1. Einleitung und Verantwortlicher

carveo nimmt den Schutz Ihrer Daten ernst. Diese Datenschutzerklärung informiert Sie darüber, welche Daten wir erheben, wie wir sie verwenden und welche Rechte Sie haben - gemäss dem Schweizer Datenschutzgesetz (nDSG, in Kraft seit 1. September 2023).

Verantwortlicher für die Datenbearbeitung:
carveo / Nuvero
Schweiz
E-Mail: info@carveo.ch
Website: carveo.ch

carveo ist ein B2B-Dienst, der sich ausschliesslich an gewerbliche Kunden (Autohändler und Fahrzeughandelsbetriebe) richtet. Diese Datenschutzerklärung gilt für alle Nutzerdaten, die im Rahmen der Plattformnutzung anfallen.

2. Welche Daten wir erheben

Wir erheben nur Daten, die für den Betrieb der Plattform notwendig sind. Im Einzelnen:

2.1 Registrierungsdaten

Bei der Anmeldung auf carveo erheben wir:

• Name und Vorname des Ansprechpartners
• Firmenname und Geschäftsadresse
• E-Mail-Adresse (dient gleichzeitig als Login)
• Passwort (gespeichert als verschlüsselter Hash, nie im Klartext)

2.2 Fahrzeugdaten

Im Rahmen der Nutzung der Plattform erfassen und speichern Sie selbst:

• Fahrzeugdaten (Marke, Modell, Jahrgang, Kilometerstand, Zustand)
• Einstandskosten und Investitionen pro Fahrzeug
• Fotos und Dokumente zu Fahrzeugen (z. B. Fahrzeugausweis)
• Verkaufspreise und Zahlungskonditionen

Diese Daten gehören Ihnen. Wir verarbeiten sie ausschliesslich, um Ihnen die Plattformfunktionen bereitzustellen.

2.3 Kundendaten (Ihre Kunden)

Für die Verkaufsabwicklung können Sie Daten Ihrer Endkunden (Fahrzeugkäufer) erfassen:

• Name, Adresse und Kontaktdaten der Käufer
• Kaufvertragsinformationen

Sie sind als Nutzer der Plattform für diese Daten selbst verantwortlich und stellen sicher, dass die Verarbeitung dieser Daten Ihrerseits rechtmässig ist.

2.4 Zahlungsdaten

Zahlungsdaten (Kreditkartennummern, Bankdaten) werden von uns nicht gespeichert. Diese werden direkt durch Stripe Inc. verarbeitet. carveo erhält lediglich eine Bestätigung über den Zahlungsstatus.

2.5 Nutzungsdaten

Beim Besuch und bei der Nutzung der Plattform entstehen automatisch technische Nutzungsdaten:

• IP-Adresse (anonymisiert nach dem Session-Ende)
• Browsertyp und Betriebssystem
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seiten und Funktionen

Diese Daten werden ausschliesslich zur technischen Betriebssicherheit und zur Fehlerdiagnose verarbeitet.

3. Zweck der Datenbearbeitung

Wir verarbeiten Ihre Daten zu folgenden Zwecken:

Wir verwenden Ihre Daten nicht für Werbezwecke, nicht für Profiling und verkaufen sie nicht an Dritte.

4. Rechtsgrundlage der Datenbearbeitung

Die Bearbeitung Ihrer Daten stützt sich auf folgende Rechtsgrundlagen nach nDSG Art. 6:

• Vertragserfüllung (Art. 6 Abs. 1 nDSG): Die überwiegende Mehrheit der Datenbearbeitung ist notwendig, um den Vertrag mit Ihnen zu erfüllen und Ihnen die Plattform bereitzustellen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 nDSG): Bestimmte Daten müssen wir aufgrund gesetzlicher Anforderungen aufbewahren (z. B. handelsrechtliche Aufbewahrungspflichten gemäss OR).
• Berechtigte Interessen (Art. 6 Abs. 1 nDSG): Technische Nutzungsdaten zur Betriebssicherheit verarbeiten wir auf Basis unseres berechtigten Interesses an einem stabilen und sicheren Betrieb der Plattform.

