es dient ausschliesslich dazu, die Registrierung auf die Schweiz zu beschränken — niemals dem Tracking oder der Werbung.
• •Analyse-Sitzungskennung: Eine pseudonyme Kennung für unsere eigene Besucherstatistik wird für die Dauer Ihres Besuchs in der sessionStorage gehalten und beim Schliessen des Tabs gelöscht. Sie überdauert nie einen Besuch, wird an keinen Dritten weitergegeben und auf öffentlichen Formularseiten nicht verwendet.

Wir verwenden keine Werbe-Cookies, Tracking-Cookies oder Analyse-Cookies von Drittanbietern.

6. Datenweitergabe

Wir geben Ihre Informationen nur wie nachfolgend beschrieben weiter, ausschliesslich soweit für den Betrieb des Dienstes erforderlich:

• •Stripe Payments Europe, Ltd. (Dublin, Irland): Für die Zahlungsabwicklung. Stripe verarbeitet Ihre Zahlungsdaten direkt — wir erhalten niemals Ihre vollständigen Karteninformationen. Für die konzerninterne Weitergabe an Stripe, LLC (USA) gilt: Stripe, LLC ist nach dem Swiss–U.S. Data Privacy Framework zertifiziert; soweit dieses Framework nicht greift, stützt sich der Datenverarbeitungszusatz von Stripe auf die Standardvertragsklauseln der Europäischen Kommission.
• •Infrastrukturanbieter (Hosting, Speicherung und Versand von Transaktions-E-Mails): Unsere Hosting- und Speicheranbieter, die sich für Hosting und Speicherung ausschliesslich in der Schweiz befinden, speichern verschlüsselte Daten in unserem Auftrag. Diese Angabe umfasst Hosting, Speicherung und den Versand von Transaktions-E-Mails. Sie haben keinen Zugriff auf Verschlüsselungsschlüssel und können keine Benutzerdaten entschlüsseln.
• •Bjørnerås Labs (Dienst «EuSend»), Org.-Nr. 938 162 336, Norwegen: Für den Versand von Transaktions-E-Mails (Einmalcodes, Konto- und Einladungsnachrichten sowie Benachrichtigungen über Aktivitäten in Ihren eigenen Formularen). Bearbeitet werden dabei die Empfängeradresse, der Betreff und der Nachrichteninhalt. Nachrichteninhalte werden ausschliesslich auf Infrastruktur im EWR in Deutschland und Finnland bearbeitet und gespeichert. Der Anbieter löscht seine Versandprotokolle einschliesslich der gerenderten Nachrichtentexte nach 30 Tagen. Formulareinreichungen und Antworten von Teilnehmenden erhält er zu keinem Zeitpunkt.
• •Infomaniak AI Services (optional): Wenn Sie die automatische Formularübersetzung aktivieren, wird der Textinhalt Ihres Formulars an die AI Services von Infomaniak gesendet — ausschliesslich in der Schweiz verarbeitet — allein zur Erstellung von Übersetzungen. Wenn Sie die KI-Formularerstellung nutzen, wird ebenso die von Ihnen eingegebene Anweisung an die AI Services von Infomaniak in der Schweiz gesendet, ausschliesslich um einen Formularentwurf für Sie zu erstellen. In beiden Fällen werden Antworten der Teilnehmer und Einreichungsinhalte niemals gesendet.
• •Team-Workspaces (falls Sie einen erstellen oder beitreten): Formulare, Einreichungen, Tags und Profile innerhalb eines Workspace werden gemäss der jeweiligen Rolle (Eigentümer, Administrator, Mitglied oder Betrachter) mit den anderen Mitgliedern geteilt. Diese Daten bleiben Ende-zu-Ende-verschlüsselt — jedes Mitglied besitzt den auf seine eigenen Schlüssel verpackten Workspace-Schlüssel — und werden nie ausserhalb des Workspace geteilt. Der Workspace-Eigentümer ist der Verantwortliche für dessen Inhalte.

Wir verkaufen Ihre Informationen nicht und geben sie nicht zu Marketing- oder Werbezwecken weiter. Über die vorstehend genannten Auftragsbearbeiter hinaus geben wir Ihre Informationen nur weiter, soweit dies nach Schweizer Recht erforderlich ist. Selbst in solchen Fällen bedeutet unsere Zero-Knowledge-Architektur, dass wir nur verschlüsselte Daten bereitstellen können, die wir nicht entschlüsseln können.

