Datenschutz­erklärung

Geltungsbereich

Diese Erklärung gilt für die Website xtramarketing.ch. Sie beschreibt, welche Personendaten wir bearbeiten, wozu, wie lange und an wen sie gehen. Grundlage ist das Schweizer Bundesgesetz über den Datenschutz (DSG). Für die Zusammenarbeit mit Kundinnen und Kunden gelten zusätzlich die jeweiligen Verträge.

Soweit im Einzelfall die EU-Datenschutz-Grundverordnung (DSGVO) anwendbar ist, stützen wir die Bearbeitung auf deine Anfrage (vorvertragliche Massnahmen, Art. 6 Abs. 1 lit. b DSGVO), auf unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO) und, wenn du die Karte von Google Maps aktivierst, auf deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung ist die xtra marketing gmbh. Adresse, Telefon und E-Mail stehen oben im Kasten «Verantwortliche Stelle». Für Fragen zum Datenschutz schreibst du uns am einfachsten eine E-Mail.

Hosting

Die Website läuft auf einem Server, den wir mit der Software Coolify betreiben. Coolify ist eine Verwaltungssoftware, die auf diesem Server läuft. Daten der Besucherinnen und Besucher gehen dabei nicht an die Herstellerin von Coolify. Vor der Website läuft auf demselben Server ein Reverse Proxy (Traefik, Teil von Coolify): Er nimmt die Anfrage an und leitet sie an die Website weiter.

• Anbieter und Standort des Servers: Den Server mieten wir bei OVHcloud. Anbieterin ist die OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich. Der Server steht in einem Rechenzentrum von OVHcloud in Gravelines, Frankreich. Auf ihm läuft die Website. Es gilt die Datenschutzerklärung von OVHcloud.

Cloudflare: Bevor eine Anfrage unseren Server erreicht, läuft sie über das Netzwerk von Cloudflare. Cloudflare nimmt die verschlüsselte Verbindung in einem Rechenzentrum in deiner Nähe an, wehrt Angriffe und Überlastung ab und leitet die Anfrage verschlüsselt an unseren Server weiter. Dafür bearbeitet Cloudflare in unserem Auftrag deine IP-Adresse und technische Angaben zur Verbindung, zum Beispiel aufgerufene Adresse, Zeitpunkt, Browser und Betriebssystem, und beim Absenden des Formulars auch dessen Inhalt. Klappt eine Verbindung nicht, kann dein Browser Cloudflare eine kurze technische Fehlermeldung schicken (Network Error Logging). Anbieterin ist die Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Mehr dazu unter «Bekanntgabe ins Ausland». Es gilt die Datenschutzerklärung von Cloudflare.

Alle Seiten werden verschlüsselt übertragen (HTTPS).

Server-Logfiles

Bei jedem Aufruf speichert der Reverse Proxy (Traefik) automatisch technische Angaben in Protokolldateien (Logfiles): IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse (URL), Statuscode, übertragene Datenmenge, die Seite, von der du kommst (Referrer), sowie Browser und Betriebssystem (User-Agent). Die Website selbst protokolliert nur Fehler und technische Warnungen, ohne deine IP-Adresse und ohne Formularinhalte.

Wir brauchen diese Angaben, um die Website sicher und stabil zu betreiben, Fehler zu finden und Angriffe abzuwehren. Wir werten sie nicht aus, um einzelne Personen zu erkennen, und führen sie nicht mit anderen Daten zusammen. Die Logfiles löschen wir nach 14 Tagen. Brauchen wir einzelne Einträge, um einen Angriff oder Missbrauch aufzuklären, bewahren wir diese auf, bis der Fall erledigt ist.

Kontaktformular

Wenn du das Formular «Erstgespräch anfragen» abschickst, bearbeiten wir die Angaben, die du machst: Name und E-Mail-Adresse (Pflicht), freiwillig Firma, Telefon, Branche, Interessen, Wunschzeitraum und deine Nachricht. Wir verwenden sie, um deine Anfrage zu beantworten und das Erstgespräch zu vereinbaren. Wir nutzen sie nicht für Werbung. Weitergegeben werden sie nur an Dienstleister, die sie in unserem Auftrag bearbeiten: Cloudflare und der Server leiten die Anfrage weiter (siehe «Hosting»), Microsoft stellt sie als E-Mail zu (siehe unten).

Die Website speichert die Anfrage nicht. Unser Server schickt sie verschlüsselt (TLS) als E-Mail an unser Postfach. Für E-Mail nutzen wir Microsoft 365 (Exchange Online). Anbieterin für Kundinnen und Kunden in Europa ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Die Inhalte der Postfächer von Kundinnen und Kunden aus der Schweiz speichert Microsoft in Rechenzentren in der Schweiz oder innerhalb der «EU Data Boundary» von Microsoft, also in Staaten der EU oder der EFTA. Mehr dazu unter «Bekanntgabe ins Ausland». Es gilt die Datenschutzerklärung von Microsoft.

Spamschutz ohne Tracking: Es gibt kein Captcha und keinen externen Dienst. Das Formular enthält ein Feld, das Menschen nicht sehen (Honeypot). Läuft JavaScript, holt die Seite beim Laden einen signierten Zeitstempel von unserem Server. So erkennen wir Anfragen, die schneller abgeschickt werden, als ein Mensch tippen kann. Der Zeitstempel enthält keine Angaben über dich. Zusätzlich nimmt der Server von derselben Internetverbindung höchstens fünf Anfragen in zehn Minuten an. Dafür merkt er sich eine aus der IP-Adresse berechnete Kennung (pseudonymisiert, nicht die Adresse selbst) im Arbeitsspeicher, nicht auf der Festplatte. Etwa zehn Minuten nach deiner letzten Anfrage löscht er sie automatisch. Formularinhalte stehen nie in den Logfiles.

Kurzlebige Formular-Cookies: Fehlt beim Absenden eine Angabe oder klappt der Versand nicht, speichern wir deine Eingaben für höchstens 10 Minuten in einem technisch notwendigen Cookie. So musst du nicht alles neu eintippen. Das Cookie gilt nur für die Seite, die dir die Eingaben zum Korrigieren zeigt, ist für Skripte nicht lesbar und wird gelöscht, sobald diese Seite angezeigt wird. Schickst du das Formular sehr schnell oder nach langer Zeit ab, setzt der Server zusätzlich für höchstens 10 Minuten ein Cookie ohne Personendaten, damit der nächste Versuch durchgeht. Beide Cookies werten wir nicht aus.

Aufbewahrung: Wir bewahren deine Anfrage auf, bis sie erledigt ist. Danach löschen wir sie spätestens nach 12 Monaten, sofern keine gesetzliche Aufbewahrungspflicht besteht.

E-Mail und Telefon

Wenn du uns direkt per E-Mail oder Telefon kontaktierst, bearbeiten wir deine Angaben ebenfalls nur für deine Anfrage. E-Mails liegen in unserem Postfach bei Microsoft 365 (siehe «Kontaktformular»). Für die Aufbewahrung gilt dasselbe wie beim Formular.

Bewerbungen

Bewirbst du dich bei uns, zum Beispiel auf eine Stelle unter «Jobs», bearbeiten wir die Angaben und Unterlagen, die du uns schickst, nur für das Bewerbungsverfahren und nur so weit, wie sie zeigen, ob du für die Stelle geeignet bist. Bewerbungen kommen per E-Mail und liegen in unserem Postfach bei Microsoft 365 (siehe «Kontaktformular»). Weitergegeben werden sie nur an Dienstleister, die sie in unserem Auftrag bearbeiten.

Aufbewahrung: Kommt keine Anstellung zustande, löschen wir deine Unterlagen nach Abschluss des Verfahrens. Länger behalten wir sie nur, wenn du einverstanden bist, zum Beispiel für eine spätere Stelle. Wirst du angestellt, kommen sie in dein Personaldossier.

