Datenschutzerklärung

1. Wer verantwortlich ist

Alphalink Solutions GmbH, Lindenhof 8, 5430 Wettingen, Schweiz, CHE-263.775.272, Handelsregister Kanton Aargau, ist verantwortlich für die Buzzo-Website, Interessenten und Kundenkonten. Kontakt: E-Mail-Adresse folgt; bis dahin schriftlich an die Postadresse.

Für Vereinsdaten in Buzzo ist der jeweilige Verein verantwortlich. Alphalink verarbeitet diese Daten auf dessen Weisung als Auftragsbearbeiterin (Art. 9 revDSG; Art. 28 DSGVO, soweit anwendbar). Mitglieder und andere betroffene Personen wenden sich zuerst an ihren Verein. Für Inhalte, Impressum und Datenschutzhinweise einer Vereinswebsite ist ebenfalls der Verein verantwortlich.

2. Welche Daten

Wir verarbeiten Kontakt- und Kontodaten, Login- und Sitzungsdaten, Vereins- und Teamdaten, Zahlungsstatus, Bankverbindungen (z. B. IBAN für Spesen), freiwillige AHV-Nummern sowie hochgeladene Ausweiskopien, Fotos, Belege und Verträge. Dazu kommen Galerieaufnahmen, Anmeldungen, Bewerbungen, Newsletter, Posteingang und technische Zugriffs- und Fehlerprotokolle. Daten von Minderjährigen, etwa Junior:innen und deren Eltern, werden im Auftrag des Vereins verarbeitet. Der Verein entscheidet, welche Daten rechtmässig erforderlich sind.

3. Wozu und auf welcher Grundlage

Die Verarbeitung dient dem Betrieb und Schutz der Plattform, der Vereinsverwaltung, Kommunikation, Kundenbetreuung und Abrechnung. Soweit die DSGVO gilt, beruhen eigene Verarbeitungen auf Vertragserfüllung (Art. 6 Abs. 1 lit. b), berechtigten Interessen am sicheren Betrieb (lit. f), gesetzlichen Pflichten (lit. c) oder Einwilligung, soweit für Newsletter oder Analyse erforderlich (lit. a). Bei Vereinsdaten legt der Verein die Rechtsgrundlage fest. Es gibt keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

4. Dienstleister und Datenstandorte

Lovable Cloud (Datenbank, Authentifizierung und Dateispeicher, technisch über Supabase) nutzt für dieses Projekt Europäische Union (Irland, eu-west-1). Die Web-App wird durch Lovable und dessen CDN, einschliesslich Cloudflare, ausgeliefert; die Auslieferung erfolgt über ein internationales Netz. Es besteht keine Zusicherung einer ausschliesslichen Speicherung oder Verarbeitung in der Schweiz. Lovable: Schweden/EU und internationale Dienstleister; Supabase: EU-Hosting und USA; Cloudflare: USA und internationales CDN.

Stripe verarbeitet Zahlungs- und Abrechnungsdaten in der EU/EWR und den USA, teils als eigenständig Verantwortliche. Bexio (Schweiz) erhält Vereinsdaten nur, wenn der Verein sein eigenes Bexio-Konto verbindet; dafür gilt auch dessen Vertrag mit Bexio. Ein E-Mail-Zustelldienst ist noch nicht eingerichtet: Nachrichten werden vorerst in einer geschützten Versandwarteschlange gespeichert. Vor Aktivierung wird der Anbieter samt Land ergänzt.

Die projektseitige Lovable-Besucherstatistik ist aktiviert. Sie dient der Auswertung von Seitenaufrufen. Ob dabei Cookies oder dauerhafte Kennungen gesetzt werden und welche Aufbewahrungsfristen gelten, muss vor dem Livegang anhand der Hosting-Einstellungen bestätigt werden. Falls nicht notwendige Kennungen verwendet werden, wird die Analyse erst nach erforderlicher Einwilligung aktiviert. Schriftarten werden lokal ausgeliefert; es werden keine Google-Fonts-Anfragen gestellt. Daten werden nicht verkauft.

5. Bekanntgabe ins Ausland

Daten können in EU-/EWR-Staaten und in den USA verarbeitet werden (Art. 16 und 19 revDSG). Für anerkannte Staaten gilt die Angemessenheit gemäss Anhang 1 DSV. Bei US-Empfängern wird das Swiss-U.S. Data Privacy Framework nur genutzt, soweit der konkrete Empfänger zertifiziert ist. Andernfalls sind geeignete Garantien erforderlich, insbesondere EU-Standardvertragsklauseln mit Schweizer Anpassungen und gegebenenfalls zusätzlichen Schutzmassnahmen. Die konkreten Vertragsgarantien und Unterauftragsbearbeiter sind vor dem Livegang zu verifizieren; eine Zertifizierung wird hier nicht behauptet.

6. Cookies und lokaler Speicher

Notwendige Sitzungsinformationen ermöglichen Anmeldung und Zugriffsschutz. Der Browser speichert ausserdem die Sprachwahl, die Auswahl im Paketbaukasten und vorübergehende Registrierungsschritte. Diese Komfortdaten können im Browser gelöscht werden; Sitzungsdaten sind für die Anmeldung nötig. Zu Besucherstatistiken siehe Abschnitt 4. Es wird derzeit keine bestätigte Aussage getroffen, dass die Hosting-Analyse vollständig ohne Tracking-Kennungen auskommt.

7. Aufbewahrung

Vereinsdaten bleiben während des aktiven Vertrags und grundsätzlich 90 Tage nach dessen Ende gespeichert; danach werden sie gelöscht, soweit keine gesetzliche Pflicht entgegensteht. Eine dokumentierte Verlängerung durch Buzzo ist möglich. Bewerbungen und Posteingang werden nach Weisung des Vereins gelöscht; dafür existiert keine allgemeine automatische Löschfrist. Buchhaltungsbelege werden bei Alphalink beziehungsweise Stripe grundsätzlich 10 Jahre aufbewahrt (Art. 958f OR). Für technische Hosting-Protokolle gelten Anbieterfristen; deren konkrete Dauer ist noch zu bestätigen und wird vor dem Livegang ergänzt.

8. Sicherheit

Schutzmassnahmen umfassen verschlüsselte Übertragung, Anmeldung, vereinsbezogene Zugriffskontrollen und Rollen sowie private Dateispeicher mit kurzlebigen signierten Links. Öffentlich freigegebene Website-Bilder sind öffentlich abrufbar. Backup-Verfügbarkeit und Wiederherstellungsfristen hängen vom Hosting-Angebot ab und werden vor dem Livegang verifiziert. Kein System kann absolute Sicherheit garantieren.

9. Ihre Rechte

Sie können nach anwendbarem Recht Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit verlangen und Einwilligungen für die Zukunft widerrufen. Wenden Sie sich bei Vereinsdaten zuerst an Ihren Verein, sonst per Post an Alphalink oder, sobald verfügbar, an die oben genannte E-Mail-Adresse. Sie können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, edoeb.admin.ch) und bei anwendbarer DSGVO auch bei einer zuständigen EU-Aufsichtsbehörde beschweren.