Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Bearbeitung von Personendaten im Sinne des schweizerischen Datenschutzgesetzes (DSG) ist:

2. Grundsätze der Datenbearbeitung

Wir bearbeiten Personendaten nach den Grundsätzen von Art. 6 DSG:

• Rechtmässigkeit: Bearbeitung nur gestützt auf einen gesetzlichen Rechtfertigungsgrund
• Verhältnismässigkeit und Datensparsamkeit: Nur Daten, die für den jeweiligen Zweck erforderlich sind
• Zweckbindung: Daten werden nur für den bei der Erhebung angegebenen Zweck verwendet
• Transparenz: Datenbearbeitungen sind für betroffene Personen erkennbar
• Richtigkeit: Wir stellen die Richtigkeit der Daten sicher und ermöglichen deren Berichtigung
• Datensicherheit: Angemessene technische und organisatorische Massnahmen (Art. 8 DSG)

3. Kategorien bearbeiteter Personendaten

Wir bearbeiten folgende Kategorien von Personendaten:

3.1 Registrierungsdaten

• E-Mail-Adresse
• Benutzername
• Passwort (verschlüsselt gespeichert, bcrypt-Hash)

3.2 Profildaten (freiwillig)

• Vor- und Nachname
• Profilbild
• Wohnort (Stadt, Kanton)
• Biografischer Text

3.3 Verifizierungsdaten

• Telefonnummer (SMS-Verifizierung)
• TWINT-Referenz (Zahlungsverifizierung)
• Ausweisfoto (ID-Verifizierung – wird nach Prüfung gelöscht, vgl. Ziffer 9)

3.4 Inseratsdaten

• Titel, Beschreibung, Kategorie, Zustand
• Fotos und Videos
• Preis und Lieferoption
• Standort (Stadt, Kanton, optionale GPS-Koordinaten)
• Fahrzeugdaten (bei Fahrzeuginseraten): Marke, Modell, Jahrgang, km-Stand etc.

3.5 Transaktionsdaten

• Kauf- und Verkaufshistorie
• Zahlungsinformationen (verarbeitet durch Stripe, nicht bei uns gespeichert)
• Lieferadressen (bei Versand)
• IBAN oder TWINT-Nummer (für Auszahlungen)
• Wallet-Guthaben und -Transaktionen

3.6 Kommunikationsdaten

• Chatnachrichten zwischen Nutzern
• Support-Anfragen

3.7 Nutzungsdaten

• Aufgerufene Inserate und Suchanfragen (für Feed-Personalisierung)
• Gerätetyp, Betriebssystem, Browser
• IP-Adresse (für Sicherheit und Missbrauchsschutz)
• Zeitstempel von Zugriffen

3.8 Bewertungs- und Vertrauensdaten

• Abgegebene und erhaltene Bewertungen
• Gued-Score und Verifizierungsstatus
• Meldungen und Reports

4. Rechtsgrundlagen der Bearbeitung

Wir bearbeiten Personendaten gestützt auf folgende Rechtsgrundlagen des DSG:

• Vertragsdurchführung (Art. 31 Abs. 2 lit. a DSG): Bearbeitung zur Erfüllung des Nutzungsvertrags (Registrierung, Inserate, Transaktionen, Zahlungsabwicklung)
• Einwilligung (Art. 31 Abs. 1 DSG): Für Push-Benachrichtigungen, Marketing-E-Mails und optionale Datenbearbeitungen. Die Einwilligung kann jederzeit widerrufen werden.
• Überwiegende Interessen (Art. 31 Abs. 2 lit. a DSG): Betrugsschutz, Plattformsicherheit, Feed-Personalisierung, Verbesserung der Dienste
• Gesetzliche Pflichten (Art. 31 Abs. 2 lit. b DSG): Aufbewahrung von Transaktionsdaten gemäss handels- und steuerrechtlichen Vorgaben

5. Zweck der Datenbearbeitung

Wir bearbeiten Personendaten für folgende Zwecke:

• Plattformbetrieb: Bereitstellung, Wartung und Verbesserung der Dienste
• Authentifizierung: Anmeldung, Session-Verwaltung, Kontosicherheit
• Transaktionen: Abwicklung von Käufen, Zahlungen, Escrow, Auszahlungen
• Betrugsschutz: Erkennung und Prävention von Betrug, Spam und Missbrauch
• Vertrauenssystem: Berechnung des Gued-Score, Verifizierungsprozesse
• Personalisierung: Anpassung des Feeds, Empfehlungen und Suchergebnisse basierend auf Nutzerinteraktionen
• Kommunikation: Chat zwischen Nutzern, Support-Kommunikation
• Benachrichtigungen: Push-Notifications, E-Mails bei relevanten Ereignissen (neue Nachrichten, Verkäufe etc.)
• Qualitätssicherung: Automatisierte Analyse von Inseraten zur Optimierung der Suchfunktion und Kategorisierung (vgl. Ziffer 8)
• Rechtliche Pflichten: Erfüllung gesetzlicher Aufbewahrungspflichten, Kooperation mit Behörden bei rechtlicher Grundlage

6. Datenweitergabe an Dritte

Wir verkaufen keine Personendaten. Eine Weitergabe erfolgt nur in folgenden Fällen und nur soweit für den jeweiligen Zweck erforderlich:

6.1 Transaktionspartner

Nach Kaufabschluss werden Name und Lieferadresse zwischen Käufer und Verkäufer ausgetauscht, soweit für die Vertragserfüllung erforderlich.

