Datenschutz

Wer verantwortlich ist

Kamerad ist im Aufbau. Name, Adresse und Kontakt der Betreiberin ergänzen wir hier vor dem öffentlichen Start.

Dein Konto

Wenn du dich registrierst, speichern wir deinen Vor- und Nachnamen, deine E-Mail-Adresse, deine Telefonnummer, deinen Kanton, deine Sprache, ob du gedient hast und ob du als Mitglied oder für einen Betrieb kommst. Hast du gedient, sind Grad, Truppengattung und RS-Jahr Pflicht. Freiwillig sind Wohnort und Beruf, später im Profil auch Arbeitgeber, ein Kurztext, deine Sprachen und ein Foto. Dein Passwort speichern wir nur als sicheren Hash, nie im Klartext. Schaltest du den zweiten Faktor ein, liegt sein Schlüssel verschlüsselt bei uns, die Wiederherstellungscodes nur als Hash.

Trägst du einen Betrieb ein, speichern wir zusätzlich dessen Namen, UID, Adresse und Zweck aus dem öffentlichen Handelsregister, deine Beschreibung, die Website und deine Funktion im Betrieb. Bei einem Betrieb, den wir schon kennen, sehen die Verwaltenden oder das Team deinen Namen und deine Funktion und entscheiden über deinen Beitritt. Stimmst du der Auflistung zu, zeigen wir Name, Ort, Kanton und deine Beschreibung des Betriebs öffentlich auf der Startseite. Du kannst das jederzeit widerrufen.

Wir nutzen diese Angaben, um dein Konto zu führen, deinen Dienst und deinen Betrieb zu prüfen und dich per E-Mail oder Telefon zu erreichen. Werbung von Dritten schicken wir dir nie. Deine Einwilligungen speichern wir mit Fassung, Sprache und Datum.

Deine Daten bleiben gespeichert, bis du dein Konto löschen lässt. Dazu zwei Ausnahmen: Lehnen wir deine Prüfung ab und hören nichts mehr von dir, löschen wir das Konto nach 90 Tagen. Der Entwurf eines Betriebs, den niemand bestätigt, läuft ab und wird gelöscht, in der Regel nach 30 Tagen.

Für jede Anmeldung speichern wir den Zeitpunkt und die Browserkennung, damit du deine Geräte siehst und abmelden kannst. Eine Anmeldung gilt höchstens 30 Tage. Von bekannten Geräten behalten wir einen Prüfwert aus Browser und Betriebssystem, ohne IP-Adresse, und warnen dich per Mail bei einem neuen Gerät. Nach 180 Tagen ohne Anmeldung löschen wir diesen Wert. Ändert das Team deine Adresse, behalten wir die alte noch 30 Tage.

Einladungen und andere Personen

Kommst du über eine Einladung, speichern wir, wer dich eingeladen hat, wann du den Code eingelöst hast und einen Prüfwert deiner IP-Adresse, aus dem sich die Adresse nicht lesen lässt. So erkennen wir falsche Ketten. Diese Angaben bleiben, bis dein Konto gelöscht ist. Wer dich eingeladen hat, sieht deinen Namen, den Tag und deinen Stand und bekommt eine Meldung. Das Team sieht, wer wen eingeladen hat.

Lädt dich jemand per E-Mail ein, speichern wir deine Adresse, schicken dir diese Einladung und löschen die Adresse spätestens 30 Tage nach Ablauf der Einladung.

Nennt dich ein Betrieb als Kameraden, der ihn bestätigen soll, speichern wir deinen Namen und deine Adresse, bis du entschieden hast oder der Eintrag des Betriebs abläuft, und eine Mail, die nicht ankommt, löschen wir nach 30 Tagen. Sagst du, dass dich das nicht betrifft, behalten wir zu diesem Betrieb einen Prüfwert deiner Adresse, aus dem sich die Adresse nicht lesen lässt, damit wir dir dazu nicht mehr schreiben.

Prüfung deines Dienstes

Kamerad ist für Personen, die gedient haben. Mit einer gültigen Einladung bist du sofort bestätigt. Sonst liest das Team deine Angaben und bestätigt sie, bei Zweifeln nach einem kurzen Videogespräch. Diese Entscheide trifft immer ein Mensch. Das Team sieht dazu deine Angaben aus der Registrierung und Hinweise, etwa ob dieselbe Telefonnummer oder derselbe IP-Prüfwert bei einem anderen Konto vorkommt, ob die Mail-Adresse von einem Wegwerf-Dienst stammt oder ob Grad und RS-Jahr zusammenpassen. Hinweise entscheiden nichts.

