Entwurf zur Datenschutz- und Datenbearbeitungsprüfung
Rocky Cloud Hub Datenschutzhinweise
Dieser Arbeitsentwurf bildet die vorgesehenen Hinweise für Website, Anfrage, Checkout und Servicebearbeitung ab. Vor Freigabe muss er mit tatsächlicher Architektur, Auftragsbearbeiterliste, Aufbewahrungsplan und Schweizer Rechtsprüfung abgeglichen werden.
Nutzen Sie die Druckfunktion Ihres Browsers. Das Layout ist für A4/PDF vorbereitet.
1. Verantwortliche Stelle und Kontakt
Vorgesehene verantwortliche Stelle für Produktanfragen, Bestellungen und Kundenadministration ist die Rocky Consulting GmbH. Geprüfte eingetragene Adresse, Datenschutzkontakt, Handelsregisterangaben und Vertretung müssen vor Freigabe ergänzt werden.
Bis ein dedizierter freigegebener Kontakt veröffentlicht ist, sollen Datenschutzfragen über die Rocky Cloud Hub Kontaktseite geleitet werden. Dieser Entwurf ist kein Nachweis dafür, dass Anfragekanal oder gesetzlicher Antwortprozess bereits finalisiert sind.
2. Geltungsbereich und Rollen
Diese Hinweise sollen Rocky Cloud Hub Marketingseiten, Preisrechner, Demo- und Testanfragen, B2B-Checkout, Abonnementverwaltung und anbieterseitigen Betrieb abdecken.
Für Personendaten in einem Kunden-Workspace bestimmt in der Regel der Kunde Zwecke und Zugriffe, während Rocky Consulting GmbH in der mit diesem Kunden vereinbarten Rolle handelt. Die endgültige Zuordnung von Verantwortlichkeit/Auftragsbearbeitung und eine allenfalls erforderliche Auftragsbearbeitungsvereinbarung müssen je Leistungsumfang freigegeben werden.
3. Bearbeitete Daten
Anfrage- und Testdaten können Unternehmen, geschäftliche Kontaktperson, geschäftliche E-Mail, optionale Telefonnummer, Teamgrösse, gewähltes Paket/Optionen, Bemerkungen, Sprache, Einwilligungsnachweis, Anfragereferenz und technische Missbrauchsschutzsignale umfassen.
Zur Bestellverwaltung können zusätzlich Rechnungsname und -adresse, Steueridentifikatoren, wiederkehrendes Paket, Abrechnungsintervall, serverseitig berechnete Beträge, Stripe-Kunden-/Session-/Abonnement-IDs, Zahlungsstatus und Webhook-Referenzen gehören. Rocky Cloud Hub beabsichtigt nicht, vollständige Zahlungskartennummern zu erhalten oder zu speichern; das Zahlungsformular wird von Stripe gehostet.
Der Servicebetrieb kann berechtigte Nutzerangaben, Authentifizierungs- und Zugriffsprotokolle, Supportkorrespondenz, Konfiguration, Audit-Ereignisse und Kundeninhalte gemäss bestelltem Workspace und Kundenweisung umfassen.
4. Zwecke
Daten sollen zur Beantwortung von Anfragen, Vorbereitung von Tests und Offerten, Prüfung der B2B-Berechtigung, Berechnung und Abwicklung von Bestellungen, Abonnementverwaltung, Bereitstellung und Absicherung des Workspace, Migration/Onboarding, Support, Missbrauchsabwehr, Auditierbarkeit sowie Erfüllung anwendbarer Buchführungs- oder Rechtspflichten verwendet werden.
Die Kontaktzustimmung für eine Anfrage ist keine Newsletter-Einwilligung. Analytics- oder Werbenutzung muss, soweit erforderlich, separat eingewilligt werden und darf nicht aus einer Demo-, Test- oder Bestellanfrage abgeleitet werden.
5. Rechtsgrundlagen — Freigabe erforderlich
Vorgesehene Grundlagen können auf Kundenwunsch erfolgende Schritte vor einem B2B-Vertrag, Erfüllung eines freigegebenen Vertrags, gesetzliche Pflichten, Einwilligung soweit passend und verhältnismässige berechtigte Geschäfts- oder Sicherheitsinteressen umfassen. Die genaue Analyse nach Schweizer Datenschutzgesetz und gegebenenfalls DSGVO muss durch qualifizierte Rechtsberatung abgeschlossen werden.
Aus diesem Entwurf darf keine Rechtsgrundlage, Interessenabwägung oder Jurisdiktionsfolgerung abgeleitet werden. Die endgültigen Hinweise müssen die tatsächlich je Zweck und betroffener Person geltenden Grundlagen benennen.
6. Schweizer Collaboration-Daten und separate Zahlungsbearbeitung
Bei Schweizer Deployments sollen Kundeninhalte und zentrale Collaboration-Workloads in Schweizer Rechenzentren gehostet werden. Diese eingegrenzte Aussage bedeutet nicht, dass jedes Personendatum der Geschäftsbeziehung in der Schweiz bleibt.
Stripe verarbeitet Checkout-, Abrechnungs- und Zahlungsinformationen gemäss eigener Datenschutzregelung und möglicherweise international. Stripe berechnet die endgültige Steuer vor der Zahlung anhand der Rechnungsadresse. Die endgültige Auftragsbearbeiterinformation muss die vertragliche Stripe-Gesellschaft, Übermittlungsgrundlage, relevanten Standorte und den freigegebenen Datenschutzlink nennen.
7. Weitere Empfänger und Unterauftragsbearbeiter
Mögliche Empfängerkategorien umfassen freigegebene Schweizer Infrastrukturbetreiber, E-Mail-Zustellung, Support- und Monitoring-Anbieter, Migrationsspezialisten, professionelle Berater, gesetzlich zuständige Behörden und kundenseitig gewählte Integrationen.
Endgültige Hinweise und gegebenenfalls Auftragsbearbeitungsvereinbarung müssen eine geprüfte aktuelle Auftragsbearbeiter-/Unterauftragsbearbeiterliste enthalten oder verlinken, Funktionen und Standorte beschreiben und den Informations- oder Widerspruchsprozess bei wesentlichen Änderungen erklären.
8. Cookies, lokaler Speicher und Analytics
Unbedingt erforderlicher Speicher kann für Sicherheit, Session, Sprache, Formularstatus und Checkout-Kontinuität genutzt werden. Nicht notwendige Analytics-, Attributions- oder Werbetechnologien dürfen nicht vor der erforderlichen Einwilligung geladen werden.
Das freigegebene Cookie-Inventar muss Technologie, Anbieter, Zweck, Dauer und Widerrufsweg nennen. Die Ablehnung optionaler Analytics darf eine geschäftliche Anfrage oder den Kauf eines ansonsten geeigneten Standardpakets nicht verhindern.
9. Aufbewahrung und Löschung — Plan unvollständig
Anfrage-, Test-, Bestell-, Vertrags-, Buchführungs-, Sicherheits-, Mail-Queue- und Supportdaten benötigen zweckspezifische Aufbewahrungsfristen. Erfolglose Anfragen dürfen nicht unbegrenzt gespeichert werden; Buchführungs- und Vertragsunterlagen können längere Aufbewahrung benötigen.
Genaue Fristen, Löschungs-/Anonymisierungsauslöser, Backupbehandlung, Litigation Holds und Rückgabe-/Löschungsverfahren für Kunden-Workspaces müssen noch freigegeben und eingefügt werden. Eine pauschale unbegrenzte Aufbewahrung ist für die endgültigen Hinweise nicht akzeptabel.
10. Sicherheit und Vorfallbehandlung
Vorgesehene Kontrollen umfassen Zugriffsbeschränkung, Rollentrennung, Transportverschlüsselung, geschützte Zugangsdaten, Audit-Protokollierung, Missbrauchsschutz, Backups, Betriebsüberwachung und verifizierte Zahlungs-Webhooks. Die endgültigen Hinweise müssen die tatsächlich eingesetzten Kontrollen abbilden und dürfen keine ungeprüfte Zertifizierung oder Garantie suggerieren.
Interne Vorfallbewertung, Kundenbenachrichtigung und gesetzlich erforderliche Behördenmeldung müssen separat dokumentiert und mit den Vertragsrollen abgestimmt werden.
11. Rechte betroffener Personen und Anfragen
Je anwendbarem Recht und Rollenzuordnung können Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Widerruf einer Einwilligung und Beschwerde bei einer zuständigen Aufsichtsbehörde bestehen.
Die endgültigen Hinweise müssen einen geprüften Anfragekanal, Identitätsprüfung, Antwortverantwortung und mögliche Einschränkungen erklären. Der Widerruf optionaler Einwilligung soll so einfach wie ihre Erteilung sein und macht frühere rechtmässige Bearbeitung nicht rückwirkend unwirksam.
12. Automatisierte Entscheidungen, Kinder, Änderungen und Wirksamkeit
Der vorgesehene B2B-Bestellfluss stützt sich nicht auf ausschliesslich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Missbrauchsscreening und serverseitige Eignungsprüfung können eine Konfiguration zur manuellen Prüfung leiten. Diese Aussage muss mit dem Produktionsverhalten abgeglichen werden.
Rocky Cloud Hub ist ein Geschäftsdienst und richtet sich nicht an Kinder. Die endgültigen Hinweise benötigen Wirksamkeitsdatum, Änderungsmitteilung, archivierte Versionen und einen freigegebenen Weg zur Mitteilung wesentlicher Änderungen an Kunden.