Datenschutzerklärung (DSE) — Entwurf (KW41)

Status: ENTWURF, kein fertiger Rechtstext. Basiert auf dem revDSG (in Kraft seit 1.9.2023) und der tatsächlichen technischen Architektur laut BAUPLAN.md/CLAUDE.md — nicht auf Textbausteinen. Trotzdem: vor Livegang durch eine mit revDSG vertraute Person prüfen lassen, besonders den Abschnitt "Bekanntgabe ins Ausland". Die genaue Adresse fehlt noch (siehe Impressum, Florians Zulieferung).

1. Verantwortliche Stelle

Wohlverdient, Florian Wehrli, Adresse siehe Impressum, Schweiz. Kontakt für Datenschutzanliegen: hallo@wohlverdient.ch

2. Welche Daten wir bearbeiten — und wovon bewusst nicht

WOHLVERDIENT ist eine Gifting-Plattform: Firmenkunden ("Tenants") erstellen Geschenk-Links, die Empfänger:innen gegen eine von mehreren kuratierten Feinkost-Boxen einlösen. Diese Rollentrennung bestimmt, wer welche Daten sieht:

Von der Firmenkundschaft (B2B-Konto):

• Name, geschäftliche E-Mail-Adresse, Firmenname — für Login (Magic-Link, kein Passwort), Rechnungsstellung und Support.
• Zahlungsdaten werden nicht bei uns, sondern direkt bei unserem Zahlungsdienstleister Payrexx verarbeitet (Abschnitt 4).

Von Käufer:innen eines Direktkaufs (`/kaufen`, ohne Konto):

• Die beim Checkout angegebene E-Mail-Adresse — ausschliesslich zum Versand einer einmaligen Zahlungsbestätigung (Beleg) nach erfolgreicher Zahlung. Siehe Abschnitt 6 zur Aufbewahrung.

Von Empfänger:innen eines Geschenk-Links:

• Bereits vor jeder Einlösung: die E-Mail-Adresse der Empfänger:in — uns nicht von der Empfänger:in selbst, sondern von der auftraggebenden Firma übermittelt (Datenbeschaffung bei Dritten, revDSG Art. 19). Zweck: Zustellung des Geschenk-Links sowie höchstens drei Erinnerungs-Mails zur Wahl vor Ablauf der Wahlfrist (siehe Abschnitt 6 zur Wahlfrist-Systematik und zur Aufbewahrung dieser Adresse).
• Bei Einlösung: Name und Lieferadresse der gewählten Box — ausschliesslich zum Zweck des Versands.
• Diese Adressdaten (E-Mail wie Lieferadresse) erscheinen nie in der Ansicht der schenkenden Firma, nie in Logs, nie in Auswertungen — die Firma sieht ausschliesslich anonymisierte Aggregate (z. B. "38 von 50 Links eingelöst"). Das ist eine bewusste technische Trennung (nicht nur ein Versprechen): Adressdaten liegen in einer eigenen Datenbanktabelle, auf die kein Tenant-seitiger Code Zugriff hat.
• Eine schmale, begründete Ausnahme davon: Zur Warnung vor der steuerlichen Grenze von CHF 600 pro Kalenderjahr (Lohnausweis, Wegleitung 2026 Rz. 72 — siehe Abschnitt "Gut zu wissen"-Hinweis im Firmenportal) führen wir eine laufende Summe der Geschenkwerte pro Kalenderjahr, gruppiert nach einer maskierten E-Mail-Adresse (z. B. "a•••@beispiel.ch"), nicht nach dem Klarnamen. Diese maskierte Adresse ist die einzige Ausnahme, die einer Firma je etwas Empfänger-Bezogenes zeigt — begründet damit, dass eine Warnung ohne jeden Bezug zur betroffenen Person für die Lohnbuchhaltung wirkungslos wäre. Vollständige Adressdaten bleiben davon unberührt und weiterhin ausschliesslich in der PII-Tabelle.
• Ein optionales Häkchen bei der Einlösung erlaubt eine Bestätigungs-Mail an die von der Empfänger:in selbst eingegebene Adresse.

Bei einer Sammellieferung (mehrere Boxen an dieselbe Adresse): hier gibt es keine Empfänger:in und keine Empfänger-PII — die Firma bestellt an sich selbst, zur Verteilung vor Ort (z. B. Samichlaus, Team-Event). Die einzige gespeicherte Adresse ist die Geschäftsadresse der bestellenden Firma selbst, keine Personendaten Dritter. Diese Adresse wird als Lieferadresse des Firmenkontos gespeichert (wiederverwendbar für künftige Sammellieferungen) und unterliegt nicht der in Abschnitt 6 beschriebenen Löschfrist für Empfängeradressen — sie ist eine Geschäftsangabe der Firmenkundschaft selbst, keine Angabe über eine identifizierbare Drittperson.

