Datenschutzerklärung

Verantwortlich für die in dieser Datenschutzerklärung beschriebenen Bearbeitungen von Personendaten ist:

xtraqt GmbH
General-Wille-Strasse 15
8002 Zürich
Schweiz
E-Mail: info@xtraqt.com

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte (Ziffer 20) schreiben Sie uns an info@xtraqt.com oder an die obige Postadresse.

Diese Datenschutzerklärung beschreibt, wie wir Personendaten bearbeiten, wenn Sie

• unsere Website www.monqzi.com besuchen (deutsche und englische Fassung),
• in unserem Online-Shop bestellen,
• uns über ein Formular oder per E-Mail kontaktieren,
• sich für den MONQZI Club oder für eine Benachrichtigung anmelden,
• an einem MONQZI-Kühlschrank einkaufen oder
• als Geschäftskundin oder Geschäftskunde (B2B) mit uns zusammenarbeiten.

Wir richten uns nach dem Schweizer Datenschutzgesetz (DSG). Wir bearbeiten nur die Daten, die wir für die beschriebenen Zwecke brauchen. Wir verkaufen keine Personendaten und verwenden Bestelldaten nicht für Werbung. Automatisierte Einzelentscheidungen (Art. 21 DSG) treffen wir nicht.

3.1 Hosting und Server-Protokolle (Cloudflare)

Unsere Website läuft auf der Infrastruktur von Cloudflare, Inc. (USA). Cloudflare liefert die Seiten über sein weltweites Netzwerk aus und betreibt die Server-Funktionen unserer Formulare und der Abstimmung. Beim Aufruf einer Seite bearbeitet Cloudflare dafür technisch notwendige Daten, namentlich Ihre IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit sowie Angaben zu Browser und Gerät.

Zur Fehlersuche zeichnet Cloudflare die Aufrufe unserer Server-Funktionen auf. Diese Protokolle enthalten technische Angaben zur jeweiligen Anfrage und Antwort und können auch Ihre IP-Adresse enthalten. Cloudflare bewahrt sie höchstens 7 Tage auf.

Cloudflare handelt als unser Auftragsbearbeiter. Zur Bekanntgabe ins Ausland siehe Ziffer 17.

3.2 Besucherstatistik ohne Cookies (Cloudflare Web Analytics)

Auf allen öffentlichen Seiten verwenden wir Cloudflare Web Analytics. So sehen wir, welche Seiten wie oft aufgerufen werden, über welche Seite Besucherinnen und Besucher kommen und wie schnell unsere Seiten laden. Nach Angaben von Cloudflare verwendet dieser Dienst weder Cookies noch andere Speicher in Ihrem Browser, nutzt Ihre IP-Adresse nicht für ein «Fingerprinting» und verwirft sie im nächstgelegenen Rechenzentrum, ohne sie zu speichern. Wir sehen nur zusammengefasste Statistiken.

Dieser Dienst läuft unabhängig von Ihrer Wahl im Cookie-Banner. Sie können ihn verhindern, indem Sie in Ihrem Browser Skripte von static.cloudflareinsights.com blockieren, zum Beispiel mit einem Inhaltsblocker.

3.3 Schriften

Die Schriften unserer Website laden von unserem eigenen Server. Es besteht keine Verbindung zu Google Fonts.

4.1 Unsere eigenen Einträge

Wir speichern im Speicher Ihres Browsers (Local Storage bzw. Session Storage) die folgenden Einträge. Wir verwenden dafür keine Cookies. Die Einträge verlassen Ihr Gerät nur, wo dies angegeben ist.

Sie können diese Einträge jederzeit in den Einstellungen Ihres Browsers löschen. Einzelne Funktionen, zum Beispiel der Warenkorb, funktionieren dann nicht mehr wie vorgesehen.

4.2 Cookie-Banner und Widerruf

Bei Ihrem ersten Besuch fragen wir Sie in einem Banner, ob wir Google Analytics verwenden dürfen (Ziffer 5). Bevor Sie zugestimmt haben, lädt unsere Website nichts von Google. Ihre Wahl speichern wir im Eintrag mq-consent.

Sie können Ihre Wahl jederzeit über den Link «Cookie-Einstellungen» am Ende jeder Seite ändern. Wenn Sie Ihre Zustimmung widerrufen, löschen wir die Google-Cookies (_ga, _ga_*, _gid, _gat) in Ihrem Browser und laden die Seite neu.

