Datenschutzerklärung — Dominicano Express GmbH (Entwurf)#

⚠️ ENTWURF — juristisch zu prüfen (revDSG-Spezialist)#

Dieses Dokument ist ein fachlich vorbereiteter Entwurf, kein rechtsgültiger Text. Es übersetzt die technischen Fakten aus dem Caja-Pflichtenheft (insb. 45-compliance.md, 11-whatsapp-ocr.md, 30-schema-konsolidiert.md) in eine Datenschutzerklärung nach revidiertem Schweizer Datenschutzgesetz (revDSG, in Kraft seit 01.09.2023) und ist als Ausgangsbasis zur anwaltlichen Prüfung und Finalisierung gedacht. Vor der Publikation auf dominicanoexpress.com/datenschutz (und der In-App-Verlinkung) muss ein revDSG-Spezialist den Text prüfen, die Platzhalter füllen und die Rechtsgrundlagen sowie den Auslandtransfer final bestätigen.

Querschnitts-Dokument, kein Fachmodul. Diese Datenschutzerklärung ist das nach aussen gerichtete Gegenstück zur internen Compliance-Matrix (45-compliance.md). Wo Dok 45 die technische Umsetzung der revDSG-Pflichten beschreibt (RLS, Verschlüsselung, Aufbewahrung, Löschkonzept), formuliert dieses Dokument die Informationspflicht gegenüber den betroffenen Personen (Art. 19–21 revDSG). Es deckt die Informationspflicht-Lücke aus Dok 45 §4.2 (Pflicht 4.5) und §9.3 (offener Punkt). Begriffe und Aufbewahrungsfristen sind mit Dok 45 abgestimmt; bei Abweichungen gilt für die technische Umsetzung Dok 45, für die rechtliche Aussenwirkung dieser (final geprüfte) Text.

1. Verantwortliche Stelle#

Verantwortlich für die Bearbeitung Ihrer Personendaten im Sinne des revDSG ist:

Dominicano Express GmbH [Strasse / Nr. — Platzhalter] [PLZ Ort — Platzhalter] Schweiz

E-Mail: [datenschutz@dominicanoexpress.com — Platzhalter, zu bestätigen] Telefon / WhatsApp: +41 79 199 93 93 Vertretung: Marcel (Geschäftsführer)

Dominicano Express GmbH ist eine Schweizer Familien-GmbH und erbringt See-Fracht-Dienstleistungen von der Schweiz in die Dominikanische Republik. Aus dieser Geschäftstätigkeit ergibt sich naturgemäss eine Bekanntgabe bestimmter Daten ins Ausland (Dominikanische Republik) sowie die Nutzung von IT-Dienstleistern mit Sitz in der EU bzw. den USA (siehe §6 und §7).

Hinweis Datenschutzberater/Vertreter: Eine betriebliche Datenschutzberaterin/ein Datenschutzberater ist nach revDSG für private Verantwortliche freiwillig; eine Vertretung in der Schweiz ist nur für Verantwortliche mit Sitz im Ausland nötig. Für Dominicano Express (Sitz CH) entfällt die Vertretungspflicht. 🔲 Ob freiwillig eine Datenschutzberatung benannt wird, ist ein Geschäftsentscheid.

2. Welche Daten wir bearbeiten#

Wir bearbeiten Personendaten nur, soweit dies für die Erbringung unserer Dienstleistung, die Erfüllung gesetzlicher Pflichten oder auf Grundlage Ihrer Einwilligung erforderlich ist. Im Einzelnen:

Besonders schützenswerte Daten (Ausweisdaten): Ihre Ausweisdaten erheben wir ausschliesslich zur gesetzlich und zollrechtlich erforderlichen Identifikation (Know-Your-Customer, KYC) und zum Empfänger-Matching beim Import in die Dominikanische Republik. Wir extrahieren dabei nur die fachlich notwendigen Felder; das Ausweis-Lichtbild wird so kurz wie möglich aufbewahrt (siehe §8). Eine Weitergabe zu Werbe- oder anderen Zwecken findet nicht statt.

3. Zwecke der Bearbeitung#

Wir bearbeiten Ihre Daten zu folgenden Zwecken:

Eine über diese Zwecke hinausgehende Bearbeitung erfolgt nur, wenn Sie eingewilligt haben oder eine gesetzliche Grundlage besteht.

