Datenschutzerklärung

Stand: August 2026

1. Verantwortliche Stelle

Verantwortlich für die Datenbearbeitung im Zusammenhang mit der Plattform «WingLeads» ist die Wingsecurity GmbH, Burgfelderstrasse 11, 4055 Basel (nachfolgend «wir»). Für Datenschutzanliegen erreichen Sie uns unter info@wingsecurity.ch.

2. Geltungsbereich

Diese Erklärung gilt für die Nutzung der Plattform durch unsere Kundinnen und Kunden (Konto-Inhaber), für Besucherinnen und Besucher der öffentlichen Seiten (z. B. Terminbuchung, KI-Assistent) sowie für Personen, deren geschäftliche Kontaktdaten über die Plattform bearbeitet werden (siehe Ziffer 4). Massgeblich ist das Schweizer Datenschutzgesetz (revDSG).

3. Daten von Konto-Inhabern

• Stammdaten: Name, geschäftliche E-Mail-Adresse, Firmenangaben, Firmenprofil.
• Zugangsdaten: Passwort (nur als Hash gespeichert), Codes für die Zwei-Faktor-Anmeldung, optional Google-Login.
• Kalenderdaten: bei aktivierter Terminbuchung Zugriff auf den verbundenen Google-Kalender (Verfügbarkeiten, Termine); Zugriffs-Token werden verschlüsselt gespeichert.
• Nutzungsdaten: technische Protokolle (z. B. Zeitpunkt der Anmeldung) zur Sicherstellung des Betriebs und der Sicherheit.

4. Firmen- und Kontaktdaten aus öffentlichen Quellen

Die Plattform stellt im Auftrag ihrer Kunden Informationen über Unternehmen aus öffentlich zugänglichen Quellen zusammen (u. a. Handelsregister/Zefix, Branchenverzeichnisse wie local.ch und search.ch, Google Places, die Beschaffungsplattform simap.ch sowie öffentliche Firmenwebsites). Dabei können auch Personendaten anfallen, insbesondere geschäftliche Kontaktangaben (Name, Funktion, geschäftliche E-Mail-Adresse, Telefonnummer). Diese Daten werden ausschliesslich für die geschäftliche Ansprache im B2B-Kontext verwendet (Zweck: Anbahnung von Geschäftsbeziehungen).

Betroffene Personen können der Verwendung jederzeit widersprechen: Jede über die Plattform versendete E-Mail enthält einen Abmeldelink. Eine Abmeldung wird dauerhaft in einer Sperrliste gespeichert, damit keine weiteren Nachrichten des betreffenden Absenders erfolgen. Auskunfts- und Löschbegehren richten Sie an die verantwortliche Stelle (Ziffer 1) oder direkt an den jeweiligen Absender.

5. E-Mail-Versand und Interaktionsdaten

• Versanddaten: Empfängeradresse, Betreff, Versandzeitpunkt.
• Öffnungs-Messung: Ein Zählpixel erfasst, ob und wie oft eine E-Mail geöffnet wurde. Diese Messung ist technisch bedingt ungenau und dient nur der Erfolgskontrolle.
• Terminbuchung: Bei Buchung über den persönlichen Link werden Name, E-Mail-Adresse und gewählter Termin bearbeitet und in den Kalender des Absenders eingetragen.
• KI-Assistent: Der Chat mit dem KI-Assistenten startet erst nach ausdrücklicher Zustimmung auf der Chat-Seite. Die Konversation wird zur Qualitätssicherung gespeichert.

6. Einsatz von künstlicher Intelligenz

Für die Einschätzung von Firmendaten, die Erstellung von Textentwürfen, den KI-Assistenten sowie Spracherkennung und Sprachausgabe setzen wir Sprachmodelle externer Anbieter ein sowie selbst betriebene Modelle. Externe Anbieter sind Anthropic, Google (Gemini), Groq, NVIDIA, OpenAI und ElevenLabs. An die Anbieter werden nur die für die jeweilige Aufgabe erforderlichen Inhalte übermittelt; die Verarbeitung erfolgt gemäss den Auftragsverarbeitungsbedingungen der jeweiligen Anbieter.

