← Zurück zur Startseite

Datenschutzrichtlinie

Zuletzt aktualisiert: 5. November 2026

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten ist VisitCard, betrieben von Fiducium Sàrl, c/o Gaël Ghislain Monney, Rue des Beaux-Arts 14, 2000 Neuchâtel, Schweiz (UID: CHE-488.904.546). Kontakt: hello@visitcard.app. Dieses Unternehmen unterliegt dem schweizerischen Bundesgesetz über den Datenschutz (nDSG) und bemüht sich für Nutzer in der Europäischen Union zusätzlich um die Einhaltung der DSGVO-Grundsätze. Nach diesen Rahmenwerken ist die formelle Benennung eines Datenschutzbeauftragten für unsere Organisationsgröße nicht verpflichtend. Datenschutzanfragen an: hello@visitcard.app.

2. Erhobene Daten & Rechtsgrundlagen

• Kontodaten (E-Mail, Name, gehashtes Passwort) — Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Datum der letzten Anmeldung und der letzten Aktivität im Dashboard (nur zwei Daten, ohne Verlauf und ohne IP-Adresse), für den Support und die Betreuung des Dienstes — Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)
• Visitenkartenprofil (Foto, Position, Telefon, Social Media) — Rechtsgrundlage: Vertragserfüllung + Einwilligung
• Zahlungsdaten (Abonnement, Plan, Rechnungshistorie) — Rechtsgrundlage: Vertrag + rechtliche Verpflichtung (Art. 6 Abs. 1 lit. b und c)
• Aggregierte Analysen (Aufrufe, Besucherland, Gerätetyp) — Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f), pseudonymisierte Daten
• Technische Logs (IP für Rate-Limiting, Zeitstempel) — Rechtsgrundlage: berechtigtes Interesse (Sicherheit)
• Visitenkarten-Scanner – Das Foto einer Visitenkarte wird an Anthropic PBC (USA), unseren Auftragsverarbeiter für die Bildanalyse, übermittelt – ausschließlich, um die Kontaktdaten auszulesen, und zwar in zwei Fällen: wenn ein Kontoinhaber die Funktion „Karte scannen“ nutzt (über sein Dashboard, seine Karte oder seinen persönlichen Scan-Link), und wenn ein Besucher einer Karte „Mit einem Foto meiner Karte ausfüllen“ wählt, um das Kontaktformular vorauszufüllen. Diese Schaltfläche ist freiwillig: Besucher können ihre Kontaktdaten immer von Hand eingeben. VisitCard speichert das Foto nicht, und Anthropic verwendet es nicht zum Training seiner Modelle. Gespeichert werden nur die geprüften Kontaktdaten: vom Kontoinhaber in seinem Adressbuch; beim Besucher nur, wenn er das Formular anschließend absendet. Übermittlungen in die USA erfolgen auf Grundlage von Standardvertragsklauseln.
• Sichtbarkeit Ihrer Karte — Ihre Karte ist für alle erreichbar, die ihren Link oder QR-Code haben. Standardmässig wird sie Suchmaschinen nicht angeboten (Tag noindex) und nicht in unserer Sitemap aufgeführt; das geschieht nur, wenn Sie im Editor «Meine Karte auf Google sichtbar machen» ankreuzen, und Sie können dieses Häkchen jederzeit entfernen — Rechtsgrundlage: Einwilligung (Art. 6.1.a DSGVO)
• Interessenten und Newsletter — Wenn Sie eine Demo, den Versand eines QR-Codes per E-Mail oder die Newsletter-Anmeldung anfragen, speichern wir Ihre E-Mail-Adresse, die Sprache und die Herkunft der Anfrage (bei einer Demo auch Unternehmen und Teamgrösse). Als Antwort auf eine Demo-Anfrage können wir Ihnen einen persönlichen Link zu einer Demo-Seite senden, der 14 Tage gültig ist; um seine Weitergabe zu begrenzen, zählen wir seine Aufrufe (Datum des ersten und des letzten Aufrufs, Anzahl und ein aus dem Browser und einem Teil der IP-Adresse berechneter Hashwert des Geräts, nie die Adresse selbst); diese Daten werden zusammen mit der Demo-Anfrage gelöscht. Wenn Sie das vorgesehene Kästchen ankreuzen oder sich für den Newsletter anmelden, senden wir Ihnen per E-Mail einen Bestätigungslink: Ihre Einwilligung wird erst mit dem Klick auf diesen Link erfasst (Double-Opt-in). Wir bewahren dann den Nachweis dieser Einwilligung auf (Datum, akzeptierter Text, Hashwert der IP-Adresse, nie die Adresse selbst) und senden Ihnen unsere Neuigkeiten und Tipps per E-Mail — Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Art. 3 Abs. 1 lit. o UWG). Der Versand erfolgt über Resend, Inc. (Auftragsverarbeiter), ohne Zählpixel für Öffnungen und ohne Klick-Tracking der Links. Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder E-Mail widerrufen; Ihre Daten werden bis zu Ihrer Abmeldung oder Ihrem Löschantrag an hello@visitcard.app aufbewahrt. Ohne bestätigte Einwilligung dient Ihre Adresse nur der Bearbeitung Ihrer Anfrage; sie wird 30 Tage nach Ihrer letzten Anfrage aus der Interessentenliste entfernt.
• Botschafterprogramm — Wenn Sie Botschafter sind: Ihr Code, Ihre Aufteilung, Ihre Provisionen und Auszahlungen, der (nicht umkehrbare) Fingerabdruck der in Ihrem Bereich verwendeten IP-Adressen und Ihre Auszahlungsdaten (Name, Adresse, Status, gegebenenfalls UID- oder MWST-Nummer, IBAN), verschlüsselt (AES-256) und nur für Ihre Auszahlung verwendet. Die Rechnungen (PDF), die Sie Ihren Auszahlungsanträgen beifügen, werden in einem privaten Speicherbereich aufbewahrt, nur für Sie und die Administration zugänglich, für Zahlung und Buchhaltung. Wenn Sie über einen Botschafterlink gekommen sind: der Code dieses Links (Cookie vc_ref, 60 Tage), der Fingerabdruck Ihrer IP-Adresse und Ihrer Zahlungskarte (von Stripe geliefert), die nur der Verhinderung von Eigenempfehlungen dienen. Der Botschafter sieht nur Ihren Vornamen und die Initiale Ihres Nachnamens. Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse (Missbrauchsverhinderung).
• Bestellung von NFC-Karten — Wenn Sie eine physische NFC-Karte bestellen: die Bestellung, die bei der Zahlung (Stripe) angegebene Lieferadresse und Telefonnummer sowie die auf die Karte gedruckten Daten (Name, Funktion, Unternehmen, Logo, Link Ihrer Karte). Sie dienen ausschließlich der Herstellung und dem Versand der Karte: Die gedruckten Daten und die Lieferadresse werden für die Herstellung an eine Druckerei mit Sitz in Frankreich (Europäische Union) übermittelt. Rechtsgrundlage: Vertragserfüllung.

