Datenschutzerklärung

1. Geltungsbereich

Diese Datenschutzerklärung erläutert, wie die Evoya AI GmbH (nachfolgend «Evoya AI», «wir», «uns») Personendaten bearbeitet, insbesondere im Zusammenhang mit

• unserer Website evoya.ai inklusive Unterseiten, Formularen und Chat-Widget,
• unserer KI-Plattform (erreichbar insbesondere über avaia.io und zugehörige Subdomains), unseren APIs und Integrationen,
• unseren Dienstleistungen wie Beratung, Workshops, Schulungen und Entwicklungsprojekten sowie
• der Kommunikation mit Kundinnen, Interessenten, Partnern und Lieferanten.

Sie richtet sich nach dem Schweizer Datenschutzgesetz (DSG) und, soweit anwendbar, nach der EU-Datenschutz-Grundverordnung (DSGVO). Für einzelne Dienstleistungen können ergänzende Datenschutzhinweise oder ein Auftragsbearbeitungsvertrag (AVV) gelten.

2. Verantwortlicher und Kontakt

Verantwortlich für die Datenbearbeitung:
Evoya AI GmbH
Brunnenstrasse 27
8610 Uster
Schweiz
UID: CHE-236.338.302

Kontakt für Datenschutzanliegen:
Steven Chareonbood, Geschäftsführer
E-Mail: [email protected] (Betreff «Datenschutz»)
Telefon: +41 44 520 16 48

Wir haben keinen Datenschutzberater im Sinne von Art. 10 DSG bzw. keinen Datenschutzbeauftragten im Sinne von Art. 37 DSGVO bestellt. Die oben genannte Stelle ist Ihre Ansprechperson für alle Fragen zum Datenschutz.

3. Unsere Rolle: Verantwortlicher oder Auftragsbearbeiter

Als Verantwortlicher bearbeiten wir Personendaten, über deren Zweck und Mittel wir selbst entscheiden, z.B. Daten von Website-Besuchenden, Interessenten, Ansprechpersonen unserer Kunden, Konto-, Vertrags- und Abrechnungsdaten sowie Daten im Rahmen unseres Marketings.

Als Auftragsbearbeiter bearbeiten wir Inhalte, die unsere Geschäftskunden und deren Nutzende in die Plattform eingeben oder hochladen (z.B. Prompts, Dokumente, Wissensdatenbanken, Chat-Verläufe, generierte Ausgaben) sowie Daten von Endnutzenden kundenseitig betriebener Chatbots. Diese Daten bearbeiten wir ausschliesslich im Auftrag und nach Weisung des jeweiligen Kunden gemäss unseren AGB und unserem Auftragsbearbeitungsvertrag (AVV). Verantwortlich für diese Bearbeitung ist der Kunde; er entscheidet insbesondere, welche Daten er eingibt, welche KI-Modelle er verwendet und wie lange Inhalte gespeichert werden. Betroffene Personen wenden sich für diese Daten bitte an den jeweiligen Kunden; bei uns eingehende Anfragen leiten wir an ihn weiter.

4. Welche Daten wir bearbeiten

Je nach Kontakt und Nutzung bearbeiten wir insbesondere folgende Kategorien von Personendaten:

• Stamm- und Kontaktdaten: Name, Vorname, Firma, Funktion, E-Mail-Adresse, Telefonnummer, Postadresse.
• Konto- und Profildaten: Benutzername, verschlüsseltes Passwort (Hash), Rolle, Organisation, Einstellungen.
• Vertrags- und Abrechnungsdaten: gebuchte Leistungen, Lizenzen und Credits, Rechnungsadresse, Zahlungsart, Zahlungsstatus, Korrespondenz zum Vertrag.
• Plattform-Inhalte: Eingaben (Prompts), hochgeladene Dateien, Wissensdatenbanken, generierte Ausgaben, Chat-Verläufe.
• Technische Daten und Nutzungsdaten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten, Referrer, Browser- und Gerätetyp, Betriebssystem, System- und Fehlerprotokolle, Nutzungsstatistiken (z.B. verbrauchte Credits, verwendete Modelle).
• Kommunikationsdaten: Inhalte von Anfragen über Formulare, E-Mail, Telefon, Chat oder Support-Tickets sowie Terminbuchungen.
• Marketingdaten: Newsletter-Anmeldung, Einwilligungen, Interaktionen mit unseren E-Mails, Teilnahme an Veranstaltungen und Webinaren.
• Bild- und Tonaufnahmen: Fotos und Videos von Veranstaltungen und Workshops (siehe Ziffer 5).
• Bewerbungsdaten: Angaben und Unterlagen, die Sie uns im Rahmen einer Bewerbung zukommen lassen.