Was wir bewusst nicht sammeln:

• Keine Drittanbieter-Cookies, kein Tracking-Pixel, kein Werbenetzwerk. Wir setzen zwei rein funktionale Cookies: wv_session (hält die Anmeldung im Firmenportal aufrecht; nur gesetzt, wenn Sie sich anmelden) und NEXT_LOCALE (merkt sich Ihre Sprachwahl). Beide sind für den Betrieb der Seite erforderlich und deshalb nicht einwilligungspflichtig nach revDSG. Ein Cookie für die Darstellung (hell/dunkel) existiert nicht — die Ansicht richtet sich nach Ihrer Systemeinstellung und der Tageszeit und wird nirgends gespeichert.
• Kein Bonitäts-Scoring, keine Profilbildung.

3. Zwecke der Bearbeitung

• Abwicklung des Geschenk-Kaufs und der Einlösung (Vertragserfüllung).
• Rechnungsstellung an Firmenkunden (gesetzliche Aufbewahrungspflicht, OR Art. 958f: 10 Jahre für Buchhaltungsunterlagen).
• Versand der bestellten Ware an die von der Empfänger:in angegebene Adresse.
• Betrugs-/Missbrauchsprävention (Bot-Schutz bei Einlösung und Login via Cloudflare Turnstile).
• Support-Anfragen.

4. Empfänger:innen der Daten (Auftragsverarbeiter)

Wir setzen folgende Dienstleister ein — jeweils nur mit den für ihren Zweck nötigen Daten:

In Vorbereitung, derzeit nicht aktiv: Wir planen eine eigene, cookielose Reichweitenmessung (Cloudflare Analytics Engine). Sie kommt ohne Cookies und ohne Wiedererkennung aus: erfasst werden ausschliesslich aggregierte Ereignisse (z. B. „Seite geöffnet", „Demo gestartet"), IP-Adressen werden dabei gekürzt und ein täglich wechselnder, nicht rückrechenbarer Zufallswert verhindert, dass Besuche über Tage hinweg verknüpft werden können. Diese Messung ist zum Zeitpunkt Ihres Besuchs abgeschaltet; sobald sie aktiv wird, aktualisieren wir diesen Abschnitt vorher.

5. Bekanntgabe ins Ausland

Cloudflare, Inc. hat ihren Hauptsitz in den USA. Datenbank (D1) und Dateispeicher (R2) sind zusätzlich technisch auf EU-Jurisdiktion konfiguriert (Datenverarbeitung/-speicherung findet in der EU statt) — das mindert das Risiko, ist aber nicht die Rechtsgrundlage der Bekanntgabe: Cloudflare bleibt als US-Unternehmen dem US-Recht unterstellt, was nach geltendem revDSG als grenzüberschreitende Bekanntgabe gilt. Die Rechtsgrundlage dafür ist die aktive Zertifizierung von Cloudflare, Inc. unter dem Swiss-U.S. Data Privacy Framework (im amtlichen Register verifiziert am 20.08.2026, nächste Rezertifizierung fällig 23.09.2026) — nach Art. 16 Abs. 1 DSG i.V.m. Anhang 1 DSV Nr. 44 gilt eine aktive DPF-Zertifizierung als anerkannte Angemessenheitsbasis für die Übermittlung in die USA. Ergänzend sieht die mit Cloudflare bestehende Auftragsbearbeitungsvereinbarung (DPA) eine Erstreckung der EU-Standardvertragsklauseln (SCC) auf Daten aus der Schweiz vor, mit dem EDÖB als Aufsichtsbehörde — das dient als Rückfallebene, sollte die DPF-Zertifizierung künftig wegfallen.

Postmark verarbeitet Daten nicht in der EU — die frühere Fassung dieses Dokuments behauptete das unbelegt und falsch. Recherchestand 20.08.2026 (Quellen: postmarkapp.com/eu-privacy, postmarkapp.com/dpa): Postmark speichert in eigenen Angaben zufolge in US-Rechenzentren (Deft, Chicago, und AWS) und hat "aktuell keine Pläne, Server in der EU hinzuzufügen". Für die grenzüberschreitende Bekanntgabe verweist Postmark auf zwei Mechanismen: eine Selbstzertifizierung unter dem Swiss-U.S. Data Privacy Framework (neben EU-U.S. DPF und der UK-Extension) sowie, ergänzend, eine eigene Auftragsbearbeitungsvereinbarung (DPA) mit Standardvertragsklauseln (SCC) nach EU-Beschluss 2021/914. Das sind grundsätzlich anerkannte Übermittlungsgrundlagen — offen bleibt, ob WOHLVERDIENT diese DPA tatsächlich abgeschlossen und dokumentiert hat (laut AUDIT_2026-08-20_Gesamtpruefung.md §6.4 bislang nicht der Fall). Vor Livegang: DPA mit Postmark tatsächlich abschliessen/ablegen, dann diesen Absatz mit dem Abschlussdatum ergänzen.