Wenn Sie im Banner zustimmen, verwenden wir Google Analytics 4 von Google (Google Ireland Limited, Irland, und/oder Google LLC, USA). Damit verstehen wir, wie unsere Website genutzt wird, und können sie und unseren Shop verbessern. Google setzt dafür Cookies in Ihrem Browser (_ga und _ga_<Kennung>, Laufzeit bis zu 2 Jahre) und erfasst unter anderem die besuchten Seiten, Angaben zu Gerät und Browser, den ungefähren Standort sowie Ereignisse wie «in den Warenkorb legen» und «zur Kasse gehen».

Wir haben Google Analytics so eingerichtet, dass

• die Einwilligungen für Werbezwecke (ad_storage, ad_user_data, ad_personalization) immer abgelehnt sind. Ihre Daten werden damit nicht für Online-Werbung oder personalisierte Werbung verwendet;
• die Google-Signale ausgeschaltet sind. Ihre Besuche werden nicht mit einem Google-Konto verknüpft.

Nach Angaben von Google speichert Google Analytics keine IP-Adressen von Nutzerinnen und Nutzern in der Schweiz; die IP-Adresse wird nur zur Bestimmung des ungefähren Standorts verwendet und danach verworfen. Daten auf der Ebene einzelner Nutzerinnen und Nutzer und einzelner Ereignisse bewahrt Google gemäss der Einstellung in unserem Konto höchstens 14 Monate auf; zusammengefasste Berichte ohne Bezug zu einzelnen Personen können länger bestehen bleiben. Die Daten können in die USA übermittelt werden (Ziffer 17).

Sie können Ihre Zustimmung jederzeit widerrufen (Ziffer 4.2).

Unser Online-Shop läuft über Shopify (Shopify International Limited, Irland). Shopify bearbeitet die Shop-Daten als unser Auftragsbearbeiter.

• Warenkorb und Preise: Ihr Browser ruft Preise und Warenkorb direkt bei Shopify ab. Dabei erhält Shopify Ihre IP-Adresse, den Inhalt Ihres Warenkorbs und dessen Kennung (mq-cart).
• Bestellung: Mit «Zur Kasse» wechseln Sie in den Checkout von Shopify. Dort geben Sie Ihren Namen, Ihre E-Mail-Adresse, Liefer- und Rechnungsadresse sowie gegebenenfalls Ihre Telefonnummer ein und wählen eine Zahlungsart. Diese Daten verwenden wir, um Ihre Bestellung abzuwickeln, Ihnen Bestell- und Versandbestätigungen zu senden, Rückfragen und Reklamationen zu bearbeiten und unsere gesetzlichen Aufbewahrungspflichten zu erfüllen.
• Kundenkonto: Ein Kundenkonto ist freiwillig. Sie können auch als Gast bestellen.
• Cookies im Checkout: Im Checkout kann Shopify Cookies setzen, die für den Bestellvorgang nötig sind. Einzelheiten finden Sie in der Cookie-Richtlinie von Shopify: shopify.com/legal/cookies.
• Kein Tracking: In unserem Shop sind keine Tracking-Pixel, keine Kunden-Ereignisse (Customer Events) und keine Marketing-Apps eingerichtet. Im Checkout fragen wir keine Einwilligung für E-Mail- oder SMS-Werbung ab.

In bestimmten Fällen bearbeitet Shopify Daten auch in eigener Verantwortung. Darüber informiert Shopify in seiner Datenschutzerklärung für Käuferinnen und Käufer: shopify.com/legal/privacy/consumers.

Im Online-Shop können Sie mit TWINT, Visa, Mastercard, Apple Pay und Google Pay (über Shopify Payments) sowie mit PayPal bezahlen. Ihre vollständigen Kartendaten geben Sie direkt im Checkout ein; wir erhalten und speichern sie nicht.

