Hosting auf Google Cloud in Belgien (EU)
Unsere Buchungsplattform und Datenbank laufen auf Google Cloud in der Region europe-west1 (St. Ghislain, Belgien). Die EU gilt aus Sicht der Schweiz als Land mit angemessenem Datenschutzniveau. Die Daten sind bei der Übertragung (TLS) und im Ruhezustand verschlüsselt.
1Verantwortliche Stelle
Verantwortlich für die Datenbearbeitung im Sinne des Datenschutzrechts (Art. 5 lit. j revDSG / Art. 4 Ziff. 7 DSGVO) ist:
Eine Datenschutzberaterin bzw. ein Datenschutzberater ist nicht bestellt. Anfragen – auch von Kundinnen und Kunden aus der EU/dem EWR – richten Sie bitte an die obenstehende Kontaktadresse.
2Kategorien der bearbeiteten Personendaten
Wir bearbeiten ausschliesslich Personendaten, die für die Organisation und sichere Durchführung des Schwimm- und Skiunterrichts, den Betrieb der Buchungsplattform und die Erfüllung gesetzlicher Pflichten erforderlich sind:
Name, E-Mail-Adresse, Telefonnummer, Rechnungsadresse, Sprache, Passwort (ausschliesslich als kryptografischer Hash), Buchungs- und Zahlungsdaten.
Vor- und Nachname, Geburtsdatum (Nachweis für Krankenkassen), Schwimm- bzw. Skiniveau, optionale Hinweise für die Lehrperson sowie – nur wenn Sie sie für den Krankenkassen-Beleg angeben – Geschlecht und Name der Krankenkasse.
Allergien, Unverträglichkeiten und medizinische Hinweise (z.B. Asthma, Paukenröhrchen) – nur mit Ihrer ausdrücklichen Einwilligung und nur für die zuständige Lehrperson und die Schulleitung einsehbar.
Nur wenn Sie sie angeben und ausschliesslich (a) für Belege zur Rückerstattung bei Ihrer Krankenversicherung (Tarif 595 / Qualitop, ab 1.1.2027 Pflicht auf dem Beleg) und (b) für Meldungen im Rahmen von Jugend+Sport (J+S), soweit erforderlich. Zusammen mit der Krankenversichertennummer ist sie auf Rechnungen standardmässig ausgeblendet und wird nur nach Ihrer ausdrücklichen Bestätigung angezeigt.
Eingaben im Level-Check und im Chatbot sowie Lehrer-Notizen für KI-gestützte Fortschrittsberichte werden über Google Cloud Vertex AI in Europa verarbeitet und nicht zum Training öffentlicher Modelle verwendet. Bitte geben Sie im Chat keine Gesundheitsdaten oder Namen von Kindern ein.
IP-Adresse und Server-Logs zur Sicherheit und Missbrauchsabwehr. Wir verwenden ausschliesslich technisch notwendige Cookies (Login-Sitzung, Sprache, Darstellung). Keine Werbe- oder Tracking-Cookies.
3Zwecke & Rechtsgrundlagen
- Buchung, Terminplanung und Durchführung des Unterrichts, Mitteilungen (Bestätigung, Erinnerung, Absage, Warteliste): Vertragserfüllung (Art. 31 Abs. 2 lit. a revDSG; Art. 6 Abs. 1 lit. b DSGVO).
- Rechnungsstellung und gesetzliche Buchführung: rechtliche Verpflichtung (Art. 958f OR; Art. 6 Abs. 1 lit. c DSGVO).
- Gesundheitsdaten von Kindern: ausdrückliche Einwilligung der gesetzlichen Vertretung (Art. 6 Abs. 7 lit. a revDSG; Art. 9 Abs. 2 lit. a DSGVO). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
- IT-Sicherheit, Missbrauchsabwehr und Plattformbetrieb: berechtigtes Interesse (Art. 31 Abs. 1 revDSG; Art. 6 Abs. 1 lit. f DSGVO).
4Daten von Kindern & elterliche Einwilligung
Konten können nur von volljährigen Personen angelegt werden. Mit der Registrierung bestätigen Eltern, dass sie volljährig und gesetzliche Vertretung der angemeldeten Kinder sind. Daten von Kindern werden ausschliesslich über deren Eltern bzw. gesetzliche Vertretung erhoben. Wir veröffentlichen keine Teilnehmerlisten, Ranglisten oder Fotos/Videos von Kindern. Foto- oder Videoaufnahmen erfolgen nur mit separater, ausdrücklicher Einwilligung.
5Empfänger & Auftragsbearbeiter
- Zugewiesene Schwimm-/Skilehrpersonen und Schulleitung – streng nach dem Need-to-know-Prinzip (Lehrpersonen sehen nur die Teilnehmenden ihrer eigenen Buchungen).
