Fassung go-live-2026-10-26 · IDS Business Live AG, Badenerstrasse 808, 8048 Zürich · gültig ab Veröffentlichung
DSGVO-Angaben sind als «DSGVO-Ergänzung» markiert und nicht aktiv.
1.1 Diese Erklärung gilt für Personendaten, welche die IDS Business Live AG («wir») beim Betrieb der Plattform Upper OS als Verantwortliche bearbeitet: Kundenkonten und Nutzer, Fair Start, Vertrag und Abrechnung, Support, Sicherheit und Betrieb.
1.2 Daten, die unsere Kunden in Upper OS eingeben oder aus ihren Systemen (z. B. Werbe-, Analyse-, Shop- oder CRM-Systemen) verbinden, bearbeiten wir im Auftrag des jeweiligen Kunden nach der Vereinbarung zur Auftragsbearbeitung (03). Verantwortlich ist dann der Kunde; wenden Sie sich für diese Daten an ihn.
1.3 Für die Website und den Marketing Check gilt die Datenschutzerklärung der Website (07).
IDS Business Live AG, Badenerstrasse 808, 8048 Zürich, Schweiz, UID CHE-140.202.303. Datenschutzanliegen: privacy@upper-os.com. DSGVO-Ergänzung:.
| Nr. | Kategorie | Daten | Zweck | Herkunft |
|---|---|---|---|---|
| D1 | Nutzerkonto | Name, geschäftliche E-Mail-Adresse, Kennung beim Identitätsanbieter, Sprache, Rollen und Rechte je Arbeitsbereich, Einladungen | Zugang, Berechtigungen, Kommunikation zum Konto | Nutzer, einladende Person des Kunden |
| D2 | Anmeldung und Sicherheit | Mehr-Faktor-Merkmale (beim selbst betriebenen Identitätsanbieter Keycloak), Sitzungsdaten, Zeitpunkte, abgelehnte Anmeldungen, technische Kennungen. | Schutz vor unbefugtem Zugriff, Missbrauchserkennung, Ratenbegrenzung | automatisch |
| D3 | Unternehmens- und Vertragsdaten | Firmenname, Rechnungsadresse, Rechnungs-E-Mail, Bestätigung «handelt als Unternehmen», Zustimmungsnachweis zu Fair Start, Weiterführung oder Vertrag (Paket, Preis, Laufzeit, AGB-Version, Zeitpunkt, zustimmende Person), Kündigungen | Vertragsschluss und -abwicklung, Nachweis | Kunde |
| D4 | Abrechnung | Rechnungen, Gutschriften, Stornobelege, Zahlungseingänge, Mahnstand, Versandstatus von E-Mails | Rechnungsstellung, Buchhaltung, gesetzliche Aufbewahrung | Kunde, wir |
| D5 | Protokolle | Handlungen von Nutzern und Anbieterin im Arbeitsbereich (wer, wann, was, vorher/nachher, Begründung), Abrechnungsereignisse, Betreiberprotokoll | Nachvollziehbarkeit, Sicherheit, Nachweis gegenüber dem Kunden | automatisch |
| D6 | Support | Supportfälle, Kommunikation, Supportfreigaben (Zweck, Umfang, Dauer) und darunter erfolgte Zugriffe | Bearbeitung von Anfragen | Kunde, wir |
| D7 | Nutzung und Kapazität | Zahl der Operator-Läufe, Kontingente, Kosten der KI-Nutzung je Arbeitsbereich (ohne Inhalte) | Kontingente, Abrechnung, Kostenkontrolle | automatisch |
| D8 | Betriebsdaten | technische Protokolle ohne Cookies, Tokens und Suchparameter | Betrieb, Fehleranalyse | automatisch |
Wir bearbeiten keine besonders schützenswerten Personendaten für eigene Zwecke.
E-Mails der Anwendung: Einladungen, Einrichtungslinks, Erinnerungen im Fair Start (Tag 21 und Tag 27), Rechnungen und – erst nach Freigabe des Mahnverfahrens – Zahlungserinnerungen und Mahnungen versenden wir von noreply@upper-os.com über Hostpoint AG in der Schweiz.
4.1 Upper OS erzeugt Analysen und Vorschläge regelbasiert. KI-Modelle externer Anbieter setzen wir erst ein, nachdem wir ihren Einsatz intern freigegeben haben; heute sind sie ausgeschaltet. Nach der Freigabe werden Inhalte des betroffenen Arbeitsbereichs (z. B. Unternehmenswissen, Ziele, aggregierte Kennzahlen) an den KI-Anbieter übermittelt. Primärer Anbieter ist Anthropic, PBC (USA); OpenAI (Vertragspartnerin OpenAI Ireland Ltd., Irland) dient nur als manuell geschaltete Ersatzroute, eine automatische Umschaltung findet nicht statt. Diese Bearbeitung erfolgt im Auftrag des Kunden (Ziffer 1.2). Staaten und Garantien: Ziffer 6.
4.2 Kundendaten werden nicht zum Training von KI-Modellen verwendet; die KI-Anbieter sind vertraglich verpflichtet, Kundeninhalte nicht zum Training zu verwenden. Lernergebnisse bleiben im Arbeitsbereich des Kunden.