• Shopify Payments: Shopify setzt für die Zahlungsabwicklung einen oder mehrere Zahlungsabwickler ein. Für die Schweiz nennt Shopify die Stripe Payments Europe, Limited (Irland), die PayPal Pte. Ltd. (Singapur) und die Adyen N.V. (Niederlande). Diese können Daten auch in eigener Verantwortung bearbeiten, etwa um gesetzliche Pflichten zur Bekämpfung der Geldwäscherei zu erfüllen.
• TWINT: Bei einer Zahlung mit TWINT bearbeiten zusätzlich die TWINT AG (Zürich) oder die Bank, die Ihre TWINT-App herausgibt, Ihre Daten in eigener Verantwortung.
• Apple Pay und Google Pay: Für Ihre Wallet gelten zusätzlich die Bedingungen und Datenschutzbestimmungen von Apple bzw. Google.
• PayPal: Wenn Sie PayPal wählen, werden Sie zu PayPal weitergeleitet. Verantwortlich ist die PayPal-Gesellschaft Ihres Wohnsitzlandes; für Personen mit Wohnsitz in der Schweiz ist dies die PayPal Pte. Ltd. in Singapur. PayPal bearbeitet Ihre Daten in eigener Verantwortung nach seinen eigenen Bedingungen: paypal.com/ch/legalhub/paypal/privacy-full.

Für die Lieferung geben wir der Schweizerischen Post Ihren Namen, Ihre Lieferadresse und, soweit für die Zustellung nötig, Ihre Telefonnummer oder E-Mail-Adresse bekannt. Die Post bearbeitet diese Daten in eigener Verantwortung. Setzen wir für grössere Mengen ein anderes Transportunternehmen ein, ergänzen wir diese Datenschutzerklärung.

In der Region Aargau und Zürich liefern wir teilweise persönlich. Dabei geben wir keine Daten an Dritte weiter.

An einzelnen Standorten stellen wir bei Partnerbetrieben einen MONQZI-Kühlschrank auf.

• Wenn wir selbst verkaufen, ist die Zahlungsart am Kühlschrank angegeben; in der Regel bezahlen Sie mit TWINT über einen QR-Code der xtraqt GmbH. Wir erhalten dabei die Angaben zur Zahlung, die wir für die Abrechnung brauchen, zum Beispiel Betrag, Zeitpunkt und Transaktionsnummer. Die TWINT AG oder die Bank, die Ihre TWINT-App herausgibt, bearbeitet Ihre Daten in eigener Verantwortung.
• Wenn der Partnerbetrieb die Produkte selbst verkauft, ist er für die Datenbearbeitung beim Kauf verantwortlich. Wir erhalten dann keine Daten über Sie.

Wenn Sie uns über das Kontaktformular (Name, E-Mail-Adresse, Nachricht) oder über das B2B-Formular (Firma, Vor- und Nachname, E-Mail-Adresse, Telefon, Mengenanfrage, Art des Geschäfts, Nachricht) schreiben, verwenden wir Ihre Angaben, um Ihre Anfrage zu beantworten und Ihnen gegebenenfalls ein Angebot zu machen. So läuft das ab:

1. 1. Ihre Angaben werden in unserer Datenbank bei Cloudflare gespeichert (Cloudflare D1, Speicherort Europäische Union).
2. 2. Unser E-Mail-Versanddienst Resend (Plus Five Five, Inc., USA) leitet sie als E-Mail an unser Postfach info@monqzi.com weiter. Als Antwortadresse ist Ihre E-Mail-Adresse eingetragen, damit wir Ihnen direkt antworten können. Resend speichert die versandten E-Mails in den USA.
3. 3. Unser Postfach wird mit Google Workspace betrieben (Ziffer 11).

Zusätzlich verschickt unsere Website jeden Montag eine interne Zusammenfassung an info@monqzi.com, die Angaben aus Anfragen enthalten kann.

Wir bewahren Anfragen in der Datenbank und in unserem Postfach höchstens 2 Jahre auf. Wird aus einer Anfrage ein Vertrag, bewahren wir die dafür nötigen Unterlagen gleich lange auf wie Bestellungen und Rechnungen (Ziffer 18).

Unsere Postfächer info@monqzi.com und info@xtraqt.com und unsere Dokumentenablage betreiben wir mit Google Workspace (Google Cloud EMEA Limited, Irland). Google bearbeitet die E-Mails und Dokumente als unser Auftragsbearbeiter und kann sie auch ausserhalb der Schweiz und des Europäischen Wirtschaftsraums (EWR) bearbeiten, namentlich in den USA.

Mit Geschäftskunden bearbeiten wir die Kontaktdaten der Ansprechpersonen (zum Beispiel Name, geschäftliche E-Mail-Adresse und Telefonnummer) sowie die Angaben zu Offerten, Bestellungen, Lieferungen und Rechnungen. Bestellungen nehmen wir auch per E-Mail oder Telefon entgegen. Rechnungen erstellen wir teilweise mit der Software bexio (bexio AG, Rapperswil, Schweiz). Nach Angaben von bexio werden die Daten in der Schweiz oder im EWR bearbeitet.

Sie können sich mit Ihrer E-Mail-Adresse anmelden

• für den MONQZI Club (auf der Startseite und auf der Seite /qr): Sie erhalten dann E-Mails von MONQZI;
• für eine Labor-Benachrichtigung: Wir informieren Sie per E-Mail, sobald das gewählte Produkt erhältlich ist.

Ablauf: Wir speichern Ihre Anmeldung (E-Mail-Adresse, Liste, Quelle, Zeitpunkt, Übermittlungsstatus und gegebenenfalls eine Fehlermeldung) zunächst in unserer Datenbank bei Cloudflare (Speicherort Europäische Union) und übergeben sie an MailerLite. MailerLite schickt Ihnen eine E-Mail, mit der Sie Ihre Anmeldung bestätigen (Double-Opt-in). Erst nach Ihrer Bestätigung erhalten Sie E-Mails von uns. MailerLite kann dabei Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung als Nachweis speichern. In unserer eigenen Datenbank löschen wir die Anmeldung 30 Tage nach der erfolgreichen Übergabe an MailerLite; kann sie nicht übergeben werden, löschen wir sie 30 Tage nach der Anmeldung.

Auswertung: Wir werten mit MailerLite aus, ob unsere E-Mails geöffnet und welche Links darin angeklickt werden. MailerLite erfasst dabei Ihre IP-Adresse und leitet daraus Ihren ungefähren Standort ab. So sehen wir, welche Inhalte interessieren.

Abmeldung: Sie können sich jederzeit über den Link in jeder E-Mail oder per E-Mail an info@xtraqt.com abmelden. Danach bewahren wir Ihre Adresse nur noch als abgemeldet auf, damit wir Ihre Abmeldung beachten und Ihre frühere Einwilligung nachweisen können. Eine Anmeldung nur für eine Labor-Benachrichtigung löschen wir, nachdem wir Sie über die Verfügbarkeit des Produkts informiert haben.

Anbieter: MailerLite (MailerLite Limited, Irland, und MailerLite, Inc., USA). Nach Angaben von MailerLite werden die Daten in Rechenzentren in Deutschland und den Niederlanden gespeichert. Zur Bekanntgabe ins Ausland siehe Ziffer 17.

Im Labor können Sie für Produkte abstimmen, die es noch nicht gibt. Dafür speichern wir in unserer Datenbank bei Cloudflare (Speicherort Europäische Union) das gewählte Produkt, den Zeitpunkt, die zufällige Kennung aus Ihrem Browser (mq-voter) und einen gesalzenen Hashwert Ihrer IP-Adresse. Ein gesalzener Hashwert ist eine nicht direkt lesbare Prüfsumme; Ihre IP-Adresse selbst speichern wir nicht. Kennung und Hashwert dienen nur dazu, Mehrfachstimmen zu verhindern. Wir löschen sie spätestens 24 Monate nach Ihrer Stimmabgabe; die Stimme zählen wir danach nur noch anonym.

Auf der Seite /qr können Sie vier kurze Fragen mit vorgegebenen Antworten beantworten. Wir speichern nur Ihre Antworten und den Zeitpunkt, ohne E-Mail-Adresse und ohne IP-Adresse, und verknüpfen sie nicht mit Ihrer Person. Wenn Sie zusätzlich freiwillig dem MONQZI Club beitreten, gilt Ziffer 12; Ihre E-Mail-Adresse wird nicht zusammen mit Ihren Antworten gespeichert.

Unsere Formulare für Kontakt, B2B-Anfragen, Anmeldungen und Feedback sind mit Cloudflare Turnstile geschützt. Turnstile wird erst geladen, wenn Sie ein Formular benutzen. Nach Angaben von Cloudflare erhält Cloudflare dabei unter anderem Ihre IP-Adresse, technische Merkmale Ihrer Verbindung (TLS-Fingerprint), Ihren Browsertyp (User-Agent) und die Website, auf der das Formular eingebunden ist. Cloudflare verwendet diese Daten in unserem Auftrag, um automatisierte Anfragen zu erkennen, und in eigener Verantwortung, um die eigene Bot-Erkennung zu verbessern. Einzelheiten: cloudflare.com/turnstile-privacy-policy.

Zusätzlich begrenzen wir die Zahl der Formular-Übermittlungen pro Stunde. Dafür speichern wir einen Hashwert Ihrer IP-Adresse, das verwendete Formular und den Zeitpunkt. Diese Einträge löschen wir automatisch nach 24 Stunden.