Wir halten fest, wie, wann und von wem du geprüft wurdest, dazu den Stand und kurze Notizen des Teams. Für eine Rückfrage oder eine Absage schreiben wir dir per Mail. Bei einer Absage nennen wir den Grund. Du kannst Einspruch einlegen, indem du auf diese Mail antwortest, dann schaut ein Mensch den Fall nochmals an. Änderst du deinen Grad, speichern wir den Antrag, den alten und den neuen Grad und den Entscheid.

Buchst du ein Gespräch, speichern wir Termin und Raum und schicken dir und der prüfenden Person eine Kalendereinladung. Sie bekommt deinen Namen, ihren Namen nennen wir dir nicht. Wir zeichnen das Gespräch nicht auf und kopieren keine Dokumente. Vergangene Termine löschen wir nach 30 Tagen.

Profil, Foto und Kameraden

Dein Profil ist nie öffentlich und steht in keiner Suchmaschine. Nur bestätigte Kameraden sehen es. Name, Grad, Truppe, RS-Jahr und Kanton sehen alle Kameraden. Ort, Beruf, Arbeitgeber, Kurztext und Sprachen sehen zuerst nur verbundene Kameraden, du kannst das pro Angabe ändern. Telefon und E-Mail sieht kein anderes Mitglied. Das Team sieht dein ganzes Profil. In der Suche finden dich Kameraden über Name, RS-Jahr, Truppe und Kanton, das kannst du ausschalten.

Dein Foto rechnen wir auf unserem Server neu, verkleinern es und entfernen Ort und Kameradaten. Das Original bewahren wir nicht auf. Ausgeliefert wird es nur an angemeldete Kameraden. Ersetzt oder entfernst du es, löschen wir es.

Stellst du eine Kontaktanfrage, sieht die andere Person deinen Namen und dein Profil. Wir speichern, wer wen angefragt hat und ob die Verbindung steht. Eine Ablehnung oder Blockierung erfährt die andere Person nicht. Nach einer Ablehnung pausieren wir weitere Anfragen 30 Tage lang.

Meldungen und Mails

Meldungen in der App speichern wir mit Art, Anzahl und Datum. Gelesene Meldungen löschen wir nach 90 Tagen. Per Mail kommen sie sofort oder täglich oder wöchentlich gebündelt, das stellst du im Konto unter Benachrichtigungen ein. Sicherheitsmails und Codes lassen sich nicht abschalten.

Jede Mail läuft bei uns über eine Warteschlange. Codes und einmalige Links löschen wir nach zwei Tagen, gesendete und nicht zugestellte Mails nach 30 Tagen.

Angebote und Neuigkeiten von Kamerad bekommst du nur, wenn du sie im Konto unter Datenschutz und Einwilligung einschaltest. Jede solche Mail hat einen Abmeldelink. Solche Mails grenzen wir nach Zustand, Kanton und Rolle ein. Dienst-Mails zu deinem Konto bekommst du immer.

Schutz vor Missbrauch

Eine Liste aller Kameraden wäre für fremde Dienste wertvoll. Darum begrenzen wir Suchen, Profilaufrufe und Kontaktanfragen pro Person und Tag. Diese Zähler löschen wir nach zwei Tagen. Wird eine Grenze erreicht oder fällt ein Muster auf, sieht das Team einen Eintrag im internen Protokoll. Ein Konto wird dadurch nicht automatisch gesperrt. Gegen das Abgreifen setzen wir weitere Kontrollen ein, die wir hier nicht im Einzelnen beschreiben.

Anmeldungen, Codes und Formulare begrenzen wir pro E-Mail-Adresse und pro IP-Adresse. Dafür behalten wir die E-Mail-Adresse und einen Prüfwert der IP-Adresse 30 Tage.

Bei Verstössen kann das Team einen Hinweis oder eine Verwarnung aussprechen, das Schreiben oder das Einladen untersagen, ein Konto sperren oder löschen. Das halten wir mit Grund und Datum fest. Jede Handlung des Teams steht im internen Protokoll.