4.3 Upper OS trifft keine Entscheidungen über Nutzer, die für sie mit einer Rechtsfolge verbunden sind oder sie erheblich beeinträchtigen. Massnahmen gegenüber Endkunden des Kunden führt Upper OS nur im Rahmen der Freigaben des Kunden aus.
Verbindet ein Kunde Systeme Dritter, erhalten wir über die vom Kunden erteilten Rechte Zugang zu Daten dort. Die Zugangsdaten speichern wir verschlüsselt. Die Anbieter dieser Systeme sind keine Dienstleister von uns; der Kunde steht mit ihnen in einem eigenen Vertragsverhältnis (05, Abschnitt 3). Zum Verbinden mit Google-Diensten nutzen wir eine eigene registrierte Anwendung bei Google; dabei gelten zusätzlich die Bedingungen von Google.
| Empfänger | Zweck | Staat | Garantie / Hinweis |
|---|---|---|---|
| Infomaniak Network SA | Hosting, Datenbank, verschlüsselte Sicherungen (Object Storage) | Schweiz (Region dc4-a) | keine Bekanntgabe ins Ausland |
| Hostpoint AG | Versand der E-Mails der Anwendung | Schweiz | keine Bekanntgabe ins Ausland |
| Anthropic, PBC | Erzeugung von Ergebnissen mit KI (primär); nur nach interner Freigabe | USA | nicht DPF-zertifiziert; Standardvertragsklauseln (Modul 2/3) mit Swiss Addendum im Data Processing Addendum vom 24.02.2025; kein Training auf Kundeninhalten |
| OpenAI Ireland Ltd. | Erzeugung von Ergebnissen mit KI (manuelle Ersatzroute); nur nach interner Freigabe | Irland; USA | Irland: von der Schweiz als angemessen anerkannt; Weiterübermittlung in die USA auf Basis von Standardvertragsklauseln; nicht DPF-zertifiziert |
| Google LLC (PageSpeed Insights) | nur Marketing Check (Website-Adresse); keine Daten aus der Anwendung | USA | – |
| Let's Encrypt | TLS-Zertifikate | – | keine Kundendaten |
| Behörden | nur bei gesetzlicher Pflicht oder vollstreckbarer Anordnung | Schweiz | – |
Externe Überwachung und Alarmierung:
Unsere Datenhaltung erfolgt in der Schweiz. Daten gelangen nur über die genannten KI-Anbieter und erst nach deren Freigabe ins Ausland; wir tun dies nach DSG Art. 16 (06).
| Kategorie | Dauer |
|---|---|
| D1 Nutzerkonto | bis zur Entfernung des Nutzers durch den Kunden bzw. bis zur Löschung des Kundenkontos nach Vertragsende (manuell durch eine Betreiberperson, protokolliert). spätestens 30 Tage nach Ablauf der Exportfrist |
| Kundenkonto nach einem Fair Start ohne Weiterführung | 30 Tage Export, danach Löschung wie nach Vertragsende |
| D2 Sitzungen | bis Ablauf (höchstens 12 Stunden) |
| D2 Sicherheitsereignisse | 2 Jahre |
| D3, D4 Vertrags- und Abrechnungsunterlagen | 10 Jahre, getrennt archiviert (OR Art. 958f; Prüfhinweis) |
| D5 Abrechnungsereignisse, Betreiberprotokoll | Abrechnungsereignisse 10 Jahre (Buchführungspflicht); Betreiberprotokoll 2 Jahre |
| D5 Protokoll des Arbeitsbereichs | – |
| D6 Supportfälle | 2 Jahre nach Abschluss |
| D7 Nutzung | wie D4, soweit abrechnungsrelevant |
| D8 Betriebsprotokolle | 90 Tage |
| Sicherungskopien | 14 Tage (verschlüsselt, Infomaniak Object Storage, Schweiz) |
Wir schützen Personendaten mit technischen und organisatorischen Massnahmen, insbesondere Betrieb in der Schweiz, verpflichtender Mehr-Faktor-Anmeldung für Kunden und Betreiberpersonen, Vier-Augen-Prinzip für kritische Betreiberhandlungen, verschlüsselten Sicherungen, Trennung der Kundendaten in der Datenbank, verschlüsselter Speicherung von Zugangsdaten, manipulationsgeschützten Protokollen und Zugriffen unserer Mitarbeitenden auf Inhaltsdaten nur mit Freigabe des Kunden. Einzelheiten: TOM-Anhang (04).
Sie können Auskunft über Ihre Personendaten verlangen (DSG Art. 25), deren Berichtigung oder Löschung beantragen, der Bearbeitung widersprechen und die Herausgabe oder Übertragung verlangen (DSG Art. 28), soweit die gesetzlichen Voraussetzungen erfüllt sind. Kunden können ihre Daten jederzeit im Kundenkonto exportieren. Für Daten, die wir im Auftrag eines Kunden bearbeiten, leiten wir Ihr Anliegen an den Kunden weiter. Kontakt: privacy@upper-os.com. Beschwerden: EDÖB. DSGVO-Ergänzung:.
Wir passen diese Erklärung an, wenn sich Bearbeitungen ändern. Es gilt die veröffentlichte Fassung. Stand: 27. Oktober 2026.