Datenschutzerklärung
Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung von DayBoard, gemäss dem schweizerischen Bundesgesetz über den Datenschutz (DSG) sowie, soweit anwendbar, der EU-Datenschutz-Grundverordnung (DSGVO).
1.1 Verantwortliche Stelle
Daniel Jurenda · Jurenda Services
Hauptstrasse 244 · 4634 Wisen SO · Schweiz
kontakt@jurenda-services.ch
1.2 Rollen des Anbieters
- Als Verantwortlicher: für eigene Website-Daten (dayboard.ch)
- Als Auftragsverarbeiter: für Kundendaten gemäss Art. 28 DSGVO. Eine AVV (Auftragsverarbeitungsvereinbarung gemäss Art. 28 DSGVO / DSG) wird vor produktiver Nutzung auf Basis anerkannter Standardvorlagen bereitgestellt und beidseitig unterzeichnet.
Die Verarbeitung erfolgt ausschliesslich auf dokumentierte Weisung des jeweiligen Kunden. Es werden geeignete technische und organisatorische Massnahmen (TOMs) umgesetzt, um die Sicherheit der Daten gemäss Art. 28 DSGVO sicherzustellen.
1.3 Verarbeitete Daten
Nutzerdaten
- Benutzername
- Passwort (bcrypt-Hash, niemals Klartext)
- Rolle im System
- Aktivitätsprotokoll/Audit-Logs
Betriebliche Daten
- Namen der Mitarbeitenden
- Einteilungen nach Bereich/Zone
- Absenzen (Typ, ohne medizinische Details)
- Beschäftigungsgrad
Technische Daten
- Server-Logs (IP-Adresse, Zeitstempel, automatisch)
- Session-Token (JWT-basiert, im Browser, automatischer Ablauf nach 12 Stunden)
- Technisch notwendige Display-Session-Cookies für gekoppelte öffentliche Displays
1.4 Zweck und Rechtsgrundlage
- Betrieb der Anwendung (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung)
- Systemsicherheit und Audit (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)
Zusätzlich erfolgt die Bearbeitung personenbezogener Daten gemäss den Grundsätzen des schweizerischen Datenschutzgesetzes (DSG), insbesondere Rechtmässigkeit, Verhältnismässigkeit und Zweckbindung.
1.5 Datensicherheit
- TLS/HTTPS — alle Verbindungen verschlüsselt
- bcrypt-Passwort-Hashing, JWT-Authentifizierung
- nginx Security Headers (CSP, HSTS, X-Frame-Options)
- Tägliche Backups werden zusätzlich auf Applikationsebene verschlüsselt (AES-256 via GPG) und anschliessend verschlüsselt via SSH zu einer Hetzner Storage Box (EU/EWR) übertragen. Damit sind Backups sowohl während der Übertragung als auch im Ruhezustand geschützt. Aufbewahrung: 7 Tage lokal, 30 Tage offsite. Restore ist dokumentiert und getestet.
- Rate-Limiting auf Login-Endpoint
Zugriff auf personenbezogene Daten ist strikt auf berechtigte Personen beschränkt. Rollen- und Berechtigungskonzepte stellen sicher, dass nur notwendige Daten eingesehen und bearbeitet werden können.
1.6 Speicherdauer
- Aktive Nutzerdaten: Solange der Vertrag aktiv ist
- Audit-Logs werden für die Dauer der Vertragsbeziehung aufbewahrt. Automatisierte Löschmechanismen sind derzeit nicht implementiert; Löschungen erfolgen manuell auf Anfrage.
- Server-Logs (Zugriffsprotokolle) werden nach 14 Tagen automatisch rotiert und gelöscht.
- Nach Vertragsende: Datenexport möglich, Löschung innert 30 Tagen
1.7 Ihre Rechte
- Auskunft über gespeicherte Daten
- Berichtigung unrichtiger Daten
- Löschung Ihrer Daten
- Datenübertragbarkeit
- Widerspruch gegen die Verarbeitung
Kontakt: kontakt@jurenda-services.ch
1.8 Live-Board und öffentliche Screens
Öffentliche Displays werden über ein zeitlich begrenztes Pairing gekoppelt. Nach erfolgreicher Kopplung wird der Zugriff über eine befristete Display-Session autorisiert. Das dafür notwendige Credential wird ausschliesslich in einem Secure-, HttpOnly- und SameSite-Strict-Cookie gespeichert und nicht in der URL übertragen. Berechtigte Administratoren können bestehende Display-Sessions mit ihren nicht vertraulichen Metadaten einsehen und serverseitig widerrufen. Erstellung, Ausgabe und Widerruf werden auditierbar protokolliert.