Warteliste

Trägst du dich in die Warteliste ein, speichern wir deine Adresse, deinen Vornamen, wenn du ihn nennst, ob du als Mitglied oder für einen Betrieb kommst, und deine Sprache. Wir schreiben dir, sobald die Registrierung öffnet, und nutzen die Adresse nur dafür. Registrierst du dich, löschen wir den Eintrag. Sonst bleibt er, bis du uns um die Löschung bittest.

Beim Besuch dieser Website

Unsere Server protokollieren jeden Aufruf mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, Herkunftsseite und Browserkennung. Das brauchen wir für den Betrieb und zum Schutz vor Angriffen, nicht um Profile zu bilden. In den Protokollen von Kamerad selbst steht die IP-Adresse nur gekürzt, und persönliche Links sind darin unkenntlich. Diese Protokolle überschreiben wir laufend, sobald sie eine feste Grösse erreichen, eine feste Frist gibt es nicht. Während der Beta läuft davor ein gemeinsamer Proxy unseres Servers, der die volle IP-Adresse und die aufgerufene Adresse 14 Tage aufbewahrt.

Wir setzen nur die Cookies, die es braucht: eines, das deine Sitzung nach der Anmeldung hält, höchstens 30 Tage, eines für die Daten deiner Registrierung, solange du sie ausfüllst, verschlüsselt und höchstens 24 Stunden, eines mit deinem Einladungscode, wenn du mit einer Einladung kommst, und eines, das sich deine Sprache ein Jahr lang merkt, wenn du sie selbst wechselst. Das Cookie mit dem Einladungscode enthält den Code und den Zeitpunkt, an dem du den Link geöffnet hast, verschlüsselt. Es verschwindet mit deiner Registrierung oder Anmeldung, spätestens nach 30 Tagen. Für die Messung der Nutzung (siehe unten) setzen wir kein Cookie. Dienste von Dritten für Analyse, Tracking oder Werbung verwenden wir nicht. Schriften, Bilder und Skripte kommen von unserem eigenen Server, nicht von Dritten.

Öffnest du die App, merkt sich dein Browser im localStorage deine Sprache, damit die Offline-Seite sie kennt, und ein Service Worker legt Schriften, Stile, Skripte und die Offline-Seite im Speicher deines Browsers ab. Persönliche Seiten speichert er nicht.

Messung der Nutzung

Wenn die Messung eingeschaltet ist, zählen wir auf unserem eigenen Server, wie Kamerad genutzt wird: welche Seiten aufgerufen werden (die Seite der Personensuche zählt wie jede andere), worauf geklickt wird (die Stelle auf der Seite, nie der Text), wie weit gescrollt wird, wie lange eine Seite offen ist, wie schnell sie lädt, wo Fehler auftreten und bei welchem Schritt der Registrierung jemand aussteigt. Wichtige Schritte zählen wir zusätzlich auf dem Server: Registrierung, Einladung, Prüfung, Gradantrag und Betriebsantrag.

Zu jedem Ereignis speichern wir den Zeitpunkt, die Seite ohne Namen und Nummern, die Sprache, die Geräteart (Handy, Tablet oder Computer), die Grösse des Browserfensters (Breite und Höhe, auf zehn Pixel gerundet), die Browserfamilie, Zustand und Rolle (zum Beispiel «eingetragen» und «Mitglied»), eine Kennung, eine zufällige Sitzungsnummer und eine laufende Nummer in der Sitzung. Dazu kommt die Quelle der Sitzung als grobe Gruppe: Suche, Social, Mail, direkt, Einladung oder andere. Die Herkunftsadresse merken wir uns nur von Suchmaschinen, sozialen Netzen und Mail-Diensten, von allen anderen Seiten nichts. Angaben wie utm_source aus Links, die wir selbst verteilen, speichern wir als kurze Marke. Wichtige Schritte auf dem Server speichern wir bei Konten ohne das Häkchen für Profilangaben nur mit der vollen Stunde und dem Abstand zum vorherigen Ereignis der Sitzung, nicht mit der genauen Uhrzeit.

Für die Messung setzen wir keinen Cookie. Dein Browser speichert aber zwei kleine Einträge, nur für unsere Seite. Im sessionStorage liegen die zufällige Kennung, die Sitzungsnummer, ein Zähler der gesendeten Ereignisse, die Zeit der letzten Aktivität (nach 30 Minuten Pause beginnt eine neue Sitzung), ob du angemeldet bist, ob die App in dieser Sitzung schon geöffnet wurde, bei welchem Schritt der Registrierung du die Seite zuletzt verlassen hast und ob dein Widerspruch deinem Konto schon mitgeteilt wurde. Das verschwindet, wenn du den Tab schliesst. Im localStorage liegt deine Wahl (Ablehnen oder Verstanden), sie bleibt, bis du sie änderst oder die Browserdaten löschst. Um zu zählen, dass du über einen Einladungslink gekommen bist, lesen wir den Einladungscode-Cookie, der den Code und den Zeitpunkt enthält, an dem du den Link geöffnet hast.

Die Kennung ist ein Pseudonym. Als Besucher ohne Konto ist sie zufällig und gilt nur für den offenen Browser-Tab. Mit einem Konto ist sie ein Wert, den wir aus einer zufälligen Nummer in deinem Konto berechnen. Er bleibt über Geräte und Tage gleich, damit wir sehen, ob jemand wiederkommt. Bei der Registrierung hängen wir die Sitzungsnummer des Besuchs an die Kennung des neuen Kontos, damit der Weg bis zum Eintrag sichtbar ist. Im Alltag ist die Kennung von deinem Konto getrennt: Die App hat keine Abfrage, die Ereignisse mit Konten verbindet, und Auswertungen laufen nur über Summen. Wer Zugriff auf die Datenbank und auf den Schlüssel des Servers hat, könnte eine Kennung technisch einem Konto zuordnen. Das ist nicht ausgeschlossen, aber intern untersagt. Eine Verknüpfung mit deinem Profil gibt es nur, wenn du das freiwillige Häkchen für Profilangaben gesetzt hast, bei der Registrierung oder später im Konto. Dann speichern wir zu jedem Ereignis zusätzlich einen Bezug zu deinem Konto, deinen Kanton und deine Grad-Gruppe, und wichtige Schritte mit der genauen Uhrzeit. Über diesen Bezug lassen sich Ereignisse mit deinen Angaben wie Grad, Truppengattung, Kanton und Beruf verbinden, damit Angebote und Stellen zu dir passen. Heute nutzt noch keine Funktion diese Verknüpfung.

Nie gemessen werden Texte aus der Seite, Eingaben in Formulare, Nachrichten, Passwörter, Telefonnummern, E-Mail-Adressen und IP-Adressen. Suchbegriffe aus dem Marktplatz und den Stellen speichern wir ohne Kennung und ohne Zeit als Tageszähler, zusammen mit der Zahl der Treffer, höchstens einmal pro Sitzung gezählt. Was in 30 Tagen weniger als dreimal gesucht wurde, löschen wir nach diesen 30 Tagen. In der Auswertung sehen wir nur Begriffe, die mindestens fünfmal gesucht wurden. Suchbegriffe aus der Personensuche speichern wir nie.

Einzelne Ereignisse bleiben 13 Monate. Was älter ist, löschen wir jeden Tag. Ebenso lange bleiben unter der Kennung eine Zusammenfassung jeder Sitzung und ein Eintrag mit dem Tag von Registrierung und Bestätigung. Summen ohne Kennung bleiben, Suchbegriffe nur, wenn sie häufig gesucht wurden. Betriebe sehen heute keine Auswertung, später nur Summen und nie Gruppen unter fünf Personen. Für alle, die nicht widersprochen haben, also auch für Personen ohne Häkchen, führen wir Tageszähler nach Kanton und Grad-Gruppe, ohne Bezug zu einer Person.

Du kannst jederzeit widersprechen und die Messung wieder einschalten: mit dem Schalter auf dieser Seite, mit «Ablehnen» im Hinweis am unteren Seitenrand, solange du ihn nicht mit «Verstanden» geschlossen hast, mit dem Schalter in deinem Konto oder mit dem Signal «Global Privacy Control» deines Browsers. Dann schickt dein Browser nichts mehr. Sendet dein Browser das Signal «Global Privacy Control», gilt allein diese Einstellung, und der Schalter auf dieser Seite zeigt das an, statt eine Wahl anzubieten. Was wir auf dem Server selbst zählen, etwa eine Registrierung, wird nur noch als Tageszähler ohne Kennung, ohne Zeit und ohne weitere Angaben erfasst. Mit dem Widerspruch ersetzen wir die Kennung in deinem Konto und löschen den Bezug früherer Zählungen zu deinem Konto, auch wenn du das Häkchen für Profilangaben gesetzt hattest. Nimmst du dieses Häkchen später zurück, geschieht dasselbe. Wer mit gesetztem Widerspruch ein Konto eröffnet, bleibt im Widerspruch.

