Ihre Daten. Transparent erklärt.

Das Wichtigste in Kürze

Sie können Fahrzeuge und Leistungen ohne Konto ansehen. Für das Absenden und Verfolgen von Anfragen benötigen Sie ein Kundenkonto. Konten und Anmeldedaten werden durch Supabase in der Projektregion Irland verwaltet. Profile, Anfragen, Gesprächsverläufe und Anhänge liegen getrennt davon in der Sites-Infrastruktur mit Cloudflare. Unser geschäftliches E-Mail-Postfach wird mit Google Workspace geführt; Website-Nachrichten werden über SMTP2GO versendet. Im Anwendungscode sind keine Werbe- oder Analyse-Tracker eingebunden.

1. Verantwortlich und Kontakt

Verantwortlich für die hier beschriebenen Bearbeitungen ist Jakov T GmbH, Feldweg 16, 5512 Wohlenschwil, Schweiz. Telefon: +41 79 594 97 69.

Datenschutzanliegen richten Sie bitte an info@jakov.ch. Diese Erklärung betrifft unsere Website, das Kundenkonto sowie Fahrzeug-, Werkstatt-, Diagnose-, Termin-, Ankauf-, Miet-, Transport- und Kontaktanfragen. Massgeblich sind das Schweizer Datenschutzgesetz (DSG) und die Datenschutzverordnung (DSV). Soweit im Einzelfall zusätzlich die EU-DSGVO anwendbar ist, berücksichtigen wir die daraus entstehenden Rechte und Pflichten; diese Anwendbarkeit ist vor einer gezielten Ausrichtung auf den EU-Markt gesondert zu prüfen.

2. Welche Daten wir erhalten

• Beim Besuch: Für die Auslieferung und Absicherung der Website fallen technische Verbindungsdaten an, insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Browserangaben sowie Status- und Fehlermeldungen. Die Anwendung verwendet für zeitlich begrenzte Zugriffslimits einen Hash der IP-Adresse.
• Beim Kundenkonto: E-Mail-Adresse, Konto-ID, Bestätigungs- und Anmeldeinformationen, Name, Telefonnummer und die Auswahl Privatperson/Firma; bei Firmenkonten zusätzlich Firmenname. Supabase verwaltet die Passwort-Prüfwerte und gegebenenfalls MFA-Faktoren. Administratoren sehen kein Klartextpasswort.
• Bei Anfragen: Ihre Kontaktdaten, Nachricht, gewählte Leistung, Referenznummer, Status, Zeitangaben und – je nach Formular – Fahrzeugdaten, gewünschter Termin, Mietzeitraum, Abhol- und Zielort, Preisvorstellung sowie Angaben zum Zustand und zu Schäden.
• Bei Uploads: Fahrzeugfotos, Schadensbilder, Fahrzeugausweise oder andere ausdrücklich angeforderte Unterlagen einschliesslich Dateiname, Dateityp und Dateigrösse. Bitte übermitteln Sie nur benötigte Informationen und keine unnötigen Daten anderer Personen.
• Bei der Bearbeitung: Nachrichtenverläufe, Empfänger und gegebenenfalls CC-/BCC-Adressen, Zustellstatus, interne Notizen, Statusänderungen und Protokolle administrativer Aktionen mit handelndem Konto und Zeitpunkt. Interne Notizen und BCC-Adressen werden Kunden nicht angezeigt. Andere Kunden können Ihre Anfragen nicht einsehen.

Die meisten Daten geben Sie selbst ein. Bei einem externen Login erhalten wir die freigegebenen Kontodaten vom gewählten Anbieter. Bearbeitungsvermerke entstehen durch unsere Mitarbeitenden und die Anwendung.

