Datenschutzerklärung

Version 1 · veröffentlicht am 11.10.2026

Stand: 12. Oktober 2026

Diese Erklärung zeigt, welche Personendaten wir auf heimatli.ch bearbeiten, wofür, wer sie sieht und wie lange wir sie behalten. Sie richtet sich nach dem schweizerischen Datenschutzgesetz (DSG). Soweit im Einzelfall auch die Datenschutz-Grundverordnung der EU (DSGVO) gilt, zum Beispiel für Personen in Liechtenstein, beachten wir auch diese.

1. Verantwortlicher und Kontakt

Verantwortlich ist Puya Purhemmati, Technikumstrasse 31, 9470 Buchs SG, Schweiz, E-Mail: [email protected]. HeimatliCH wird zurzeit von einer Einzelperson betrieben.

An diese Adresse richten Sie auch alle Fragen und Anliegen zum Datenschutz.

2. Welche Daten wir bearbeiten

Konto und Anmeldung

• Vor- und Nachname, E-Mail-Adresse, Passwort (wir speichern nur einen nicht umkehrbaren Hash, nie das Passwort selbst), gewählte Kontoart (Käufer oder Verkäufer), Sprache der Seite, Zeitpunkt der Registrierung und der letzten Anmeldung.
• Mobilnummer, die Sie uns zur Bestätigung angeben. In der Pilotphase bestätigen wir sie persönlich, indem wir Sie anrufen. Dafür senden wir keine SMS und setzen keinen SMS-Dienstleister ein. Führen wir später die Bestätigung per SMS-Code ein, passen wir diese Erklärung vorher an und informieren Sie.
• Ihre Zustimmung zu den Bedingungen und zur Datenschutzerklärung, mit Version, Zeitpunkt und einer pseudonymisierten Kennung Ihrer IP-Adresse (siehe unten).
• Ob Sie dem Erhalt von Neuigkeiten per E-Mail zugestimmt haben.

Verkäufer zusätzlich

• Shop-Name, Beschreibung, Postleitzahl und Ort, Ergebnis und Notiz der Prüfung durch uns.
• Zahlungsangaben (Kontoinhaber, IBAN, TWINT-Nummer). Wir speichern sie verschlüsselt.
• Angebote mit Texten, Preisen, Mengen und Fotos. Bei Fotos entfernen wir beim Hochladen Zusatzdaten wie den Aufnahmeort (EXIF).
• Die Notiz zu unserer Prüfung ist nicht öffentlich. Ausweiskopien verlangen und speichern wir nicht.

Bestellungen und Nachrichten

• Bestellte Ware, Menge, Preis, Übergabeart, Versandkosten, bei Postversand Name und Lieferadresse (verschlüsselt gespeichert), eine Notiz der Käuferin oder des Käufers, Zeitpunkte und der Verlauf der Bestellung mit den Handelnden.
• Nachrichten zwischen Käufer und Verkäufer zu einer Bestellung, Meldungen von Problemen und Nachrichten, und Bewertungen mit Sternen und Kommentar.
• Hinweise, die Sie uns schicken, und unsere Antworten.

Technische Daten und Sicherheit

• Beim Aufruf der Seite verarbeitet der Webserver Ihre IP-Adresse, Datum, Uhrzeit, aufgerufene Seite und Geräteangaben, damit die Seite ausgeliefert werden kann. Der Hoster (Abschnitt 4) speichert technische Zugriffsprotokolle nach seinen eigenen Vorgaben.
• In unserem Sicherheitsprotokoll halten wir wichtige Ereignisse fest: Registrierung, Anmeldungen, Passwortänderung, Bestellschritte, Prüfungen durch uns, Meldungen. Die IP-Adresse speichern wir dort und für die Begrenzung von Fehlversuchen nur als nicht umkehrbare, mit einem geheimen Schlüssel erzeugte Kennung (Hash). Wir können daraus keine IP-Adresse zurückrechnen, aber erkennen, ob viele Versuche von derselben Adresse kommen.
• Ein Sitzungscookie (siehe Abschnitt 7).
• Für die Administration: Zweiter Faktor für Administratoren (die Geheimnisse sind verschlüsselt gespeichert).

Wir verlangen keine Ausweiskopien und keine Bonitätsdaten. Wir verarbeiten keine besonders schützenswerten Personendaten, es sei denn, Sie schreiben sie selber in einen Text. Bitte tun Sie das nicht.

3. Wofür wir die Daten verwenden

Wir bearbeiten Personendaten nur rechtmässig, nach Treu und Glauben und verhältnismässig, nur für Zwecke, die für Sie erkennbar sind, und wir halten sie richtig und sicher (Art. 6 und 8 DSG). Soweit auch die DSGVO gilt, nennen wir bei den Zwecken die Rechtsgrundlage.