Wo deine Daten liegen

Unser Ziel ist, dass die Daten von Kamerad in der Schweiz gespeichert sind. Während der Beta läuft diese Website noch auf einem Server von OVHcloud in Frankreich, einem Land mit angemessenem Datenschutz nach Schweizer Recht. Vor dem öffentlichen Start ziehen wir mit allen Daten auf Server in der Schweiz um. Der Webverkehr läuft über Cloudflare, ein US-Unternehmen, das deine IP-Adresse und Anfragen auch ausserhalb der Schweiz bearbeiten kann.

Cloudflare schützt die Website vor Angriffen und liefert sie schnell aus. Dafür endet die verschlüsselte Verbindung bei Cloudflare, Anmeldungen, Cookies und Seiteninhalte sind dort technisch sichtbar.

Für das kurze Videogespräch zur Prüfung erstellen wir einen zufälligen Raum bei kMeet, dem Videodienst von Infomaniak Network SA in der Schweiz, die als Auftragsbearbeiterin Bild, Ton und Verbindungsdaten des Gesprächs für uns verarbeitet.

Unsere Mails verschicken wir über Infomaniak Network SA in der Schweiz, die als Auftragsbearbeiterin Adresse, Betreff und Inhalt jeder Mail für uns verarbeitet.

Was wir nie tun

Wir verkaufen und vermieten keine Daten. Für Werbung nutzen wir sie nur, wenn du eingewilligt hast. Einteilung, Standort, Auftrag und Bestand deiner Truppe fragen wir nie ab und schreiben sie nie auf, auch nicht in Notizen.

Deine Rechte

Du kannst jederzeit erfahren, welche Daten wir über dich haben. Du kannst sie berichtigen oder löschen lassen und in einem gängigen Format herausverlangen. Schreib uns dafür an die Adresse im Impressum.

Deine Daten lädst du jederzeit selbst herunter: In der App unter Profil, Konto, Daten exportieren bekommst du sie als JSON-Datei.

Angaben über andere Personen und interne Notizen des Teams gehören nicht dazu, eine Sanktion steht mit dem Text drin, den wir dir geschickt haben.

Deine Einwilligungen nimmst du in der App unter Profil, Konto, Datenschutz und Einwilligung zurück.

Dein Konto löschst du unter Profil, Konto, Konto löschen: Du wirst sofort abgemeldet, und nach 30 Tagen, in denen du mit dem Link aus unserer Mail abbrechen kannst, entfernen wir deine Daten endgültig.

Danach bleiben Einträge im Protokoll mit einer Kennung ohne Namen, Summen ohne Bezug zu dir und deine Nutzungsereignisse bis zu 13 Monate unter einer neuen Zufallskennung, und besteht gegen dein Konto eine Sperre, behalten wir mindestens 30 Tage lang und bis zu ihrem Ende einen Prüfwert deiner Adresse, aus dem sich die Adresse nicht lesen lässt. Notizen des Teams durchsuchen wir nach deinem vollen Namen und deiner Adresse und ersetzen sie, Kurzformen können stehen bleiben.

Tägliche Sicherungskopien bewahren wir 30 Tage auf, monatliche zwölf Monate: Was darin liegt, bleibt unberührt, bis die Kopie abläuft, und nach einer Wiederherstellung löscht ein Löschprotokoll es wieder. Dieses Protokoll hält pro gelöschter Person nur einen Prüfwert und das Datum fest und bleibt 13 Monate.

Bist du die einzige Inhaberperson eines Betriebs, pausieren wir den Betrieb, statt ihn zu löschen. Der Entwurf eines Betriebs läuft dagegen ab.

Wenn du findest, dass wir mit deinen Daten nicht richtig umgehen, kannst du dich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB beschweren.

Änderungen

Wenn sich an Kamerad etwas ändert, passen wir diese Erklärung an. Es gilt die Fassung auf dieser Seite. Bei Abweichungen zwischen den Sprachen gilt die deutsche Fassung.