Diese Datenschutzerklärung informiert darüber, welche Personendaten wir beim Besuch dieser Website und bei der Nutzung von Oppm bearbeiten, zu welchem Zweck und welche Rechte Sie haben. Sie richtet sich nach dem Schweizer Bundesgesetz über den Datenschutz (nDSG) und, soweit anwendbar, nach der Datenschutz-Grundverordnung der EU (DSGVO).
1. Verantwortliche Stelle
CSP AG, Teufener Strasse 5, 9000 St. Gallen, Schweiz
E-Mail: info@csp-ag.ch, Telefon: +41 71 231 10 60
Für Fragen zum Datenschutz erreichen Sie uns unter derselben Adresse mit dem Vermerk «Datenschutz». Datenschutzberatung: [Name oder Funktion ergänzen, falls bestellt]. Vertretung in der EU nach Art. 27 DSGVO: [ergänzen, falls erforderlich].
2. Wo Ihre Daten liegen
Oppm wird in der Schweiz entwickelt und in der Schweiz betrieben. Für die Daten, die Organisationen in Oppm bearbeiten, gilt:
- Speicherort Schweiz: Anwendung und Datenbank (PostgreSQL) laufen in einem Rechenzentrum in der Schweiz. Wir betreiben kein eigenes Rechenzentrum, sondern verpflichten den Betreiber vertraglich als Unterauftragsverarbeiter.
- Backups in der Schweiz: Die Datenbank wird täglich gesichert. Die Sicherungen werden getrennt von der Produktion und ebenfalls in der Schweiz aufbewahrt.
- KI in der Schweiz: Die KI-Modelle und die Spracherkennung, die Oppm nutzt, werden in der Schweiz betrieben (Ziffer 4.5).
- Schweizer Recht: Für die Bearbeitung gilt das nDSG. Eine Bekanntgabe ins Ausland findet nicht statt (Ziffer 7).
Die Kategorien der beigezogenen Dienstleister stehen unter Unterauftragsverarbeiter.
3. Website
3.1 Keine Cookies, kein Tracking
Diese Website setzt keine Cookies, keine Analyse- oder Werbewerkzeuge und keine Social-Media-Plugins ein. Schriften und Grafiken werden von unserem eigenen Server geladen. Einzelheiten stehen unter Cookies.
3.2 Server-Protokolle
Beim Aufruf der Website verarbeitet der Server technisch notwendige Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem sowie eine Anfrage-ID zur Fehlersuche. Diese Angaben dienen dem sicheren Betrieb und der Fehleranalyse und werden nach spätestens [Frist ergänzen, z. B. 30 Tagen] gelöscht. Rechtsgrundlage nach DSGVO ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f).
3.3 Kontaktaufnahme
Das Kontaktformular übermittelt keine Daten über diese Website. Es erstellt eine E-Mail in Ihrem eigenen E-Mail-Programm. Wenn Sie uns schreiben oder anrufen, bearbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO), und löschen sie, wenn sie dafür nicht mehr nötig sind und keine Aufbewahrungspflicht besteht.
3.4 Demo
Die Demo von Oppm läuft als getrennte Installation und enthält ausschliesslich erfundene Daten. Für den Aufruf gelten die Angaben in Ziffer 3.2 sinngemäss. Serverstandort der Demo: [prüfen und ergänzen].
3.5 Kartenlink
Der Link «Karte öffnen» führt zu OpenStreetMap. Erst wenn Sie ihn anklicken, ruft Ihr Browser die Seite von OpenStreetMap auf; dabei gelten deren Datenschutzbestimmungen.
4. Oppm (Anwendung)
4.1 Rollen und Auftragsverarbeitung
Setzt eine Organisation Oppm ein, ist sie Verantwortliche für die Daten, die sie darin bearbeitet: Vorhaben, Ziele, Berichte, Budgets, Personen, Abwesenheiten und Beschlüsse. Wir bearbeiten diese Daten als Auftragsbearbeiterin nach Art. 9 nDSG beziehungsweise als Auftragsverarbeiterin nach Art. 28 DSGVO, ausschliesslich nach den Weisungen der Organisation und gemäss dem Auftragsverarbeitungsvertrag. Wir verwenden sie nicht für eigene Zwecke und nicht für Werbung. Fragen zu diesen Daten richten Sie zuerst an Ihre Organisation.
4.2 Welche Daten Oppm bearbeitet
- Konto und Rolle: Name, E-Mail-Adresse, Funktion, Rollen, Organisationseinheit, letzte Anmeldung, auf Wunsch ein Avatar
- Planung: Pensum für Projektarbeit, Rollen in Projekten, geplante und geleistete Personentage, Abwesenheiten mit Art (zum Beispiel Ferien oder Weiterbildung) und Stellvertretungen; keine Diagnosen
- Arbeitsinhalte mit Personenbezug: Verantwortlichkeiten, Aufgaben, Unterschriften, Entscheide, Protokolle und Einladungen
- Protokoll: wer wann welchen Datensatz geändert hat
4.3 Anmeldung
Die Anmeldung erfolgt über eine Identity-Plattform, auf Wunsch mit Single Sign-on über das Konto der Organisation (OpenID Connect) und Zwei-Faktor-Anmeldung. Wir bearbeiten dafür Name, E-Mail-Adresse, Rolle und Zugehörigkeit zur Organisation. An- und Abmeldungen werden protokolliert.
4.4 Sitzungs-Cookie und Protokollierung
Nach der Anmeldung setzt Oppm ein technisch notwendiges Sitzungs-Cookie, das für Skripte nicht lesbar ist. Jede Änderung an Daten wird mit Person, Zeit und betroffenem Datensatz protokolliert. Die Einträge bilden je Organisation eine Hash-Kette, sodass eine nachträgliche Veränderung erkennbar ist.