Wir nutzen diese Dienste ausschliesslich über kostenpflichtige API-Zugänge, deren Bedingungen die Verwendung der übermittelten Inhalte für das Training der Modelle ausschliessen. Wir verwenden Ihre Inhalte weder zum Training eigener noch fremder KI-Modelle.

Zusätzlich betreiben wir Modelle selbst — namentlich Ollama (Qwen) für Textaufgaben und Kokoro für die Sprachausgabe. Diese laufen ausschliesslich in unserer eigenen Infrastruktur: Die Daten werden lokal verarbeitet, verlassen unsere Systeme nicht und werden zu keinem Zeitpunkt an den jeweiligen Modellanbieter übermittelt — weder zu Trainings- noch zu sonstigen Zwecken.

Daten aus Google-Workspace-Schnittstellen (Google Calendar) werden nicht an KI-Modelle übermittelt — siehe Ziffer 16.

7. Empfänger und Bekanntgabe ins Ausland

Die Plattform wird ausschliesslich auf Servern in der Schweiz betrieben. Personendaten geben wir nur an die nachfolgend genannten Empfänger weiter, und nur soweit dies für den Betrieb der Plattform erforderlich ist. Wir verkaufen keine Personendaten und geben sie nicht zu Werbezwecken Dritter weiter.

• Hosting- und Rechenzentrumsanbieter: Betrieb von Servern, Datenbank und Datensicherungen (Schweiz).
• Anthropic PBC: KI-Sprachmodell für Firmenbewertung und Textentwürfe (USA).
• Google LLC bzw. Google Ireland Ltd.: Gemini-Sprachmodell und Embeddings, Google Places (Firmendaten), Google Sign-In, reCAPTCHA sowie Google Calendar und Google Meet für die Terminbuchung (USA/Europa).
• Groq Inc.: KI-Sprachmodell und Spracherkennung (USA).
• NVIDIA Corp.: KI-Sprachmodell (USA).
• OpenAI, L.L.C.: Spracherkennung und Sprachausgabe des KI-Assistenten (USA).
• ElevenLabs Inc.: Sprachausgabe des KI-Assistenten (USA).
• Stripe Payments Europe Ltd. bzw. Stripe, Inc.: Zahlungsabwicklung und Rechnungsstellung (Irland/USA).
• E-Mail-Dienstleister (SMTP): Versand von Transaktions- und Geschäfts-E-Mails.
• Behörden, Gerichte und Rechtsberatung: nur soweit wir gesetzlich dazu verpflichtet sind oder zur Durchsetzung unserer Rechte.

Die Bekanntgabe in Drittländer, insbesondere in die USA, stützt sich auf anerkannte Garantien, insbesondere Standarddatenschutzklauseln bzw. — soweit anwendbar — das Swiss-U.S. Data Privacy Framework. Die jeweils aktuelle Liste der Unterauftragsverarbeiter mit Sitzstaaten ist Bestandteil des Auftragsverarbeitungsvertrags (Ziffer 15).

8. Aufbewahrung und Löschung

Wir bearbeiten Personendaten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Konto-Daten werden bei Auflösung des Kontos gelöscht. Einträge in der Abmelde-Sperrliste bleiben dauerhaft gespeichert — sie stellen sicher, dass der Widerspruch respektiert wird.

9. Ihre Rechte

Sie haben das Recht auf Auskunft über die zu Ihrer Person bearbeiteten Daten sowie auf Berichtigung, Löschung und Widerspruch gegen die Bearbeitung. Wenden Sie sich dazu an die Adresse in Ziffer 1. Sie können sich zudem bei der zuständigen Aufsichtsbehörde (EDÖB) beschweren.

10. Datensicherheit

Wir schützen die Daten durch angemessene technische und organisatorische Massnahmen, u. a. Transportverschlüsselung (TLS), verschlüsselte Speicherung von Zugangs-Token, Zwei-Faktor-Anmeldung, rollenbasierte Zugriffskontrolle und getrennte Datenhaltung pro Kunde.