5. Datenempfänger und Auftragsbearbeiter

Für den Betrieb von carveo setzen wir folgende sorgfältig ausgewählte Drittanbieter ein, die als Auftragsbearbeiter für uns tätig sind:

5.1 Supabase Inc. - Datenbankinfrastruktur

Funktion: Supabase stellt die Datenbankinfrastruktur bereit, auf der alle carveo-Daten gespeichert werden.

• Datenspeicherort: AWS EU-West (Frankfurt, Deutschland)
• Datenschutz: Supabase verarbeitet Daten ausschliesslich gemäss unseren Anweisungen und hat sich zur Einhaltung der DSGVO verpflichtet.

5.2 Stripe Inc. - Zahlungsabwicklung

Funktion: Stripe verarbeitet alle Abonnementzahlungen sicher und PCI-DSS-konform.

• Datenspeicherort: USA (mit EU-Standardvertragsklauseln / angemessenes Schutzniveau)
• Weitergabe: An Stripe werden nur die für die Zahlungsabwicklung notwendigen Daten übermittelt (z. B. E-Mail-Adresse für Rechnungsstellung). Kreditkartendaten verbleiben bei Stripe.

5.3 Vercel Inc. - Hosting

Funktion: Vercel stellt die Hosting-Infrastruktur für die carveo-Webapplikation bereit.

• Datenspeicherort: EU-Server, soweit verfügbar und konfiguriert

Alle Auftragsbearbeiter sind vertraglich zur Vertraulichkeit und zur Einhaltung der anwendbaren Datenschutzgesetze verpflichtet.

6. Datenspeicherort und internationale Datenübermittlung

Ihre Daten werden primär auf Servern in der Europäischen Union gespeichert, konkret in Frankfurt, Deutschland (AWS EU-West). Deutschland verfügt über ein dem Schweizer Recht angemessenes Datenschutzniveau gemäss Beurteilung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

Soweit Daten in die USA übermittelt werden (insbesondere im Rahmen von Stripe), erfolgt dies auf Basis geeigneter Garantien:

• EU-Standardvertragsklauseln (SCCs) gemäss Entscheid der EU-Kommission
• Data Privacy Framework (DPF) für US-Unternehmen, die entsprechend zertifiziert sind

Eine Übermittlung in Länder ohne angemessenes Datenschutzniveau findet ohne geeignete Garantien nicht statt.

7. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

Nach Ablauf der Aufbewahrungsfrist werden Daten automatisch gelöscht oder unwiederbringlich anonymisiert. Im Falle einer Kündigung werden Ihre Daten nach einer Übergangsfrist von 30 Tagen gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Datensicherheit

Die Sicherheit Ihrer Daten hat für uns hohe Priorität. Wir setzen folgende technische und organisatorische Massnahmen ein:

Verschlüsselung:

• Alle Datenübertragungen erfolgen verschlüsselt über HTTPS/TLS.
• Daten in der Datenbank werden im Ruhezustand verschlüsselt gespeichert (encryption at rest).
• Passwörter werden ausschliesslich als kryptografische Hashes (bcrypt) gespeichert.

Zugriffskontrollen:

• Jeder Autohändler arbeitet in einer vollständig isolierten Datenumgebung (Tenant-Isolation). Kein Händler kann auf die Daten eines anderen Händlers zugreifen.
• Zugriffsrechte auf die Produktionsdaten sind auf ein Minimum beschränkt und erfordern eine Zwei-Faktor-Authentifizierung.

Betrieb und Monitoring:

• Regelmässige Datensicherungen (Backups) auf separaten Systemen.
• Kontinuierliches Monitoring auf ungewöhnliche Aktivitäten und Sicherheitsvorfälle.
• Supabase Row Level Security (RLS) stellt sicher, dass Datenbankabfragen nur auf die dem jeweiligen Nutzer zugeordneten Daten zugreifen können.

Im Falle einer Datenschutzverletzung, die Ihre Rechte und Freiheiten gefährdet, informieren wir Sie unverzüglich gemäss den Anforderungen des nDSG (Art. 24).