Besonders schützenswerte Personendaten (z.B. Gesundheitsdaten) erheben wir nicht gezielt. Sie gelangen nur dann in unsere Systeme, wenn Nutzende solche Daten selbst in die Plattform eingeben. Für die Zulässigkeit solcher Eingaben ist der Kunde verantwortlich.

5. Zwecke und Rechtsgrundlagen

Wir bearbeiten Personendaten zu folgenden Zwecken:

• Bereitstellung von Website und Plattform, inklusive Kontoverwaltung, Anbindung von KI-Modellen, Support und technischem Betrieb.
• Abschluss und Abwicklung von Verträgen, inklusive Offerten, Abrechnung, Buchhaltung und Durchsetzung von Forderungen.
• Kommunikation mit Ihnen, z.B. zur Beantwortung von Anfragen und zur Organisation von Terminen.
• Marketing, z.B. Newsletter, Informationen über neue Funktionen, Veranstaltungen und Referenzen.
• Verbesserung unserer Angebote auf Basis aggregierter oder pseudonymisierter Nutzungsstatistiken.
• Sicherheit und Missbrauchsverhinderung, z.B. Spam-Schutz, Betrugserkennung, Protokollierung und Durchsetzung unserer Nutzungsbedingungen.
• Einhaltung rechtlicher Pflichten, z.B. Aufbewahrungspflichten und behördliche Anordnungen.
• Veranstaltungen: Bei Veranstaltungen und Workshops können Fotos und Videos entstehen, die wir auf unserer Website, in sozialen Medien und in Publikationen verwenden. Wir weisen vor Ort darauf hin. Sie können der Aufnahme bzw. Veröffentlichung jederzeit widersprechen; Porträtaufnahmen einzelner Personen veröffentlichen wir nur mit deren Einwilligung.

Rechtsgrundlagen

Nach dem DSG ist eine Bearbeitung zulässig, wenn sie die Bearbeitungsgrundsätze einhält; wo erforderlich, stützen wir uns auf einen Rechtfertigungsgrund nach Art. 31 DSG. Soweit die DSGVO anwendbar ist, stützen wir uns auf:

• Vertragserfüllung und vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO; Art. 31 Abs. 2 lit. a DSG),
• Einwilligung, z.B. für Statistik- und Marketing-Cookies und den Newsletter (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können,
• rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO),
• berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), namentlich an einem sicheren und effizienten Betrieb, an Missbrauchsverhinderung, an der Kommunikation mit Geschäftskontakten, an Direktmarketing gegenüber Bestandskunden und an der Durchsetzung von Rechtsansprüchen.

Die Bereitstellung von Personendaten ist grundsätzlich freiwillig. Ohne die für einen Vertrag oder ein Konto erforderlichen Angaben können wir die entsprechenden Leistungen jedoch nicht erbringen.

6. Datenbearbeitung auf unserer Website

Server-Logdateien

Beim Aufruf unserer Website werden technische Daten (insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, Browser und Betriebssystem) in Logdateien gespeichert. Dies ist für die Auslieferung der Website, die Sicherheit und die Fehleranalyse erforderlich.

