Datenschutzerklärung CorvoSoft Cockpit

Verantwortlich für die Datenbearbeitung im Sinne des Schweizer Datenschutzgesetzes (DSG) und der EU-Datenschutz-Grund- verordnung (DSGVO) ist Ihr Arbeitgeber, der CorvoSoft Cockpit zur Arbeits- zeiterfassung einsetzt. Der Arbeitgeber entscheidet über Zweck und Mittel der Datenbearbeitung und ist Ihr Ansprechpartner für daten- schutzrechtliche Anliegen im Arbeitsverhältnis.

Auftragsverarbeiter und Betreiber der Plattform CorvoSoft Cockpit ist:

CorvoSoft
9320 Arbon, Schweiz
E-Mail: info@corvosoft.com

CorvoSoft stellt die technische Infrastruktur bereit und bearbeitet Personendaten ausschliesslich im Auftrag und nach Weisung des Arbeit- gebers. Die Einzelheiten sind in einem Auftragsverarbeitungsvertrag (AVV) gemäss Art. 9 DSG bzw. Art. 28 DSGVO geregelt.

CorvoSoft Cockpit ist eine Anwendung zur digitalen Arbeitszeiterfassung. Im Rahmen des Betriebs werden folgende personenbezogene Daten bearbeitet:

Stammdaten

Vorname, Nachname, E-Mail-Adresse, AHV-Nummer (optional), Eintritts- datum, Pensum (Stellenprozente), Funktion, zugewiesenes Arbeitszeit- modell.

Zeiterfassungsdaten

Stempelzeitpunkte (Kommen, Pause, Gehen), Korrekturen und Nachträge mit Kommentar, tägliche Soll- und Ist-Arbeitszeit, Pausen (Beginn, Ende, Dauer).

Absenzdaten

Art der Absenz (Ferien, Krankheit, Unfall, Fortbildung u.a.), Dauer und Zeitraum, Status (beantragt, genehmigt, abgelehnt), Arztzeugnisse als Datei-Upload.

Saldendaten

Gleitzeit-Saldo, Ferienguthaben und -bezüge, Fortbildungsstunden, Eröffnungssalden bei Systemeintritt.

Technische Daten

Session-Cookies (zur Authentifizierung), NFC-Gerätekopplungen (Device-Token, gehasht gespeichert), IP-Adresse bei Login (in Server- Logs), Browser-Typ und Betriebssystem (in Server-Logs).

Protokolldaten

Audit-Log: Zeitkorrekturen, Monatsfreigaben, Lohn-Exporte, Identitäts- änderungen, Rollen-Änderungen, Aktivierungen und Deaktivierungen – jeweils mit Zeitstempel und handelnder Person.

Direktnachrichten und Verbund-Funktionen

Bei Nutzung der freiwilligen Verbund-Funktionen bearbeiten wir zusätzlich:

• Direktnachrichten: Nachrichteninhalt, absendende und empfangende Person, Zeitstempel und Lese-Status. Eine inhaltliche Durchsicht durch die Betreiberin erfolgt ausschliesslich auf Meldung einer Empfängerin oder eines Empfängers hin – nicht anlasslos.
• Verbund-Verzeichnis: Name, Praxis und Rolle, sichtbar für die übrigen Praxen Ihres Verbunds (jederzeit im Profil abschaltbar).
• Verbund-Börse: Ihre Material-Einträge (Angebot oder Gesuch), protokolliert und für die Moderation einsehbar.
• Zustimmungs-Protokoll: Bei Annahme der Nutzungsbedingungen für diese Funktionen speichern wir Zeitpunkt, Textversion und Ihre IP-Adresse.

Die Bearbeitung der oben genannten Daten erfolgt zu folgenden Zwecken:

• Arbeitszeiterfassung gemäss der gesetzlichen Pflicht nach Art. 46 des Arbeitsgesetzes (ArG) und Art. 73 der Verordnung 1 zum Arbeitsgesetz (ArGV 1).
• Lohnabrechnung als Grundlage für die korrekte Entlöhnung (Vertragserfüllung).
• Absenzverwaltung zur Verwaltung von Ferien-, Krankheits- und weiteren Abwesenheitsansprüchen.
• Compliance zur Einhaltung arbeitsrechtlicher Vorschriften (Mindestpausen, Höchstarbeitszeiten, Arztzeugnis- Nachweispflicht).
• Revisionssicherheit durch den Audit-Trail für die Arbeitsinspektion und die interne Kontrolle.
• Kollegiale Zusammenarbeit im Verbund über Direktnachrichten, das Verbund-Verzeichnis und die Verbund-Börse zur fachlichen und organisatorischen Abstimmung zwischen den Praxen. Die Nutzung ist freiwillig.