Der Bereich /intern ist nur für unser Team zugänglich. Die Anmeldung erfolgt mit einem Einmalcode, der an info@monqzi.com geschickt wird. Der Bereich zeigt Auswertungen und ermöglicht es, die Kontakt- und B2B-Anfragen einschliesslich der Personendaten als CSV-Datei zu exportieren. Exportierte Dateien verwenden wir nur intern und löschen sie, sobald wir sie nicht mehr brauchen. Für die Anmeldung verwenden wir ein technisch notwendiges Cookie (__Host-mq_intern, 30 Tage) und einen Eintrag im lokalen Speicher (mq-intern-days). Im Team-Bereich läuft keine Analyse.

Wir geben Personendaten nur an die folgenden Empfänger weiter, soweit dies für die genannten Zwecke nötig ist:

Erläuterungen: Für die Staaten des Europäischen Wirtschaftsraums und für Kanada (privater Bereich) hat der Bundesrat einen angemessenen Datenschutz festgestellt (Anhang 1 der Datenschutzverordnung). Für die USA gilt dies nur für Unternehmen, die nach dem Datenschutzrahmen Schweiz–USA (Swiss-U.S. Data Privacy Framework) zertifiziert sind. Wo keine solche Zertifizierung besteht, stützt sich die Bekanntgabe auf Standarddatenschutzklauseln, die der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) anerkannt hat (Art. 16 Abs. 2 lit. d DSG), oder auf verbindliche unternehmensinterne Datenschutzvorschriften (Art. 16 Abs. 2 lit. e DSG). Für Singapur besteht kein angemessener Datenschutz; die Bekanntgabe erfolgt dort im unmittelbaren Zusammenhang mit der Abwicklung Ihres Kaufvertrags (Art. 17 Abs. 1 lit. b DSG) oder gestützt auf vertragliche Garantien. Eine Kopie der Garantien können Sie bei uns anfordern (Ziffer 1).

Wir bewahren Personendaten nur so lange auf, wie wir sie für den jeweiligen Zweck brauchen oder gesetzlich aufbewahren müssen. Danach löschen oder anonymisieren wir sie.

Wir schützen Personendaten mit angemessenen technischen und organisatorischen Massnahmen. Unsere Website überträgt Daten verschlüsselt (HTTPS). IP-Adressen speichern wir in unserer Datenbank nur als Hashwerte. Der Team-Bereich ist mit Einmalcodes geschützt; Codes und Sitzungen speichern wir nur als Hashwerte. Vollständige Kartendaten gelangen nicht zu uns.

Sie haben nach dem DSG insbesondere das Recht,

• Auskunft darüber zu verlangen, ob und welche Personendaten wir über Sie bearbeiten (Art. 25 DSG). Die Auskunft ist kostenlos und erfolgt in der Regel innert 30 Tagen;
• die Herausgabe oder Übertragung der Personendaten zu verlangen, die Sie uns bekanntgegeben haben, in einem gängigen elektronischen Format (Art. 28 DSG);
• die Berichtigung unrichtiger Personendaten zu verlangen;
• die Löschung Ihrer Personendaten oder das Verbot einer bestimmten Bearbeitung oder Bekanntgabe zu verlangen (Art. 32 DSG), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht;
• einer Bearbeitung zu widersprechen;
• eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen, zum Beispiel über die «Cookie-Einstellungen» oder den Abmeldelink in unseren E-Mails.

Schreiben Sie uns dazu an info@xtraqt.com oder an die Adresse in Ziffer 1. Wir können verlangen, dass Sie Ihre Identität nachweisen. Sie können sich ausserdem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden: www.edoeb.admin.ch.

Auf unserer Website veröffentlichen wir ausgewählte Rückmeldungen von Kundinnen und Kunden. Wir übertragen sie von Hand und veröffentlichen sie nur mit dem Einverständnis der betreffenden Person und nur mit den Angaben, denen sie zugestimmt hat, zum Beispiel dem Vornamen. Sie können Ihr Einverständnis jederzeit widerrufen; wir entfernen die Rückmeldung dann.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenbearbeitungen ändern. Es gilt die jeweils auf unserer Website veröffentlichte Fassung. Diese Datenschutzerklärung liegt auf Deutsch und auf Englisch vor. Bei Abweichungen ist die deutsche Fassung massgebend.