3. Speicherung und Sicherheit

Ihre Daten werden auf der Cloudflare-Infrastruktur (ISO 27001 zertifizierte Rechenzentren) gehostet. Die Datenbank (Cloudflare D1) und hochgeladene Bilder (Cloudflare R2) werden in der Europäischen Union gespeichert (EU-Jurisdiktion von Cloudflare); die Anwendung wird über das globale Netz von Cloudflare bereitgestellt, wobei jede Anfrage vom nächstgelegenen Rechenzentrum bearbeitet wird. Die Datenbank verwendet D1 SQLite mit Verschlüsselung im Ruhezustand. Passwörter werden mit PBKDF2-SHA256 und 100.000 Iterationen gehasht. Die gesamte Kommunikation wird mit TLS 1.3 verschlüsselt. CSRF-Token schützen alle Formulare. IP-basiertes Rate-Limiting wird auf allen sensiblen Routen angewendet, mit temporären Zählern in der Cloudflare-D1-Datenbank.

4. Auftragsverarbeiter (Art. 28 DSGVO)

Die Nutzung von Informationen, die über Google-APIs empfangen werden, und deren Übertragung an andere Anwendungen erfolgen gemäss der Google API Services User Data Policy, einschliesslich der Anforderungen an die eingeschränkte Nutzung (Limited Use).

