Datenschutzerklärung

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten verarbeitet werden, wenn Sie diese Website besuchen, das Kontaktformular nutzen oder die Octbase-Webanwendung verwenden, zu welchen Zwecken dies geschieht und welche Rechte Ihnen zustehen. Da die verantwortliche Stelle ihren Sitz in der Schweiz hat, bearbeiten wir personenbezogene Daten in erster Linie nach dem revidierten Schweizer Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023) und der zugehörigen Datenschutzverordnung (DSV). Soweit zusätzlich die EU-Datenschutz-Grundverordnung (DSGVO) anwendbar ist – insbesondere für Besucherinnen und Besucher aus dem EU-/EWR-Raum –, halten wir auch diese ein; die nachfolgend genannten DSGVO-Rechtsgrundlagen gelten nur, soweit die DSGVO anwendbar ist. Anders als die DSGVO verlangt das revDSG von einem privaten Verantwortlichen keine gesonderte Rechtsgrundlage für jede einzelne Bearbeitung, bindet diese aber an die Grundsätze der Rechtmässigkeit, von Treu und Glauben, der Verhältnismässigkeit, der Zweckbindung, der Transparenz und der Datensicherheit (Art. 6 revDSG).

1. Verantwortliche Stelle

Lars Frasseck - Web- & Musik-Produktion
Renggerstrasse 49
8038 Zürich
Schweiz

Für alle Datenschutzanfragen wenden Sie sich an: hello@octbase.io

2. Geltungsbereich

Diese Erklärung gilt für die Website octbase.io sowie für Octbase-Instanzen, die wir für Kunden hosten und betreiben. Wird eine Octbase-Instanz für eine Kundenorganisation betrieben, ist diese Organisation für die von ihren Nutzern eingegebenen Daten verantwortlich; wir handeln insoweit als Auftragsverarbeiter.

3. Besuch der Website (Server-Logs)

Beim Aufruf dieser Website verarbeitet der Webserver technisch bedingt und vorübergehend Verbindungsdaten: Ihre IP-Adresse (gespeichert nur gekürzt: bei IPv4 wird die letzte Zahl durch 0 ersetzt, bei IPv6 bleiben nur die ersten 48 Bit erhalten), Datum und Uhrzeit des Zugriffs, die angeforderte Ressource, den HTTP-Status, die Browser-Kennung (User-Agent) und weitere technische Anfrage-Header (etwa die verweisende Seite und die bevorzugte Sprache). Diese Daten dienen ausschliesslich der zuverlässigen Auslieferung der Website, der Abwehr von Missbrauch (z. B. Ratenbegrenzung) und der Diagnose technischer Störungen. Wir bearbeiten diese Verbindungsdaten gestützt auf unser überwiegendes Interesse am sicheren und stabilen Betrieb des Dienstes (Art. 31 Abs. 1 revDSG; soweit die DSGVO anwendbar ist, Art. 6 Abs. 1 lit. f DSGVO).

Log-Daten werden nicht mit anderen Datenquellen zusammengeführt, nicht zur Profilbildung verwendet und nach 14 Tagen automatisch gelöscht. Diese Website setzt keine Analyse-, Tracking- oder Werbedienste ein und lädt keine Ressourcen von Drittservern.

4. Kontaktformular

Wenn Sie das Kontaktformular nutzen, verarbeiten wir die von Ihnen eingegebenen Angaben (Name, E-Mail-Adresse und Ihre Nachricht sowie optional Unternehmen und Teamgrösse) ausschliesslich zur Bearbeitung Ihrer Anfrage. Diese Daten werden uns per E-Mail übermittelt und nicht in einer Datenbank auf dem Webserver gespeichert. Wir bearbeiten sie zur Durchführung vorvertraglicher Massnahmen auf Ihre Anfrage sowie gestützt auf unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage (soweit die DSGVO anwendbar ist, Art. 6 Abs. 1 lit. b und lit. f DSGVO).

Sie erhalten eine automatische Eingangsbestätigung an die angegebene E-Mail-Adresse. Zur Missbrauchsabwehr werden Formularübermittlungen pro IP-Adresse begrenzt; die IP-Adresse wird dafür nur im Arbeitsspeicher gehalten und nicht dauerhaft gespeichert. Korrespondenz wird so lange aufbewahrt, wie es für die Bearbeitung Ihrer Anfrage und eine allfällige Geschäftsbeziehung erforderlich ist, und danach gelöscht.

