Schweizer Datenschutz

Letzte Aktualisierung: 7. April 2026

1. Anwendbares Recht

lynox AI wird von Brandfusion Burlet betrieben, einem Einzelunternehmen mit Sitz in Rapperswil-Jona, Kanton St. Gallen, Schweiz. Als Schweizer Verantwortlicher unterliegt lynox AI dem revidierten Bundesgesetz über den Datenschutz (nDSG), das am 1. September 2023 in Kraft getreten ist, samt Datenschutzverordnung (DSV) und Verordnung über Datenschutzzertifizierungen (VDSZ).

Diese Seite erläutert, wie lynox das Schweizer Datenschutzrecht einhält. Sie ergänzt unsere Datenschutzerklärung und unseren Auftragsverarbeitungsvertrag.

2. Bearbeitungsgrundsätze (Art. 6 nDSG)

Jede Bearbeitung von Personendaten durch lynox AI erfolgt in Übereinstimmung mit den in Art. 6 nDSG verankerten Grundsätzen:

• Rechtmässigkeit — Personendaten werden rechtmässig bearbeitet, gestützt auf Einwilligung, Vertragserfüllung, überwiegende Interessen oder gesetzliche Verpflichtung.
• Treu und Glauben — Die Bearbeitung erfolgt nach Treu und Glauben und in einer Weise, die den berechtigten Erwartungen der betroffenen Personen entspricht.
• Verhältnismässigkeit — Es werden nur Personendaten erhoben und bearbeitet, die für den angegebenen Zweck erforderlich sind. Wir erheben keine Daten auf Vorrat oder über das Notwendige hinaus.
• Zweckbindung — Personendaten werden für bestimmte, klar definierte Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterbearbeitet.
• Richtigkeit — Wir treffen angemessene Massnahmen, um sicherzustellen, dass Personendaten richtig und, soweit erforderlich, aktuell sind.
• Aufbewahrungsbeschränkung — Personendaten werden nur so lange aufbewahrt, wie es für die Zwecke erforderlich ist, für die sie erhoben wurden. Die konkreten Aufbewahrungsfristen finden sich in unserer Datenschutzerklärung.

3. Informationspflicht (Art. 19 nDSG)

In Erfüllung der Informationspflicht gemäss Art. 19 nDSG geben wir Folgendes bekannt:

4. Grenzüberschreitende Datenbekanntgabe (Art. 16–17 nDSG)

Gemäss Art. 16 nDSG dürfen Personendaten ins Ausland bekanntgegeben werden, wenn der Bundesrat festgestellt hat, dass die Gesetzgebung des Zielstaates oder des internationalen Organs einen angemessenen Schutz gewährleistet. Gemäss Art. 17 nDSG sind bei fehlendem Angemessenheitsbeschluss geeignete Garantien vorzusehen.

Staaten mit angemessenem Schutz

Der EU-/EWR-Raum ist vom Bundesrat als Gebiet mit angemessenem Datenschutz anerkannt (Anhang 1 DSV). Übermittlungen an Hetzner (Deutschland) und Plausible (Estland) sind durch diesen Angemessenheitsbeschluss abgedeckt.

Übermittlungen in die USA

Einzelne Unterauftragsverarbeiter haben ihren Sitz in den USA (Anthropic, Stripe, Cloudflare). Für diese Übermittlungen stützen wir uns auf:

• Standardvertragsklauseln (SVK) — Die von der EU-Kommission genehmigten SVK (Beschluss 2021/914), die gemäss Art. 16 Abs. 2 lit. d nDSG als geeignete Garantien anerkannt sind, wurden in alle betreffenden Unterauftragsverarbeiterverträge aufgenommen.
• Swiss-US Data Privacy Framework — Soweit der Unterauftragsverarbeiter unter dem vom Bundesrat anerkannten Swiss-US Data Privacy Framework zertifiziert ist, können Übermittlungen zusätzlich auf diesen Rahmen gestützt werden.
• Ergänzende Massnahmen — Verschlüsselung bei der Übertragung (TLS 1.3) und im Ruhezustand (AES-256-GCM) für sämtliche grenzüberschreitend übermittelten Daten.

