Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung ist: Kuster Cyber Security, Lörenstrasse 12, 9230 Flawil, Schweiz. E-Mail: [email protected]. Bei Fragen zum Datenschutz erreichen Sie uns auch über unser Kontaktformular.

2. Öffentliche Signaturprüfung — keine Übermittlung an unsere Server

Die kontolose Signaturprüfung («Prüfung») verarbeitet das von Ihnen ausgewählte Dokument ausschliesslich lokal in Ihrem Browser: Signatur, Zeitstempel und QR-Code werden dort geprüft, ohne dass der Dateiinhalt an unsere Server übertragen wird. Zur Online-Verifikation wird lediglich der SHA-256-Hash des Dokuments — nicht dessen Inhalt — an unseren Server übermittelt, um es im System zu identifizieren. Das Dokument selbst wird nur dann hochgeladen, wenn Sie explizit einen Diff-Vergleich zur Manipulationserkennung anfordern.

3. Angemeldete Nutzung — welche Daten wir bearbeiten

Sobald Sie ein Konto erstellen, Dokumente hochladen, signieren oder zur Unterschrift versenden, verarbeiten und speichern wir folgende Daten auf unseren Servern:

• Kontodaten: E-Mail-Adresse, Anzeigename, Spracheinstellung.
• Telefonnummer, sofern für die Identitätsprüfung bei privaten E-Mail-Adressen verifiziert (siehe Ziffer 5).
• Ihre hochgeladenen Dokumente sowie die daraus erstellten signierten Fassungen.
• Ihre gespeicherte Unterschrift bzw. Ihr Firmenstempel (als Bild) sowie das für die kryptographische Signatur erzeugte Schlüsselpaar.
• Rechnungsadresse (Name/Firma, Strasse, PLZ, Ort, Land, Kostenstelle), sofern hinterlegt.
• Bei Einladung eines Unterzeichners: dessen E-Mail-Adresse, eine optionale Nachricht, sowie — falls die Telefonverifizierung aktiviert ist — dessen Telefonnummer.
• Technische Protokolldaten (z. B. Zeitpunkt von An- und Abmeldungen) zur Fehlerdiagnose und Missbrauchsprävention, aufbewahrt für maximal 90 Tage.

4. Zweck der Bearbeitung und Rechtsgrundlage

Wir bearbeiten diese Daten, um:

• Ihnen die vertraglich vereinbarte Signatur- und Prüffunktion bereitzustellen (Vertragserfüllung).
• Rechnungen zu stellen und gesetzliche Aufbewahrungspflichten im Finanz- und Steuerbereich einzuhalten (rechtliche Verpflichtung).
• Die Identität von Unterzeichnern nachvollziehbar zu machen, was für die Rechtsgültigkeit einer fortgeschrittenen elektronischen Signatur (FES/AdES) erforderlich ist (Vertragserfüllung und rechtliche Verpflichtung).
• Missbrauch zu erkennen und zu verhindern sowie den Betrieb sicher und funktionsfähig zu halten (berechtigtes Interesse).
• Die Nutzung unserer Applikation anonymisiert bzw. datensparsam auszuwerten, um sie zu verbessern (berechtigtes Interesse, siehe Ziffer 8 zu Analyse-Diensten).

5. Telefonverifizierung

Bei E-Mail-Adressen öffentlicher Anbieter (z. B. @gmail.com, @hotmail.com) verlangen wir zusätzlich eine per SMS-Code verifizierte Telefonnummer, da die Identität sonst nicht ausreichend nachweisbar wäre — eine Firmen-E-Mail-Adresse belegt die Identität bereits selbst. Die Telefonnummer wird ausschliesslich zu diesem Zweck verwendet.

6. Empfänger und Auftragsverarbeiter

Zur Erbringung unserer Dienstleistung setzen wir folgende Dienstleister ein, die in unserem Auftrag oder als eigenständig Verantwortliche Daten bearbeiten:

• Unser E-Mail-Versanddienst, zum Versand von Anmelde-Codes, Einladungen und Benachrichtigungen (Empfänger-Adresse und Nachrichteninhalt).
• BudgetSMS, zum Versand des SMS-Verifizierungscodes (Telefonnummer und Code).
• FreeTSA, ein unabhängiger Zeitstempeldienst, der für jede Signatur einen kryptographischen Zeitstempel ausstellt. Übermittelt wird ausschliesslich ein Hashwert des Dokuments — niemals der Dokumentinhalt selbst.
• counter.dev, ein datensparsamer Analyse-Dienst zur Auswertung von Seitenaufrufen (siehe Ziffer 8).

Wir verkaufen Ihre Daten nicht und geben sie nicht zu Werbezwecken an Dritte weiter.

7. Internationale Datenübermittlung

Einzelne der oben genannten Dienstleister können Daten ausserhalb der Schweiz und des Europäischen Wirtschaftsraums bearbeiten. In diesem Fall stellen wir, soweit gesetzlich erforderlich, geeignete Garantien sicher (z. B. Standardvertragsklauseln oder eine Angemessenheitsentscheidung).

8. Cookies und Analyse

Wir setzen ein technisch notwendiges Session-Cookie ein, damit Sie angemeldet bleiben — dieses ist für den Betrieb der Applikation erforderlich und nicht abschaltbar. Ausserhalb dessen verwenden wir keine Marketing- oder Tracking-Cookies.

Für anonymisierte Seitenaufruf-Statistiken nutzen wir counter.dev, einen Analyse-Dienst, der ohne Cookies arbeitet und keine individuellen Besucherprofile erstellt.

9. Aufbewahrungsdauer

Wir bewahren Ihre Daten so lange auf, wie es für die genannten Zwecke oder aufgrund gesetzlicher Aufbewahrungspflichten (insbesondere im Rechnungswesen) erforderlich ist.

Löschen Sie ein Dokument aus Ihrer Ablage, bleibt die signierte Datei aus technischen Gründen weiterhin abrufbar, solange deren QR-Code oder Prüfbericht öffentlich verifizierbar bleiben soll — eine digitale Signatur muss dauerhaft nachprüfbar bleiben, auch wenn das Dokument aus Ihrer persönlichen Übersicht entfernt wurde. Eine vollständige Löschung von Konto und Dokumenten ist derzeit über eine Support-Anfrage (siehe Ziffer 10) möglich.

10. Ihre Rechte

Sie haben das Recht, Auskunft über die von uns bearbeiteten Daten zu verlangen sowie deren Berichtigung, Löschung, Einschränkung der Bearbeitung oder Herausgabe in einem gängigen Format zu verlangen. Zudem können Sie einer Bearbeitung, die auf einem berechtigten Interesse beruht, widersprechen.

Zur Ausübung dieser Rechte oder für eine Kontolöschung kontaktieren Sie uns bitte über unser Kontaktformular oder per E-Mail an [email protected]. Sie haben zudem das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder, sofern die DSGVO anwendbar ist, bei der für Sie zuständigen Aufsichtsbehörde einzureichen.

11. Datensicherheit

Die Übertragung erfolgt verschlüsselt über HTTPS. Dokumente werden, sofern serverseitig aktiviert, zusätzlich verschlüsselt abgelegt. Wir verzichten bewusst auf klassische Passwörter — die Anmeldung erfolgt über einen zeitlich begrenzten Einmal-Code.

12. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, um sie an geänderte Rechtslagen oder an Änderungen der Applikation anzupassen. Massgeblich ist die zum Zeitpunkt Ihres Besuchs veröffentlichte Fassung.