Sentry wird in der EU-Region betrieben; eine Bekanntgabe in die USA findet dadurch nicht statt.

6. Aufbewahrungsdauer

• Rechnungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht, OR Art. 958f).
• Empfänger-Adressdaten (Lieferadresse UND die vorab von der Firma übermittelte E-Mail-Adresse, Abschnitt 2): bis zwölf Monate nach dem Versand der Bestellung (shipped_at), danach automatische Anonymisierung. Wurde ein Geschenk-Link nie eingelöst, gilt dieselbe Frist ab dem Versand des Links (bzw. ab dessen Erstellung, wenn er nie per E-Mail versandt wurde) — die Adresse verliert ihren Zweck mit der letzten Erinnerung, nicht erst mit einer Lieferung, die es nie gab. Der Geschenkanspruch selbst bleibt davon unberührt: Er hängt am Link, nicht an Ihrer Adresse, und besteht während mindestens zehn Jahren fort. Ihre Lieferadresse ist nicht Bestandteil unserer Buchhaltungsunterlagen. Der Anker ist bewusst das Versand-/Erstelldatum, nicht die Verjährungsfrist des Gutscheinanspruchs — letztere schützt den Anspruch selbst (der keine Personendaten enthält), nicht die erst mit der Einlösung entstehende Adresse.
• Käufer-E-Mail-Adresse eines Vorabkaufs (D2C-Storefront /kaufen sowie B2B-Bestellungen mit Vorabzahlung): liegt bis zu 10 Tage in einem temporären Warteschlangenspeicher (Cloudflare KV), ausschliesslich um nach erfolgter Zahlung eine einmalige Zahlungsbestätigung zuzustellen und den gemeldeten Zahlungsbetrag gegenzuprüfen — danach automatische Löschung. Kein Bestandteil der dauerhaften Bestelldaten.
• Geschenk-Links tragen keinen Wertverfall. expires_at markiert ausschliesslich das Ende der Wahlfrist ("bitte wähle bis TT.MM.") — danach bleibt der Anspruch bestehen und der Link ist reaktivierbar (expired → opened). Ein echter Terminalzustand (lapsed) tritt erst mit der Verjährung des Anspruchs ein: zehn Jahre ab Versand des Geschenk-Links (Art. 127 OR) — siehe agb.md §4. Erst danach werden mit dem Link verknüpfte Empfänger-Adressdaten im Rahmen der ordentlichen Löschung entfernt, sofern sie nicht schon vorher gemäss der obigen Regel gelöscht wurden.

7. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Bearbeitung Ihrer Daten sowie auf Datenherausgabe (Datenportabilität), soweit das revDSG dies vorsieht. Anfragen an hallo@wohlverdient.ch.

8. Änderungen

Wir passen diese Erklärung an, wenn sich die Datenbearbeitung ändert. Massgeblich ist die zum Zeitpunkt Ihres Besuchs aktuelle Fassung.

Was noch fehlt, bevor das live geht

1. Abschnitt 5 (Bekanntgabe ins Ausland) — für Cloudflare ist die Rechtsgrundlage jetzt verifiziert (Swiss-U.S. DPF, Stand 20.08.2026) und im Text nachgezogen; die Cloudflare-DPA ist im Dashboard noch aktiv zu akzeptieren und als datiertes PDF abzulegen (Florians Aufgabe, RECHTSENTSCHEIDE_ANTWORTEN_2026-08-20.md Teil C5). Für Postmark ist die Übermittlungsgrundlage recherchiert (Swiss-U.S. DPF + SCC-DPA, Stand 20.08.2026) — offen ist nur noch, ob/wann WOHLVERDIENT ein Schweiz-Addendum anfordert und die DPA ablegt (§E13).
2. Aufbewahrungsfristen (Abschnitt 6) — entschieden: zwölf Monate ab shipped_at (RECHTSENTSCHEIDE_ANTWORTEN_2026-08-20.md §E9/§E14) und im Text nachgezogen. Die Wahlfrist-/Verjährungs-Systematik selbst ist bereits Produktentscheid (CLAUDE.md Regel 8); die Verjährungsfrist ist seit 20.08.2026 auf zehn Jahre entschieden (§E3) — die anwaltliche Bestätigung dieser Auslegung steht noch aus (Teil C3).
3. Firmenname/Adresse — identisch mit Impressum, siehe dort.
4. Analytics-Engine-Absatz (Abschnitt 4) beim Scharfschalten von Vorbereitung auf aktiv umstellen (TELEMETRY_DESCRIBED_AS_ACTIVE).