6.2 Auftragsverarbeiter (Dienstleister)

Wir setzen folgende Dienstleister ein, die Personendaten in unserem Auftrag bearbeiten:

Alle Auftragsverarbeiter sind vertraglich verpflichtet, Personendaten nur gemäss unseren Weisungen und unter Einhaltung angemessener Datenschutzstandards zu bearbeiten.

6.3 Behörden

Wir geben Personendaten an Behörden weiter, wenn wir gesetzlich dazu verpflichtet sind oder eine rechtskräftige behördliche oder gerichtliche Anordnung vorliegt (z.B. Strafverfolgung, Steuerprüfung).

7. Datenübermittlung ins Ausland

Einige unserer Dienstleister haben ihren Sitz in den USA. Die Übermittlung von Personendaten in die USA erfolgt gestützt auf:

• Das Swiss-U.S. Data Privacy Framework (DPF), sofern der Empfänger zertifiziert ist
• Standardvertragsklauseln (Standard Contractual Clauses, SCC) gemäss EU-Kommission, anerkannt durch den EDÖB
• Die Angemessenheitsentscheide des Bundesrates bzw. des EDÖB

Unsere primäre Datenbankinfrastruktur (Supabase) und das Hosting (Vercel) werden in EU-Rechenzentren betrieben. Personendaten verbleiben damit grundsätzlich innerhalb der EU/EWR/Schweiz.

8. Automatisierte Datenbearbeitung und Profiling

gued.ch setzt automatisierte Verfahren ein, um die Qualität der Plattform und die Nutzererfahrung zu verbessern. Diese Verfahren betreffen keine personenbezogenen Daten im engeren Sinne, sondern ausschliesslich Inseratsinhalte und aggregierte Nutzungsstatistiken:

8.1 Inseratsanalyse

Inserate werden automatisch analysiert, um strukturierte Metadaten zu extrahieren (z.B. Produktname, Marke, Zustand). Dies dient der Verbesserung der Suchfunktion und der Kategorisierung. Es werden hierbei ausschliesslich die öffentlich sichtbaren Inseratsinhalte (Titel, Beschreibung, Bilder) verarbeitet.

8.2 Semantische Ähnlichkeit

Zur Darstellung ähnlicher Artikel werden mathematische Vektoren aus Inseratsinhalten berechnet. Diese Vektoren enthalten keine personenbezogenen Informationen und dienen ausschliesslich der Ähnlichkeitsberechnung zwischen Inseraten.

8.3 Feed-Personalisierung (Profiling)

Angemeldete Nutzer erhalten personalisierte Empfehlungen basierend auf ihren Interaktionen (angesehene Inserate, Kategorien, Suchanfragen). Dieses Profiling dient ausschliesslich der Verbesserung der Nutzererfahrung und hat keine rechtlichen oder ähnlich erheblichen Auswirkungen auf den Nutzer im Sinne von Art. 21 DSG.

8.4 Betrugsschutz

Zur Erkennung von Betrugsversuchen, Spam und Missbrauch setzen wir automatisierte Prüfmechanismen ein (z.B. Rate Limiting, Textmuster-Erkennung). Diese können zur automatischen Sperrung von Inhalten oder Konten führen. In jedem Fall kann der betroffene Nutzer eine manuelle Überprüfung verlangen.

9. Fahrzeugausweis-Scans und ID-Verifizierung

9.1 Fahrzeugausweis-Scans

Sofern ein Nutzer einen Fahrzeugausweis zur automatischen Stammnummer-Erkennung hochlädt, wird das Bild nach erfolgreicher Erkennung sofort und unwiderruflich von unseren Servern gelöscht. Bei fehlgeschlagener Erkennung werden die Bilder spätestens nach 24 Stunden automatisch gelöscht. Dies entspricht dem Grundsatz der Datensparsamkeit gemäss Art. 6 Abs. 2 DSG.

9.2 ID-Verifizierung

Bei der freiwilligen Ausweisverifizierung wird das Ausweisfoto ausschliesslich zur Identitätsprüfung verwendet. Nach erfolgreicher Verifizierung wird das Bild unwiderruflich gelöscht. Es wird ausschliesslich der Verifizierungsstatus (verifiziert/nicht verifiziert) gespeichert, nicht das Ausweisbild selbst.

