Datenschutzerklärung

Wer verantwortlich ist

Verantwortlich für die Datenbearbeitung von CheckSafe Schweiz ist Solotech Solutions, Biberist, Kanton Solothurn, Schweiz. Datenschutzanfragen gehen an info@solotechsolutions.ch oder an die im Impressum veröffentlichte Postadresse.

Mischa Schüpbach ist Inhaber und persönlicher Ansprechpartner; Patrick Reiter ist als Mitinhaber genannt. Eine separate Datenschutzvertretung oder Datenschutzberaterin ist derzeit nicht ausgewiesen.

Welche Daten wir bearbeiten

• Eingaben: Nachrichtentext, URLs, Domains, Telefonnummern, E-Mail-Adressen, IBANs, Beträge, Referenzen und weitere von dir eingegebene Indikatoren
• Uploads: Bilder, Screenshots, PDFs, daraus erkannter OCR-Text, QR-Inhalte, Metadaten, visuelle Merkmale, Dateihashes und Markierungen
• Analyse- und Falldaten: Risikosignale, Regel- und Datenbanktreffer, Quellen, Scores, Korrekturen, Feedback, Fallnummern und Bearbeitungsstatus
• Kontodaten, soweit genutzt: E-Mail-Adresse, Anzeigename, Passwort-Hash beziehungsweise Google-Konto-Kennung sowie Sitzungsdaten
• Meldedaten: geschwärzte Beschreibung und Belege, anonyme oder pseudonyme Meldekennung, Widersprüche und Prüfverlauf
• Technische Daten: IP-Adresse, Zeitpunkt, Browser-/Geräteinformationen, Sicherheitsereignisse, Fehler- und Zugriffsdaten
• Einwilligungsdaten: Auswahl des Speichermodus sowie Einstellungen für optionale Analyse-, Statistik- oder Werbedienste

Warum wir Daten bearbeiten

Nach Schweizer Recht bearbeiten wir Daten rechtmässig, nach Treu und Glauben, verhältnismässig und zweckgebunden. Wo eine Einwilligung erforderlich oder als faire Wahl vorgesehen ist, kannst du sie verweigern oder mit Wirkung für die Zukunft widerrufen.

• angeforderte Betrugsanalyse durchführen und verständlich erklären
• Dateien validieren, Malware abwehren, Missbrauch begrenzen und den Dienst absichern
• Links, QR-Codes und Indikatoren technisch und mit zulässigen öffentlichen Quellen prüfen
• Meldungen prüfen, Duplikate und Kampagnen erkennen sowie falsche Zuordnungen korrigieren
• Konto, Sitzung, Support, Löschung und Widerspruch verwalten
• mit freiwillig beigetragenen anonymisierten Daten die Erkennung verbessern
• gesetzliche Pflichten erfüllen und Rechtsansprüche sichern oder abwehren

Deine drei Speicheroptionen

Vor einer dauerhaften Speicherung muss CheckSafe eine aktive Auswahl verlangen. Keine Option darf vorausgewählt sein.

• Nur analysieren: Original und Arbeitskopien werden nach der Analyse gelöscht. Es verbleiben nur notwendige Sicherheits- und Funktionslogs ohne den vollständigen Inhalt.
• Anonymisiert beitragen: Das Original wird gelöscht. Nach Schwärzung bleiben nur anonymisierte beziehungsweise stark pseudonymisierte Indikatoren, Hashes, Muster oder Fingerprints zur Erkennung ähnlicher Fälle.
• Betrugsfall melden: Du reichst den Fall aktiv ein. Belege werden vor Speicherung geschwärzt; die Meldung startet als «unverified» und kann geprüft, bestritten oder entfernt werden.

OCR, KI und Online-Prüfungen

OCR, QR-Erkennung, Regeln und KI-Verfahren können Fehler machen. Erkannter Text wird deshalb zur Korrektur angezeigt. Die Risikoanalyse ist keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung über eine Person.

Sensible Dateien sollen möglichst lokal oder in einer kontrollierten Schweizer beziehungsweise angemessen geschützten Umgebung verarbeitet werden. Für Online-Prüfungen übertragen wir bevorzugt nur den nötigen Indikator – etwa eine Domain oder einen Hash – und nicht die vollständige private Nachricht.

Wird ein externer KI-, OCR- oder Reputationsanbieter aktiviert, muss er vorab auf der Drittanbieterseite mit Zweck, Datenkategorien, Bearbeitungsstaat und Garantien genannt werden. Ohne diese Offenlegung werden keine sensiblen Uploads an einen solchen Anbieter übermittelt.

Empfänger und Ausland

Personendaten erhalten nur Mitarbeitende und sorgfältig ausgewählte Auftragsbearbeiter, soweit dies für Betrieb, Sicherheit, Anmeldung, Kommunikation oder eine ausdrücklich gewählte externe Analyse erforderlich ist. Eine aktuelle Übersicht steht auf der Seite «Drittanbieter».

Bei Bearbeitung im Ausland nennen wir den Staat beziehungsweise die relevanten Staatengruppen. Fehlt ein vom Bundesrat anerkanntes angemessenes Datenschutzniveau, verwenden wir geeignete Garantien – insbesondere anerkannte Standarddatenschutzklauseln mit Schweizer Anpassungen – oder stützen uns auf eine gesetzliche Ausnahme. Technische und vertragliche Zusatzmassnahmen werden risikobasiert geprüft.

