Datenschutzerklärung

Diese Datenschutzerklärung informiert darüber, wie die Rocket Surgery Labs GmbH als Betreiberin der Plattform Grialto Personendaten bearbeitet. Massgebend ist das revidierte Schweizer Datenschutzgesetz (revDSG). Soweit die Datenschutz-Grundverordnung der EU (DSGVO) anwendbar ist, gilt diese ergänzend.

1. Verantwortliche Stelle

Rocket Surgery Labs GmbH Oberfeld 25, 6430 Schwyz, Schweiz E-Mail: legal@grialto.com

Für alle datenschutzrechtlichen Belange können Sie sich an die vorstehende Adresse wenden.

2. Welche Daten wir bearbeiten

• Kontodaten: Vorname, Nachname, Benutzername, E-Mail-Adresse, Anzeigename, bevorzugte Sprache für E-Mails, Passwort (nur als nicht umkehrbarer Hashwert gespeichert).
• Challenge-Daten: von Ihnen erfasste Angaben zu Challenges, z. B. Event, Disziplin, Ziel, Resultat, Texte sowie die Empfängerorganisation mit deren Zahlungsangaben. Die optionale Nachricht, die eine Athletin oder ein Athlet beim Abschliessen einer Challenge verfasst, wird mit der Challenge gespeichert und unverändert per E-Mail an deren Unterstützerinnen und Unterstützer gesendet; sie wird nicht veröffentlicht.
• Daten zu Spendenzusagen: Name und E-Mail-Adresse der Unterstützerin oder des Unterstützers sowie die Spendenlimits und die daraus berechneten Beträge. Für eine Spendenzusage ist kein Konto nötig.
• Öffentlich sichtbare Daten: Auf der Seite einer Challenge sind deren Angaben und der Anzeigename der Athletin oder des Athleten öffentlich sichtbar. Den Namen einer Unterstützerin oder eines Unterstützers zeigen wir nur, wenn sie oder er dies bei der Spendenzusage wählt – gekürzt (z. B. «Anna K.») und nie zusammen mit einem Betrag.
• Zustimmungsnachweise: welche Fassung der AGB und der Datenschutzerklärung Sie wann akzeptiert haben.
• Zahlungsdaten: Angaben im Zusammenhang mit der Gebühr für die Veröffentlichung einer Challenge und mit freiwilligen Unterstützungen der Plattform. Die Zahlungsabwicklung erfolgt über den Zahlungsdienstleister Payrexx; Kartendaten werden von diesem und nicht von uns verarbeitet.
• Server-Logdaten: Beim Besuch der Plattform protokollieren unsere Server jeden Zugriff automatisch: IP-Adresse, Datum und Uhrzeit, HTTP-Methode und angefragter Pfad (ohne Abfrageparameter), Statuscode, übertragene Datenmenge, Bearbeitungsdauer sowie die von Ihrem Browser übermittelten Anfrage-Header (u. a. User-Agent, Accept-Language und Referrer, dieser ebenfalls ohne Abfrageparameter). Zusätzlich protokolliert die Anwendung technische Betriebsereignisse (z. B. Fehler oder Hinweise auf missbräuchliche Zugriffe), die eine IP-Adresse enthalten können. Zugangsdaten — insbesondere Cookies und Authorization-Header — werden vor der Speicherung entfernt und nicht protokolliert.

3. Zwecke der Bearbeitung

Wir bearbeiten Personendaten, um die Plattform bereitzustellen, Konten zu verwalten, Challenges und Spendenzusagen abzuwickeln, die Gebühr und freiwillige Unterstützungen einzuziehen, mit Ihnen per E-Mail zu kommunizieren (z. B. Bestätigungen, Erinnerungen, Statusmeldungen), gesetzliche Pflichten zu erfüllen sowie den sicheren und störungsfreien Betrieb zu gewährleisten.

Eingereichte Challenges können vor der Prüfung durch unser Team automatisiert vorgeprüft werden. Dazu übermitteln wir die Angaben der Challenge (Titel, Beschreibung, Motivation, Event, Ziel, Empfängerorganisation mit Zahlungsangaben und Website) sowie einige Kontoangaben (Anzeigename, Domain der E-Mail-Adresse, Alter des Kontos, Anzahl erstellter Challenges) an ein KI-Sprachmodell, das Infomaniak in der Schweiz für uns betreibt. Vor- und Nachname sowie die vollständige E-Mail-Adresse werden nicht übermittelt. Zusätzlich rufen wir die angegebene Website der Empfängerorganisation auf und fragen öffentliche Registrierungsdaten ihrer Domain ab. Die Vorprüfung ist nur ein Hinweis für unser Team: Über Freigabe oder Ablehnung einer Challenge entscheidet immer ein Mensch. Infomaniak verwendet die übermittelten Daten nicht zum Training von KI-Modellen.

