Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich im Sinne des Schweizer Bundesgesetzes über den Datenschutz (nDSG, SR 235.1) ist:

ExposIQ
Andriu Isenring
8152 Glattbrugg, Schweiz (Kanton Zürich)
E-Mail: info@exposiq.ch
Telefon: +41 44 508 34 67
Website: exposiq.ch

Wenn Sie Fragen zum Datenschutz haben oder Ihre Betroffenenrechte geltend machen möchten, können Sie sich jederzeit an die oben genannte Adresse wenden.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Nutzung der Website exposiq.ch sowie der SaaS-Plattform app.exposiq.ch (nachfolgend zusammen «Plattform» genannt). Sie informiert Sie darüber, welche Personendaten wir erheben, zu welchem Zweck und auf welcher Rechtsgrundlage wir diese bearbeiten, und welche Rechte Ihnen zustehen.

ExposIQ ist eine cloudbasierte Vulnerability-Management-Plattform, die in der Schweiz gehostet wird. Die Plattform ermöglicht es Kunden, ihre eigene IT-Infrastruktur (IP-Adressen, Domains) auf Sicherheitslücken zu überprüfen. Sämtliche Daten werden ausschliesslich in der Schweiz gespeichert und verarbeitet.

3. Erhobene Daten

Wir erheben und bearbeiten verschiedene Kategorien von Personendaten, je nachdem, wie Sie unsere Plattform nutzen.

3.1 Kontakt- und Registrierungsdaten

Bei der Registrierung für ein Benutzerkonto auf unserer Plattform sowie bei der Kontaktaufnahme über unser Kontaktformular oder per E-Mail erheben wir folgende Daten:

Vor- und Nachname
E-Mail-Adresse
Firmenname und Firmenadresse (falls angegeben)
Telefonnummer (falls angegeben)
Inhalt Ihrer Nachricht (bei Kontaktanfragen)
Passwort (verschlüsselt gespeichert)

3.2 Nutzungsdaten und Logfiles

Beim Zugriff auf unsere Website und Plattform werden automatisch technische Daten erhoben und in Server-Logfiles gespeichert:

IP-Adresse (in Logfiles gekürzt bzw. anonymisiert in der Webanalyse)
Datum und Uhrzeit des Zugriffs
Aufgerufene Seite bzw. URL
Referrer-URL (zuvor besuchte Seite)
Verwendeter Browser und Betriebssystem
Übertragene Datenmenge
HTTP-Statuscode

Diese Daten werden zur Sicherstellung des technischen Betriebs, zur Erkennung von Angriffen und zur Fehleranalyse benötigt. Server-Logfiles werden nach 90 Tagen automatisch gelöscht.

3.3 Scan-Daten (Plattform-Nutzungsdaten)

Wenn Sie die ExposIQ-Plattform nutzen, um Ihre IT-Infrastruktur zu scannen, werden im Rahmen des Dienstleistungsvertrags folgende technische Daten erhoben und gespeichert:

Von Ihnen hinterlegte Ziele: IP-Adressen, Hostnamen und Domains
Scan-Ergebnisse: offene Ports, erkannte Software-Versionen, Betriebssystem-Informationen
Erkannte Schwachstellen (Vulnerabilities) mit zugehörigen CVE-Identifikatoren, Schweregrad und Beschreibung
Scan-Konfiguration: Zeitpläne, Scan-Typen, Scan-Parameter
Historische Scan-Daten und Verlaufsberichte

Diese Scan-Daten beziehen sich auf die von Ihnen eingetragene Infrastruktur und können indirekt personenbezogene Daten enthalten (z.B. IP-Adressen). Sie werden ausschliesslich zur Erbringung der vertraglich vereinbarten Dienstleistung verarbeitet und Ihnen über die Plattform zugänglich gemacht. ExposIQ nutzt Scan-Daten nicht für eigene Zwecke über die Dienstleistungserbringung hinaus.

3.4 Zahlungsdaten

Die Zahlungsabwicklung erfolgt über einen externen Zahlungsdienstleister. ExposIQ speichert selbst keine vollständigen Kreditkarten- oder Bankdaten. Im Rahmen der Rechnungsstellung speichern wir:

Rechnungsadresse (Name, Firma, Adresse)
Gewähltes Abonnement und Rechnungsbetrag
Zahlungsmethode (nur Art, z.B. «Kreditkarte»)
Transaktionsreferenzen des Zahlungsdienstleisters

Die Verarbeitung Ihrer Zahlungsdaten durch den Zahlungsdienstleister unterliegt dessen eigener Datenschutzerklärung.

3.5 Newsletter

Wenn Sie unseren Newsletter abonnieren, speichern wir Ihre E-Mail-Adresse zum Zweck des Versands. Der Newsletter wird über das WordPress Newsletter Plugin versendet, das auf unserer eigenen Infrastruktur in der Schweiz betrieben wird. Es werden keine Daten an externe Newsletter-Dienste weitergegeben.

Sie können den Newsletter jederzeit über den Abmeldelink in jeder Nachricht oder per E-Mail an info@exposiq.ch abbestellen. Nach der Abmeldung wird Ihre E-Mail-Adresse unverzüglich gelöscht.

4. Zweck der Datenbearbeitung und Rechtsgrundlagen

Wir bearbeiten Ihre Personendaten auf den folgenden Rechtsgrundlagen des Schweizer Datenschutzgesetzes (nDSG):

a) Vertragserfüllung (Art. 6 Abs. 6 und Art. 31 Abs. 1 nDSG)

Bereitstellung und Betrieb der ExposIQ-Plattform (Benutzerkonto, Scan-Durchführung, Ergebnisdarstellung)
Verarbeitung und Speicherung von Scan-Daten zur Erbringung der vertraglich vereinbarten Dienstleistung
Abwicklung der Zahlung und Rechnungsstellung
Kundensupport und Beantwortung von Anfragen

b) Einwilligung (Art. 6 Abs. 6 nDSG)

Versand des Newsletters (Ihre Einwilligung kann jederzeit widerrufen werden)
Einsatz nicht technisch notwendiger Cookies (Webanalyse mit Matomo)

c) Überwiegende berechtigte Interessen (Art. 31 Abs. 1 nDSG)

Gewährleistung der IT-Sicherheit und des technischen Betriebs (Server-Logfiles)
Verbesserung unserer Website und Plattform
Missbrauchserkennung und -prävention

d) Gesetzliche Pflichten (Art. 31 Abs. 1 nDSG)

Einhaltung steuerrechtlicher und handelsrechtlicher Aufbewahrungspflichten
Erfüllung behördlicher Auskunftsansprüche

5. Datenweitergabe an Dritte

Wir geben Ihre Personendaten nur dann an Dritte weiter, wenn dies zur Vertragserfüllung erforderlich ist, Sie eingewilligt haben oder eine gesetzliche Verpflichtung besteht.

Folgende Kategorien von Empfängern können betroffen sein:

Hosting-Anbieter: Unsere Plattform und Website werden bei einem Schweizer Hosting-Anbieter betrieben. Der Anbieter verarbeitet Daten ausschliesslich in der Schweiz und im Rahmen eines Auftragsverarbeitungsvertrags.
Zahlungsdienstleister: Für die Abwicklung von Zahlungen setzen wir einen externen Zahlungsdienstleister ein. An diesen werden nur die zur Zahlungsabwicklung notwendigen Daten übermittelt.

Kein internationaler Datentransfer: Es findet keine Übermittlung von Personendaten in Länder ausserhalb der Schweiz statt. Wir verwenden keine US-amerikanischen Cloud-Dienste (kein Google Analytics, keine US-Cloud-Infrastruktur). Sämtliche Datenverarbeitung erfolgt ausschliesslich in der Schweiz.

6. Cookies

Unsere Website und Plattform verwenden Cookies. Cookies sind kleine Textdateien, die auf Ihrem Endgerät gespeichert werden.

6.1 Technisch notwendige Cookies

Diese Cookies sind für den Betrieb der Website und Plattform zwingend erforderlich. Sie ermöglichen grundlegende Funktionen wie die Navigation, die Anmeldung an Ihrem Benutzerkonto und den Zugriff auf geschützte Bereiche. Ohne diese Cookies kann die Plattform nicht ordnungsgemäss funktionieren. Technisch notwendige Cookies werden ohne Ihre Einwilligung gesetzt.

Dazu gehören insbesondere:

Session-Cookies zur Authentifizierung
CSRF-Schutz-Cookies
Cookie-Einstellungs-Cookie (speichert Ihre Cookie-Präferenzen)

6.2 Analyse-Cookies (Matomo)

Wir verwenden Matomo (ehemals Piwik) zur Analyse der Websitenutzung. Matomo wird auf unserer eigenen Infrastruktur in der Schweiz betrieben (Self-Hosted). Es werden keine Daten an Dritte oder ins Ausland übermittelt.

Matomo setzt Cookies, um wiederkehrende Besucher zu erkennen und die Nutzung unserer Website statistisch auszuwerten. Dabei werden folgende Daten erhoben:

Anonymisierte IP-Adresse (die letzten zwei Bytes werden maskiert)
Aufgerufene Seiten und Verweildauer
Herkunftsseite (Referrer)
Verwendeter Browser, Betriebssystem und Bildschirmauflösung
Ungefährer Standort (basierend auf anonymisierter IP)

Analyse-Cookies werden nur mit Ihrer ausdrücklichen Einwilligung gesetzt. Sie können Ihre Einwilligung jederzeit über den Cookie-Banner widerrufen. Zudem respektiert Matomo die «Do Not Track»-Einstellung Ihres Browsers.