Bedrock EU: keine grenzüberschreitende Übermittlung

Kunden, die den Managed EU-Tarif wählen, profitieren davon, dass die KI-Inferenz ausschliesslich innerhalb der EU erfolgt (AWS Bedrock, Frankfurt, eu-central-1). In dieser Konfiguration verlassen Konversationsdaten für die KI-Verarbeitung nicht den EU-Raum, womit die Problematik grenzüberschreitender Übermittlungen für die sensibelste Datenkategorie entfällt.

5. Rechte betroffener Personen (Art. 25–29 nDSG)

Das nDSG gewährt betroffenen Personen folgende Rechte, die wir vollumfänglich gewährleisten:

• Auskunftsrecht (Art. 25 nDSG) — Sie können Auskunft darüber verlangen, ob und welche Personendaten wir über Sie bearbeiten, den Zweck der Bearbeitung, die Aufbewahrungsdauer, die Herkunft der Daten und allfällige Empfänger.
• Recht auf Datenherausgabe (Art. 28 nDSG) — Sie können verlangen, dass Ihre Personendaten Ihnen oder einem Dritten in einem gängigen elektronischen Format herausgegeben werden.
• Recht auf Berichtigung — Sie können die Berichtigung unrichtiger Personendaten verlangen.
• Recht auf Löschung — Sie können die Löschung Ihrer Personendaten verlangen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Widerspruchsrecht — Sie können der Bearbeitung auf Grundlage überwiegender Interessen widersprechen.

Zur Ausübung dieser Rechte wenden Sie sich an [email protected]. Wir antworten innerhalb von 30 Tagen gemäss Art. 25 Abs. 6 nDSG.

6. Berufsgeheimnis (Art. 321 StGB)

Bestimmte Berufe in der Schweiz unterliegen dem Berufsgeheimnis gemäss Art. 321 des Schweizerischen Strafgesetzbuches (StGB) — darunter Anwältinnen und Anwälte, Ärztinnen und Ärzte, Revisorinnen und Revisoren sowie Treuhänderinnen und Treuhänder. Für diese Berufsgruppen hat die Wahl der KI-Infrastruktur besondere rechtliche Bedeutung:

• Self-Hosting mit Bedrock EU — Die sicherste Konfiguration für Berufe mit Geheimhaltungspflichten. Daten verbleiben auf Ihrer eigenen Infrastruktur, die KI-Inferenz erfolgt innerhalb der EU (Frankfurt), und kein Dritter hat Zugang zu Konversationsinhalten. Diese Konfiguration minimiert das Risiko einer Geheimnissverletzung.
• Managed Hosting mit Bedrock EU — Dedizierte Infrastruktur auf Hetzner (Deutschland), KI-Verarbeitung innerhalb der EU. lynox AI hat keinen Zugriff auf Konversationsinhalte (kein administrativer Einblick). Eine geeignete Option, vorbehaltlich der Prüfung der spezifischen Anforderungen des Berufsgeheimnisses.
• Anthropic Direct API (US-Jurisdiktion) — Konversationsdaten werden zur Inferenz an die US-Infrastruktur von Anthropic übermittelt. Obwohl durch AVV und SVK abgesichert, unterliegt dies der US-Jurisdiktion. Wir empfehlen Berufsgeheimnisträgerinnen und -trägern, vor Nutzung dieser Konfiguration Rechtsberatung einzuholen.

lynox erteilt keine Rechtsberatung. Personen, die dem Berufsgeheimnis unterliegen, sollten eigenständig beurteilen, welche Konfiguration ihren regulatorischen Anforderungen entspricht.

7. Aufsichtsbehörde

Die zuständige Aufsichtsbehörde für den Datenschutz in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB):

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
Schweiz
www.edoeb.admin.ch

Betroffene Personen haben das Recht, beim EDÖB eine Meldung einzureichen, wenn sie der Ansicht sind, dass ihre Datenschutzrechte verletzt wurden.

8. Technische und organisatorische Massnahmen

Gemäss Art. 8 nDSG und Art. 1–4 DSV setzen wir angemessene technische und organisatorische Massnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Einzelheiten zu diesen Massnahmen sind im Sicherheitsanhang unseres Auftragsverarbeitungsvertrags beschrieben.

9. Kontakt

Für alle Fragen zum Datenschutz nach Schweizer Recht:
[email protected]

Brandfusion Burlet (lynox AI)
Rapperswil-Jona, Schweiz