Server-Logdaten (Ziff. 2) bearbeiten wir ausschliesslich für den sicheren und störungsfreien Betrieb, zur Abwehr von Missbrauch und Angriffen sowie zur Fehlerdiagnose. Diese Bearbeitung stützt sich auf unser überwiegendes Interesse am sicheren Betrieb der Plattform (Art. 31 revDSG; soweit die DSGVO anwendbar ist, Art. 6 Abs. 1 lit. f DSGVO). Eine Auswertung zu Werbe- oder Analysezwecken sowie eine Profilbildung finden nicht statt.

4. Bekanntgabe an Dritte (Auftragsbearbeiter)

Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag bearbeiten:

• Payrexx (Payrexx AG, Schweiz) — Abwicklung der Gebühr und freiwilliger Unterstützungen.
• Infomaniak (Infomaniak Network SA, Rue Eugène-Marziano 25, 1227 Genève, Schweiz, CHE-103.167.648) — Hosting der Plattform, Datensicherung, Versand von E-Mails (SMTP) sowie KI-gestützte Vorprüfung eingereichter Challenges (Ziff. 3).

Diese Dienstleister erhalten nur die für ihre Aufgabe erforderlichen Daten und sind vertraglich zur Vertraulichkeit und Einhaltung des Datenschutzes verpflichtet.

5. Datenbekanntgabe ins Ausland

Die Daten werden grundsätzlich in der Schweiz bearbeitet und gespeichert. Sollte im Einzelfall eine Bekanntgabe in ein Land ohne angemessenes Datenschutzniveau erfolgen, stellen wir mit geeigneten Garantien (z. B. Standardvertragsklauseln) einen angemessenen Schutz sicher.

6. Cookies

Die Plattform verwendet ausschliesslich drei technisch notwendige Cookies für die Anmeldung: x-auth-token und x-refresh-token (jeweils als httpOnly-Cookie) sowie grialto_logged_in (enthält nur den Wert «1», damit die Seite erkennt, dass Sie angemeldet sind). Diese sind für den Betrieb erforderlich und speichern keine Daten zu Werbe- oder Analysezwecken. Zudem speichert Ihr Browser lokal (im sogenannten localStorage), ob Sie einen Hinweisbanner geschlossen haben. Es werden keine nicht notwendigen Cookies gesetzt; ein Cookie-Banner ist deshalb nicht erforderlich. Sie können Cookies in Ihrem Browser sperren oder löschen; die Anmeldung funktioniert dann allenfalls nicht mehr.

7. Aufbewahrung

Wir bewahren Personendaten so lange auf, wie es für die genannten Zwecke oder aufgrund gesetzlicher Pflichten erforderlich ist. Danach werden die Daten gelöscht oder anonymisiert. Eine über die gesetzliche Aufbewahrung hinausgehende Maskierung nicht mehr benötigter Personendaten ist geplant.

Über versandte E-Mails führen wir zu Betriebs- und Nachweiszwecken ein Protokoll (Empfängeradresse, E-Mail-Typ, Zeitpunkt, Zustellstatus); für dessen Personendaten gilt die vorstehend genannte geplante Maskierung.

Server-Logdaten (Ziff. 2) bewahren wir längstens 90 Tage auf; danach werden sie automatisch gelöscht. Länger aufbewahrt werden einzelne Einträge nur, soweit sie zur Aufklärung eines konkreten Sicherheitsvorfalls oder zur Rechtsverfolgung benötigt werden.

8. Ihre Rechte

Sie haben im Rahmen des anwendbaren Rechts das Recht auf Auskunft, Berichtigung, Löschung sowie Einschränkung der Bearbeitung Ihrer Personendaten und, soweit anwendbar, auf Datenübertragbarkeit. Registrierte Nutzerinnen und Nutzer können ihr Konto selbst löschen. Zur Ausübung Ihrer Rechte wenden Sie sich an legal@grialto.com. Ihnen steht zudem das Recht zu, sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu beschweren.

9. Änderungen

Wir können diese Datenschutzerklärung jederzeit anpassen. Massgebend ist die jeweils auf der Plattform veröffentlichte Fassung.