5. Cookies

VisitCard verwendet insbesondere folgende unbedingt erforderliche Cookies: visitcard_session (Authentifizierung, HttpOnly, SameSite=Lax), csrf_token (CSRF-Schutz, SameSite=Lax, Max-Age 24h) und vc_signup (automatische Anmeldung nach Bestätigung der E-Mail-Adresse, 3 Stunden). Weitere kurzlebige funktionale Cookies (Zwei-Faktor-Authentifizierung, Anmeldung mit Google oder Microsoft, Dashboard) sind in der Cookie-Richtlinie aufgeführt. Besucher in der Schweiz (Land der IP-Adresse): Google Tag Manager und das Google-Tag werden auf jeder Seite sofort beim Aufruf geladen, mit Google Consent Mode v2 im erweiterten Modus, standardmässig auf „abgelehnt“ gesetzt (analytics_storage, ad_storage, ad_user_data und ad_personalization auf denied). Solange Sie nicht eingewilligt haben, wird kein Google-Cookie gesetzt oder gelesen; das Tag sendet Google jedoch cookielose Signale („Pings“): Einwilligungsstatus, aufgerufene Seite, Zeitstempel, Browsertyp und IP-Adresse (verwendet für die Übertragung und eine ungefähre Standortbestimmung). Google nutzt sie, um nicht gemessene Besuche und Conversions in aggregierter und modellierter Form zu schätzen. Nach Ihrer Einwilligung setzen Google Analytics 4 und Google Ads ihre Cookies und messen, jeweils entsprechend der akzeptierten Kategorie (Analyse / Marketing). Besucher ausserhalb der Schweiz: Google Tag Manager und das Google-Tag werden erst nach Ihrer Einwilligung (Analyse oder Marketing) geladen; vorher wird nichts an Google übermittelt, auch keine cookielosen Signale. Ihre Auswahl wird im Cookie vc_consent (365 Tage) gespeichert. Das Cookie vc_src (30 Tage, interne Messung) speichert die Herkunft Ihres ersten Besuchs (verweisende Website, Kampagne, Empfehlungslink oder Anzeigenklick, ohne Werbe-ID) für die internen Statistiken von VisitCard; es wird bei einer Registrierung mit Ihrem Konto verknüpft und nie an Dritte weitergegeben. Besucher in der Schweiz (Land der IP-Adresse): Es wird beim ersten Besuch gesetzt und gelöscht, wenn Sie Analyse-Cookies ablehnen; andere Besucher: Es wird nur gesetzt, wenn Sie Analyse-Cookies akzeptieren. Wenn Sie über eine Google-Ads-Anzeige kommen, wird die Kennung dieses Klicks mit Ihrer Einwilligung in Marketing-Cookies (in der Schweiz, solange Sie diese im Banner nicht abgelehnt haben) im Cookie vc_gclid (90 Tage) und bei einer Registrierung mit Ihrem Konto gespeichert, um die Conversions unserer Anzeigen (Registrierung, Testphase, Kauf) zu messen: VisitCard übermittelt sie dazu mit diesen Conversions an Google Ads. Erweiterte Conversions von Google Ads: Nur wenn Sie Marketing-Cookies akzeptieren, wird bei einer Registrierung, einer Testphase oder einem Kauf die E-Mail-Adresse Ihres Kontos gehasht an Google übermittelt (SHA-256-Fingerabdruck, in Ihrem Browser berechnet, nie im Klartext und nie in einer Webadresse), um diese Conversion unseren Anzeigen zuzuordnen. Öffentliche Karten (visitcard.app/c/…) setzen keine Cookies und laden keine Analyse- oder Werbetools von Drittanbietern; ihre Schriften werden von visitcard.app ausgeliefert: Google Fonts erhält die IP-Adresse des Besuchers nicht. Details: Cookie-Richtlinie.

6. Ihre Rechte (DSGVO)

Gemäß Art. 15–22 DSGVO haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Zur Ausübung dieser Rechte: hello@visitcard.app. Wir antworten innerhalb von 30 Tagen.