Website-Check

Auf der Seite Website-Check kannst du die Adresse einer Website eingeben. Unser Server ruft dann die öffentliche Startseite und die Datei robots.txt dieser Website ab und schickt die Adresse an Google PageSpeed Insights, das die Ladezeit am Handy misst. Anbieterin ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Daten können auch an die Google LLC in den USA gelangen. Google ruft die Seite dafür selbst ab. An Google geht dabei nur die eingegebene Website-Adresse, keine Angaben über dich.

Das Ergebnis halten wir 15 Minuten im Arbeitsspeicher, damit eine zweite Abfrage derselben Adresse schneller geht; danach ist es weg. Eine Liste der geprüften Adressen legen wir nicht an. Gegen Missbrauch zählt der Server die Abfragen pro Internetverbindung, wie beim Kontaktformular mit einer aus der IP-Adresse berechneten Kennung im Arbeitsspeicher, die nach etwa zehn Minuten gelöscht wird. Fragst du danach ein Erstgespräch an, übernimmt das Formular die Befunde; dafür gilt der Abschnitt «Kontaktformular».

Cookies

Auf den öffentlichen Seiten setzen wir keine Cookies, ausser den kurzlebigen Formular-Cookies nach einem Fehler beim Absenden (siehe «Kontaktformular»). Darum gibt es auch kein Cookie-Banner. Vermutet Cloudflare einen Angriff, kann vor der Seite eine kurze Sicherheitsprüfung erscheinen. Danach setzt Cloudflare ein technisch notwendiges Cookie, damit die Prüfung nicht bei jeder Seite wiederkommt. Im Redaktionsbereich, den nur unser Team nutzt, sind technisch notwendige Sitzungs-Cookies für die Anmeldung nötig.

Schriften und Bilder

Schriften, Bilder und Symbole liegen auf unserem eigenen Server. Beim Besuch der Website entsteht keine Verbindung zu Google Fonts oder anderen Schrift- und Bilddiensten. Eine Ausnahme gibt es nur im Redaktionsbereich (siehe «Redaktion mit Keystatic und GitHub»).

Externe Inhalte

Manche Inhalte stammen von anderen Anbietern. Wir laden sie erst, wenn du sie mit einem Klick aktivierst (Zwei-Klick-Lösung). Vorher wird nichts an den Anbieter übertragen.

Google Maps: Auf der Kontaktseite kannst du eine Karte anzeigen lassen. Klickst du auf «Karte hier laden», überträgt dein Browser Daten an Google, zum Beispiel deine IP-Adresse, Angaben zum Browser und die aufgerufene Seite, und Google kann Cookies setzen. Anbieterin ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Daten können auch an die Google LLC in den USA gelangen. Es gilt die Datenschutzerklärung von Google. Statt die Karte zu laden, kannst du auch den Link «In Google Maps öffnen» nutzen.

Links: Links auf andere Websites sind normale Links. Erst wenn du sie anklickst, verlässt du unsere Website, und es gelten die Regeln des jeweiligen Anbieters.

Redaktion mit Keystatic und GitHub

Die Inhalte dieser Website pflegen wir mit dem Redaktionssystem Keystatic. Texte und Bilder liegen in einem privaten Repository bei GitHub, Inc. in den USA (ein Unternehmen der Microsoft Corporation). Die Anmeldung im Redaktionsbereich läuft über ein GitHub-Konto.

Die Redaktionsoberfläche lädt beim Öffnen die Schrift Inter von Google Fonts (Google Ireland Limited, Dublin, und Google LLC, USA). Dabei gehen die IP-Adresse und Angaben zum Browser des Redaktionsmitglieds an Google.

Das betrifft nur unser Redaktionsteam, nicht die Besucherinnen und Besucher: Beim Besuch von xtramarketing.ch wird nichts von GitHub oder Google geladen.