Cookies und Einwilligungsverwaltung

Wir verwenden technisch notwendige Cookies (z.B. Sitzung, Spracheinstellung, Speicherung Ihrer Cookie-Auswahl). Statistik-, Marketing- und funktionale Dienste von Dritten laden wir erst, nachdem Sie über unser Cookie-Banner eingewilligt haben. Ihre Auswahl können Sie jederzeit über den Link «Cookie-Einstellungen» im Fussbereich der Website ändern. Einzelheiten finden Sie in unserer Cookie-Richtlinie.

Google Analytics, Google Tag Manager und Google Ads

Mit Ihrer Einwilligung verwenden wir Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und der Google LLC, USA («Google»): Google Tag Manager zur Verwaltung der Tags, Google Analytics zur statistischen Auswertung der Website-Nutzung und Google Ads zur Messung des Erfolgs unserer Werbeanzeigen (Conversion Tracking, z.B. Klick auf «Kostenlos starten» oder «Demo buchen») sowie für Remarketing, d.h. um Besuchenden unserer Website auf anderen Websites und in Google-Diensten interessenbezogene Anzeigen von Evoya AI zu zeigen. Dabei werden Cookies bzw. Kennungen gesetzt und Nutzungsdaten, einschliesslich gekürzter IP-Adresse, an Google übermittelt, auch in die USA. Wir verwenden den Google Consent Mode. Ohne Ihre Einwilligung setzen die genannten Google-Dienste keine Cookies und speichern keine Kennungen auf Ihrem Gerät; sie übermitteln dann nur cookielose Signale (z.B. Seitenaufruf, Zeitpunkt, Gerätetyp, gekürzte IP-Adresse), mit denen Google Nutzung und Anzeigenerfolg statistisch schätzt. Rechtsgrundlage dafür ist unser berechtigtes Interesse an der Erfolgsmessung unseres Angebots. Weitere Informationen: Datenschutzerklärung von Google.

Kontaktformular und Google reCAPTCHA

Wenn Sie uns über ein Formular kontaktieren, bearbeiten wir Ihre Angaben (z.B. Name, Firma, E-Mail, Telefonnummer, Nachricht) zur Beantwortung Ihrer Anfrage. Zum Schutz vor Spam und Missbrauch setzen wir auf Seiten mit Formular Google reCAPTCHA ein. reCAPTCHA analysiert Ihr Verhalten auf der Seite (z.B. IP-Adresse, Mausbewegungen, Verweildauer) und übermittelt diese Daten an Google, auch in die USA. Rechtsgrundlage ist unser berechtigtes Interesse an der Missbrauchsverhinderung. Es gelten die Datenschutzerklärung und die Nutzungsbedingungen von Google.

Terminbuchung (TidyCal)

Für die Buchung von Demo- und Erstgesprächen verlinken wir auf den Dienst TidyCal (AppSumo Originals, USA). Wenn Sie einen Termin buchen, bearbeitet TidyCal Ihre Angaben (z.B. Name, E-Mail, gewählter Termin, allfällige Nachricht) in unserem Auftrag. Die Daten können in den USA gespeichert werden.

Newsletter und Marketing-Automation (Vbout)

Für den Versand unseres Newsletters nutzen wir Vbout (Vbout Inc., USA). Das Anmeldeformular von Vbout wird erst geladen, wenn Sie in die Kategorie «Funktional» eingewilligt oder das Formular aktiv geladen haben. Für die Anmeldung verwenden wir das Double-Opt-in-Verfahren. Vbout wertet aus, ob Newsletter geöffnet und Links angeklickt werden. Mit Ihrer Einwilligung in «Marketing» setzen wir zudem das Vbout-Tracking auf unserer Website ein, um Website-Besuche bekannten Kontakten zuordnen und unsere Kommunikation verbessern zu können. Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail abbestellen und das Tracking in den Cookie-Einstellungen deaktivieren.

Chat-Assistent auf der Website

Auf unserer Website bieten wir einen KI-Chat-Assistenten an, der auf unserer eigenen Plattform (chat.avaia.io) betrieben wird. Der Assistent wird erst nach einer Interaktion mit der Seite geladen. Wenn Sie ihn nutzen, bearbeiten wir Ihre Eingaben und die generierten Antworten, um Ihre Frage zu beantworten. Bitte geben Sie im Chat keine besonders schützenswerten Personendaten ein.