• Konto und Plattform bereitstellen, Anmeldung und Bestätigung von E-Mail und Mobilnummer (Vertrag; DSGVO Art. 6 Abs. 1 lit. b).
• Verkäufer prüfen und freigeben (Vertrag und berechtigtes Interesse an einem vertrauenswürdigen Marktplatz).
• Bestellungen abwickeln: Kontaktdaten und, bei Postversand, die Lieferadresse der anderen Partei zeigen, Benachrichtigungen per E-Mail senden, Streitfälle prüfen (Vertrag).
• Betrug, Phishing und Missbrauch verhindern, Fehlversuche begrenzen, die Sicherheit der Plattform gewährleisten, Rechtsansprüche durchsetzen und abwehren (berechtigte Interessen; DSGVO Art. 6 Abs. 1 lit. f).
• Gesetzliche Pflichten erfüllen, zum Beispiel Auskünfte an Behörden (DSGVO Art. 6 Abs. 1 lit. c).
• Neuigkeiten zur Plattform per E-Mail, wenn Sie bei der Registrierung zugestimmt haben (Einwilligung; DSGVO Art. 6 Abs. 1 lit. a). Sie können die Einwilligung jederzeit widerrufen, indem Sie uns schreiben.

Wir treffen keine automatisierten Einzelentscheidungen mit rechtlicher Wirkung für Sie. Die Plattform prüft Nachrichten und Texte automatisch auf Links, Kontaktdaten und ähnliche Inhalte. Die Folge ist nur, dass ein solcher Text nicht gesendet wird. Sie können ihn ändern und neu senden. Wir setzen derzeit keine künstliche Intelligenz ein. Würden wir dies künftig tun, informieren wir Sie vorher und passen diese Erklärung an.

Geschenkberater, Verkäufer-Assistent, Foto-Studio und Hilfe

• Der Geschenkberater verwendet Ihre Angaben zur beschenkten Person (zum Beispiel Name oder Beziehung, Interessen, Budget) nur dann, wenn Sie vorher zustimmen, und nur, um aus den Angeboten auf HeimatliCH passende Vorschläge zu berechnen. Wir speichern diese Angaben nicht und erstellen kein Profil der beschenkten Person. Bitte geben Sie keine besonders schützenswerten Angaben (zum Beispiel zu Gesundheit oder Religion) ein.
• Der Verkäufer-Assistent bildet aus Ihren eigenen Angaben einen Textentwurf und zeigt Preise vergleichbarer Angebote auf HeimatliCH (kleinster, durchschnittlicher und höchster Preis) an. Den Preis legen immer Sie fest.
• Das Foto-Studio verarbeitet ein hochgeladenes Foto mit gewöhnlicher Bildbearbeitung (zuschneiden, aufhellen, schärfen) und gibt Ihnen das Ergebnis zurück. Das Foto wird dabei nicht gespeichert; erst wenn Sie es bei einem Angebot hochladen, speichern wir es.
• Die Hilfe auf der Seite beantwortet Fragen mit festen Regeln auf unserem Server. Die Eingaben werden nicht gespeichert.
• Diese Funktionen arbeiten ohne künstliche Intelligenz und ohne externe Dienste.

Wir verkaufen Ihre Daten nicht. Wir verwenden sie nicht für Werbung Dritter.

4. Wer Ihre Daten erhält

• Die andere Partei einer Bestellung. Nach der Bestätigung durch den Verkäufer sehen Käufer und Verkäufer Name, Telefonnummer und E-Mail-Adresse des jeweils anderen, der Verkäufer bei Postversand die Lieferadresse und der Käufer die Zahlungsangaben des Verkäufers. Ihre Nachrichten zu einer Bestellung sieht nur die andere Partei, und das Team, wenn ein Problem gemeldet wird.
• Öffentlich sichtbar sind Shop-Name, Postleitzahl, Ort und Angebote eines freigegebenen Verkäufers.
• Hosting: Infomaniak Network SA, Genf, Schweiz. Dort liegen die Datenbank, die Fotos und der E-Mail-Versand. Infomaniak bearbeitet die Daten in unserem Auftrag und darf sie nicht für eigene Zwecke verwenden.
• SMS-Versand: In der Pilotphase setzen wir keinen SMS-Dienstleister ein. Führen wir später einen ein, nennen wir ihn hier mit Sitzstaat, bevor er Daten erhält.
• Behörden, Gerichte oder andere Stellen, wenn wir dazu gesetzlich verpflichtet sind oder es zur Durchsetzung oder Abwehr von Rechtsansprüchen nötig ist.
• Bekanntgabe ins Ausland: Wir geben Personendaten nicht an Dienstleister im Ausland weiter. Haben Käufer oder Verkäufer ihren Sitz im Fürstentum Liechtenstein, erhält die andere Partei die Daten dorthin bzw. von dort. Nach der Beurteilung des Bundesrates gewährleistet Liechtenstein einen angemessenen Datenschutz (Art. 16 Abs. 1 DSG). Führen wir künftig Dienstleister ausserhalb der Schweiz ein, nennen wir hier den Staat und die Schutzgarantien, bevor sie Daten erhalten (Art. 19 DSG).
• Wir geben keine Daten an Werbenetzwerke, Analysedienste oder soziale Netzwerke weiter. Auf unseren Seiten werden keine Inhalte von Dritten nachgeladen (keine Schriften, keine Karten, kein Tracking).

5. Wie lange wir Daten behalten

• Kontodaten: bis Sie das Konto schliessen lassen. Dann entfernen wir Namen, E-Mail-Adresse, Mobilnummer, Zahlungsangaben, Fotos und Angebote und sperren das Konto.
• Bestelldaten (Ware, Menge, Preis, Status, Zeitpunkte) und Nachweise Ihrer Zustimmungen: bis zu zehn Jahre nach dem Abschluss, damit wir Streitfälle klären und Rechtsansprüche abwehren können. Nach der Schliessung Ihres Kontos erscheinen diese Daten ohne Ihren Namen.
• Lieferadresse und Notiz einer Bestellung sowie die Nachrichten dazu: 24 Monate nach Abschluss oder Stornierung. Wurde ein Problem gemeldet, behalten wir die betroffenen Nachrichten so lange wie die Bestelldaten.
• Sicherheitsprotokoll: 24 Monate.
• Bestätigungslinks und Codes: 30 Tage nach Ablauf. Zähler für Fehlversuche: wenige Tage.
• Technische Zugriffsprotokolle beim Hoster: nach dessen Vorgaben.
• Bestehen gesetzliche Aufbewahrungspflichten, bewahren wir Daten so lange auf, wie das Gesetz es verlangt.

6. Ihre Rechte

Sie haben nach dem DSG und, soweit anwendbar, der DSGVO das Recht auf

• Auskunft über Ihre bei uns gespeicherten Personendaten,
• Berichtigung falscher Daten,
• Löschung oder Einschränkung der Bearbeitung,
• Herausgabe oder Übertragung Ihrer Daten in einem gängigen Format,
• Widerspruch gegen eine Bearbeitung und Widerruf einer Einwilligung.

Schreiben Sie dafür an [email protected]. Die Auskunft ist kostenlos (Art. 25 DSG). Zum Schutz Ihrer Daten prüfen wir Ihre Identität, zum Beispiel indem wir auf die bei uns hinterlegte E-Mail-Adresse antworten. Wir antworten in der Regel innert 30 Tagen. Ihr Konto können Sie auf diesem Weg schliessen lassen, sobald keine Bestellung mehr offen ist.

Einschränkungen sind möglich, wenn wir Daten aus gesetzlichen Gründen aufbewahren müssen oder Rechte Dritter betroffen sind.

Sie können sich ausserdem bei der Aufsichtsbehörde beschweren: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), in Liechtenstein bei der Datenschutzstelle des Fürstentums Liechtenstein.

7. Cookies

Wir verwenden ein einziges Cookie, das für den Betrieb notwendig ist: das Sitzungscookie. Es hält Sie angemeldet und schützt Formulare vor Fälschung. Es enthält keine persönlichen Angaben, sondern eine Zufallsnummer, und wird gelöscht, wenn Sie den Browser schliessen. Eine Sitzung endet spätestens nach 12 Stunden. Es gibt keine Werbe- oder Analyse-Cookies. Darum brauchen Sie keinen Cookie-Banner zu bestätigen. Wir senden Ihnen nur Nachrichten, die mit Ihrem Konto und Ihren Bestellungen zu tun haben, und Neuigkeiten nur nach Ihrer Zustimmung (Art. 3 Abs. 1 lit. o UWG). Jede solche E-Mail können Sie abbestellen.

8. Sicherheit

Wir schützen Ihre Daten mit technischen und organisatorischen Massnahmen. Dazu gehören die verschlüsselte Übertragung (HTTPS), Passwörter nur als Hash, die verschlüsselte Speicherung von Zahlungsangaben, Lieferadressen und Geheimnissen für den zweiten Faktor, beschränkte Zugriffsrechte, die Pflicht zum zweiten Faktor für Administratoren und ein Sicherheitsprotokoll. Eine vollständige Sicherheit gibt es im Internet nicht. Wählen Sie ein langes, nur hier verwendetes Passwort.

Bei einer Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für Ihre Persönlichkeit oder Ihre Grundrechte führt, melden wir dies dem EDÖB und informieren Sie, wenn es zu Ihrem Schutz erforderlich ist (Art. 24 DSG).

9. Kinder

Die Plattform ist nur für Personen ab 18 Jahren bestimmt. Wir erheben wissentlich keine Daten von Minderjährigen.

10. Änderungen

Wir können diese Erklärung ändern, etwa wenn wir einen neuen Dienstleister einsetzen oder die Plattform erweitern. Die jeweils gültige Version steht auf heimatli.ch. Bei wesentlichen Änderungen informieren wir Sie und bitten bei der nächsten Anmeldung um Ihre Bestätigung.

Massgebend ist die deutsche Fassung. Übersetzungen dienen dem besseren Verständnis.