7. Datenspeicherung

Wir bewahren Ihre Kontodaten und die zugehörigen verschlüsselten Formulardaten auf, solange Ihr Konto aktiv ist. Wenn Sie Ihr Konto löschen, werden alle personenbezogenen Daten, Formulardaten, verschlüsselten Einreichungen und zugehörigen Dateien dauerhaft aus unseren Systemen gelöscht. Die Löschung über die Selbstbedienungsfunktion erfolgt sofort und unwiderruflich; nehmen Sie Ihre Exporte deshalb vorgängig vor. Für Protokolldaten gelten feste Fristen: IP-Adresse und User-Agent in den Audit-Protokollen werden nach 90 Tagen automatisch entfernt, während der Eintrag zum Ereignis selbst bestehen bleibt; Einträge im E-Mail-Versandprotokoll einschliesslich der gerenderten Nachrichteninhalte werden nach 90 Tagen gelöscht. Beide Fristen werden durch einen automatischen, wiederkehrenden Prozess durchgesetzt.

Die Datenbank wird von unserem Infrastrukturanbieter in der Schweiz täglich gesichert; die Sicherungen werden rollierend sieben Tage aufbewahrt. Gelöschte Daten werden dadurch in der Regel innert acht Tagen und in jedem Fall innert 30 Tagen auch in den Sicherungen überschrieben. Aggregierte Tageszähler zu Formularen (Aufrufe, Einreichungen, Geräteklasse, Zugangskanal) enthalten keine Personendaten — es handelt sich um ganzzahlige Summenwerte pro Formular und Tag — und werden zusammen mit dem Formular gelöscht. Die Messdaten unserer Marketing- und Anwendungsseiten sind pseudonym, nicht anonym; wir bewahren sie nur so lange auf, wie es für die statistische Auswertung erforderlich ist, und löschen sie, sobald dieser Zweck entfällt.

8. Ihre Rechte

Gemäss dem Schweizer Datenschutzgesetz (nDSG) und den geltenden Vorschriften haben Sie folgende Rechte:

• •Auskunftsrecht: Fordern Sie eine Kopie der personenbezogenen Daten an, die wir über Sie gespeichert haben.
• •Recht auf Berichtigung: Fordern Sie die Korrektur unrichtiger personenbezogener Daten an.
• •Recht auf Löschung: Fordern Sie die Löschung Ihres Kontos und aller zugehörigen Daten an.
• •Recht auf Datenportabilität: Fordern Sie Ihre Daten in einem portablen Format an. Hinweis: Verschlüsselte Formulardaten können nur mit Ihrem Tresorschlüssel entschlüsselt werden.
• •Widerspruchsrecht: Widersprechen Sie der Verarbeitung Ihrer Daten für bestimmte Zwecke.
• •Recht auf Beschwerde: Sie können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, beschweren bzw. dort eine Anzeige einreichen.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns bitte unter support@schweizerform.ch.

Kommt es zu einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für Ihre Persönlichkeit oder Ihre Grundrechte führt, melden wir dies so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB); Sie informieren wir, wenn es zu Ihrem Schutz erforderlich ist oder der EDÖB es verlangt, wie es Art. 24 nDSG vorsieht. Wenn Sie Schweizerform nutzen, um über Ihre eigenen Formulare Personendaten zu erheben, sind Sie für diese Daten der Verantwortliche, und die Pflicht, die Personen zu informieren, die Ihre Formulare ausfüllen, liegt bei Ihnen; unser Auftragsbearbeitungsvertrag regelt, wie wir Sie dabei unterstützen, dieser Pflicht nachzukommen.

Eine Meldung nach diesem Abschnitt erfolgt zur Erfüllung gesetzlicher Pflichten und stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

9. Schweizer Datenschutz-Compliance

Schweizerform unterliegt dem Schweizer Bundesgesetz über den Datenschutz (nDSG), das am 1. September 2023 in Kraft getreten ist. Sämtliche Formulardaten, Einreichungen, Dateien und die Datenbank werden ausschliesslich in der Schweiz bei Infomaniak gehostet. Die Zahlungsabwicklung erfolgt in Irland, der Versand von Transaktions-E-Mails im EWR (Norwegen, Deutschland und Finnland). Diese Staaten sind in Anhang 1 der Datenschutzverordnung als Staaten mit angemessenem Datenschutz aufgeführt; die Bekanntgabe ist damit nach Art. 16 Abs. 1 nDSG ohne zusätzliche Garantien zulässig. Unsere Zero-Knowledge-Architektur übertrifft die Datenschutzanforderungen des Schweizer Bundesrechts, da der Grossteil der Benutzerdaten so verschlüsselt ist, dass selbst der Dienstbetreiber nicht darauf zugreifen kann.

10. Änderungen dieser Richtlinie

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen in unseren Praktiken oder geltenden Gesetzen widerzuspiegeln. Wir werden Sie über wesentliche Änderungen informieren, indem wir die aktualisierte Richtlinie auf unserer Website veröffentlichen und das Datum der «Letzten Aktualisierung» anpassen. Ihre fortgesetzte Nutzung der Plattform nach Änderungen gilt als Akzeptanz der aktualisierten Richtlinie.

11. Kontakt

Wenn Sie Fragen zu dieser Datenschutzerklärung oder unseren Datenpraktiken haben, kontaktieren Sie uns bitte unter: