Datenschutzerklärung

Stand: September 2026

Diese Datenschutzerklärung gilt für die Nutzung des Stevalux Offerten-Tools (nachfolgend „die Anwendung“). Sie richtet sich nach dem schweizerischen Datenschutzgesetz (DSG) und, soweit anwendbar, nach der EU-Datenschutz-Grundverordnung (DSGVO). Für die Marketing-Website stevalux.com gilt eine separate Datenschutzerklärung.

1. Verantwortliche Stelle

Rajic Marketingzone (Stevalux), Dragomir Rajic, Kanzleistrasse 102, 8004 Zürich, Schweiz. E-Mail: info@stevalux.com

2. Welche Daten wir bearbeiten

• Konto- und Betriebsdaten: Login-E-Mail und Passwort (verschlüsselt gespeichert), Firmenname, Adresse, Telefonnummer, Firmenlogo, MwSt-Satz.
• Von Ihnen erfasste Kundendaten: Name, Ansprechperson, Adresse, E-Mail, Telefonnummer, UID und Notizen Ihrer Kundinnen und Kunden, die Sie zur Erstellung von Offerten erfassen.
• Offerten- und Auftragsdaten: Positionen, Mengen, Preise, Status sowie das Annahme-Protokoll bei verbindlicher Online-Annahme durch Ihre Kunden.
• Hochgeladene Ausschreibungen: PDF- oder Bilddateien, die Sie zur KI-Analyse hochladen. Diese können personenbezogene Daten Dritter enthalten.
• Baustellen-Erfassungen: Fotos und Notizen, die Sie oder Ihre Mitarbeitenden vor Ort über einen Baustellen-Link (ohne Login) erfassen, um Mehrarbeit (Nachträge) zu dokumentieren. Diese können personenbezogene Daten Dritter enthalten.
• Technische Daten: technisch notwendige Sitzungs-Cookies, Server-Protokolle (z. B. Zeitpunkt des Zugriffs, IP-Adresse) sowie technische Fehlerdaten zur Störungsdiagnose (siehe Ziffer 7) — zur Bereitstellung und Absicherung der Anwendung.

3. Zwecke und Rechtsgrundlagen

Wir bearbeiten diese Daten zur Bereitstellung und Erfüllung des Nutzungsverhältnisses (Erstellung, Versand und Verwaltung von Offerten, Aufträgen und Rechnungen), zur Gewährleistung der Sicherheit der Anwendung sowie aufgrund unserer berechtigten Interessen am sicheren und effizienten Betrieb. Soweit eine Einwilligung erforderlich ist, holen wir diese gesondert ein.

4. KI-gestützte Verarbeitung (AWS, Schweiz/EU)

Wenn Sie eine Ausschreibung hochladen, auf der Baustelle etwas erfassen oder die Arbeitsstunden schätzen lassen, wertet die KI Claude die Inhalte für Sie aus. Wir betreiben sie über Amazon Web Services (AWS) in der Schweiz und der EU. Der Einstieg läuft über Zürich; die Berechnung selbst kann innerhalb Europas auch auf andere AWS-Standorte verteilt werden. Innerhalb der Anwendung arbeitet Claude damit ausschliesslich in der Schweiz und in Europa. Für den Preisvorschlag kommt ein weiterer Dienst dazu, siehe Ziffer 5; für die Beantwortung von Support-Anfragen gilt Ziffer 6.

Übermittelt werden die hochgeladene Ausschreibungs-Datei (PDF oder Bild), auf der Baustelle erfasste Fotos samt zugehöriger Notiz, die Bezeichnungen Ihrer Katalog-Einträge sowie, wenn Sie Arbeitsstunden schätzen lassen, die Positionen der betreffenden Offerte mit Bezeichnung, Beschreibung, Menge und Einheit.

AWS sagt für Amazon Bedrock zu, dass diese Inhalte nicht zum Training der KI-Modelle verwendet werden. Für die Bearbeitung gilt der Auftragsbearbeitungsvertrag mit AWS samt Schweizer Zusatz; er ist nach den AWS Service Terms (Abschnitt 1.14) automatisch Teil des Vertrags.

Stellen Sie im Hilfe-Bereich eine Frage («Frag die Hilfe»), geht Ihr Fragetext denselben Weg: über Amazon Web Services (AWS) in die Schweiz und die EU, zusammen mit Auszügen aus unserem Handbuch. Daten Ihres Betriebs werden dabei nicht übermittelt. Die Hilfe kennt das Handbuch, nicht Ihre Offerten, Kunden oder Preise.

5. Embeddings für Preisvorschläge (Voyage AI, USA)

Damit die Anwendung Ihnen Preise vorschlagen kann, wandeln wir Leistungs-Bezeichnungen in Zahlenreihen um (sogenannte Embeddings) und vergleichen sie miteinander. Dafür geht Text an Voyage AI (USA): die Bezeichnungen Ihrer Katalog-Einträge und, wenn eine erkannte Position zu keinem Katalog-Eintrag passt, deren Bezeichnung aus der Ausschreibung oder der Baustellen-Erfassung. Ihre Kundenkartei, Mengen und Preise gehen nicht mit. Eine Positions-Bezeichnung aus einer Ausschreibung kann allerdings Angaben zum Objekt oder zu Personen enthalten, wenn sie im Dokument des Auftraggebers so steht. Bei Voyage AI ist die Nutzung übermittelter Inhalte zum Training der Modelle abgewählt (Opt-out); übermittelte Inhalte werden dort nicht gespeichert.

Derselbe Fragetext wird zusätzlich an Voyage AI (USA) übermittelt, um die passenden Handbuch-Abschnitte zu finden.

6. E-Mail-Versand und Support-Postfach (Resend, EU · Google, USA)

Der Versand von E-Mails aus der Anwendung — Offerten, Auftragsbestätigungen, Rechnungen und Nachträge (jeweils mit PDF-Anhang), Annahme- und Ablehnungs-Benachrichtigungen sowie E-Mails zum Zurücksetzen des Passworts — erfolgt über den Dienst Resend; die Verarbeitung erfolgt im Rechenzentrum in der Europäischen Union (Irland). Übermittelt werden die E-Mail-Adresse und der Name der Empfängerin bzw. des Empfängers sowie das jeweilige Dokument als PDF-Anhang.

Schreiben Sie uns über die Hilfe im Tool («Schreib uns»), geht Ihre Nachricht als E-Mail an support@stevalux.com. Dieses Postfach wird bei Google Ireland Limited (Gmail) geführt; die Verarbeitung kann auch auf Servern von Google LLC in den USA erfolgen. Übermittelt werden der von Ihnen geschriebene Text, Ihre Login-Adresse, der Name Ihres Betriebs, die aufgerufene Seite, Ihre Browser-Kennung und die von Ihnen angehängten Fotos (höchstens drei). Die Fotos werden nach dem Versand aus unserem Speicher gelöscht und verbleiben in der E-Mail. Zur Bearbeitung Ihrer Anfrage können wir Claude von Anthropic, PBC (USA) einsetzen, um einen Antwortentwurf zu erstellen; gesendet wird eine Antwort erst nach Freigabe durch uns.

7. Fehlerüberwachung (Sentry, EU)

Zur Erkennung und Behebung technischer Störungen setzen wir den Dienst Sentry ein; die Verarbeitung erfolgt ausschliesslich im Rechenzentrum in der Europäischen Union (Frankfurt, Deutschland). Erfasst werden ausschliesslich technische Fehlerdaten (Art und Zeitpunkt des Fehlers, betroffene Funktion, Programm-Ablaufspur, Browser- bzw. Gerätetyp). Kundendaten werden dabei nicht übermittelt: Bevor ein Fehlerbericht unser System verlässt, werden E-Mail-Adressen, IBAN, Zugriffs-Links und ähnliche Angaben automatisch entfernt oder unkenntlich gemacht. Eine Sitzungs- oder Bildschirmaufzeichnung findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und stabilen Betrieb der Anwendung.

8. Hosting und Speicherort

Datenbank, Anmeldung und Datei-Speicher werden bei Supabase betrieben; die Daten dieses Projekts liegen in der Region Zürich, Schweiz. Der Betrieb der Anwendung (Server-Funktionen) erfolgt über Vercel; die Server-Funktionen laufen in der Region Frankfurt (EU). Hochgeladene Dateien liegen in privaten, zugriffsgeschützten Speicher-Containern.