Die Bearbeitung der Personendaten stützt sich auf folgende Rechts- grundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Zeiterfassung ist Bestandteil des Arbeitsverhältnisses und Grundlage für die Lohnzahlung.
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Das Schweizer Arbeitsgesetz (ArG Art. 46) verpflichtet den Arbeit- geber zur Erfassung der Arbeitszeit.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Der Audit-Trail dient der Nachvollziehbarkeit und der Prävention von Missbrauch.

Personendaten werden innerhalb des Systems an folgende Empfänger weitergegeben:

• Praxismanagement und Standortleitung des jeweiligen Standorts (für Absenzverwaltung, Zeitkontrolle und Monatsabschluss).
• Konzernverwaltung (HQ) bei Praxisverbünden (für Lohn-Export, Compliance und Standortvergleiche).
• Lohnsystem des Arbeitgebers (via CSV-Export durch autorisierte Personen, kein automatischer Datentransfer).
• CorvoSoft als Auftragsverarbeiter (für technischen Betrieb und Support, im Rahmen des AVV).

Für den technischen Betrieb setzt CorvoSoft sorgfältig ausgewählte Auftragsverarbeiter (Subprozessoren) ein, jeweils vertraglich (AVV/DPA) gebunden:

• Hosting: Clever Cloud (Paris, EU).
• Datei-Speicher: Infomaniak (Genf, Schweiz).
• Fehler-Monitoring: Sentry (EU-Region, ohne Übermittlung von Personendaten).
• Zahlungsabwicklung: Stripe.
• KI-Funktionen (etwa die Erkennung von Geräte-Fotos und die Auswertung hochgeladener QM-Dokumente): Anthropic; für Hilfe-Inhalte zusätzlich Cohere.
• Push-Benachrichtigungen: Apple (iOS) und Google (Android).

Ein vollständiges Auftragsverarbeiter-Verzeichnis stellen wir auf Anfrage bereit. Ein Verkauf von Daten findet nicht statt, und es wird keine Werbung angezeigt.

Die zentrale Datenhaltung erfolgt in der EU/Schweiz: App- und Datenbank-Server bei Clever Cloud in Paris (Frankreich, EU), der Datei-Speicher bei Infomaniak in Genf (Schweiz). CorvoSoft hat seinen Sitz in der Schweiz. Die Schweiz und die EU gelten gemäss Anhang 1 der Schweizer Datenschutzverordnung (DSV) als Staaten mit angemessenem Datenschutzniveau.

Einzelne Auftragsverarbeiter bearbeiten Daten in den USA: Anthropic (KI-Funktionen wie Geräte-Foto-Erkennung und QM-Dokument-Auswertung), Stripe (Zahlungen), Cohere (ausschliesslich nicht-personenbezogene Hilfe-Inhalte) sowie Apple/Google (Push-Zustellung). Diese Übermittlungen stützen sich — je nach Anbieter — auf eine Zertifizierung nach dem EU-US bzw. Swiss-US Data Privacy Framework (soweit der Anbieter zertifiziert ist, etwa Stripe) oder auf Standardvertragsklauseln (SCC) im Rahmen des jeweiligen Auftragsverarbeitungsvertrags (etwa Anthropic für die KI-Funktionen), als geeignete Garantien im Sinne von Art. 16 revDSG. Die Sprach-Transkription verarbeitet Audio ausschliesslich lokal in der EU/Schweiz — hier findet keine Übermittlung an Dritte statt.

CorvoSoft Cockpit verwendet ausschliesslich technisch notwendige Cookies:

Es werden keine Tracking-Cookies, keine Analyse-Tools (kein Google Analytics o.ä.) und keine Werbe-Cookies eingesetzt. Ein Cookie-Banner ist daher nicht erforderlich.

CorvoSoft trifft angemessene technische und organisatorische Massnahmen zum Schutz der Personendaten, insbesondere:

• Verschlüsselte Übertragung aller Daten (HTTPS/TLS)
• Passwörter werden mit bcrypt gehasht gespeichert (nicht im Klartext)
• NFC-Device-Tokens werden mit SHA-256 gehasht
• Mandantentrennung auf Datenbankebene (Row-Level Security)
• Sicherheitscode (zeitbasierter Einmal-Code) für Führungskräfte
• Rate-Limiting zum Schutz vor Brute-Force-Angriffen
• Security-Headers (HSTS, CSP, X-Frame-Options)
• Regelmässige Sicherheitsaudits

Personendaten werden so lange aufbewahrt, wie es für den Bearbeitungs- zweck oder aufgrund gesetzlicher Pflichten erforderlich ist:

Nach Beendigung des Arbeitsverhältnisses wird das Benutzerkonto deaktiviert. Die Daten bleiben für die Dauer der gesetzlichen Aufbewahrungspflicht gespeichert und werden danach gelöscht oder anonymisiert.

Besondere Pflicht bei beruflicher Exposition gegenüber Mikroorganismen (etwa Hepatitis B/C im zahnmedizinischen Umfeld): Das gesetzlich vorgeschriebene Verzeichnis der exponierten Mitarbeitenden (SAMV Art. 13, SR 832.321) wird bis zu 40 Jahre nach der letzten Exposition aufbewahrt und bei Aufgabe des Betriebs der SUVA übergeben. Es dient dem Nachweis einer allfällig berufsbedingten Erkrankung und damit dem Versicherungsschutz der betroffenen Person. Medizinische Daten (Immunstatus, Titer, Diagnosen) sind davon nicht umfasst — sie verbleiben beim zuständigen Arzt (SAMV Art. 14).

Betroffene Personen haben folgende Rechte:

Auskunftsrecht (Art. 25 DSG / Art. 15 DSGVO)

Sie haben das Recht zu erfahren, welche Daten über Sie gespeichert sind. In CorvoSoft Cockpit können Sie Ihre Daten jederzeit unter «Meine Daten» einsehen und als PDF exportieren.

Recht auf Berichtigung (Art. 32 Abs. 1 DSG / Art. 16 DSGVO)

Unrichtige Daten können korrigiert werden. Zeiteinträge können Sie innerhalb der Nachtragsfrist selbst korrigieren. Namens- und E-Mail- Änderungen werden durch das Praxismanagement oder die Standortleitung mit Begründungspflicht vorgenommen.

Recht auf Löschung (Art. 32 Abs. 2 lit. c DSG / Art. 17 DSGVO)

Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Aufgrund der arbeitsrechtlichen Nachweis- pflichten (ArG, OR) können Zeiterfassungs- und Lohndaten erst nach Ablauf der gesetzlichen Fristen gelöscht werden. Daten des Expositionsverzeichnisses nach SAMV Art. 13 unterliegen einer Aufbewahrungspflicht von bis zu 40 Jahren und können daher – auch auf eigenen Wunsch – erst nach deren Ablauf gelöscht werden. Dieses Verzeichnis besteht zu Ihrem Schutz: Erkrankt eine Person Jahre später an einer Infektion, ist es der Nachweis, dass die Exposition beruflich war — und damit die Grundlage für die Anerkennung als Berufskrankheit. Ohne diesen Nachweis entfällt der Anspruch.

Recht auf Datenübertragbarkeit (Art. 28 DSG / Art. 20 DSGVO)

Sie können Ihre Daten in einem maschinenlesbaren Format (CSV) erhalten. Ein PDF-Export Ihrer gespeicherten Daten ist jederzeit unter «Meine Daten» verfügbar.

Recht auf Widerspruch (Art. 21 DSGVO)

Da die Datenbearbeitung auf einer gesetzlichen Pflicht und der Vertragserfüllung beruht, besteht in der Regel kein Widerspruchsrecht gegen die Arbeitszeiterfassung selbst. Sie können jedoch E-Mail- Benachrichtigungen in Ihrem Profil deaktivieren.

Beschwerderecht

Sie haben das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen: www.edoeb.admin.ch. Bei Anwendbarkeit der DSGVO können Sie sich auch an die zuständige EU-Datenschutz-Aufsichtsbehörde wenden.

Damit die Software Materialien wiedererkennt, führt CorvoSoft einen zentralen Material-Katalog. Erfassen Sie Material oder laden Sie eine Materialliste hoch, gleichen wir die Produktbezeichnungen mit diesem Katalog ab. Bezeichnungen, die dabei keinem Katalogeintrag zugeordnet werden können, halten wir in zusammengefasster Form fest, um den Katalog laufend zu ergänzen.

Festgehalten wird ausschliesslich die Produktbezeichnung selbst sowie die Häufigkeit ihres Vorkommens – ohne Bezug zu Ihrer Praxis. Nicht verwendet werden insbesondere Mengen, Bestände, Preise, Einkaufskonditionen, Lieferantenbeziehungen und Lagerorte. Diese Angaben bleiben Ihrem Mandanten vorbehalten und werden nicht mandantenübergreifend ausgewertet.

Es handelt sich dabei um Angaben über Produkte, nicht über Personen; ein Personenbezug entsteht nicht. Wir erwähnen es, weil der so entstehende Katalog allen Nutzerinnen und Nutzern zugutekommt: Er erkennt mit der Zeit mehr Materialien wieder, und zwar auch solche, die eine einzelne Praxis nie selbst erfasst hätte.

CorvoSoft behält sich vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei Änderungen der Gesetzgebung oder der Datenbearbeitung. Die aktuelle Fassung ist jederzeit unter /datenschutz abrufbar. Bei wesentlichen Änderungen werden die Nutzerinnen und Nutzer angemessen informiert.