Wir verkaufen keine privaten Nachrichten, Uploads oder Meldedaten.

Cookies, Konto, Statistik und Werbung

Notwendige Cookies beziehungsweise ähnliche Speicherungen schützen Sitzungen, Anmeldung, Sprache, Einwilligungen und Missbrauchsabwehr. Sie sind für die jeweilige Funktion erforderlich.

Die optionale Anmeldung mit Google übermittelt die von Google bestätigte Kennung, E-Mail-Adresse und den Anzeigenamen. Sie ist nicht erforderlich, um öffentlich zugängliche Inhalte zu lesen.

Werbe-, Reichweiten- oder Komfortdienste werden nur geladen, wenn sie produktiv freigegeben sind und eine erforderliche Einwilligung vorliegt. Eine Ablehnung darf die Kernanalyse nicht von verhaltensbasierter Werbung abhängig machen. Einstellungen können jederzeit mit Wirkung für die Zukunft geändert werden.

Wie lange Daten bleiben

Gesetzliche Aufbewahrungspflichten, laufende Sicherheitsvorfälle und die Sicherung oder Abwehr von Ansprüchen können eine längere, zweckgebundene Sperrung erfordern. Wir bewahren nicht vorsorglich alles auf.

• Temporäre Originaluploads im Modus «Nur analysieren»: Löschung nach Abschluss, Abbruch oder Ablauf der Sitzung; fehlgeschlagene Arbeitsdateien spätestens nach 24 Stunden
• Quarantäne bei Malware- oder Missbrauchsverdacht: nur solange für Untersuchung und Schutz nötig, regelmässig höchstens 30 Tage, danach Löschung oder rechtmässige Beweissicherung
• Technische Sicherheits- und Fehlerlogs: grundsätzlich bis 90 Tage; bei Vorfällen oder Rechtsansprüchen solange erforderlich
• Kontodaten: bis zur Kontolöschung; Sitzungen laufen regulär nach 30 Tagen ab oder werden beim Abmelden gelöscht
• Geschwärzte Meldungen, Widersprüche und Prüfverlauf: solange für Betrugsabwehr, Nachvollziehbarkeit und Rechtsansprüche nötig; mindestens jährlich auf Erforderlichkeit prüfen
• Freiwillig anonymisierte Muster: ohne personenbezogene Zuordnung zeitlich unbeschränkt; bleibt Personenbezug möglich, gelten definierte Lösch- und Prüfregeln
• Backups: gelöschte Daten verschwinden im normalen Rotationszyklus und werden bis dahin gesperrt; die konkrete maximale Backup-Frist ist vor Go-live technisch zu bestätigen

Wie wir Daten schützen

Kein System ist vollständig sicher. Bei einer Verletzung der Datensicherheit beurteilen wir Risiko und Umfang, begrenzen den Vorfall und informieren den EDÖB sowie betroffene Personen, soweit das Schweizer Recht dies verlangt.

• verschlüsselte Übertragung, private Upload-URLs und zufällige interne Dateinamen
• MIME- und Magic-Byte-Prüfung, Malware-Scan und isolierte Verarbeitung
• keine automatische Linköffnung sowie keine Ausführung von Makros oder eingebetteten Dateien
• Schutz vor PDF-Exploits, Dekompressionsbomben und manipulierten Bildformaten
• Rollen- und Zugriffsbeschränkung, Protokollierung sicherheitsrelevanter Zugriffe und regelmässige Aktualisierung
• automatische und manuelle Schwärzung vor dauerhafter Speicherung

Daten über andere Personen

Nachrichten und Rechnungen können Daten Dritter enthalten. Lade nur das Nötige hoch, schwärze private Bereiche und informiere betroffene Personen, soweit dies rechtlich und praktisch erforderlich ist. Nutze CheckSafe nicht zur heimlichen Überwachung, Identifizierung oder Bewertung von Personen.

Profil- oder Produktbildsuche darf nur öffentliche Bildübereinstimmungen zeigen. CheckSafe führt keine Gesichtserkennung zur Identifizierung unbekannter Personen durch und behauptet keine Identität.

Deine Rechte

Je nach Situation kannst du Auskunft, Berichtigung, Löschung, Herausgabe oder Übertragung sowie Unterlassung beziehungsweise Einschränkung einer Bearbeitung verlangen. Einwilligungen kannst du für die Zukunft widerrufen. Du kannst ausserdem eine falsche Risiko- oder Datenbankzuordnung bestreiten und eine menschliche Prüfung verlangen.

Wir dürfen zur Verhinderung einer unbefugten Datenherausgabe eine angemessene Identitätsprüfung verlangen. Schwärze auf einer Ausweiskopie alle nicht benötigten Angaben. Anfragen werden grundsätzlich innerhalb von 30 Tagen beantwortet; falls eine gesetzlich zulässige Einschränkung gilt, erklären wir diese.

Du kannst dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) informieren oder Beschwerde führen. Zivilrechtliche Ansprüche bleiben vorbehalten.

• Daten löschen lassen
• Widerspruch oder Zuordnung bestreiten
• EDÖB: Auskunftsrecht, Berichtigung und Löschung

Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn Funktionen, Anbieter oder Rechtslage sich wesentlich ändern. Die aktuelle Version und das Inkrafttretensdatum stehen oben. Wesentliche Änderungen werden angemessen hervorgehoben; eine neue freiwillige Nutzung wird nicht rückwirkend untergeschoben.