Datenschutz und Datenschutzerklärung

1. Einleitung

Lema ist eine Unternehmenssoftware, die als SaaS (Software as a Service) bereitgestellt wird und auch als Desktop-Anwendung verfügbar ist. Der Schutz Ihrer Daten und der Daten Ihrer Kunden hat für uns Priorität. Wir verarbeiten personenbezogene Daten nur in dem Umfang, der zur Erbringung des Dienstes erforderlich ist, und zwar rechtmässig, nach Treu und Glauben sowie transparent.

Diese Erklärung gilt für die Website, die Anwendung und die zugehörigen Dienste von Lema. Bitte lesen Sie sie sorgfältig. Wenn Sie mit ihrem Inhalt nicht einverstanden sind, nutzen Sie den Dienst bitte nicht.

2. Verantwortlicher

Verantwortlicher für die Verarbeitung der personenbezogenen Daten, d. h. die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, ist:

Arcaweb Sagl
Via Lugano 13, 6982 Agno (Tessin), Schweiz
Unternehmens-Identifikationsnummer (UID): CHE-206.419.551
Telefon: +41 (0)79 855 0978
E-Mail: info@arcaweb.ch

Für alle Fragen zum Datenschutz können Sie uns unter den oben genannten Kontaktdaten erreichen. Da wir unseren Sitz in der Schweiz haben und unsere Daten in der Schweiz gehostet werden, sind wir nicht verpflichtet, einen Vertreter in der Europäischen Union zu benennen; wir stehen den betroffenen Personen mit Wohnsitz in der EU/EWR dennoch zur Verfügung.

3. Wesentliche Definitionen

«Personenbezogene Daten»: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, E-Mail, IP-Adresse).
«Verarbeitung»: jeder mit personenbezogenen Daten ausgeführte Vorgang (Erhebung, Speicherung, Nutzung, Bekanntgabe, Löschung).
«Verantwortlicher»: die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet (für Website und Konto: Arcaweb Sagl).
«Auftragsverarbeiter»: die Stelle, die Daten im Auftrag des Verantwortlichen verarbeitet. Für die Daten, die Sie in Ihren Arbeitsbereich (Tenant) eingeben, handelt die Arcaweb Sagl als Auftragsverarbeiter und Sie als Verantwortlicher.
«Betroffene Person»: die natürliche Person, auf die sich die personenbezogenen Daten beziehen.

4. Welche Daten wir erheben

4.1 Registrierungs- und Kontodaten

Vor- und Nachname des Nutzers.
E-Mail-Adresse und Passwort (ausschliesslich in verschlüsselter Form mittels Hashing gespeichert).
Sprache und Einstellungen der Benutzeroberfläche.
Firmenname und Daten des erstellten Arbeitsbereichs (Tenant).

4.2 Abrechnungs- und Abonnementdaten

Stamm- und Steuerdaten, die für die Rechnungsstellung erforderlich sind.
Abonnierter Plan und Module, Anzahl der Arbeitsplätze (Seats).
Zahlungsdaten (Karte) werden direkt von unserem PCI-DSS-zertifizierten Zahlungsdienstleister (Stripe) verarbeitet und nicht auf unseren Servern gespeichert.

4.3 Technische und Nutzungsdaten

IP-Adresse, Browser- und Gerätetyp, Betriebssystem.
Zugriffs- und Sicherheitsprotokolle (Datum, Uhrzeit, ausgeführte Aktionen), die zu Sicherheits- und Diagnosezwecken aufbewahrt werden.
Über technische Cookies erfasste Navigationsdaten (siehe Abschnitt Cookies).

4.4 Inhaltsdaten (vom Kunden hochgeladen)

Im Rahmen der Nutzung von Lema geben Sie Daten zu Ihrer Tätigkeit ein: Kontakte, Kunden und Lieferanten, Rechnungen, Produkte, Dokumente, Personaldaten und weitere Verwaltungsinformationen. In Bezug auf diese Daten handeln wir als Auftragsverarbeiter in Ihrem Auftrag (siehe Abschnitt 6).

5. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten zu den folgenden Zwecken und geben für jeden die Rechtsgrundlage nach der DSGVO an (das DSG sieht analoge Grundsätze vor):

Bereitstellung und Erbringung des Dienstes, Verwaltung des Kontos und der Authentifizierung — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Rechnungsstellung, Buchhaltung und Erfüllung gesetzlicher Pflichten — rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).
Gewährleistung der Sicherheit, Verhinderung von Missbrauch und Betrug, Diagnose technischer Probleme — berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
Versand von Servicemitteilungen (z. B. technische Hinweise, Fristen, Änderungen des Dienstes) — Vertragserfüllung / berechtigtes Interesse.
Versand von Werbemitteilungen oder Newslettern, sofern vorgesehen — Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar.
Verbesserung des Produkts mittels aggregierter und anonymer Statistiken — berechtigtes Interesse.

Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die Rechtmässigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

6. Lema als Auftragsverarbeiter

Für die Daten, die Sie als Kunde in Ihrem Arbeitsbereich (Tenant) eingeben und verwalten — einschliesslich der Daten Ihrer Kunden, Lieferanten und Mitarbeitenden — sind Sie der Verantwortliche und die Arcaweb Sagl handelt als Auftragsverarbeiter, der diese Daten ausschliesslich auf Ihre Weisung und zur Erbringung des Dienstes verarbeitet.

Mandantenfähige (Multi-Tenant-)Architektur mit logischer Datentrennung: Jedes Unternehmen verfügt über eine dedizierte, isolierte Datenbank.
Wir greifen nur dann auf Ihre Inhaltsdaten zu, wenn dies für die Erbringung, Wartung oder den Support erforderlich ist oder aufgrund einer gesetzlichen Pflicht.
Wir verwenden die Inhaltsdaten Ihres Tenants nicht für eigene Zwecke und verkaufen oder übertragen sie nicht an Dritte.
Auf Anfrage stellen wir einen Auftragsverarbeitungsvertrag (AVV) gemäss Art. 28 DSGVO und Art. 9 DSG zur Verfügung.

Sie bleiben verantwortlich für die Rechtmässigkeit der von Ihnen eingegebenen Daten und für die Einhaltung der Informationspflichten gegenüber Ihren betroffenen Personen.

8. Empfänger und Dienstleister (Unterauftragsverarbeiter)

Zur Erbringung des Dienstes setzen wir ausgewählte Dienstleister ein, die Daten in unserem Auftrag verarbeiten und durch entsprechende Verträge sowie angemessene Sicherheitsgarantien gebunden sind. Die wichtigsten Kategorien sind:

Hosting- und Infrastrukturanbieter für die Speicherung und Verarbeitung der Daten.
Zahlungsdienstleister (Stripe) für die Verwaltung von Abonnements und Transaktionen.
Anbieter transaktionaler E-Mail-Dienste für den Versand von Benachrichtigungen und Servicemitteilungen.

Wir geben Ihre personenbezogenen Daten nicht zu deren eigenen, eigenständigen Zwecken an Dritte weiter. Wir können sie an Behörden weitergeben, sofern dies gesetzlich vorgeschrieben ist oder zum Schutz von Rechten erforderlich ist.

9. Datenübermittlung ins Ausland

Die Daten werden vorrangig in der Schweiz gehostet. Sollten einige Dienstleister Daten ausserhalb der Schweiz oder des Europäischen Wirtschaftsraums verarbeiten, stellen wir sicher, dass die Übermittlung in Länder mit angemessenem Schutzniveau oder auf der Grundlage geeigneter Garantien erfolgt, wie etwa der von der EU-Kommission genehmigten und vom Schweizer EDÖB anerkannten Standardvertragsklauseln (SCC).

