Datenschutzerklärung

Die Angabe von Identität und Kontaktdaten der verantwortlichen Stelle verlangt Art. 19 Abs. 2 lit. a DSG. Der Betrieb erfolgt in der Schweiz; das schweizerische Datenschutzgesetz ist anwendbar. Soweit im Einzelfall zusätzlich die europäische Datenschutz-Grundverordnung anwendbar ist, gelten die hier beschriebenen Rechte sinngemäss.

2. Übersicht: vier getrennte Bearbeitungen

Wir halten vier Bearbeitungen auseinander, weil sie unterschiedlichen Regeln folgen:

• A — Registerdaten. Angaben aus amtlichen Publikationen des Schweizerischen Handelsamtsblatts, darunter Namen von Organen und Zeichnungsberechtigten. Das sind Personendaten, sobald sie sich auf natürliche Personen beziehen.
• B — Kundendaten. Angaben der Personen, die ein Konto führen, ein Abonnement bezahlen oder die Schnittstelle nutzen.
• C — Nutzungsdaten der Website. Serverprotokolle und eine eigene, sparsame Reichweitenmessung.
• D — Kontaktanfragen. Angaben, die eine Person über das Kontaktformular übermittelt.

3. A — Personendaten aus dem Handelsregister

Welche Daten

Zu natürlichen Personen bearbeiten wir ausschliesslich das, was im Handelsregister zu ihrer Funktion publiziert wird: Name und Vorname, gegebenenfalls Bürgerort oder Staatsangehörigkeit und die publizierte Wohnsitzgemeinde, die Funktion in der Rechtseinheit, die Art der Zeichnungsberechtigung, Beginn und Ende der Eintragung sowie die Rechtseinheiten, bei denen die Person eingetragen ist oder war. Dazu kommt die Publikation selbst mit Datum und Meldungsnummer.

Herkunft

Die Daten stammen nicht von den betroffenen Personen, sondern aus den Publikationen des Schweizerischen Handelsamtsblatts, abgerufen über die öffentliche Schnittstelle des Amtsblattportals. Wir kaufen keine Personendaten zu und verwenden keine Adressbestände Dritter. Die Herkunft ist unter Datenquellen im Einzelnen beschrieben; diese Angabe schuldet Art. 25 Abs. 2 lit. e DSG ohnehin jeder betroffenen Person auf Verlangen.

Zweck

Zweck ist die Herstellung der Registertransparenz, die das Gesetz selbst will: Wer mit einer Gesellschaft Geschäfte macht, soll wissen, wer für sie handeln darf und in welchem Zustand sie sich befindet. Daraus folgen unsere vier Anwendungen — gefilterte Publikationsübersichten, Überwachung eigener Kunden- und Lieferantenportfolios, Prüfung von Geschäftspartnern über die Schnittstelle sowie öffentliche Firmenprofilseiten.

Rechtsgrundlage

Private bearbeiten Personendaten nicht aufgrund einer gesetzlichen Ermächtigung, sondern innerhalb der Schranken von Art. 6 und Art. 30 f. DSG. Unsere Bearbeitung stützt sich auf zwei Punkte:

• Überwiegendes privates und öffentliches Interesse (tragender Grund). Nach Art. 31 Abs. 1 DSG ist eine Persönlichkeitsverletzung gerechtfertigt, wenn ein überwiegendes privates oder öffentliches Interesse vorliegt. Das öffentliche Interesse ist hier dasselbe, das den Gesetzgeber zur Registeröffentlichkeit bewogen hat: Verkehrsschutz und Gläubigerschutz. Das private Interesse ist jenes der Nutzenden, die vor einem Vertragsabschluss wissen wollen, mit wem sie es zu tun haben. Auf diesen Grund stützt sich unsere Bearbeitung in erster Linie.
• Allgemein zugänglich gemachte Daten (nachgeordnet). Nach Art. 30 Abs. 3 DSG liegt in der Regel keine Persönlichkeitsverletzung vor, wenn die betroffene Person die Daten selbst allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat. Wir stützen uns darauf nur nachgeordnet und mit einem Vorbehalt: Bei Organdaten macht die Registerbehörde die Angaben öffentlich, nicht die Person selbst. Das Bundesverwaltungsgericht hat im Verfahren A-4232/2015 zudem festgehalten, dass die Herkunft aus öffentlichen Registern für die datenschutzrechtliche Beurteilung unerheblich ist. Unsere Bearbeitung wäre deshalb auch dann gerechtfertigt, wenn man Art. 30 Abs. 3 DSG hier nicht anwenden wollte — sie steht auf Art. 31 Abs. 1 DSG.

Diese Rechtfertigung trägt nur so weit, wie die Bearbeitung dem Registerzweck dient. Das Urteil des Bundesverwaltungsgerichts A-4232/2015 vom 18. April 2017 zeigt die Grenze: Sobald ein Auskunftsdienst Registerangaben mit Angaben zur privaten Lebenssituation verknüpft, entsteht ein Persönlichkeitsprofil, und das rein finanzielle Interesse des Betreibers vermag das Interesse der Betroffenen nicht mehr zu überwiegen. Wir halten deshalb bewusst Abstand von dieser Grenze.

Was wir ausdrücklich nicht tun

Information der betroffenen Personen

Art. 19 Abs. 1 DSG verlangt die Information auch dann, wenn Daten nicht bei der betroffenen Person beschafft werden. Da wir die Publikationen aller im Handelsregister eingetragenen Rechtseinheiten auswerten, ist eine individuelle Benachrichtigung jeder eingetragenen Person nicht mit verhältnismässigem Aufwand möglich; wir berufen uns insoweit auf Art. 20 Abs. 2 lit. b DSG. Die Information erfolgt stattdessen über diese Seite und über die Seite Datenquellen, die von jedem Firmenprofil aus verlinkt ist. Beide Seiten sind für Suchmaschinen zugänglich, damit sie auffindbar sind — das Bundesverwaltungsgericht hat die Auffindbarkeit über Suchmaschinen ausdrücklich als transparenzfördernd gewertet.

Richtigkeit

Nach Art. 6 Abs. 5 DSG müssen wir uns über die Richtigkeit der Daten vergewissern und angemessene Massnahmen treffen, damit unrichtige Daten berichtigt oder gelöscht werden. Wir prüfen den Bestand laufend stichprobenweise gegen die Primärquelle, protokollieren jeden Abgleich und korrigieren erkannte Abweichungen ohne besonderes Gesuch. Im Fall Moneyhouse hielt das Bundesverwaltungsgericht für einen deutlich weiter reichenden Bestand eine Überprüfung im Verhältnis von fünf Prozent zu den getätigten Abfragen für angemessen; das Gericht hat diese Quote allerdings nicht als allgemeinen Massstab festgelegt.

4. B — Daten der Kundschaft

Für Konto, Abonnement und Rechnungsstellung bearbeiten wir Name, geschäftliche E-Mail-Adresse, Firma und Rechnungsadresse, die gewählten Filter, Überwachungslisten und Schnittstellenschlüssel sowie Nutzungszähler und Zustellprotokolle. Rechtsgrundlage ist die Abwicklung des Vertrags (Art. 31 Abs. 2 lit. a DSG); ohne diese Daten kann der Dienst nicht erbracht werden.

Überwachungslisten sind besonders heikel, weil sie zeigen, für welche Geschäftspartner sich eine Kundin interessiert. Wir werten sie nicht aus, geben sie nicht weiter und verwenden sie nicht zu Werbezwecken. Soweit eine Kundin über ihre Liste Personendaten Dritter bei uns bearbeiten lässt, ist sie dafür verantwortliche Stelle und wir sind Auftragsbearbeiter im Sinne von Art. 9 DSG; die Einzelheiten regeln die AGB.

5. C — Nutzung der Website

Beim Aufruf der Seiten fallen technische Serverprotokolle an: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, Browserkennung. Sie dienen dem Betrieb, der Fehlersuche und der Abwehr von Missbrauch und werden nach spätestens 90 Tagen gelöscht.

Zur Reichweitenmessung führen wir eine eigene, sparsame Zählung. Erfasst werden je Ereignis: ein gehashter Besucherwert, der aufgerufene Pfad, der verweisende Pfad und der Name des Ereignisses. Bei angemeldeten Personen wird zusätzlich das Konto vermerkt, damit wir erkennen, welche Funktionen tatsächlich genutzt werden und wo Nutzende hängen bleiben. Zweck ist die Verbesserung von Produkt und Preisgestaltung; Rechtsgrundlage ist unser überwiegendes Interesse an einem funktionierenden Angebot nach Art. 31 Abs. 1 DSG. Diese Daten werden nach 90 Tagen automatisch gelöscht. Wir setzen keine Werbe-Cookies, betreiben kein Tracking über fremde Netzwerke, speichern keine IP-Adressen im Klartext und geben keine Nutzungsdaten an Werbedienstleister weiter. Für die Anmeldung wird ein technisch notwendiges Sitzungs-Cookie gesetzt.

6. D — Kontaktanfragen

Wer das Kontaktformular verwendet, übermittelt Name, E-Mail-Adresse, gewähltes Thema und Nachricht. Wir bearbeiten diese Angaben ausschliesslich, um die Anfrage zu prüfen und zu beantworten. Bei Support- und vorvertraglichen Fragen ist die Bearbeitung für die gewünschte Leistung erforderlich; bei Datenschutz- und Berichtigungsanliegen dient sie der Prüfung und Erfüllung der geltend gemachten Rechte. Die Angaben werden nicht für Werbung verwendet.

Das Formular sendet die Nachricht über Resend an ein privates Postfach der Betreiberin. Resend erhält dafür die Absenderadresse und den Nachrichteninhalt. Ein Ratenzähler speichert zur Missbrauchsabwehr nur einen gekürzten, nicht rückrechenbaren HMAC der Absender-IP und wird nach zwei Tagen entfernt.

7. Aufbewahrungsdauer

Nach Art. 6 Abs. 4 DSG werden Daten vernichtet oder anonymisiert, sobald der Zweck sie nicht mehr verlangt.

• Registerdaten zu Rechtseinheiten: dauerhaft. Das Gesetz verlangt in Art. 936 Abs. 4 OR selbst, dass Änderungen im Handelsregister chronologisch nachvollziehbar bleiben; eine Historie ohne Vergangenheit wäre wertlos.
• Angaben zu natürlichen Personen als Organ: solange die Person eingetragen ist, und danach zehn Jahre. Nach Ablauf dieser Frist werden die Personenangaben aus den öffentlichen Profilen entfernt; die Publikation selbst bleibt als amtliches Dokument unverändert.
• Kundendaten: solange das Konto besteht. Bei einer Kontolöschung entfernen wir Konto, Firmenliste und Konfiguration aus den aktiven Systemen. Abrechnungs- und Belegdaten bewahren wir nur so lange auf, wie die handelsrechtliche Pflicht nach Art. 958f OR dies verlangt. Sicherungskopien werden im normalen Sicherungszyklus überschrieben.
• Serverprotokolle: 90 Tage.
• Kontaktanfragen: bis das Anliegen abgeschlossen ist und danach nur so lange, wie dies zur Dokumentation oder zur Abwehr und Durchsetzung von Ansprüchen erforderlich ist. Das technische Versandprotokoll ohne Nachrichteninhalt wird nach zwölf Monaten automatisch gelöscht.
• Sperrliste: unbefristet, aber auf das Minimum beschränkt. Wer der Bearbeitung widersprochen hat, wird in einer Sperrliste geführt, damit die Angabe nicht bei der nächsten Publikation erneut in den Bestand gelangt. Die Sperrliste enthält nur, was zu diesem Zweck nötig ist.

8. Auftragsbearbeiter

Wir setzen Auftragsbearbeiter im Sinne von Art. 9 DSG ein. Sie bearbeiten Daten nur so, wie wir es selbst dürften, sind vertraglich gebunden und dürfen ohne unsere vorgängige Genehmigung keine weiteren Dritten beiziehen.

9. Bekanntgabe ins Ausland

Soweit Auftragsbearbeiter Daten ausserhalb der Schweiz bearbeiten, stützen wir uns auf Art. 16 DSG. Für Staaten, die der Bundesrat in Anhang 1 der Datenschutzverordnung als Staaten mit angemessenem Datenschutz aufführt, genügt diese Feststellung; das trifft namentlich auf die Mitgliedstaaten des Europäischen Wirtschaftsraums zu. Für die Vereinigten Staaten gilt ein angemessenes Schutzniveau nach demselben Anhang für Personendaten, die von Organisationen bearbeitet werden, welche nach den Grundsätzen des Datenschutzrahmens zwischen der Schweiz und den USA zertifiziert sind. Bei allen übrigen Empfängern sichern wir das Schutzniveau über Standarddatenschutzklauseln nach Art. 16 Abs. 2 lit. d DSG.

Die öffentlichen Firmenprofile sind weltweit abrufbar. Das ist keine Bekanntgabe ins Ausland: Art. 18 DSG hält ausdrücklich fest, dass die allgemein zugängliche Veröffentlichung von Personendaten zur Information der Öffentlichkeit auch dann nicht als Bekanntgabe ins Ausland gilt, wenn die Daten vom Ausland aus zugänglich sind.