Bekanntgabe ins Ausland

In diesen Fällen können Personendaten ins Ausland gelangen:

• Microsoft 365 (Schweiz, EU/EFTA; in beschränkten Fällen USA): deine Anfrage und E-Mails an uns. Anbieterin ist die Microsoft Ireland Operations Limited in Irland. Die Inhalte der Postfächer von Kundinnen und Kunden aus der Schweiz speichert Microsoft in der Schweiz oder innerhalb der EU Data Boundary, also in Staaten der EU oder der EFTA. In beschränkten Fällen, etwa für Sicherheit, Betrieb und Support, kann Microsoft Daten auch ausserhalb dieser Staaten bearbeiten, zum Beispiel bei der Microsoft Corporation in den USA.
• Cloudflare (USA und Rechenzentren weltweit): IP-Adresse und technische Angaben bei jedem Aufruf der Website, beim Formular auch dessen Inhalt auf dem Weg zu unserem Server. Die Verbindung nimmt ein Rechenzentrum in deiner Nähe an, Vertragspartnerin ist die Cloudflare, Inc. in den USA.
• GitHub (USA): Inhalte der Website und Anmeldedaten des Redaktionsteams, keine Daten von Besucherinnen und Besuchern.
• Google (Irland, USA): wenn du die Karte aktivierst, wenn du den Website-Check nutzt (nur die eingegebene Website-Adresse) und für das Redaktionsteam beim Öffnen des Redaktionsbereichs (Schrift Inter).
• OVHcloud (Frankreich): Der Server der Website steht in Gravelines. Dort kommen alle Angaben an, die beim Besuch der Website und beim Absenden des Formulars anfallen (siehe «Hosting»). Anbieterin ist die OVH SAS in Roubaix.

Die USA gelten seit dem 15.09.2024 für Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, als Land mit angemessenem Datenschutz. Die Microsoft Corporation, GitHub, Inc., die Google LLC und die Cloudflare, Inc. sind unter diesem Rahmen zertifiziert (Stand: 30.09.2026). Für Microsoft 365 und Cloudflare gelten zusätzlich die Standardvertragsklauseln der EU-Kommission, die beide in ihren Verträgen zur Auftragsbearbeitung (Data Protection Addendum bzw. Data Processing Addendum) auch für Übermittlungen aus der Schweiz vorsehen. Frankreich, Irland und die übrigen Staaten der EU und der EFTA gelten ebenfalls als angemessen. Geht es um ein Land ohne angemessenen Schutz, stützen wir uns auf Standardvertragsklauseln oder eine gesetzliche Ausnahme nach Art. 17 DSG.

Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Massnahmen, zum Beispiel mit verschlüsselter Übertragung, beschränkten Zugriffsrechten und regelmässigen Updates.

Wir treffen keine automatisierten Einzelentscheidungen und erstellen keine Profile über Besucherinnen und Besucher.

Deine Rechte

Nach dem DSG hast du insbesondere das Recht,

• Auskunft zu verlangen, ob und welche Personendaten wir über dich bearbeiten,
• falsche Daten berichtigen zu lassen,
• die Löschung deiner Daten zu verlangen oder einer Bearbeitung zu widersprechen,
• Daten, die du uns gegeben hast, in einem gängigen elektronischen Format zu erhalten.

Schreib uns dafür eine E-Mail oder einen Brief an die Adresse oben. Wir können einen Nachweis deiner Identität verlangen. Stehen gesetzliche Pflichten entgegen, zum Beispiel Aufbewahrungspflichten, können wir eine Löschung einschränken.

Findest du, dass wir deine Daten nicht korrekt bearbeiten, kannst du dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden: Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch.

Änderungen

Wir passen diese Erklärung an, wenn sich die Website, unsere Dienstleister oder das Recht ändern. Es gilt die aktuelle Fassung auf dieser Seite, mit dem Datum unten.