10. Aufbewahrungsdauer

Konto- und Inhaltsdaten werden für die gesamte Dauer des Vertragsverhältnisses aufbewahrt.
Nach Beendigung des Dienstes werden Inhaltsdaten innerhalb einer angemessenen Frist (in der Regel 30–90 Tage) gelöscht, sofern keine anderslautende Weisung oder gesetzliche Pflicht besteht; Sie haben die Möglichkeit, sie vor der Löschung zu exportieren.
Abrechnungs- und Buchhaltungsdaten werden für den gesetzlich vorgeschriebenen Zeitraum aufbewahrt (in der Schweiz in der Regel 10 Jahre).
Sicherheitsprotokolle werden für einen begrenzten, dem Zweck angemessenen Zeitraum aufbewahrt.

11. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um Daten vor unbefugtem Zugriff, Verlust, Veränderung oder Offenlegung zu schützen, darunter:

Verschlüsselung der Kommunikation während der Übertragung (TLS/HTTPS).
Hashing von Passwörtern und sichere Verwaltung von Zugangsdaten.
Rollen- und berechtigungsbasierte Zugriffskontrolle mit Token-basierter Authentifizierung.
Trennung und Isolierung der Daten zwischen den verschiedenen Arbeitsbereichen (Multi-Tenant).
Regelmässige Backups und Wiederherstellungsverfahren.

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein hohes Risiko für die Rechte der betroffenen Personen darstellt, informieren wir die zuständigen Behörden und, sofern erforderlich, die betroffenen Personen innerhalb der gesetzlich vorgesehenen Fristen.

12. Ihre Rechte

In Übereinstimmung mit dem DSG und der DSGVO haben Sie das Recht:

auf Ihre personenbezogenen Daten zuzugreifen und eine Kopie davon zu erhalten;
unrichtige oder unvollständige Daten zu berichtigen;
die Löschung der Daten zu verlangen («Recht auf Vergessenwerden»), im Rahmen der gesetzlichen Grenzen;
bestimmte Verarbeitungen einzuschränken oder ihnen zu widersprechen;
Ihre Daten in einem strukturierten, gängigen Format zu erhalten (Datenübertragbarkeit);
eine erteilte Einwilligung jederzeit zu widerrufen;
keiner ausschliesslich auf automatisierter Verarbeitung beruhenden Entscheidung mit erheblichen rechtlichen Auswirkungen unterworfen zu werden.

Zur Ausübung Ihrer Rechte schreiben Sie an info@arcaweb.ch. Wir antworten innerhalb der gesetzlichen Fristen. Sie haben zudem das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei der Aufsichtsbehörde Ihres Wohnsitzstaates.

13. Funktionen der künstlichen Intelligenz

Lema bietet KI-gestützte Funktionen (z. B. Datenimport, Klassifizierung, Texterstellung). Diese Funktionen sind optional und werden auf Ihre Initiative hin aktiviert. Sie werden nicht dazu verwendet, automatisierte Entscheidungen mit rechtlichen Auswirkungen auf Personen ohne menschliches Eingreifen zu treffen. Daten, die gegebenenfalls an solche Funktionen übermittelt werden, werden gemäss den angegebenen Zwecken und mit angemessenen Garantien verarbeitet.

14. Minderjährige

Der Dienst richtet sich an Unternehmen und Fachpersonen und nicht an Minderjährige. Wir erheben nicht wissentlich personenbezogene Daten von Minderjährigen. Wenn Sie der Ansicht sind, dass uns ein Minderjähriger Daten übermittelt hat, kontaktieren Sie uns bitte zwecks Löschung.

15. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, um regulatorischen oder dienstbezogenen Änderungen Rechnung zu tragen. Die aktualisierte Fassung wird stets auf dieser Seite mit dem entsprechenden Datum der letzten Aktualisierung veröffentlicht. Bei wesentlichen Änderungen werden wir in geeigneter Weise darüber informieren.

16. Kontakt

Bei Fragen oder Anliegen zum Datenschutz können Sie den Verantwortlichen kontaktieren:

Arcaweb Sagl — Via Lugano 13, 6982 Agno (Tessin), Schweiz
E-Mail: info@arcaweb.ch
Telefon: +41 (0)79 855 0978