10. Rechte der betroffenen Personen

Auskunft

Jede Person kann Auskunft darüber verlangen, ob wir Personendaten über sie bearbeiten (Art. 25 Abs. 1 DSG). Die Auskunft ist kostenlos (Art. 25 Abs. 6 DSG) und wird in der Regel innert 30 Tagen erteilt (Art. 25 Abs. 7 DSG). Sie umfasst insbesondere die bearbeiteten Daten, den Zweck, die Aufbewahrungsdauer, die verfügbaren Angaben zur Herkunft und die Empfängerkategorien.

Gesuch über das Datenschutzformular oder schriftlich an die oben genannte Adresse. Damit wir nicht Daten an die falsche Person herausgeben, bitten wir um Angaben, die eine Zuordnung erlauben — bei Organen genügen in der Regel Name, Geburtsdatum und die betroffene Rechtseinheit. Zusätzliche Ausweisdokumente verlangen wir nur, wenn begründete Zweifel an der Identität bestehen; sie werden nach der Prüfung sofort gelöscht.

Berichtigung

Unrichtige Daten werden auf Verlangen berichtigt (Art. 32 Abs. 1 DSG). Weicht unsere Darstellung von der amtlichen Publikation ab, korrigieren wir sie ohne weitere Voraussetzung. Ist die Publikation selbst unrichtig, muss die Berichtigung beim Handelsregisteramt des Sitzkantons erwirkt werden; wir übernehmen sie anschliessend automatisch. Lässt sich weder Richtigkeit noch Unrichtigkeit feststellen, bringen wir auf Verlangen einen Bestreitungsvermerk an (Art. 32 Abs. 3 DSG). Das Verfahren ist unter Datenquellen Schritt für Schritt beschrieben.

Löschung und Widerspruch

Eine Person kann verlangen, dass eine bestimmte Bearbeitung unterbleibt, dass eine Bekanntgabe an Dritte untersagt oder dass Daten gelöscht werden (Art. 32 Abs. 2 DSG). Wir behandeln solche Gesuche innert 30 Tagen und entfernen die betreffenden Angaben aus den öffentlichen Profilen, sofern nicht ein überwiegendes Interesse entgegensteht; in diesem Fall begründen wir den Entscheid schriftlich und nennen den Rechtsweg.

Eine Einschränkung ist unvermeidlich und soll offen gesagt sein: Wir können die amtliche Publikation nicht aus der Welt schaffen. Der Handelsregistereintrag bleibt öffentlich, unabhängig davon, was wir anzeigen. Und wir können auch nicht beeinflussen, wie schnell Suchmaschinen eine bei uns gelöschte Seite aus ihrem Index entfernen; die Löschung im eigenen Herrschaftsbereich genügt nach dem erwähnten Urteil des Bundesverwaltungsgerichts.

Datenherausgabe und Übertragung

Wer uns Daten selbst bekannt gegeben hat — also unsere Kundschaft — kann deren Herausgabe in einem gängigen elektronischen Format verlangen (Art. 28 DSG). Überwachungslisten und Feed-Konfigurationen lassen sich jederzeit als CSV beziehen.

Beschwerde

Wer mit unserem Entscheid nicht einverstanden ist, kann Klage nach Art. 32 Abs. 2 DSG erheben oder sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wenden, Feldeggweg 1, 3003 Bern.

11. Datensicherheit und Meldung von Vorfällen

Wir treffen technische und organisatorische Massnahmen, die dem Risiko angemessen sind (Art. 8 DSG): Verschlüsselung der Übertragung, Zugriffsbeschränkung nach dem Prinzip der geringsten Rechte, Protokollierung administrativer Zugriffe, getrennte Umgebungen für Entwicklung und Betrieb sowie regelmässige Sicherungen. Eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte führt, melden wir dem EDÖB so rasch als möglich und informieren die betroffenen Personen, wenn dies zu ihrem Schutz erforderlich ist (Art. 24 DSG).

12. Verzeichnis der Bearbeitungstätigkeiten

Wir führen ein Verzeichnis unserer Bearbeitungstätigkeiten mit dem Inhalt nach Art. 12 Abs. 2 DSG. Es wird aktuell gehalten und der Aufsichtsbehörde auf Verlangen vorgelegt. Auf die Ausnahme für Unternehmen mit weniger als 250 Mitarbeitenden nach Art. 12 Abs. 5 DSG berufen wir uns nicht, weil unsere Bearbeitung eine grosse Zahl betroffener Personen erfasst.

13. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Bearbeitung oder die Rechtslage ändert. Massgebend ist die jeweils auf dieser Seite veröffentlichte Fassung mit dem oben genannten Stand.

Quellen