Social-Media-Profile

Unsere Website enthält Links zu unseren Profilen auf LinkedIn, YouTube, X und Facebook. Es handelt sich um einfache Links, nicht um Plugins; Daten werden erst übermittelt, wenn Sie den Link anklicken. Auf den Plattformen selbst gelten die Datenschutzbestimmungen der jeweiligen Betreiber.

7. Datenbearbeitung auf der KI-Plattform

Konto und Nutzung

Für die Nutzung der Plattform bearbeiten wir Konto-, Vertrags- und Nutzungsdaten. Nutzungsstatistiken (z.B. Anzahl Anfragen, verbrauchte Credits, verwendete Modelle) verwenden wir für Abrechnung, Kapazitätsplanung, Missbrauchsverhinderung und die Weiterentwicklung unserer Dienste.

KI-Modelle und Speicherort

Die Plattform bindet KI-Modelle verschiedener Anbieter an, darunter Modelle, die in der Schweiz oder in der EU betrieben werden, und Modelle internationaler Anbieter. Plattform-Inhalte speichern wir standardmässig in ISO-27001-zertifizierten Rechenzentren in der Schweiz. Wenn Sie ein Modell verwenden, werden Ihre Eingaben und die für die Antwort nötigen Inhalte zur Verarbeitung an den Anbieter des gewählten Modells übermittelt, gegebenenfalls in dessen Land (siehe Ziffer 9). Auf der Plattform ist für jedes Modell ersichtlich, in welchem Land es betrieben wird. Die Wahl des Modells trifft der Kunde bzw. die von ihm berechtigten Nutzenden.

Keine Verwendung für das Training von KI-Modellen

Wir verwenden Plattform-Inhalte unserer Kunden nicht, um KI-Modelle zu trainieren, es sei denn, der Kunde hat dem ausdrücklich zugestimmt. Wir binden die Modelle von Drittanbietern über deren geschäftliche Schnittstellen (APIs) ein, bei denen die Anbieter nach ihren eigenen Bedingungen zusichern, API-Daten nicht für das Training ihrer Modelle zu verwenden. Für die Einhaltung dieser Zusicherungen sind die jeweiligen Anbieter verantwortlich.

Speicherdauer von Inhalten und Zero Data Retention

Kunden können auf der Plattform festlegen, wie lange Chat-Verläufe und andere Inhalte gespeichert werden, bis hin zur Löschung nach Ende der Sitzung (Zero Data Retention). Einzelne Modellanbieter speichern Eingaben und Ausgaben nach ihren eigenen Bedingungen vorübergehend, z.B. bis zu 30 Tage zur Missbrauchserkennung. Ob ein Anbieter Zero Data Retention anbietet, weisen wir auf der Plattform aus oder teilen es auf Anfrage mit.

Integrationen und On-Premise

Verbindet ein Kunde die Plattform mit Drittsystemen (z.B. Microsoft 365, E-Mail, Datenbanken), greift die Plattform im vom Kunden freigegebenen Umfang auf diese Systeme zu. Betreibt ein Kunde die Lösung auf eigener Infrastruktur (On-Premise) oder bei einem Cloud-Anbieter seiner Wahl, ist er für den Betrieb und die Datensicherheit dieser Umgebung verantwortlich.

8. Empfänger und Auftragsbearbeiter

Wir geben Personendaten nur bekannt, soweit dies für die genannten Zwecke erforderlich ist, und zwar an folgende Kategorien von Empfängern:

• IT- und Hosting-Dienstleister (Rechenzentren, Cloud-Infrastruktur, E-Mail, Backup),
• Anbieter von KI-Modellen, deren Modelle Sie auf der Plattform auswählen,
• Dienstleister für Website, Analyse und Marketing (Google, Vbout, TidyCal),
• Zahlungs- und Buchhaltungsdienstleister sowie Banken,
• Partner, die im Auftrag eines Kunden Implementierungs- oder Supportleistungen erbringen, sofern der Kunde dies wünscht,
• Berater wie Treuhänder, Revisoren und Rechtsanwälte, die einer Schweigepflicht unterliegen,
• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind oder dies zur Wahrung unserer Rechte notwendig ist,
• Erwerber oder Investoren im Rahmen einer Unternehmenstransaktion, unter Wahrung der Vertraulichkeit.

