6.1 Rechtsgrundlagen

‍

Wir verarbeiten Ihre Daten entweder

• zur Vertragserfüllung (Art. 6 Abs. 1 b DSGVO / Art. 31 Abs. 2 a DSG), etwa um Ihr Konto zu führen, Punkte zu berechnen und Push-Nachrichten zu senden.
• auf Basis unseres berechtigten Interesses (Art. 6 Abs. 1 f / Art. 31 Abs. 2 a DSG), nämlich die App sicher und stabil zu betreiben sowie anonymisierte Nutzungsstatistiken gegenüber dem Arbeitgeber anbieten zu können.
• oder nach Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 a / Art. 31 Abs. 1 DSG) bei Gesundheitsdaten, Newsletter oder Gewinnerbekanntgabe. Sie können jede Einwilligung jederzeit widerrufen.

‍

7 Cookies & ähnliche Technologien

Firebase GA4 verwendet ein pseudonymes App-Instance-ID-Cookie; es enthält keine direkt personenbezogenen Daten und ist nicht mit Google-Ads verknüpft. Tracking kann systemseitig nicht deaktiviert werden, weil wir es ausschliesslich zur Leistungs- und Fehleranalyse einsetzen.

‍

Wir setzen Firebase Analytics und Google Analytics 4 ein, um verpflichtende Nutzungsstatistiken zu erheben. Diese Statistiken fliessen ausschliesslich in anonymisierte, aggregierte Reports an Arbeitgeber ein (z. B. „Wie viele Nutzer haben in den letzten 30 Tagen ein Workout gestartet?“).

‍

• Pseudonymisierung: Es wird nur eine zufallsgenerierte App-ID, Device-Informationen und der Ereignis-Zeitstempel gespeichert. IP-Adressen oder ähnliches werden nicht gespeichert.
• Keine Werbezwecke: Advertising-Funktionen von GA4 sind deaktiviert, Datenfreigabe mit Google ist ausgeschaltet.

‍

Pflichtfunktion: Ohne diese Verarbeitung kann die App vertragliche Reporting-Pflichten nicht erfüllen. Wer diese Datenerhebung ablehnt, kann die App daher nicht nutzen.

‍

8 Weitergabe von Daten

‍

8.1 An Arbeitgeber (Unternehmenskunden)

‍

‍

Was Arbeitgeber nicht sehen:

• Keine Liste registrierter Nutzer
• Keine Gesundheits- oder Aktivitätsrohdaten
• Keine Einzelplatzierungen ausserhalb der Gewinnerliste
• Keine personenbezogenen Log- oder Nutzungsdaten

‍

8.2 Sichtbarkeit innerhalb der App

‍

Alle Teilnehmenden einer Challenge sehen Nutzername/Pseudonym, Punkte und Rang anderer Teilnehmender derselben Challenge. Diese Sichtbarkeit ist Teil des Gamification-Konzepts.

‍

8.3 Subunternehmer (Auftragsverarbeiter)

‍

‍

Alle Subunternehmer sind vertraglich (DPA) an DSGVO-konforme Verarbeitung gebunden.

‍

9 Datenübermittlung ins Ausland

‍

Fast alle Personendaten werden in der Schweiz oder im EWR (Frankfurt, Dublin, Zürich) verarbeitet. Eine Übermittlung in Drittstaaten findet ausschliesslich bei folgendem Dienstleister statt:

‍

Mailchimp / USA / EU-US Data Privacy Framework & Standardvertragsklauseln

‍

Kein weiterer Dienstleister erhält personenbezogene Daten ausserhalb des EWR/CH. Datenübermittlung ins Ausland Übermittlungen an Dienstleister ausserhalb der Schweiz/EWR erfolgen nur, wenn ein angemessener Datenschutz (z. B. EU-US Data Privacy Framework) besteht oder Standarddatenschutzklauseln abgeschlossen sind.

Die Verwendungen von MailChimp ist optional und wird bei gewünschten Erhalt von Newslettern von uns aktiviert.

‍

10 Aufbewahrung & Löschung

‍

• Aktivkonto: Speicherung aller Daten solange Account aktiv ist
• Löschung des Kontos durch Mitarbeitende: Sofortige Löschung aller Daten.
• Ende des Vertrags mit Unternehmenskunden: Löschung der Daten der Mitarbeitenden binnen 30 Tagen nach Ende des Vertrags.
• Server-Logs: 6 Monate

‍

Nach Kontolöschung oder Vertragsende entfernen wir sämtliche personenbezogenen und unternehmensbezogenen Daten unwiderruflich aus allen Produktiv- und Backup-Systemen. 

Es verbleiben ausschliesslich vollständig anonymisierte Gesamtmetriken, die keinerlei Rückschlüsse auf einzelne Personen oder Unternehmen zulassen (z. B. die Gesamtzahl aller täglichen App-Starts).

‍

11 Datensicherheit

‍

Unsere Daten liegen in ISO-27001-zertifizierten Rechenzentren unserer Cloud- und Authentifizierungsdienstleister (Google Cloud, MongoDB Atlas, Auth0).
Die KINASTIC AG selbst ist nicht ISO-zertifiziert, stützt sich jedoch auf die Zertifizierungen ihrer Infrastrukturpartner und ergänzt diese durch:

• Ende-zu-Ende-Verschlüsselung (TLS 1.2+ im Transit, AES-256 at rest)
• MFA-geschützte Admin-Zugänge & Role-Based Access Control
• Regelmässige unabhängige Penetrationstests
• Protokollierung und Monitoring mit automatischen Alarmen
• Least-Privilege-Prinzip & jährliche Security-Schulungen für Mitarbeitende

‍

Diese Massnahmen werden regelmässig überprüft und dem Stand der Technik angepasst.