4. Rechtsgrundlagen#

Nach revDSG ist die Bearbeitung von Personendaten privater Verantwortlicher grundsätzlich zulässig, soweit sie nach Treu und Glauben, verhältnismässig und zweckgebunden erfolgt (Art. 6). Wir stützen unsere Bearbeitungen insbesondere auf:

Hinweis zur Einwilligung im Onboarding-Vertrag: Die Einwilligung in (a) die KYC-Bearbeitung der Ausweisdaten inkl. der self-hosted OCR-/Texterkennungs-Verarbeitung (keine Übermittlung an Dritte, siehe §6.2) und (b) den Auslandtransfer der zoll-/zustellrelevanten Daten in die Dominikanische Republik wird beim Onboarding ausdrücklich eingeholt und im System referenziert (technisch dokumentiert in 11-whatsapp-ocr.md §8; Erfassung des Einwilligungszeitpunkts am Kontakt). Ohne erfasste Einwilligung erfolgt keine OCR-Verarbeitung des Ausweisbildes.

5. Herkunft der Daten#

Wir erhalten Ihre Daten in erster Linie direkt von Ihnen — über das Kontaktformular auf unserer Website, per WhatsApp, E-Mail oder im persönlichen Kontakt, sowie beim Onboarding und beim Hochladen bzw. Übermitteln Ihres Ausweisdokuments. Empfänger-Daten in der Dominikanischen Republik erhalten wir von Ihnen als auftraggebende Person. Sofern Sie über eine Vermittlerin/einen Vermittler (Affiliate) zu uns gelangen, können erste Kontaktangaben von dort stammen.

6. Bekanntgabe von Daten und Übermittlung ins Ausland#

6.1 Empfängerinnen und Empfänger von Daten#

Wir geben Personendaten nur weiter, soweit dies zur Vertragserfüllung, zur Erfüllung gesetzlicher Pflichten oder auf Grundlage Ihrer Einwilligung erforderlich ist, namentlich an:

• Behörden in der Dominikanischen Republik (insb. Zollbehörde), soweit für die Einfuhr und Zustellung der Sendung erforderlich;
• Empfängerinnen und Empfänger Ihrer Sendung in der Dominikanischen Republik (im erforderlichen Umfang);
• Treuhänder/Buchhaltung der GmbH (für die gesetzliche Buchführung und Abschluss);
• Auftragsbearbeiter (IT-Dienstleister), die in unserem Auftrag und nach unseren Weisungen Daten bearbeiten (siehe §7);
• weitere Dritte, sofern wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben.

Wir verkaufen Ihre Daten nicht und geben sie nicht zu Werbezwecken an Dritte weiter.

6.2 Übermittlung ins Ausland (Art. 16–18 revDSG)#

Im Rahmen unserer Tätigkeit werden Daten in folgende Länder bekanntgegeben:

OCR/Texterkennung läuft bei uns selbst (kein Auslandtransfer): Die automatische Auslesung der Ausweisdaten aus dem Bild erfolgt auf unserer eigenen Infrastruktur in der Schweiz (self-hosted). Ihr Ausweis-Bild wird dafür nicht an einen externen Dienstleister und nicht ins Ausland übermittelt. Dadurch verbleiben Ihre besonders schützenswerten Ausweisdaten für die Texterkennung vollständig in unserer Hand.

Geeignete Garantien: Wo kein angemessenes Schutzniveau besteht, sorgen wir für geeignete Garantien (insb. Standardvertragsklauseln/SCC in den Datenbearbeitungsverträgen mit unseren Dienstleistern) oder stützen die Bekanntgabe auf eine gesetzliche Ausnahme (Vertragserfüllung, Einwilligung). 🔲 Die gegengezeichneten Verträge werden vor Produktivbetrieb finalisiert (Dok 45 §4.3 / §9.5); die EU-Region (Frankfurt) ist als verbindliche Vorgabe entschieden (Dok 45 §4.4.2).

7. Auftragsbearbeiter (Art. 9 revDSG)#

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Personendaten in unserem Auftrag und nach unseren Weisungen bearbeiten. Mit jedem dieser Dienstleister besteht (bzw. wird vor Produktivbetrieb abgeschlossen) ein Auftragsbearbeitungsvertrag (DPA/AVV), der dasselbe Datenschutzniveau gewährleistet. Eingesetzt werden insbesondere:

Texterkennung (OCR) self-hosted: Die automatische Auslesung der Ausweisdaten erfolgt auf unserer eigenen Infrastruktur (Schweiz) und nicht durch einen externen Auftragsbearbeiter — daher ist hier kein OCR-Dienstleister aufgeführt (siehe §6.2).

Mit jedem der genannten Auftragsbearbeiter besteht bzw. wird vor Produktivbetrieb ein Auftragsbearbeitungsvertrag (DPA/AVV) abgeschlossen; bei US-Bezug enthalten diese Standardvertragsklauseln (SCC). 🔲 Der Abschluss der Verträge ist in Dok 45 §4.3 und §9.5 geführt und wird vor Produktivbetrieb bestätigt; die EU-Region (Frankfurt) ist verbindlich festgelegt.