Mit Auftragsbearbeitern schliessen wir Verträge, die sie verpflichten, die Daten nur nach unseren Weisungen zu bearbeiten und angemessen zu schützen. Eine aktuelle Liste der Unterauftragsbearbeiter für die Plattform erhalten Geschäftskunden auf Anfrage (siehe AVV, Anhang 2).

9. Bekanntgabe ins Ausland

Empfänger von Personendaten können sich ausserhalb der Schweiz befinden, insbesondere in der EU/im EWR und in den USA, bei internationalen KI-Modellen auch in weiteren Ländern.

• In Staaten mit einem vom Bundesrat bzw. von der EU-Kommission anerkannten angemessenen Datenschutzniveau (u.a. EU/EWR, Vereinigtes Königreich) übermitteln wir Daten ohne zusätzliche Garantien.
• In die USA übermitteln wir Daten an Empfänger, die unter dem Swiss-U.S. bzw. EU-U.S. Data Privacy Framework zertifiziert sind, oder gestützt auf die Standardvertragsklauseln der EU-Kommission mit den für die Schweiz erforderlichen Anpassungen.
• In andere Staaten ohne angemessenes Datenschutzniveau übermitteln wir Daten gestützt auf Standardvertragsklauseln oder, wo solche nicht bestehen, nur gestützt auf eine Ausnahme nach Art. 17 DSG bzw. Art. 49 DSGVO, insbesondere wenn die Bekanntgabe für die Abwicklung des Vertrags mit Ihnen erforderlich ist oder Sie ausdrücklich eingewilligt haben.

Wichtiger Hinweis zu KI-Modellen: Auf der Plattform können Modelle von Anbietern verfügbar sein, deren Server sich in Staaten ohne angemessenes Datenschutzniveau befinden und die keine Standardvertragsklauseln anbieten. Solche Modelle sind auf der Plattform gekennzeichnet. Wählt ein Kunde oder Nutzer ein solches Modell aus, erfolgt die Übermittlung auf dessen ausdrückliche Veranlassung und Verantwortung. Kunden können die Nutzung solcher Modelle für ihre Organisation einschränken. Wir empfehlen, dafür keine Personendaten zu verwenden.

10. Speicherdauer

Wir speichern Personendaten nur so lange, wie es für den jeweiligen Zweck erforderlich ist, gesetzliche Aufbewahrungspflichten bestehen oder wir ein berechtigtes Interesse haben (z.B. zur Beweissicherung während laufender Verjährungsfristen). Als Richtwerte gelten:

• Server-Logdateien: in der Regel bis zu 90 Tage, bei Sicherheitsvorfällen länger.
• Kontakt- und Terminanfragen: bis zur Erledigung, danach bis zu 24 Monate, sofern keine Geschäftsbeziehung entsteht.
• Kundenkonto und Plattform-Inhalte: für die Dauer des Vertrags gemäss den vom Kunden gewählten Einstellungen; nach Vertragsende werden Inhalte gemäss unseren AGB innert 30 Tagen gelöscht, Datensicherungen spätestens nach weiteren 60 Tagen.
• Vertrags- und Buchhaltungsunterlagen: 10 Jahre (Art. 958f OR).
• Newsletter: bis zur Abmeldung; Nachweis der Einwilligung bis zu 3 Jahre danach.
• Cookies: gemäss den in der Cookie-Richtlinie genannten Laufzeiten.
• Bewerbungen: bis zu 6 Monate nach Abschluss des Verfahrens, sofern Sie nicht in eine längere Aufbewahrung einwilligen.

11. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen zum Schutz Ihrer Personendaten, insbesondere verschlüsselte Übertragung (TLS), rollenbasierte Zugriffskontrollen, Protokollierung, regelmässige Datensicherungen, Hosting in zertifizierten Rechenzentren und Vertraulichkeitsverpflichtungen unserer Mitarbeitenden. Einen absoluten Schutz vor allen Risiken kann jedoch kein Anbieter gewährleisten. Bei einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko informieren wir den EDÖB, gegebenenfalls die zuständige EU-Aufsichtsbehörde und, wo erforderlich, die betroffenen Personen bzw. unsere Kunden gemäss den gesetzlichen Vorgaben.

12. Automatisierte Einzelentscheidungen und Profiling

Wir treffen keine automatisierten Einzelentscheidungen, die für Sie mit einer Rechtsfolge verbunden sind oder Sie erheblich beeinträchtigen (Art. 21 DSG, Art. 22 DSGVO). Die KI-Modelle auf der Plattform liefern Vorschläge, Antworten und Analysen, die von Menschen geprüft werden sollten. Setzen Kunden die Plattform für eigene automatisierte Entscheidungen oder Profiling ein, sind sie dafür verantwortlich.

Mit Ihrer Einwilligung werten wir das Nutzungsverhalten auf unserer Website für Statistik- und Marketingzwecke aus (siehe Ziffer 6). Ein Profiling mit hohem Risiko im Sinne des DSG findet nicht statt.

13. Ihre Rechte

Im Rahmen des anwendbaren Datenschutzrechts haben Sie insbesondere folgende Rechte:

• Auskunft darüber, ob und welche Personendaten wir über Sie bearbeiten,
• Berichtigung unrichtiger oder unvollständiger Daten,
• Löschung oder Vernichtung Ihrer Daten, soweit keine Aufbewahrungspflichten oder überwiegenden Interessen entgegenstehen,
• Einschränkung der Bearbeitung,
• Herausgabe bzw. Übertragung Ihrer Daten in einem gängigen elektronischen Format,
• Widerspruch gegen Bearbeitungen, die auf berechtigten Interessen beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben,
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft, z.B. über die Cookie-Einstellungen oder den Abmeldelink im Newsletter.

Widerspruch gegen Direktwerbung: Sie können der Bearbeitung Ihrer Daten für Direktwerbung jederzeit ohne Angabe von Gründen widersprechen. Wir verwenden Ihre Daten dann nicht mehr für diesen Zweck.

Richten Sie Ihr Anliegen bitte an [email protected] oder an unsere Postadresse. Wir können einen Identitätsnachweis verlangen. Wir beantworten Anfragen in der Regel innert 30 Tagen. Betrifft Ihr Anliegen Plattform-Inhalte, die wir im Auftrag eines Kunden bearbeiten, leiten wir es an diesen weiter.

Sie haben zudem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. In der Schweiz ist das der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB, www.edoeb.admin.ch). Im EWR ist das die Aufsichtsbehörde an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort der mutmasslichen Verletzung.

14. Minderjährige und Schulen

Unsere Website und Plattform richten sich an Unternehmen, Organisationen und Bildungseinrichtungen. Personen unter 16 Jahren dürfen die Plattform nur im Rahmen eines Vertrags mit einer Bildungseinrichtung oder mit Zustimmung ihrer Erziehungsberechtigten nutzen. Setzt eine Schule die Plattform ein, ist sie Verantwortliche für die Bearbeitung der Daten ihrer Schülerinnen, Schüler und Lehrpersonen und für die Einholung allenfalls erforderlicher Einwilligungen; wir handeln als ihr Auftragsbearbeiter.

15. Änderungen

Wir können diese Datenschutzerklärung jederzeit anpassen, z.B. bei neuen Diensten oder geänderter Rechtslage. Massgebend ist die auf dieser Website veröffentlichte Fassung. Über wesentliche Änderungen informieren wir registrierte Kunden in geeigneter Form, z.B. per E-Mail oder auf der Plattform. Bei Widersprüchen zwischen Sprachfassungen ist die deutsche Fassung massgebend.