10. Aufbewahrungsdauer

Wir bewahren Personendaten nur so lange auf, wie es für den jeweiligen Bearbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

Nach Ablauf der Aufbewahrungsfrist werden die Daten gelöscht oder irreversibel anonymisiert.

11. Deine Rechte als betroffene Person

Gemäss dem schweizerischen Datenschutzgesetz (Art. 25–29 DSG) stehen dir folgende Rechte zu:

• Auskunftsrecht (Art. 25 DSG): Du hast das Recht, unentgeltlich Auskunft darüber zu erhalten, ob und welche Personendaten wir über dich bearbeiten.
• Recht auf Berichtigung (Art. 6 Abs. 5 DSG): Du kannst die Berichtigung unrichtiger Personendaten verlangen.
• Recht auf Löschung: Du kannst die Löschung deiner Personendaten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung: Du kannst die Einschränkung der Datenbearbeitung verlangen.
• Recht auf Datenherausgabe und -übertragung (Art. 28 DSG): Du hast das Recht, deine Personendaten in einem gängigen elektronischen Format zu erhalten oder deren Übertragung an einen anderen Verantwortlichen zu verlangen.
• Widerspruchsrecht: Du kannst der Bearbeitung deiner Personendaten jederzeit widersprechen, soweit kein überwiegendes Interesse oder eine gesetzliche Pflicht entgegensteht.
• Widerruf der Einwilligung: Soweit die Datenbearbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit widerrufen, ohne dass dies die Rechtmässigkeit der bis zum Widerruf erfolgten Bearbeitung berührt.

Ausübung der Rechte: Richte deine Anfrage an datenschutz@gued.ch. Wir werden deine Anfrage innerhalb von 30 Tagen beantworten. Zur Identitätsüberprüfung kann die Vorlage eines Ausweises verlangt werden.

Beschwerderecht: Du hast das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen: www.edoeb.admin.ch

12. Cookies und lokale Speicherung

gued.ch verwendet ausschliesslich technisch notwendige Cookies und lokale Speicherung:

Analyse-Cookies (Google Analytics) werden ausschliesslich nach ausdrücklicher Einwilligung gesetzt. Wir setzen keine Werbe-Cookies oder Drittanbieter-Tracking ein. Die IP-Anonymisierung ist standardmässig aktiviert.

Du kannst Cookies jederzeit in deinen Browsereinstellungen deaktivieren. Beachte, dass dies die Funktionalität der Plattform einschränken kann (z.B. Abmeldung bei jedem Seitenaufruf).

13. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen gemäss Art. 8 DSG, um Personendaten vor unbefugtem Zugriff, Verlust, Zerstörung oder Veränderung zu schützen. Hierzu gehören insbesondere:

• Verschlüsselte Datenübertragung (TLS/HTTPS) für alle Verbindungen
• Verschlüsselte Speicherung sensibler Daten (Passwörter: bcrypt-Hash)
• Zugriffskontrolle: Row Level Security (RLS) auf Datenbankebene
• Regelmässige Sicherheitsupdates der eingesetzten Softwarekomponenten
• Rate Limiting und Missbrauchserkennung
• 3D Secure für Zahlungen über CHF 500.00
• Minimierung der Zugriffsrechte nach dem Prinzip der geringsten Berechtigung

Trotz dieser Massnahmen kann absolute Sicherheit nicht gewährleistet werden. Datenpannen werden gemäss Art. 24 DSG unverzüglich dem EDÖB und – bei voraussichtlich hohem Risiko – den betroffenen Personen gemeldet.

14. Minderjährige

Die Plattform richtet sich an Personen ab 18 Jahren. Minderjährige zwischen 16 und 18 Jahren dürfen die Plattform nur mit Zustimmung eines gesetzlichen Vertreters nutzen. Wir erheben wissentlich keine Daten von Personen unter 16 Jahren. Sollten wir Kenntnis davon erlangen, werden die Daten unverzüglich gelöscht.

15. Anwendbares Recht und Aufsichtsbehörde

Diese Datenschutzerklärung untersteht schweizerischem Recht, insbesondere dem Bundesgesetz über den Datenschutz (DSG, SR 235.1) und der Verordnung über den Datenschutz (DSV, SR 235.11).

Zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern, Schweiz (www.edoeb.admin.ch).

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen, um sie an geänderte Rechtslagen, neue Funktionen oder geänderte Datenbearbeitungen anzupassen.

Wesentliche Änderungen werden den Nutzern per E-Mail und/oder durch einen Hinweis auf der Plattform mitgeteilt. Die jeweils aktuelle Fassung ist unter gued.ch/datenschutz abrufbar.