5. Nutzung der Octbase-Anwendung

Wenn Sie sich bei einer Octbase-Instanz anmelden, die wir für Ihre Organisation betreiben, ist Ihre Organisation für die folgenden Daten verantwortlich und legt Zwecke und Rechtsgrundlage ihrer Bearbeitung fest (siehe Ziffer 2). Wir bearbeiten sie in ihrem Auftrag als Auftragsverarbeiter, um den Dienst im Rahmen unseres Vertrags mit ihr zu erbringen:

• Benutzerkonto: E-Mail-Adresse, Anzeigename, Passwort (nur als gesalzener Hash, nie im Klartext), Rolle, Kontostatus, Zeitpunkt der letzten Anmeldung und, falls Sie eines hochladen, ein Profilbild (sichtbar für Sie, für die Mitglieder Ihrer Projekte und für Administratoren der Instanz). Wenn Sie die Zwei-Faktor-Authentifizierung aktivieren, wird deren Geheimnis verschlüsselt und werden die Wiederherstellungscodes nur als Hash gespeichert.
• Arbeitsinhalte: von Ihnen erstellte Projekte, Aufgaben, Kommentare, Seiten und Anhänge, verknüpft mit Ihrem Konto.
• Sicherheitsprotokoll (Audit-Log): An- und Abmeldungen (auch fehlgeschlagene Anmeldeversuche), administrative Aktionen und weitere sicherheitsrelevante Ereignisse (z. B. Änderungen an der Zwei-Faktor-Authentifizierung, Exporte, Löschungen), erfasst mit IP-Adresse und Browser-Kennung. Die IP-Adresse wird höchstens 7 Tage vollständig gespeichert und danach gekürzt (bei IPv4 wird die letzte Zahl durch 0 ersetzt, bei IPv6 bleiben nur die ersten 48 Bit erhalten); die Browser-Kennung bleibt während der gesamten Speicherdauer des Protokolls erhalten.
• Aktivitätsverlauf: projektbezogene Aktionen (z. B. «Aufgabe verschoben») mit Ihrer Benutzer-ID, für Team-Transparenz.
• Benachrichtigungen und E-Mail-Versand: Benachrichtigungen zu Aufgaben in der Anwendung (mit Nennung des Aufgabentitels); Ihre E-Mail-Adresse wird für Einladungen, Links zum Zurücksetzen des Passworts, Kontohinweise (z. B. Willkommens-E-Mail oder bei einer Änderung Ihrer E-Mail-Adresse) und Benachrichtigungen zu Aufgaben verwendet. Eine E-Mail zu einer geänderten Aufgabe enthält deren Titel, den Namen der Person, die sie geändert hat, und die Änderungen.
• Einstellungen: Sprache, Design, Begriffe und Benachrichtigungseinstellungen werden in Ihrem Konto gespeichert, damit sie auf jedem Gerät gelten.
• Repository-Verbindungen: Wird ein Git-Repository (GitHub, GitLab oder Bitbucket) verbunden, wird dessen Zugriffstoken verschlüsselt gespeichert, und Branch- und Pull-Request-Daten werden mit diesem Anbieter ausgetauscht.
• Server-Logs: Der Webserver der Instanz und die Anwendung protokollieren Anfragen (gekürzte IP-Adresse, aufgerufene URL, Browser-Kennung) zu Sicherheits- und Diagnosezwecken; die Web Application Firewall erfasst zudem Anfragen, die sie blockiert oder markiert, sowie Anfragen, die die Anwendung abweist, jeweils mit ihrem Inhalt. Diese Logs speichern die IP-Adresse nur gekürzt, nie vollständig.

Kundeninstanzen werden getrennt betrieben – eine Instanz pro Kunde – und nicht zwischen Kunden geteilt.

6. Cookies und lokaler Speicher

Diese Website setzt keine Cookies; sie speichert lediglich Ihre Sprachwahl im lokalen Speicher Ihres Browsers. Die Octbase-Anwendung verwendet ausschliesslich technisch erforderliche Cookies und lokalen Browser-Speicher:

• refresh_token (HttpOnly-Cookie): hält Ihre Sitzung aufrecht und läuft automatisch ab. Technisch erforderlich.
• refresh_present (Cookie): merkt nur, dass eine Sitzung besteht, ohne personenbezogenen Inhalt. Technisch erforderlich.
• localStorage: Anzeige- und Ansichtseinstellungen (z. B. Skalierung der Oberfläche, Tastenkürzel, zuletzt geöffnete Projekte), die auf Ihrem Gerät verbleiben. Sprache, Design und Begriffe werden zusätzlich in Ihrem Konto gespeichert (siehe Ziffer 5).

Da nur technisch erforderliche Cookies eingesetzt werden, ist kein Einwilligungsbanner erforderlich.

7. Empfänger und Hosting

Personenbezogene Daten werden nicht verkauft und nicht zu Werbezwecken an Dritte weitergegeben. Eine Weitergabe an Dritte erfolgt nur, soweit dies für den Betrieb des Dienstes erforderlich ist oder wir rechtlich dazu verpflichtet sind.

Die Octbase-Instanzen unserer Kunden werden auf Servern in der Schweiz gehostet. Diese Website und demo.octbase.io, wo das Benutzerhandbuch liegt, werden auf Servern in Deutschland (EU) gehostet. E-Mails (Kontaktformular-Zustellung, Bestätigungen, Benachrichtigungen der Anwendung) werden über einen E-Mail-Anbieter in Deutschland (EU) versendet, der als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags tätig ist. Verbindet Ihre Organisation einen Git-Anbieter (GitHub, GitLab oder Bitbucket), werden die für Branches und Pull Requests nötigen Daten an diesen Anbieter übermittelt, den Ihre Organisation auswählt und der sie ausserhalb der Schweiz und der EU (z. B. in den USA) verarbeiten kann.

