Datenschutzerklärung

Stand: 16. Oktober 2026

1. Verantwortliche Stelle

Verantwortlich für die Bearbeitung von Personendaten auf dieser Website und auf der Plattform Aruven ist:

Philippe Tschumi
Büntackerstrasse 9
4566 Kriegstetten
E-Mail: [email protected]

Diese Erklärung folgt dem Schweizer Datenschutzgesetz (DSG). Soweit die Datenschutz-Grundverordnung der EU (DSGVO) auf einzelne Bearbeitungen anwendbar ist, stützen wir uns auf Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertrag) und lit. f (berechtigte Interessen) DSGVO.

2. Zwei Rollen: Plattform und Kundenwebsites

Aruven ist eine Plattform, auf der unsere Kundinnen und Kunden («Mandanten») eigene Websites, Shops und Anwendungen betreiben. Für die Daten der Besucherinnen und Besucher dieser Kundenwebsites ist der jeweilige Mandant verantwortlich; wir bearbeiten diese Daten in seinem Auftrag als Auftragsbearbeiter. Diese Erklärung beschreibt, was wir selbst auf manage.aruven.cloud und in der Verwaltung der Plattform bearbeiten.

3. Welche Daten wir bearbeiten

Besuch der Website

Beim Aufruf einer Seite verarbeiten unsere Systeme technisch notwendige Angaben: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser und Betriebssystem, verweisende Seite. Sie dienen der Auslieferung der Seite, der Sicherheit (zum Beispiel Abwehr von Angriffen, Begrenzung von Anfragen) und der Fehlersuche. Protokolldaten werden nur so lange aufbewahrt, wie es dafür nötig ist, und danach gelöscht.

Konto und Anmeldung

Wer die Plattform verwaltet, hat ein Konto mit Name, E-Mail-Adresse und Anmeldemitteln (Passwort als Hash, Passkeys, Authenticator-App oder E-Mail-Codes). Wir protokollieren sicherheitsrelevante Vorgänge wie Anmeldungen, Änderungen an Anmeldemitteln und Einstellungen mit Zeitpunkt und IP-Adresse. Bei einer Anmeldung über Google, Microsoft oder Apple erhalten wir vom Anbieter eine Kennung, Ihren Namen und Ihre E-Mail-Adresse; der Anbieter erfährt, dass Sie sich bei Aruven anmelden.

Inhalte und Einstellungen

Alles, was Mandanten auf der Plattform anlegen (Seiten, Medien, Produkte, Termine, Einstellungen), bearbeiten wir, um die Plattform zu betreiben. Zugriff haben die berechtigten Personen des Mandanten und, wo es für Betrieb und Support nötig ist, wir.

Zahlungen

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe Ltd., Dublin, Irland). Kartendaten werden direkt bei Stripe eingegeben und erreichen unsere Systeme nicht. Wir erhalten den Zahlungsstatus, den Betrag und eine Referenz.

E-Mails

Anmeldecodes, Einladungen, Benachrichtigungen und Antworten auf Anfragen versenden wir über Mailjet (Sinch Mailjet SAS, Paris, Frankreich). Mailjet erhält dafür die Empfängeradresse und den Inhalt der Nachricht.

Statistik

Besuche auf dieser Website zählen wir mit einer eigenen, cookiefreien Statistik. Sie speichert keine IP-Adresse; Besuchende werden pro Tag über einen nicht umkehrbaren Hash aus Sitzung, Browser und Sprache gezählt und am nächsten Tag neu. Rohdaten werden nach 90 Tagen zu Tageswerten zusammengefasst. Signale wie «Do Not Track» und «Global Privacy Control» werden beachtet. Google Analytics wird nur geladen, wenn es auf dieser Website aktiviert ist und Sie in der Kategorie «Statistik» eingewilligt haben; die Einwilligung können Sie jederzeit über «Datenschutz-Einstellungen» ändern.

4. Cookies und lokaler Speicher

Wir setzen nur technisch notwendige Cookies: ein Sitzungscookie nach der Anmeldung, kurzlebige Cookies zum Schutz der Anmeldung über Drittanbieter sowie den Nachweis Ihrer Einwilligungsentscheidung. Im lokalen Speicher des Browsers bleiben Darstellungseinstellungen wie das gewählte Farbschema. Marketing-Cookies setzen wir nicht.

5. Hosting, Auftragsbearbeiter und Übermittlung ins Ausland

Die Plattform wird auf eigener Infrastruktur in der Schweiz betrieben. Folgende Dienstleister bearbeiten Daten in unserem Auftrag:

Cloudflare, Inc. (USA): Schutz, Beschleunigung und Zwischenspeicherung der Websites; dabei werden Verbindungsdaten wie die IP-Adresse verarbeitet. Cloudflare ist unter dem Swiss-U.S. Data Privacy Framework zertifiziert.
Microsoft Azure (Region Schweiz Nord): Verwahrung von Schlüsseln und Sicherungskopien.
Sinch Mailjet SAS (Frankreich): Versand von E-Mails.
Stripe Payments Europe Ltd. (Irland): Zahlungsabwicklung.
Google, Microsoft, Apple: nur bei Anmeldung über den jeweiligen Anbieter.

Wo Daten in Länder ohne angemessenen Datenschutz gelangen können, stützen wir die Übermittlung auf die Zertifizierung des Anbieters unter dem Data Privacy Framework oder auf die Standardvertragsklauseln der EU, ergänzt für die Schweiz.

6. Aufbewahrung

Kontodaten bewahren wir auf, solange das Konto besteht. Nach einer Löschung werden die Daten entfernt; Sicherungskopien werden nach spätestens 35 Tagen überschrieben. Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben vorbehalten. Einwilligungsnachweise bewahren wir so lange auf, wie wir die Einwilligung belegen müssen.

7. Sicherheit

Verbindungen sind verschlüsselt (TLS). Zugangsdaten und Geheimnisse werden verschlüsselt gespeichert, Passwörter nur als Hash. Die Anmeldung kann mit Passkeys oder einem zweiten Faktor geschützt werden; Zugriffe auf die Verwaltung werden protokolliert.

8. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Personendaten, auf Berichtigung, Löschung und Herausgabe in einem gängigen Format sowie das Recht, einer Bearbeitung zu widersprechen oder eine Einwilligung zu widerrufen. Wenden Sie sich dafür an [email protected]. Sie können sich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden; in der EU an die für Sie zuständige Aufsichtsbehörde.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die Bearbeitung oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung.