Diese Datenschutzerklärung gilt für die Plattform Railway Connect (Web-App, Mobile-App iOS/Android, Backend-API) sowie die Website www.railtech360.ch und richtet sich nach der EU-Datenschutz-Grundverordnung (DSGVO 2016/679) sowie dem revidierten Schweizer Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023).
§01 Verantwortliche Stelle
RailTech360
Inhaber: Justin Barthel
Ostzelg 259, 5332 Rekingen AG, Schweiz
UID CHE-351.547.776
E-Mail: info@railtech360.ch
Datenschutz: privacy@railway-connect.ch
§02 Vertretung in der EU (Art. 27 DSGVO)
Da RailTech360 als Schweizer Unternehmen Dienstleistungen für betroffene Personen in der EU anbietet, gilt die DSGVO. Eine EU-Vertretung wird bei Erreichen relevanter Verarbeitungsmengen benannt; bis dahin können EU-Bürger sich direkt an die unter §01 genannte Stelle wenden.
§03 Datenschutzbeauftragter
Ein Datenschutzbeauftragter ist nach DSGVO und nDSG für RailTech360 derzeit nicht zwingend zu benennen. Anfragen zum Datenschutz richten Sie an privacy@railway-connect.ch.
§04 Begriffsbestimmungen
- Personenbezogene Daten (Art. 4 Nr. 1 DSGVO): alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
- Verarbeitung (Art. 4 Nr. 2 DSGVO): jeder Vorgang im Zusammenhang mit personenbezogenen Daten.
- Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO): Dritte, die Daten im Auftrag des Verantwortlichen verarbeiten.
- EVU: Eisenbahnverkehrsunternehmen — Geschäftskunde der Plattform.
- Freelancer: freiberufliche Schienenpersonal-Fachkraft.
§05 Welche Daten wir verarbeiten
5.1 Bei der Registrierung
- Stammdaten: Vor- und Nachname, E-Mail, Telefon, Postanschrift, Geburtsdatum;
- Authentifizierungsdaten in sicher gehashter Form;
- Bei Freelancern: Identitätsnachweis, Sozialversicherungsnummer (freiwillig);
- Bei EVU: Firmenname, UID, Handelsregisterauszug, Rechnungsadresse.
5.2 Profil & Qualifikationen
- Lichtbild (freiwillig);
- Schienen-Qualifikationen, Streckenkenntnisse, Sprachzertifikate;
- Hochgeladene Zertifikate (verschlüsselt gespeichert);
- Verfügbarkeitskalender;
- Stundensatz-Vorstellungen.
5.3 Plattform-Aktivität
- Job-Anfragen, Matches, Annahmen, Ablehnungen;
- Chat-Nachrichten (verschlüsselt gespeichert);
- Suchverlauf (anonymisiert nach 30 Tagen);
- Push-Token für Mobile-Benachrichtigungen.
5.4 Technische Daten / Sicherheit
- IP-Adresse (gekürzt nach kurzer Zeit, vollständig nur bei Sicherheitsereignissen);
- User-Agent, Geräte-Fingerprint;
- Login-Zeitpunkte, fehlgeschlagene Login-Versuche;
- Session-Token mit kurzer Lebensdauer.
§06 Zwecke und Rechtsgrundlagen (Art. 6 DSGVO)
| Zweck | Rechtsgrundlage |
|---|---|
| Vertragserfüllung Plattform-Dienst | Art. 6 Abs. 1 lit. b |
| Rechnungsstellung & Buchhaltung | Art. 6 Abs. 1 lit. c (CH OR/MwStG) |
| Identitätsprüfung | Art. 6 Abs. 1 lit. b + lit. f |
| Marketing-Mails | Art. 6 Abs. 1 lit. a (Einwilligung) |
| Sicherheitslogs | Art. 6 Abs. 1 lit. f |
| Push-Benachrichtigungen | Art. 6 Abs. 1 lit. a |
§07 Ihre Rechte (Art. 12-22 DSGVO / Art. 25 ff. nDSG)
- Auskunft (Art. 15): Vollständiger JSON-Export, in der App unter Profil → Daten herunterladen.
- Berichtigung (Art. 16): Profil bearbeiten in den Einstellungen.
- Löschung (Art. 17): Konto löschen mit 30 Tagen Karenz, danach unwiderrufliche Anonymisierung. Rechnungen 10 Jahre Pflicht-Aufbewahrung.
- Einschränkung (Art. 18): Auf Anfrage Beschränkung auf reine Speicherung.
- Datenübertragbarkeit (Art. 20): JSON-Export (maschinenlesbar).
- Widerspruch (Art. 21): Direktwerbung jederzeit formfrei.
- Widerruf der Einwilligung (Art. 7 Abs. 3): Jederzeit für die Zukunft.