7. Datensicherheit

Wir setzen angemessene technische und organisatorische Massnahmen (TOMs) ein, um Ihre Personendaten vor unbefugtem Zugriff, Verlust, Zerstörung oder Missbrauch zu schützen. Insbesondere:

Transportverschlüsselung: Sämtliche Datenübertragungen zwischen Ihrem Browser und unseren Servern erfolgen verschlüsselt über TLS/SSL (HTTPS).
Verschlüsselung ruhender Daten: Sensible Daten werden verschlüsselt auf unseren Servern gespeichert.
Zugriffskontrolle: Der Zugriff auf Personendaten ist auf autorisiertes Personal beschränkt. Es gelten strikte Zugriffsberechtigungen nach dem Prinzip der minimalen Berechtigung.
Passwortschutz: Passwörter werden ausschliesslich in gehashter Form gespeichert und sind nicht im Klartext einsehbar.
Regelmässige Backups: Es werden regelmässige Datensicherungen durchgeführt, um Datenverlust vorzubeugen.
Hosting in der Schweiz: Alle Server befinden sich in der Schweiz und unterliegen dem Schweizer Datenschutzrecht.

Trotz aller Sicherheitsmassnahmen kann keine Datenübertragung über das Internet als absolut sicher garantiert werden. Wir verpflichten uns jedoch, im Falle einer Datenschutzverletzung die gesetzlichen Melde- und Benachrichtigungspflichten gemäss Art. 24 nDSG einzuhalten.

8. Aufbewahrungsdauer

Wir speichern Ihre Personendaten nur so lange, wie dies für die Erfüllung des jeweiligen Zwecks erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Kontodaten: Für die Dauer der Vertragsbeziehung und darüber hinaus gemäss gesetzlichen Aufbewahrungsfristen.
Scan-Daten: Für die Dauer Ihres aktiven Abonnements. Nach Kündigung werden Scan-Daten innerhalb von 90 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.
Rechnungsdaten: 10 Jahre gemäss den handels- und steuerrechtlichen Aufbewahrungspflichten (Art. 958f OR).
Server-Logfiles: 90 Tage.
Kontaktanfragen: 12 Monate nach Abschluss der Anfrage, sofern kein laufendes Vertragsverhältnis besteht.
Newsletter-Daten: Bis zur Abmeldung, anschliessend unverzügliche Löschung.
Webanalyse-Daten (Matomo): 12 Monate.

Nach Ablauf der jeweiligen Aufbewahrungsfrist werden die Daten sicher gelöscht oder anonymisiert.

9. Ihre Rechte

Gestützt auf das Schweizer Datenschutzgesetz (nDSG) stehen Ihnen folgende Rechte zu:

Auskunftsrecht (Art. 25 nDSG): Sie haben das Recht, Auskunft darüber zu verlangen, ob und welche Personendaten wir über Sie bearbeiten. Wir stellen Ihnen eine Kopie der betreffenden Daten kostenlos zur Verfügung.
Recht auf Berichtigung (Art. 32 Abs. 1 nDSG): Sie haben das Recht, die Berichtigung unrichtiger Personendaten zu verlangen.
Recht auf Löschung: Sie können die Löschung Ihrer Personendaten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten oder überwiegenden Interessen entgegenstehen.
Recht auf Datenportabilität (Art. 28 nDSG): Sie haben das Recht, Ihre Personendaten, die Sie uns bereitgestellt haben, in einem gängigen elektronischen Format herauszuverlangen oder an einen anderen Verantwortlichen übertragen zu lassen.
Widerspruchsrecht: Sie können der Bearbeitung Ihrer Personendaten jederzeit widersprechen, soweit die Bearbeitung auf überwiegenden Interessen beruht.
Widerruf der Einwilligung: Soweit eine Bearbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (z.B. Newsletter-Abmeldung, Cookie-Einstellungen).

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte per E-Mail an info@exposiq.ch oder auf dem Postweg. Wir werden Ihr Anliegen innerhalb von 30 Tagen bearbeiten. Zur Identitätsprüfung können wir einen Nachweis Ihrer Identität verlangen.

10. Recht auf Beschwerde beim EDÖB

Wenn Sie der Ansicht sind, dass die Bearbeitung Ihrer Personendaten gegen das Datenschutzrecht verstösst, haben Sie das Recht, eine Beschwerde beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) einzureichen:

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
Schweiz
Telefon: +41 58 462 43 95
Website: www.edoeb.admin.ch

Wir empfehlen Ihnen, sich vor einer Beschwerde zunächst an uns zu wenden, damit wir Ihr Anliegen direkt klären können.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung jederzeit anzupassen, insbesondere um sie an geänderte Rechtslagen, neue Funktionen der Plattform oder geänderte Datenbearbeitungen anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.

Bei wesentlichen Änderungen, die sich auf Ihre Rechte auswirken, werden wir Sie über geeignete Kanäle (z.B. per E-Mail oder durch einen Hinweis auf der Plattform) informieren.

12. Anwendbares Recht und Gerichtsstand

Diese Datenschutzerklärung und die damit zusammenhängende Datenbearbeitung unterliegen dem Schweizer Recht, insbesondere dem Bundesgesetz über den Datenschutz (nDSG). Gerichtsstand ist Zürich, Schweiz.

Stand: März 2026