‍

12 Umgang mit Datenpannen (Incident Response)

‍

Sollte trotz aller Schutzmassnahmen eine Datenpanne auftreten, folgen wir einem klaren 5-Stufen-Plan:

‍

• Erkennung & Alarmierung – 24/7 Monitoring schlägt bei Anomalien sofort Alarm.
• Eindämmung – betroffene Systeme werden isoliert, Zugriffe sofort eingeschränkt.
• Analyse & Behebung – Ursache wird forensisch untersucht, Schwachstelle geschlossen.
• Benachrichtigung – Betroffene Nutzer/innen und – sofern gesetzlich erforderlich – Aufsichtsbehörden werden binnen 72 h informiert.

‍

Nachbearbeitung – Lessons-learned, Dokumentation und Härtung der Systeme.

‍

13 Rechte der betroffenen Personen

‍

Sie haben – unter den jeweils anwendbaren gesetzlichen Voraussetzungen – folgende Rechte:

• Widerspruch
  Sie können jederzeit gegen Datenbearbeitungen Einspruch erheben, insbesondere wenn wir Ihre Daten auf Grundlage eines berechtigten Interesses verarbeiten.
• Auskunft
  Sie können bestätigen lassen, ob wir Personendaten über Sie verarbeiten, und eine Kopie dieser Daten erhalten.
• Berichtigung
  Sie können unrichtige oder unvollständige Personendaten berichtigen lassen.
• Löschung / Anonymisierung
  Sie können verlangen, dass wir Ihre Personendaten löschen oder dauerhaft anonymisieren, sofern kein gesetzlicher Aufbewahrungsgrund entgegensteht.
• Einschränkung
  Sie können die Bearbeitung Ihrer Personendaten – etwa für die Dauer einer Prüfung – einschränken lassen.
• Datenübertragbarkeit
  Sie haben Anspruch auf Herausgabe der von Ihnen bereitgestellten Personendaten in einem strukturierten, gängigen und maschinenlesbaren Format.
• Widerruf von Einwilligungen
  Soweit eine Bearbeitung auf Ihrer Einwilligung beruht (z. B. Terra-/Health-Connect-Import, Newsletter), können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

‍

Hinweis zu Einschränkungen

Diese Rechte können im Einzelfall eingeschränkt oder abgelehnt werden, z. B. wenn Zweifel an Ihrer Identität bestehen, überwiegende schutzwürdige Interessen Dritter betroffen sind oder gesetzliche Aufbewahrungspflichten entgegenstehen.

‍

Kontakt für Rechtegesuche

privacy@kinastic.com

‍

Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass unsere Datenbearbeitung gegen Datenschutzrecht verstösst, können Sie sich an die zuständige Aufsichtsbehörde wenden. In der Schweiz ist dies der:

‍

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern, Schweiz
www.edoeb.admin.ch

‍

Sind Sie in der EU ansässig, können Sie sich auch an Ihre lokale Datenschutzaufsichtsbehörde wenden.

‍

14 Änderungen dieser Datenschutzerklärung

‍

Wir behalten uns vor, diese Datenschutzerklärung einseitig anzupassen. Dabei werden wir uns auch in Zukunft an den Grundsatz halten, Personendaten nur soweit als nötig zu erheben. 

Ohne die Zustimmung des Unternehmenskunden werden wir auch in Zukunft Personendaten nur an Dritte weitergeben, soweit dies in der Version der Datenschutzerklärung vom 1. Juni 2025 vorgesehen ist.

‍

Auch in Zukunft werden wir 

• nie besonders schützenswerte Daten an Dritte weitergeben;
• nie Personendaten für eigene Werbezwecke verwenden oder an Dritte für Werbezwecke weitergeben;
• alle Advertising-Funktionen von Cookies und ähnlichen Technologien ausschalten;
• die Erhebung von Personendaten durch Dritte, zum Beispiel durch Tracking-Technologien vermeiden.

‍

Wir werden immer gewährleisten, dass alle besonders schützenswerten Daten sofort gelöscht werden, wenn Mitarbeitende eines Unternehmenskunden ihr Konto löschen.

‍

Bei wesentlichen Änderungen holen wir vor Inkrafttreten eine aktive Bestätigung in der App ein; erst nach Ihrer Zustimmung gilt die neue Version.

Über rein redaktionelle oder gesetzlich zwingende Anpassungen informieren wir Sie per In-App-Hinweis oder E-Mail.

‍

15 Glossar (wichtige Begriffe kurz erklärt)

‍

Personendaten

Alle Informationen, die direkt oder indirekt einer Person zugeordnet werden können.

‍

Besonders schützenswerte Daten

Sensible Daten wie Gesundheitsangaben, religiöse oder politische Überzeugungen.

‍

Auftragsverarbeiter

Externer Dienstleister, der Daten weisungsgebunden in unserem Auftrag verarbeitet.

‍

DSG / DSGVO

Schweizer Datenschutzgesetz / EU-Datenschutz-Grundverordnung.

‍

Aktivitätsdaten

Messwerte zu körperlicher Betätigung, z. B. Schritte, Distanz, Kalorien.

‍

Plattform

coach.kinastic.com, studio.kinastic.com und die KINASTIC App.

‍

Terra

API-Gateway, das Wearable- und Fitness-Daten an die Plattform liefert.

‍

Health Connect / Apple Health

System-Schnittstellen von Android/iOS zur Freigabe von Gesundheits- und Fitnessdaten.

‍

Firebase GA4

Pseudonymes Analytics-Tool von Google zur App-Performance-Messung (ohne Werbe-IDs).

‍

Incident

Sicherheitsvorfall, bei dem Personendaten verloren gehen, gestohlen oder unbefugt abgerufen werden.

‍

‍