Im Live-Board werden keine Abwesenheitsgründe oder detaillierten personenbezogenen Informationen angezeigt. Die Anzeige beschränkt sich auf operative Einsatzdaten wie Namen/Initialen sowie Bereichs- und Zonen-Zuweisungen.
1.9 Kontaktaufnahme
Das Kontaktformular bereitet aus Ihren Angaben (Name, E-Mail-Adresse, Betrieb bzw. Branche, Teamgrösse und Nachricht) eine E-Mail in Ihrem E-Mail-Programm vor. Die Website versendet die Anfrage nicht automatisch an die DayBoard-Anwendung. Erst wenn Sie die Nachricht in Ihrem E-Mail-Programm absenden, erhalten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage. Mit „Anfrage kopieren“ können Sie den vorbereiteten Text in Ihre Zwischenablage übernehmen. Die interaktive Planungsdemo nutzt ausschliesslich fiktive Beispieldaten und übermittelt diese nicht an die DayBoard-Anwendung.
1.10 Hosting
Die Anwendung wird bei Hetzner Online GmbH in Deutschland (EU/EWR) gehostet; Produktivdaten und Offsite-Backups werden im EU/EWR-Raum verarbeitet. DNS und Domain-Verwaltung erfolgen über Infomaniak SA in der Schweiz (ISO/IEC 27001 zertifiziert). Die TLS-Terminierung (HTTPS-Verschlüsselung) erfolgt direkt auf dem Origin-Server bei Hetzner mittels öffentlich vertrauenswürdiger Zertifikate (Let's Encrypt).
Bei Nutzung der optionalen Single-Sign-On-Funktion (Microsoft Entra ID) erfolgt eine Kommunikation mit Microsoft-Diensten im Rahmen des Authentifizierungsprozesses. Diese erfolgt ausschliesslich auf Initiative des Kunden, mit dessen Microsoft-Tenant und im Rahmen der bestehenden Vertragsbeziehung zwischen dem Kunden und Microsoft. Welche Datenlokations- und Übermittlungsregeln für Microsoft gelten, richtet sich nach dieser kundenseitigen Konfiguration und Vertragsbeziehung.
Für den transaktionalen E-Mail-Versand (Passwort-Reset- und Mitarbeiter-Einladungsmails) wird PostStack eingesetzt, betrieben durch MICCI (PostStack), Fyrretoften 31, 7100 Vejle, Dänemark (CVR 45587452). Verarbeitet werden dabei Name, Absender- und Empfänger-E-Mail-Adresse, Mailbetreff und Mailinhalt sowie die für Versand und Zustellung notwendigen Metadaten. Verarbeitung und Speicherung erfolgen innerhalb der EU (Hetzner, Helsinki/Finnland). PostStack wird von Jurenda Services als Unterauftragsbearbeiter für diesen Versand eingesetzt. Weitere Informationen: Datenschutzerklärung von PostStack sowie Auftragsverarbeitungsvertrag (DPA).
1.11 Cookies
- DayBoard verwendet keine Tracking-Cookies oder Analyse-Tools.
- Es werden ausschliesslich technisch notwendige Speichermechanismen (z. B. localStorage für Session-Token) verwendet, um die Funktionalität der Anwendung sicherzustellen.
- Gekoppelte öffentliche Displays verwenden ein technisch notwendiges Secure-, HttpOnly- und SameSite-Strict-Cookie für ihre befristete Display-Session.
- Es erfolgt kein Tracking, kein Profiling und keine Weitergabe zu Marketingzwecken.
1.12 Datenweitergabe
- Personenbezogene Daten werden grundsätzlich nicht an Dritte weitergegeben.
- Eine Weitergabe erfolgt ausschliesslich an die unter Ziff. 1.10 Hosting genannten Auftragsverarbeiter, soweit dies für den Betrieb der Anwendung erforderlich ist, oder bei einer gesetzlichen Verpflichtung.
- Es findet keine kommerzielle Weitergabe oder Nutzung zu Werbezwecken statt.
1.13 Keine automatisierte Einzelentscheidung
Bei der Nutzung von DayBoard findet keine automatisierte Einzelentscheidung im Sinne von Art. 21 DSG bzw. Art. 22 DSGVO statt. Alle planerischen, personellen oder rechtlichen Entscheidungen werden vom Kunden bzw. seinen berechtigten Mitarbeitenden getroffen; DayBoard stellt lediglich die Datengrundlage und Werkzeuge bereit.