7. Speicherfristen

8. Internationale Übermittlungen

Cloudflare, Stripe, Resend, Google, Microsoft, Anthropic sind US-amerikanische Unternehmen. Die Datenbank und hochgeladene Bilder werden in der Europäischen Union gespeichert (EU-Jurisdiktion von Cloudflare), transaktionale E-Mails werden aus der EU-Region von Resend (Irland) versendet. Die Anwendung wird jedoch über das globale Netz von Cloudflare bereitgestellt, und diese Anbieter unterliegen weiterhin US-Recht. Übermittlungen an Empfänger, die nach dem EU-U.S. Data Privacy Framework und seiner Schweizer Erweiterung (Swiss-U.S. Data Privacy Framework, vom Bundesrat seit dem 15. September 2024 anerkannt) zertifiziert sind, insbesondere Cloudflare, Stripe, Google, Microsoft und HubSpot, stützen sich auf diese Angemessenheitsentscheide (Art. 45 DSGVO; Art. 16 Abs. 1 DSG und Anhang 1 der Datenschutzverordnung, DSV). Andernfalls erfolgen sie auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannten Anpassungen an das Schweizer Recht (Art. 16 Abs. 2 Bst. d DSG). In der Tabelle in § 4 bezeichnet «DPF» das Data Privacy Framework und «SCC» die Standardvertragsklauseln.

9. Öffentliches Kontaktformular

Wenn ein Besucher eine Nachricht über das Kontaktformular einer VisitCard-Visitenkarte sendet, werden die eingegebenen Daten (Name, E-Mail, optionale Telefonnummer, Nachricht) per E-Mail an den Karteninhaber weitergeleitet und in der VisitCard-Datenbank gespeichert (Cloudflare D1). Die Rechtsgrundlage ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden 3 Jahre nach dem letzten Kontakt aufbewahrt und können auf Anfrage unter hello@visitcard.app gelöscht werden. Hat der Inhaber einer Karte das Kontaktlimit seines Plans erreicht, werden die über das Formular übermittelten Kontaktdaten von VisitCard höchstens 90 Tage lang „zurückgehalten“, ohne dass der Inhaber darauf zugreifen kann; wechselt er innerhalb dieser Frist zu einem höheren Plan, werden sie ihm zugänglich, andernfalls werden sie gelöscht. Sie können ihre Löschung unter hello@visitcard.app verlangen.

Hat der Karteninhaber die automatische Dankes-E-Mail aktiviert (kostenpflichtige Pläne), erhält der Besucher ein einziges Mal, an die von ihm eingegebene Adresse, eine kurze E-Mail des Inhabers («Danke für unseren Austausch», mit einem Link zu seiner Karte und seinen Kontaktdaten): Sie ist die Antwort auf die Bitte des Besuchers, kontaktiert zu werden, ohne Werbeinhalt und ohne Werbe-Tracking. Antworten gehen direkt an den Inhaber. Damit sie nie zweimal versendet wird, speichert VisitCard einen nicht umkehrbaren Fingerabdruck der Adresse (Hash), nie die Adresse selbst, solange die Karte besteht.

Hat der Karteninhaber sein CRM verbunden (HubSpot, Pipedrive oder bexio), werden die über das Formular gesendeten Daten auf seine Anweisung dorthin übermittelt; er ist dann für diese Bearbeitung verantwortlich. Die IP-Adresse der Besucher wird beim Aufruf einer Karte nicht gespeichert; bei Nachrichten über das Kontaktformular wird sie pseudonymisiert gespeichert (letzter Block auf null gesetzt) und nach 30 Tagen gelöscht.

10. Minderjährige

VisitCard ist Personen ab 18 Jahren vorbehalten (Nutzungsbedingungen, § 3bis). Wir erheben nicht wissentlich Daten von Personen unter 18 Jahren; erfahren wir, dass ein Konto von einer solchen Person eröffnet wurde, kann es gelöscht werden.

11. Kontakt & Beschwerden

Für Datenschutzfragen: hello@visitcard.app. Bei unbefriedigender Antwort können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden: edoeb.admin.ch. Wenn Sie in der Europäischen Union ansässig sind, behalten Sie zudem das Recht, sich an die zuständige Datenschutzaufsichtsbehörde Ihres Landes zu wenden.