Datenschutzerklärung

2. Grundsätzliches

Diese Datenschutzerklärung soll die Nutzer dieser Website über die Art, den Umfang und den Zweck der Erhebung und Verwendung personenbezogener Daten durch den Websitebetreiber informieren.

Der Websitebetreiber nimmt den Datenschutz sehr ernst und behandelt personenbezogene Daten vertraulich und entsprechend der schweizerischen gesetzlichen Vorschriften (insbesondere Bundesgesetz über den Datenschutz, DSG, sowie revidiertes Datenschutzgesetz nDSG) sowie gemäss der EU-Datenschutz-Grundverordnung (DSGVO).

3. Welche Daten wir erfassen

3.1 Beim Besuch der Website

Beim Aufrufen unserer Website werden durch den Browser automatisch Informationen an den Server unserer Website gesendet. Diese Informationen werden temporär in einem sogenannten Logfile gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Übertragene Datenmenge
• Meldung über erfolgreichen Abruf (HTTP response code)
• Browsertyp und -version
• Betriebssystem

3.2 Bei Registrierung und Nutzung von Vertragbox

Bei der Erstellung eines Vertragbox-Kontos erheben wir:

• Vor- und Nachname
• Firmenname und Anschrift
• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Telefonnummer (optional)
• Zahlungsinformationen (über Stripe verarbeitet — wir speichern keine Kreditkartendaten)
• Hochgeladene Verträge und deren extrahierte Daten

3.3 Bei Kontaktaufnahme

Wenn Sie uns per E-Mail oder Kontaktformular kontaktieren, werden die von Ihnen mitgeteilten Daten (E-Mail-Adresse, Name, Nachricht) gespeichert, um Ihre Anfrage zu bearbeiten.

4. Zweck der Datenverarbeitung

Wir verarbeiten Ihre Daten zu folgenden Zwecken:

• Bereitstellung der Vertragbox-Dienste
• Abrechnung und Zahlungsabwicklung
• Versand von Erinnerungen an Vertragsfristen
• Kommunikation mit Ihnen (Support, Service-Updates)
• Erfüllung gesetzlicher Pflichten (Buchhaltung, Aufbewahrungspflichten)
• Sicherheit und Schutz vor Missbrauch

5. Speicherung Ihrer Verträge

Hochgeladene Verträge und extrahierte Daten werden:

• Verschlüsselt auf EU-Servern gespeichert (AWS eu-west-1, Dublin/Irland)
• Pro Mandant isoliert (kein Zugriff durch andere Vertragbox-Nutzer)
• Für die Dauer Ihres Abonnements gespeichert
• Nach Kündigung 30 Tage aufbewahrt (für Wiederherstellung), danach gelöscht

6. Weitergabe von Daten an Dritte (Auftragsverarbeiter)

Wir nutzen folgende Subprozessoren, die als Auftragsverarbeiter im Rahmen ihrer jeweiligen Aufgaben Zugang zu Daten haben können:

• Lovable Technologies AB (Schweden) — Hosting-Plattform, DPA via legal@lovable.dev
• Supabase Inc. (USA, EU-Server) — Datenbank & Storage, Region AWS eu-west-1 (Dublin)
• Amazon Web Services (AWS), Region eu-west-1 (Dublin, Irland) — Cloud-Infrastruktur (ISO 27001, SOC 2, C5)
• Cloudflare Inc. — Edge-Computing / Worker (temporäre Verarbeitung, keine persistente Datenhaltung)
• Lovable AI Gateway (Google Gemini / OpenAI) — KI-Vertragsanalyse; Vertragsdaten werden NICHT zu Trainingszwecken verwendet; Region EU/USA je nach Modell
• Stripe Inc. — Zahlungsabwicklung (EU/USA, DSGVO-konform)
• Resend (USA/EU) — Transaktionale E-Mails (DSGVO-konform, DPA vorhanden)

Mit allen Subprozessoren bestehen entsprechende Verträge zur Auftragsverarbeitung (DPA/AVV). Die vollständige Subprozessor-Liste finden Sie auch im AVV.

7. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 25 nDSG)
• Berichtigung unrichtiger Daten
• Löschung Ihrer Daten („Recht auf Vergessenwerden")
• Einschränkung der Datenverarbeitung
• Datenübertragbarkeit (Datenexport)
• Widerspruch gegen die Verarbeitung
• Beschwerde bei der zuständigen Aufsichtsbehörde (in der Schweiz: EDÖB)

Zur Ausübung Ihrer Rechte wenden Sie sich an: kontakt@vertragbox.ch

8. Cookies

Vertragbox verwendet nur technisch notwendige Cookies (Login-Session). Wir setzen keine Tracking- oder Marketing-Cookies ohne Ihre ausdrückliche Einwilligung.

9. Sicherheit

Wir treffen technische und organisatorische Massnahmen, um Ihre Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen:

• Verschlüsselung in-transit per TLS 1.2+
• Verschlüsselung at-rest durch AWS (AES-256, standardmässig)
• Tägliche automatische Backups mit 7 Tagen Retention via Lovable Cloud / Supabase (gehostet auf AWS Dublin, Irland)
• Zugriffsbeschränkungen auf Mitarbeiter und Auftragsverarbeiter mit berechtigtem Interesse

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen. Es gilt die jeweils aktuelle Fassung.