- Google Cloud EMEA Limited / Google LLC (Hosting, Datenbank, Dateispeicher, Vertex AI, E-Mail-Versand über Google Workspace) als Auftragsbearbeiterin gestützt auf einen Auftragsbearbeitungsvertrag.
- Bundesamt für Sport (BASPO) – nur bei Jugend+Sport-Kursen (J+S), soweit eine Meldung erforderlich ist.
- Ihre Krankenversicherung – nur wenn Sie den Beleg selbst einreichen (wir übermitteln keine Daten an Versicherer).
- Buchhaltung / Treuhand und Behörden – nur soweit gesetzlich erforderlich.
- Wir verkaufen keine Personendaten und geben sie nicht zu Werbezwecken weiter.
6Speicherort & Bekanntgabe ins Ausland
Primärer Speicherort ist Belgien (EU/EWR, Google-Cloud-Region europe-west1), ein Staat mit angemessenem Datenschutzniveau gemäss Bundesrat. Da Google Cloud EMEA Limited zum US-Konzern Google LLC gehört, kann ein Zugriff aus den USA (z.B. für Support oder Wartung) nicht vollständig ausgeschlossen werden. Eine solche Bekanntgabe stützt sich auf das Swiss–U.S. bzw. EU–U.S. Data Privacy Framework (Google LLC ist zertifiziert) und/oder die Standardvertragsklauseln des Google Cloud Data Processing Addendum (Art. 16 revDSG; Art. 46 DSGVO).
Der Zugriff auf Personendaten ist auf berechtigte Personen beschränkt. Technische Massnahmen: TLS-Verschlüsselung, Verschlüsselung im Ruhezustand, gehashte Passwörter, Rate-Limiting, rollenbasierte Zugriffskontrolle und eine auf 2 Stunden begrenzte Sitzungsdauer.
7Aufbewahrungs- & Löschfristen
| Daten | Frist |
|---|---|
| Rechnungen und Buchungsbelege | 10 Jahre (Art. 958f OR). Vorher nicht löschbar; nach einem Löschbegehren werden sie gesperrt aufbewahrt und nur für die Buchhaltung verwendet. |
| Gesundheitsdaten der Kinder (Allergien, medizinische Hinweise) | Automatische Löschung 12 Monate nach der letzten Lektion bzw. sofort auf Wunsch / bei Widerruf der Einwilligung. |
| AHV-Nummer & Krankenversichertennummer (optional) | Automatische Löschung 12 Monate nach der letzten Lektion bzw. sofort auf Wunsch. |
| Konto, Kinderprofile, Warteliste | Bis zur Löschung Ihres Kontos (Self-Service im Dashboard); Konten ohne Buchung seit 3 Jahren werden geprüft und gelöscht. |
| Login-Sitzungen, Verifikationscodes, Rate-Limit- und Sicherheitsdaten | Minuten bis maximal 30 Tage; abgelaufene Einträge werden automatisch gelöscht. |
8Ihre Rechte (revDSG & DSGVO)
- Auskunft: Auskunft über die zu Ihrer Person bearbeiteten Daten (Art. 25 revDSG / Art. 15 DSGVO).
- Datenherausgabe / -übertragbarkeit: Herausgabe Ihrer Daten in einem gängigen elektronischen Format (Art. 28 revDSG / Art. 20 DSGVO) – direkt im Kunden-Dashboard.
- Berichtigung: Berichtigung unrichtiger Daten (Art. 32 revDSG / Art. 16 DSGVO).
- Löschung: Löschung Ihrer Daten unter Vorbehalt gesetzlicher Aufbewahrungspflichten (Art. 32 revDSG / Art. 17 DSGVO) – per Self-Service im Dashboard.
- Widerruf: Einwilligungen (z.B. für Gesundheitsdaten) können jederzeit mit Wirkung für die Zukunft widerrufen werden.
- Widerspruch & Einschränkung: Widerspruch gegen Bearbeitungen aufgrund berechtigter Interessen und Einschränkung der Bearbeitung (Art. 21 / 18 DSGVO).
Zur Ausübung Ihrer Rechte nutzen Sie den Datenschutz-Bereich in Ihrem Kunden-Dashboard oder schreiben Sie uns an info@marcopolosport.ch. Wir antworten innert 30 Tagen.
Sie haben zudem das Recht, bei einer Aufsichtsbehörde Beschwerde einzureichen: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch); in der EU/im EWR bei der Datenschutzbehörde Ihres Wohnorts.
9Änderungen
Wir können diese Datenschutzerklärung jederzeit anpassen. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.