- Beschwerde (Art. 77): EDÖB Schweiz oder zuständige EU-Aufsichtsbehörde.
- Art. 22: Matching ist Vorauswahl, finale Annahme/Ablehnung manuell.
§08 Aufbewahrungsfristen
| Datenkategorie | Speicherdauer | Rechtsgrundlage |
|---|---|---|
| Aktive Konten | Solange Vertrag besteht | Art. 6 Abs. 1 lit. b |
| Inaktive Konten | 3 Jahre, dann Löschung | Art. 5 Abs. 1 lit. e |
| Rechnungen | 10 Jahre | Art. 958f OR / Art. 70 MwStG |
| Vertragsdaten (gekündigt) | 10 Jahre | Verjährung Art. 127 OR |
| Chat-Nachrichten | 2 Jahre nach letzter Aktivität | Art. 6 Abs. 1 lit. b |
| Audit-Log | 24 Monate | Art. 6 Abs. 1 lit. f |
| Login-Aktivität | 12 Monate | IT-Sicherheit |
| Backups (verschlüsselt) | Max. 35 Tage rollierend | Disaster Recovery |
§09 Auftragsverarbeiter (Art. 28 DSGVO)
Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen — primär innerhalb der EU/EWR. Eine Übermittlung in Drittländer erfolgt nur auf Basis der EU-Standardvertragsklauseln plus geeigneter technischer Schutzmassnahmen. Die jeweils aktuelle Liste der eingesetzten Auftragsverarbeiter senden wir auf Anfrage an privacy@railway-connect.ch.
§10 Cookies & vergleichbare Technologien
10.1 Essenzielle Cookies
Für Login, Session-Sicherheit und CSRF-Schutz setzen wir technisch notwendige Cookies (httpOnly, Secure, SameSite=Strict). Eine Einwilligung ist hierfür nach Art. 6 Abs. 1 lit. f DSGVO nicht erforderlich.
10.2 Optionale Cookies
Aktuell keine Analyse-, Marketing- oder Tracking-Cookies. Bei Einführung holen wir Ihre ausdrückliche Einwilligung über das Cookie-Banner ein.
§11 Sicherheitsmassnahmen (Art. 32 DSGVO)
Wir setzen branchenübliche technische und organisatorische Massnahmen nach dem Stand der Technik ein, um die Sicherheit personenbezogener Daten zu gewährleisten. Hierzu zählen insbesondere Transport-Verschlüsselung, sichere Speicherung, mehrstufige Authentifizierung und kontinuierliche Überwachung.
Konkrete technische Details geben wir aus Sicherheitsgründen nicht öffentlich preis. Sicherheitsforscher mögen sich an security@railway-connect.ch wenden (Coordinated Disclosure mit angemessener Schonfrist).
§12 Datenpannen-Meldung (Art. 33 / Art. 24 nDSG)
Im Falle einer Verletzung mit Risiko für Rechte und Freiheiten betroffener Personen melden wir dies binnen 72 Stunden an EDÖB bzw. die zuständige EU-Aufsichtsbehörde. Betroffene werden bei hohem Risiko unverzüglich per E-Mail informiert.
§13 Profiling & automatisierte Entscheidungen (Art. 22)
Job-Matching basiert auf Vektorsimilarität — eine Vorauswahl-Empfehlung. Annahme/Ablehnung erfolgt stets durch menschliche Entscheidung. Eine ausschliesslich automatisierte Entscheidung mit Rechtswirkung findet nicht statt.
§14 Newsletter / E-Mail-Marketing
Marketing-Mails nur nach Double-Opt-In. Jederzeit über Abmelde-Link oder in den Profil-Einstellungen widerrufbar. Transaktions-Mails sind vom Widerruf ausgenommen.
§15 Push-Benachrichtigungen (Mobile-App)
Firebase Cloud Messaging. Einwilligung beim ersten App-Start. Jederzeit in den Geräte-Einstellungen oder unter Einstellungen → Benachrichtigungen widerrufbar.
§16 Minderjährige
Die Plattform richtet sich ausschliesslich an volljährige Berufstätige im Schienen-Sektor sowie an EVU-Unternehmen. Nicht für Personen unter 18 Jahren bestimmt.
§17 Änderungen dieser Datenschutzerklärung
Wir passen die Erklärung bei rechtlichen oder produktbezogenen Änderungen an. Wesentliche Änderungen werden registrierten Nutzern mindestens 30 Tage vorab per E-Mail mitgeteilt.
§18 Beschwerderecht
Beschwerde jederzeit beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) in Bern. EU-Bürger können sich zusätzlich an die zuständige Datenschutzbehörde ihres Mitgliedstaates wenden.