4.5 KI-Funktionen und Spracherkennung
Nutzt eine Person eine KI-Funktion (zum Beispiel Projekt aus Dokument, Statusbericht oder Sitzungsprotokoll), übermittelt Oppm die dafür nötigen Inhalte an KI-Modelle, die in der Schweiz betrieben werden. Das KI-Gateway von Oppm speichert die Anfragen nicht. Jede Ausgabe ist ein Vorschlag, der erst nach Prüfung durch einen Menschen übernommen wird; es gibt keine automatisierten Einzelentscheidungen im Sinne von Art. 21 nDSG oder Art. 22 DSGVO. Für Diktat und Sitzungsmitschnitt wird die Aufnahme an eine Spracherkennung in der Schweiz übermittelt; Oppm speichert die Audioaufnahme nicht. Vor dem Mitschnitt einer Sitzung bestätigt die Sitzungsleitung das Einverständnis der Anwesenden. Die Organisation kann die KI ganz abschalten.
4.6 E-Mail und Kalender
Lädt jemand zu einer Sitzung oder einem Meeting ein oder nimmt eine Person ins Projektteam auf, versendet Oppm eine E-Mail mit Kalenderdatei über einen Mailversand in der Schweiz. Dafür werden Name, E-Mail-Adresse und Angaben zum Termin bearbeitet.
4.7 Support
Mitarbeitende von CSP Solutions sehen Portfoliodaten nur mit einem Support-Zugang, den die Administration der Organisation freigibt. Der Zugang ist befristet, jederzeit widerrufbar und steht im Protokoll der Organisation und von CSP Solutions.
5. Zwecke und Rechtsgrundlagen
Wir bearbeiten Personendaten zur Erbringung und Sicherung unserer Leistungen, zur Kommunikation mit Interessierten und Kundinnen, zur Vertragsabwicklung und Rechnungsstellung sowie zur Erfüllung gesetzlicher Pflichten. Soweit die DSGVO anwendbar ist, stützen wir uns auf die Vertragserfüllung (Art. 6 Abs. 1 lit. b), rechtliche Pflichten (lit. c) und berechtigte Interessen (lit. f), etwa an einem sicheren Betrieb.
6. Weitergabe und Unterauftragsverarbeiter
Wir geben Personendaten nur weiter, wenn es für den Betrieb nötig ist (Rechenzentrum, Datensicherung, KI und Mailversand in der Schweiz, Identity-Plattform), wenn die Organisation es anweist oder wenn wir gesetzlich dazu verpflichtet sind. Unterauftragsverarbeiter verpflichten wir vertraglich auf den Datenschutz. Die Kategorien stehen unter Unterauftragsverarbeiter; die Namen erhalten Organisationen mit dem Auftragsverarbeitungsvertrag.
7. Bekanntgabe ins Ausland
Daten in Oppm werden in der Schweiz gespeichert, gesichert und mit KI verarbeitet. Eine Bekanntgabe ins Ausland findet nicht statt, es sei denn, die Organisation weist es ausdrücklich an. In diesem Fall gelten die Voraussetzungen von Art. 16 und 17 nDSG sowie Kapitel V DSGVO. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission.
8. Datensicherheit
Wir schützen Personendaten mit technischen und organisatorischen Massnahmen nach dem Stand der Technik, unter anderem:
- Betrieb, Datenbank, Backups und KI-Modelle in der Schweiz
- Tägliche Datensicherung, getrennt von der Produktion
- Trennung der Daten je Organisation in der Datenbank (Row-Level-Security)
- Rollen und Rechte, die der Server bei jeder Aktion prüft; Anmeldung über Single Sign-on
- Verschlüsselte Übertragung, signierte Sitzungen, strenge Sicherheits-Header
- Änderungsprotokoll mit Hash-Kette je Organisation
Die vollständige Beschreibung steht unter Technische und organisatorische Massnahmen.
9. Aufbewahrung und Löschung
Wir bewahren Personendaten so lange auf, wie es der Zweck, der Vertrag mit der Organisation oder gesetzliche Aufbewahrungspflichten verlangen. Endet der Vertrag, erhält die Organisation ihre Daten in einem gängigen Format; anschliessend löschen wir sie auf unseren Systemen innerhalb von [Frist ergänzen, z. B. 30 Tagen], in den Backups mit deren Ablauf. Geschäftsunterlagen bewahren wir nach Art. 958f OR zehn Jahre auf.
10. Ihre Rechte
- Auskunft darüber, ob und welche Personendaten wir über Sie bearbeiten (Art. 25 nDSG, Art. 15 DSGVO)
- Herausgabe oder Übertragung Ihrer Daten in einem gängigen elektronischen Format (Art. 28 nDSG, Art. 20 DSGVO)
- Berichtigung unrichtiger Daten sowie Löschung oder Einschränkung der Bearbeitung, soweit keine Pflicht zur Aufbewahrung besteht (Art. 32 nDSG, Art. 16 bis 18 DSGVO)
- Widerspruch gegen eine Bearbeitung, die auf berechtigten Interessen beruht (Art. 21 DSGVO)
Betreffen Ihre Anliegen Daten einer Organisation, die Oppm einsetzt, leiten wir sie an diese weiter, da sie über diese Daten entscheidet.
11. Kontakt und Beschwerde
Anfragen zum Datenschutz richten Sie an CSP AG, Teufener Strasse 5, 9000 St. Gallen, oder an info@csp-ag.ch. Sie können sich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren, im Anwendungsbereich der DSGVO auch bei einer Aufsichtsbehörde Ihres Aufenthaltsstaats.
12. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unsere Bearbeitungen oder das Recht ändern. Es gilt die jeweils hier veröffentlichte Fassung.