9. Ihre Rechte als betroffene Person

Sie haben nach nDSG folgende Rechte bezüglich Ihrer Daten:

9.1 Auskunftsrecht (Art. 25 nDSG)

Sie können jederzeit kostenlos Auskunft darüber verlangen, ob und welche Daten wir über Sie bearbeiten, sowie Informationen über Zweck, Herkunft und Empfänger der Daten.

9.2 Berichtigungsrecht (Art. 32 nDSG)

Sind Ihre gespeicherten Daten unrichtig oder unvollständig, haben Sie das Recht auf unverzügliche Berichtigung.

9.3 Löschungsrecht

Sie können die Löschung Ihrer Daten verlangen, wenn:

• die Daten für den ursprünglichen Zweck nicht mehr benötigt werden,
• die Datenbearbeitung widerrechtlich erfolgt ist,
• Sie Ihre Einwilligung widerrufen und kein anderer Rechtsgrund für die Verarbeitung besteht.

Gesetzliche Aufbewahrungspflichten (z. B. 10 Jahre OR) können einer vollständigen Löschung entgegenstehen.

9.4 Recht auf Datenportabilität

Sie haben das Recht, die Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (z. B. CSV-Export). Auf Anfrage stellen wir Ihnen Ihre Daten in exportierbarer Form bereit.

9.5 Widerspruchsrecht

Soweit Daten auf Basis berechtigter Interessen bearbeitet werden, können Sie dieser Bearbeitung widersprechen, wenn Ihre schutzwürdigen Interessen überwiegen.

Geltendmachung Ihrer Rechte: Richten Sie Anfragen zur Ausübung Ihrer Rechte per E-Mail an info@carveo.ch. Wir beantworten Anfragen innerhalb von 30 Tagen. Für Ihre Identifikation können wir einen Nachweis Ihrer Identität anfordern.

10. Cookies und Tracking

10.1 Verwendete Cookies

carveo verwendet ausschliesslich funktionale Cookies, die für den Betrieb der Plattform technisch notwendig sind. Diese Cookies speichern Ihre Sitzungsdaten (Session-Token), damit Sie während Ihrer Nutzungssitzung eingeloggt bleiben.

Ohne diese Cookies kann carveo nicht ordnungsgemäss funktionieren.

10.2 Kein Tracking, keine Analyse-Tools

carveo verwendet:

• keine Marketing-Cookies oder Werbe-Tracking-Tools,
• keine Analyse-Dienste wie Google Analytics,
• keine Social-Media-Pixel oder Retargeting-Technologien.

Wir tracken Ihr Verhalten auf der Plattform nicht für kommerzielle Zwecke.

10.3 Cookie-Einstellungen

Da wir ausschliesslich technisch notwendige Cookies setzen, ist ein Cookie-Consent-Banner nach aktueller Rechtslage nicht zwingend erforderlich. Sollten Sie die Cookies in Ihrem Browser blockieren, ist eine Nutzung von carveo nicht möglich.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich gesetzliche Anforderungen ändern, wir neue Dienste einführen oder sich unsere Bearbeitungspraktiken verändern.

Wesentliche Änderungen teilen wir Ihnen mindestens 30 Tage vor Inkrafttreten per E-Mail mit. Die jeweils aktuelle Version ist jederzeit unter carveo.ch/datenschutz abrufbar.

12. Kontakt für Datenschutzanfragen

Für alle Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder bei Datenschutzvorfällen wenden Sie sich bitte an:

carveo / Nuvero
Schweiz
E-Mail: info@carveo.ch
Website: carveo.ch

Wir beantworten Datenschutzanfragen innerhalb von 30 Tagen. Bei komplexen Anfragen kann diese Frist um weitere 60 Tage verlängert werden (Art. 25 Abs. 5 nDSG), worüber wir Sie entsprechend informieren.

Zuständige Aufsichtsbehörde: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern - edoeb.admin.ch

Version: Februar 2026

Diese Datenschutzerklärung entspricht den Anforderungen des Schweizer Datenschutzgesetzes (nDSG, in Kraft seit 1. September 2023), insbesondere den Informationspflichten gemäss Art. 19 nDSG.