8. Aufbewahrung und Löschung#

Wir bewahren Personendaten nur so lange auf, wie es für die jeweiligen Zwecke erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht. Anschliessend werden die Daten gelöscht oder anonymisiert.

Zusammenspiel Aufbewahrungspflicht ↔ Löschung: Wo eine gesetzliche Aufbewahrungspflicht (z. B. 10 Jahre für Belege) und ein Löschwunsch zusammentreffen, hat die gesetzliche Pflicht für die Dauer der Frist Vorrang; betroffene Daten werden für diese Zeit gesperrt bzw. von einer Löschung ausgenommen und danach gelöscht oder anonymisiert. Die technische Umsetzung (Lösch-Guard, Lifecycle-Jobs) ist in Dok 45 §4.6 und §6 beschrieben.

Hinweis zur KYC-Frist (24 Monate): Die Ausweisdaten — sowohl das Lichtbild als auch die ausgelesenen Felder — werden spätestens 24 Monate nach der letzten Interaktion mit dem betreffenden Kontakt gelöscht. Die «letzte Interaktion» umfasst insbesondere eine Sendung, eine Anfrage oder eine sonstige geschäftliche Kontaktaufnahme. Buchhalterisch relevante Daten (z. B. die Identität der Vertragspartei auf einem Beleg) bleiben davon unberührt, soweit sie der 10-Jahres-Aufbewahrung nach OR/GeBüV unterliegen.

9. Ihre Rechte als betroffene Person#

Im Rahmen des anwendbaren Datenschutzrechts stehen Ihnen insbesondere folgende Rechte zu:

• Auskunft (Art. 25 revDSG): Sie können Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten.
• Berichtigung (Art. 32): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung / Vernichtung: Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzliche Aufbewahrungspflicht oder ein überwiegendes Interesse entgegensteht.
• Datenherausgabe / -übertragbarkeit (Art. 28): Sie können verlangen, dass wir Ihnen die von Ihnen bereitgestellten Daten in einem gängigen elektronischen Format herausgeben oder — wo möglich — an Dritte übertragen.
• Widerruf der Einwilligung: Soweit eine Bearbeitung auf Ihrer Einwilligung beruht (insb. KYC, Auslandtransfer, OCR), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmässigkeit der bis zum Widerruf erfolgten Bearbeitung bleibt unberührt.
• Widerspruch: Sie können einer Bearbeitung, die auf einem berechtigten Interesse beruht, aus Gründen Ihrer besonderen Situation widersprechen.

Zur Ausübung Ihrer Rechte genügt eine Mitteilung an die in §1 genannte Kontaktadresse. Wir können zur Identitätsprüfung einen geeigneten Nachweis verlangen. Die Auskunft ist im Grundsatz kostenlos.

10. Datensicherheit#

Wir treffen angemessene technische und organisatorische Massnahmen, um Ihre Daten vor unbefugtem Zugriff, Verlust und Missbrauch zu schützen. Dazu gehören insbesondere Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand (AES-256), strenge Zugriffskontrollen (rollenbasiert, «deny by default»), private Datei-Speicher mit nur kurz gültigen Zugriffslinks, passwortlose Anmeldung sowie eine revisionssichere Protokollierung. Die Details sind in Dok 45 §8 beschrieben.

11. Cookies und Tracking#

Unsere Website kommt mit einem datenschonenden Minimum aus. Wir setzen technisch notwendige Cookies ein, soweit sie für den Betrieb der Website bzw. der Applikation erforderlich sind. Eine umfassende Verhaltensanalyse, Profilbildung oder Weitergabe an Werbenetzwerke findet nicht statt. Soweit wir eine datenschonende Reichweitenmessung einsetzen, erfolgt diese möglichst ohne Personenbezug.

🔲 Falls Web-Analyse (z. B. Vercel Web Analytics) aktiviert wird, ist der konkrete Datenumfang (IP-Behandlung, Cookie-Einsatz) zu prüfen und hier zu präzisieren (Dok 45 §4.3).

12. Kontakt und Beschwerderecht#

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter der in §1 genannten Adresse.

Sie haben zudem das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren. In der Schweiz ist dies:

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) Feldeggweg 1, 3003 Bern www.edoeb.admin.ch

13. Änderungen dieser Datenschutzerklärung#

Wir können diese Datenschutzerklärung anpassen, um sie an geänderte Rechtslagen oder an Änderungen unserer Dienstleistungen anzupassen. Es gilt jeweils die auf unserer Website publizierte aktuelle Fassung.

Stand / Versionierung: [Datum der Inkraftsetzung — Platzhalter]. Dieser Entwurf ist vor Publikation durch einen revDSG-Spezialisten zu prüfen und freizugeben (siehe Hinweis oben).