8. Speicherdauer

• Kontodaten: bis zur Löschung des Kontos.
• Sicherheitsprotokoll und Aktivitätsverlauf: standardmässig 365 Tage, danach automatische Löschung. IP-Adressen im Sicherheitsprotokoll: höchstens 7 Tage vollständig, danach gekürzt bis zur Löschung des Eintrags.
• Abgelaufene Sitzungen und Links zum Zurücksetzen des Passworts: werden automatisch entfernt. Einladungen: werden 30 Tage nach Ablauf oder Annahme entfernt. Gelesene Benachrichtigungen: werden entfernt, sobald sie älter als 180 Tage sind, gerechnet ab ihrer Erstellung; ungelesene bleiben bestehen, bis sie gelesen werden oder bis das Konto oder die Aufgabe, das Projekt oder die Seite, auf die sie sich beziehen, gelöscht wird.
• Server-Logs der Website: 14 Tage. Kontaktkorrespondenz: wird gelöscht, sobald sie für die oben genannten Zwecke nicht mehr erforderlich ist.
• Logs des Webservers und der Web Application Firewall der Anwendung: 14 Tage, IP-Adressen nur gekürzt. Server-Logs der Anwendung: bis zu 7 Tage, IP-Adressen nur gekürzt. Sicherungen der Anwendungsdatenbank und der Anhänge: bis zu 14 Tage; gelöschte Daten können bis zu deren Ablauf in einer Sicherung verbleiben.
• Vertragsende: Die Daten der Instanz bleiben während 30 Tagen exportierbar, danach wird die Instanz gelöscht; eine letzte Sicherungskopie ihrer Datenbank und Anhänge wird noch weitere 30 Tage aufbewahrt und dann gelöscht.

9. Ihre Rechte

Nach dem revDSG haben Sie das Recht auf Auskunft darüber, ob und wie wir Ihre personenbezogenen Daten bearbeiten (Art. 25 revDSG), auf Berichtigung unrichtiger Daten (Art. 32 revDSG), auf Löschung oder Einschränkung der Bearbeitung, auf Widerspruch gegen eine Bearbeitung sowie auf Herausgabe der von Ihnen bereitgestellten Daten in einem gängigen elektronischen Format (Datenportabilität, Art. 28 revDSG). Soweit die DSGVO anwendbar ist, stehen Ihnen zusätzlich die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu und – soweit eine Bearbeitung auf Einwilligung beruht – das Recht, diese jederzeit mit Wirkung für die Zukunft zu widerrufen. Zur Ausübung dieser Rechte wenden Sie sich an die in Ziffer 1 genannte Kontaktadresse.

Widerspruchsrecht: Soweit wir personenbezogene Daten gestützt auf unser überwiegendes bzw. berechtigtes Interesse bearbeiten – etwa die Server-Logs dieser Website –, können Sie dieser Bearbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (soweit die DSGVO anwendbar ist, Art. 21 DSGVO).

Betrifft Ihr Anliegen Daten in einer Octbase-Instanz, die für Ihre Organisation betrieben wird, wenden Sie sich bitte an Ihre Organisation als Verantwortliche; Anfragen zu solchen Daten, die uns erreichen, leiten wir an sie weiter.

Ihnen steht zudem ein Beschwerderecht bei einer Aufsichtsbehörde zu – in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in der EU bei der Datenschutzbehörde Ihres Mitgliedstaats.

Bei der Löschung eines Octbase-Kontos werden dessen persönliche Angaben (Name, E-Mail-Adresse, Profilbild und Anmeldedaten) entfernt bzw. anonymisiert; von der Person erstellte Arbeitsinhalte, einschliesslich Anhängen und selbst verfasster Texte, bleiben der Organisation unter der Kennzeichnung «Deleted user» erhalten. Einträge im Sicherheitsprotokoll, einschliesslich der nach 7 Tagen gekürzten IP-Adresse und der Browser-Kennung, bleiben bis zum Ablauf der Speicherdauer gemäss Ziffer 8 bestehen.

10. Datensicherheit

Alle Verbindungen zur Website und zur Anwendung sind TLS-verschlüsselt. Passwörter werden ausschliesslich als gesalzene Hashes gespeichert. Der Zugriff auf Produktivsysteme ist beschränkt, sicherheitsrelevante Aktionen werden protokolliert. Diese technischen und organisatorischen Massnahmen entsprechen den Anforderungen an die Datensicherheit nach Art. 8 revDSG und der Datenschutzverordnung (sowie Art. 32 DSGVO, soweit anwendbar).

11. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; das Datum oben zeigt die letzte Überarbeitung an.