9. Zahlungsabwicklung (Stripe)

Für den Abschluss und die Abrechnung eines kostenpflichtigen Pakets setzen wir den Zahlungsdienstleister Stripe ein (Stripe Payments Europe Ltd., Irland; Konzernsitz USA). Beim Start des Bezahlvorgangs übermitteln wir Ihre Login-E-Mail-Adresse und die Kennnummer Ihres Betriebs an Stripe, damit die Zahlung Ihrem Konto zugeordnet werden kann. Ihre Zahlungsdaten(Kartennummer, Ablaufdatum, Prüfziffer) geben Sie direkt bei Stripe ein; sie erreichen unsere Systeme zu keinem Zeitpunkt.

Für die Zahlungsabwicklung selbst ist Stripe eigenständig verantwortlich — unter anderem, weil Stripe dabei eigenen gesetzlichen Pflichten nachkommt (etwa zur Betrugs- und Geldwäschereiprävention); dafür gilt die Datenschutzerklärung von Stripe. Soweit Stripe Daten in unserem Auftrag bearbeitet, gilt der Auftragsbearbeitungsvertrag von Stripe. Rechtsgrundlage der Übermittlung ist die Erfüllung des Vertrags mit Ihnen. Eine Bearbeitung kann auch in den USA erfolgen; sie stützt sich auf Standardvertragsklauseln.

10. Auftragsbearbeiter (Übersicht)

Mit allen Dienstleistern bestehen bzw. werden Auftragsbearbeitungsverträge geschlossen. Übermittlungen in die USA erfolgen auf Grundlage geeigneter Garantien (Standardvertragsklauseln).

11. Verantwortung für erfasste Kundendaten

Für die von Ihnen in der Anwendung erfassten Daten Ihrer Kundinnen und Kunden sind Sie die datenschutzrechtlich verantwortliche Stelle; wir handeln insoweit als Auftragsbearbeiter in Ihrem Auftrag. Sie stellen sicher, dass Sie zur Bearbeitung dieser Daten berechtigt sind.

12. Cookies

Wir verwenden ausschliesslich technisch notwendige Sitzungs-Cookies für die Anmeldung. Es findet keine Analyse des Nutzungsverhaltens, kein Werbe-Tracking und keine Weitergabe an Werbenetzwerke statt. Ein Cookie-Banner ist daher nicht erforderlich.

13. Schriftarten

Die verwendeten Schriftarten (Inter, JetBrains Mono) werden lokal von unserem Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder anderen externen Schriften-Diensten.

14. Aufbewahrung und Löschung

Wir bewahren Daten so lange auf, wie das Nutzungsverhältnis besteht und es gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Fristen nach Schweizer Obligationenrecht) erfordern. Darüber hinaus löschen wir Daten auf Anfrage. Beim Löschen werden die Daten aus der aktiven Datenbank entfernt; in verschlüsselten Sicherungskopien (Ziffer 15) können sie noch bis zu deren automatischer Löschung enthalten sein, längstens 90 Tage.

15. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS). Der Datenzugriff ist durch Zeilen-Sicherheitsrichtlinien (Row Level Security) je Betrieb beschränkt; hochgeladene Dateien liegen in privaten Containern. Die Datenbank wird in der Schweiz gehostet. Zusätzlich erstellen wir täglich eine automatische Sicherung der Datenbank: Sicherungskopien werden vor der Ablage verschlüsselt (GPG) und ausserhalb der primären Infrastruktur aufbewahrt — bei Cloudflare R2 (EU-Jurisdiktion; automatische Löschung nach 90 Tagen) sowie als zeitlich begrenzte Kopie (30 Tage) auf einem Server in der Schweiz (Infomaniak). Der Schlüssel zum Entschlüsseln verbleibt ausschliesslich beim Anbieter.

16. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung, Datenübertragbarkeit und Widerspruch. Wenden Sie sich dazu an info@stevalux.com. Ihnen steht zudem ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu (in der Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, EDÖB).

17. Änderungen

Wir können diese Datenschutzerklärung anpassen. Es gilt die jeweils in der Anwendung veröffentlichte Fassung. Stand: September 2026.