3. Wofür wir die Daten verwenden

Wir verwenden die erforderlichen Daten, um die Website bereitzustellen, Sie sicher anzumelden, Ihr Kundenkonto und Berechtigungen zu verwalten, Anfragen zuzuordnen, Offerten und Termine vorzubereiten, Leistungen abzuklären und mit Ihnen zu kommunizieren. Hinzu kommen Missbrauchsabwehr, Fehlerbehebung, Nachvollziehbarkeit administrativer Änderungen sowie die Erfüllung gesetzlicher Dokumentationspflichten und die Klärung von Ansprüchen.

Pflichtfelder sind für den jeweiligen Vorgang nötig. Ohne diese Angaben können wir ein Konto oder die betreffende Anfrage nicht bearbeiten. Freiwillige Angaben können Sie weglassen. Das Absenden einer Anfrage führt in dieser Anwendung nicht zu einer automatisierten Bonitätsprüfung oder einer ausschliesslich automatisierten Entscheidung mit rechtlicher Wirkung. Wir betreiben hier kein Werbeprofiling und verkaufen Ihre Daten nicht.

4. Hosting, Konten und Dateispeicher

Öffentlich veröffentlichte Fahrzeugbilder gehören zum sichtbaren Angebot. Eingereichte Ankaufsbilder und Fahrzeugausweise werden dagegen über geschützte Zugriffswege für berechtigte Administratoren bereitgestellt. Die Anwendung vergibt dafür keine öffentlichen Downloadlinks.

Weiterführende Anbieterinformationen: Sites-Datenverarbeitungsbedingungen, OpenAI-Unterauftragnehmer, Cloudflare Datenschutz, Supabase Datenschutz, Google-Workspace-Datenverarbeitungsbedingungen, SMTP2GO Datenschutz und Hostpoint Datenschutz. Diese Informationen ersetzen nicht den Abgleich der konkret vereinbarten Auftragsbearbeitung.

5. Login, MFA, Google und Passkeys (Beta)

Der normale Login erfolgt mit E-Mail-Adresse und Passwort. Für neue Passwörter verlangt die Anwendung mindestens zwölf Zeichen mit Gross- und Kleinbuchstaben, Zahl und Sonderzeichen. Passwörter werden verschlüsselt übertragen, durch Supabase geprüft und nicht im dauerhaften Website-Datenspeicher als Klartext abgelegt.

Für Kunden ist MFA über eine Authenticator-App freiwillig; für den Zugriff auf Verwaltungsfunktionen ist MFA erforderlich. Sie können die Einrichtung bei der Registrierung auswählen oder später unter „Profil & Sicherheit“ starten. Erst nach Bestätigung eines Codes ist MFA aktiv. Danach wird der zweite Faktor bei der Anmeldung verlangt. Der Einrichtungsschlüssel wird beim Einrichten angezeigt und muss geheim bleiben. Für Daten in Ihrer gewählten Authenticator-App gelten zusätzlich deren Bedingungen.

Bei Auswahl des Google-Logins werden Sie zu Google weitergeleitet. Wir erhalten eine Anbieter-Kennung und die von Ihnen freigegebenen Daten, insbesondere die E-Mail-Adresse und gegebenenfalls den Namen, jedoch nicht Ihr Google-Passwort. Ohne Anklicken des Google-Logins lädt die Anwendung dafür keine Google-Skripte. Apple-Login wird nicht angeboten.

Informationen des Anbieters: Google Datenschutz. Die länderspezifischen Anbieter- und Transferangaben sind noch abschliessend zu prüfen.

Optional können Sie unter „Profil & Sicherheit“ einen Passkey (Beta) für jakov.ch registrieren. Supabase speichert den öffentlichen Schlüssel, die Zuordnung zum Konto sowie Angaben zum Passkey und dessen Nutzung. Der private Schlüssel bleibt beim Gerät oder gewählten Passwortmanager; die Website erhält keine Geräte-PIN und keine biometrischen Daten. Für eine mögliche Synchronisierung gelten die Bedingungen Ihres Passwortmanagers. Eine aktive Authenticator-MFA bleibt zusätzlich erforderlich. Passkeys können im Profil wieder aus dem Konto entfernt werden. Technische Informationen zu Supabase-Passkeys.

6. Cookies und Speicherung im Browser

• jt_customer_session: Technisch notwendiges, gegen JavaScript-Zugriff geschütztes Login-Cookie. Höchstens 30 Tage, bei noch ausstehender MFA-Bestätigung zehn Minuten. Beim Abmelden wird die zugehörige Sitzung beendet.
• jt_oauth_pkce: Kurzlebige, verschlüsselte Absicherung eines Google-Anmeldevorgangs. Laufzeit höchstens zehn Minuten; nach dem Rücksprung wird es entfernt.
• jt_passkey_registration und jt_passkey_authentication: Verschlüsselte, gegen JavaScript-Zugriff geschützte Bindung einer Passkey-Anfrage an den Browser. Laufzeit höchstens fünf Minuten; nach Abschluss der Prüfung werden sie entfernt.
• Formularentwürfe: Der Ankaufsassistent speichert neue Eingaben nicht dauerhaft im lokalen Browser-Speicher. Auf Geräten, die eine ältere Fassung genutzt haben, kann noch ein früherer Eintrag jakov-purchase-draft vorhanden sein. Er kann über die Browserfunktion „Websitedaten löschen“ entfernt werden.
• jt_admin_notice: Kurzzeitiger Hinweis im Tab-Speicher für Administratoren, etwa nach einer Archivierung. Er wird nach dem Anzeigen entfernt.

Die Anwendung setzt keine Marketing-Cookies, Werbepixel, Analytics- oder eingebetteten Kartendienste ein. Zusätzliche technische Sicherheitsmechanismen der Hosting-Anbieter sind anhand ihrer konkreten Konfiguration zu prüfen. Sie können Cookies im Browser löschen oder blockieren; Login und geschützte Funktionen sind dann eingeschränkt.

7. Kommunikation und Empfänger

Zugriff innerhalb von Jakov T GmbH erhalten nur Personen, die ihn für ihre Aufgaben benötigen. Technische Anbieter bearbeiten Daten zur Bereitstellung, Absicherung und Unterstützung der genannten Dienste. Soweit eine gesetzliche Pflicht besteht oder ein konkreter Anspruch geklärt werden muss, werden die dafür erforderlichen Daten zuständigen Behörden oder beruflich zur Vertraulichkeit verpflichteten Beratern bekanntgegeben.

Bestätigungs- und Passwort-Reset-Mails werden durch Supabase ausgelöst und über SMTP2GO versendet. Für Anfragen versendet die Website Eingangsbestätigungen, konfigurierte Statusbenachrichtigungen und Antworten ebenfalls über SMTP2GO. Der Status und die für Sie bestimmten Nachrichten sind unter „Meine Anfragen“ sichtbar. Berechtigte Mitarbeitende können zur Bearbeitung weitere Empfänger in CC oder BCC einbeziehen.

Antworten im geschäftlichen Gmail-Postfach werden nur dann automatisch einem Website-Gespräch hinzugefügt, wenn die dafür vorgesehene Antwortadresse eine eindeutige Zuordnung erlaubt. Die Übertragung wird technisch authentifiziert. Es wird nicht das gesamte Postfach in die Website importiert. Die zugeordneten Nachrichten werden im geschützten Gesprächsverlauf gespeichert; Dateien aus E-Mail-Anhängen bleiben im Postfach. Eine Kalender-Synchronisation und ein Zahlungsdienst sind derzeit nicht angebunden.

8. Bearbeitung ausserhalb der Schweiz

Mindestens die Authentifizierungsdaten werden in Irland bearbeitet. Bei internationalen Plattformen können zusätzlich ausländische Empfänger oder Zugriffe relevant sein. Eine vollständige, projektbezogene Länder- und Unterauftragnehmerliste sowie die dafür tatsächlich vereinbarten Garantien sind noch zu bestätigen. Deshalb enthält dieser Entwurf ausdrücklich keine Behauptung, sämtliche Daten blieben in der Schweiz oder es seien bereits alle erforderlichen Transferverträge abgeschlossen.

Vor der abschliessenden Freigabe muss geprüft werden, ob für die jeweiligen Empfängerländer ein angemessener Schutz besteht oder geeignete Garantien erforderlich sind. Informationen zu diesen Voraussetzungen veröffentlicht der EDÖB zu Auslandbekanntgaben.

9. Aufbewahrung, Archivierung und Löschung

Wir bewahren Daten nur auf, solange sie für den genannten Zweck benötigt werden, gesetzliche Pflichten bestehen oder konkrete Ansprüche eine weitere Aufbewahrung erfordern. Für erfolglose Anfragen, abgeschlossene Vorgänge, inaktive Konten, Anhänge, interne Protokolle und Sicherungskopien müssen noch verbindliche betriebliche Prüffristen festgelegt werden. Nicht sämtliche Website-Daten fallen automatisch unter eine zehnjährige Aufbewahrungspflicht.

Archivieren ist keine Löschung: Ein archivierter Vorgang bleibt im geschützten Archiv vorhanden und kann gefunden oder wiederhergestellt werden. Endgültiges Löschen entfernt den Vorgang aus der aktiven Anwendungsdatenbank; zugehörige Dateien werden über die Speicher-Schnittstelle zur Löschung angefordert. Technische Sicherungen und Protokolle können davon getrennte Aufbewahrungszyklen haben. Eine automatische, vollständige Kontolöschung über alle Anbieter ist derzeit nicht als Selbstbedienungsfunktion verfügbar; wenden Sie sich dafür an info@jakov.ch.

10. Schutz Ihrer Daten

Die Anwendung nutzt HTTPS, serverseitige Berechtigungsprüfungen, geschützte Login-Cookies, verschlüsselte Provider-Sitzungen im Datenspeicher, Eingabe- und Datei-Prüfungen sowie Zugriffslimits. Anfragen werden dem angemeldeten Kundenkonto zugeordnet; Verwaltungsfunktionen sind auf berechtigte Administratoren beschränkt. Absolute Sicherheit kann kein Onlinedienst garantieren. Bewahren Sie Passwort und MFA-Schlüssel sicher auf und melden Sie vermuteten Kontomissbrauch an info@jakov.ch.

11. Ihre Rechte

Sie können Auskunft über die Bearbeitung Ihrer Personendaten sowie die Berichtigung unrichtiger Daten verlangen. Je nach gesetzlichen Voraussetzungen können Sie Löschung, Unterlassung einer Bearbeitung oder die Herausgabe beziehungsweise Übertragung bestimmter Daten verlangen. Gesetzliche Pflichten, überwiegende Interessen und Rechte Dritter können einzelne Begehren begrenzen. Soweit eine Bearbeitung auf Einwilligung beruht, können Sie diese für die Zukunft widerrufen.

Schreiben Sie an info@jakov.ch und beschreiben Sie Ihr Anliegen. Zum Schutz Ihrer Daten prüfen wir Ihre Identität in angemessenem Umfang. Auskunft wird grundsätzlich kostenlos und in der Regel innerhalb von 30 Tagen erteilt; andernfalls informieren wir Sie über die Verzögerung oder eine begründete Einschränkung. Weitere Hinweise finden Sie beim EDÖB zum Auskunftsrecht. Bei Datenschutzbedenken können Sie sich an den EDÖB wenden; gerichtliche Rechte bleiben bestehen.

12. Änderungen

Wenn sich unsere Datenbearbeitung, die Anbieter oder die gesetzlichen Anforderungen ändern, aktualisieren wir diese Erklärung. Wesentliche Änderungen werden angemessen bekannt gemacht. Die hier angegebene Fassung muss vor dem uneingeschränkten Kundenbetrieb mit der tatsächlichen Konfiguration und den Verträgen abgeglichen werden.