11. Cookies und lokale Speicherung

Die Plattform verwendet keine Marketing-Cookies. Im Browser wird lediglich das technisch notwendige Anmelde-Token gespeichert. Bei der Registrierung kommt Google reCAPTCHA zum Schutz vor Missbrauch zum Einsatz.

12. Änderungen

Wir können diese Datenschutzerklärung bei Bedarf anpassen. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

13. Anwendbares Datenschutzrecht (DSGVO)

Wir haben Sitz in der Schweiz und unterstehen dem revidierten Schweizer Datenschutzgesetz (revDSG). Soweit wir unsere Leistungen gezielt Kundinnen und Kunden in der Europäischen Union anbieten, gilt zusätzlich die DSGVO (Art. 3 Abs. 2 DSGVO). Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission; eine Datenübermittlung in die Schweiz benötigt daher keine zusätzlichen Garantien.

14. Rechtsgrundlagen und Betroffenenrechte

Wir verarbeiten Daten zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Wahrung berechtigter Interessen — etwa Missbrauchsabwehr und die Anbahnung von Geschäftsbeziehungen (lit. f) — sowie soweit gesetzlich vorgeschrieben (lit. c). Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zu (Art. 15–21 DSGVO), ebenso das Recht auf Beschwerde bei einer Aufsichtsbehörde.

15. Auftragsverarbeitung und Unterauftragsverarbeiter

Für die Lead-Daten, die Sie über die Plattform erzeugen und verarbeiten, sind Sie die verantwortliche Stelle; wir handeln als Auftragsverarbeiter. Einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) stellen wir auf Anfrage zur Verfügung. Wir setzen Unterauftragsverarbeiter für KI-Textgenerierung, Zahlungsabwicklung und E-Mail-Versand ein; die aktuelle Liste mit Sitzstaaten erhalten Sie auf Anfrage.

16. Google-Nutzerdaten (Google Calendar)

Wenn Sie Ihren Google-Kalender mit der Terminbuchung verbinden, greifen wir mit Ihrer Einwilligung auf Folgendes zu: auf Ihre Belegtzeiten (Free/Busy), um freie Termine zu berechnen, und auf das Anlegen von Kalendereinträgen samt Google-Meet-Link für bestätigte Termine. Zusätzlich lesen wir die E-Mail-Adresse des verbundenen Kontos, damit für Sie ersichtlich ist, welcher Kalender verbunden ist. Zugriffs- und Aktualisierungs-Token speichern wir verschlüsselt. Sie können die Verbindung jederzeit in den Einstellungen trennen; die Token werden dabei gelöscht.

Weitergabe: Kalenderdaten werden ausschliesslich zwischen unserer Anwendung und den Google-Schnittstellen ausgetauscht. Wir geben sie an keine Dritten weiter, verkaufen sie nicht, nutzen sie weder für Werbung noch für Profilbildung und verwenden sie zu keinem anderen Zweck als der Terminbuchung. Eine Offenlegung erfolgt nur, soweit wir gesetzlich dazu verpflichtet sind oder Sie ausdrücklich einwilligen.

Keine KI-Verarbeitung: Daten aus Google-Workspace-Schnittstellen — ob roh, aggregiert oder anonymisiert — werden nicht an Sprachmodelle oder andere KI-/ML-Dienste übermittelt und nicht zur Entwicklung, zum Training oder zur Verbesserung von KI- oder ML-Modellen verwendet. Die Terminbuchung ist in unserer Anwendung technisch von sämtlichen KI-Funktionen getrennt: Kalenderdaten fliessen in keinen Prompt, in kein Embedding und in keinen Trainingsdatensatz.

Aufbewahrung: Wir speichern von Google bezogene Daten nur so lange, wie es für die Terminbuchung erforderlich ist. Belegtzeiten werden ausschliesslich flüchtig zur Berechnung freier Termine verarbeitet und nicht dauerhaft gespeichert. Die Speicherung erfolgt auf Servern in der Schweiz.

Limited Use: Die Nutzung und Weitergabe von Informationen, die wir über Google-APIs erhalten, richtet sich nach der Google API Services User Data Policy, einschliesslich der Limited-Use-Anforderungen.

Wingsecurity's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.