Datenschutz

Stand: 16. Oktober 2026

Diese Datenschutzerklärung beschreibt, wie die rail4mation AG Personendaten im Zusammenhang mit ihrer Website, Kurs- und Kundenadministration, Lernplattform, Aus- und Weiterbildungen, Prüfungen, Zertifikaten, Raumbuchungen, Bewerbungen und Kommunikation bearbeitet.

1. Verantwortliche Stelle

Verantwortlich für die in dieser Datenschutzerklärung beschriebenen Datenbearbeitungen ist:

rail4mation AG
Max-Högger-Strasse 6
8048 Zürich
Schweiz

Datenschutzanfragen: datenschutz@rail4mation.ch

Für einzelne Dienste können weitere Unternehmen als Auftragsbearbeiter oder eigenständig Verantwortliche beteiligt sein. Diese werden nachfolgend soweit relevant beschrieben.

2. Geltungsbereich und anwendbares Datenschutzrecht

Diese Datenschutzerklärung gilt insbesondere für die Website rail4mation.ch und die darüber angebotenen Funktionen sowie für Personendaten, die wir im Zusammenhang mit unseren Aus- und Weiterbildungsleistungen, Kursen, Prüfungen, Zertifikaten, Kundenbeziehungen und Bewerbungen bearbeiten.

Massgebend ist insbesondere das schweizerische Bundesgesetz über den Datenschutz (DSG) und die dazugehörige Datenschutzverordnung. Soweit im Einzelfall ausländisches Datenschutzrecht, insbesondere die Datenschutz-Grundverordnung der Europäischen Union (DSGVO), zwingend anwendbar ist, beachten wir auch dessen Vorgaben.

Wir bearbeiten Personendaten nur für festgelegte und erkennbare Zwecke und nur in dem Umfang, der für diese Zwecke erforderlich ist. Je nach Bearbeitung erfolgt dies insbesondere zur Anbahnung oder Erfüllung von Verträgen, zur Erfüllung gesetzlicher oder regulatorischer Pflichten, zur Gewährleistung eines sicheren und funktionierenden Betriebs, aufgrund überwiegender berechtigter Interessen oder auf Grundlage einer Einwilligung, soweit eine solche erforderlich ist.

3. Welche Personendaten wir bearbeiten und woher sie stammen

Je nach Beziehung zu uns können insbesondere folgende Kategorien von Personendaten bearbeitet werden:

Stammdaten wie Name, Vorname, Firma, Funktion, Anschrift und Sprache;
Kontaktangaben wie E-Mail-Adresse und Telefonnummer;
Vertrags-, Buchungs-, Kurs- und Rechnungsdaten;
Daten zur Teilnahme an Aus- und Weiterbildungen, Anwesenheit, Lernfortschritt und Kursabschluss;
Prüfungsdaten, Bewertungen, Prüfungsprotokolle, Qualifikations- und Zertifikatsdaten;
Benutzerkonto- und Nutzungsdaten unserer Lernplattform;
Bewerbungs- und Personaldaten, soweit eine Bewerbung oder ein Arbeitsverhältnis betroffen ist;
technische Daten wie IP-Adresse, Browserinformationen, Zeitstempel, Server- und Sicherheitsprotokolle;
Kommunikationsdaten aus E-Mails, Formularen, Telefonaten und sonstiger Korrespondenz.

Wir erhalten Personendaten in der Regel direkt von der betroffenen Person. Im Ausbildungsbereich erhalten wir Daten teilweise auch von Arbeitgebern, Auftraggebern, Partnerunternehmen oder anderen Stellen, die Mitarbeitende zu Kursen oder Prüfungen anmelden. Erhalten wir Personendaten nicht direkt von der betroffenen Person, informieren wir sie im Rahmen der gesetzlichen Vorgaben über die Datenbearbeitung, grundsätzlich spätestens einen Monat nach Erhalt oder, falls die Daten vorher bekanntgegeben werden, spätestens zum Zeitpunkt der Bekanntgabe, soweit keine gesetzliche Ausnahme gilt. Die Informationen können insbesondere über Kursunterlagen, Einladungen, die Lernplattform oder diese Datenschutzerklärung zugänglich gemacht werden.

4. Besuch unserer Website und technische Protokolle

Beim Aufruf unserer Website werden technisch notwendige Verbindungsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse oder Seite, übertragene Datenmenge, Browsertyp, Betriebssystem, Referrer-Angaben sowie weitere technische Verbindungsinformationen gehören.

Diese Daten werden benötigt, um die Website auszuliefern, ihre Stabilität sicherzustellen, Fehler zu analysieren, Angriffe und Missbrauch zu erkennen und die technische Sicherheit zu gewährleisten. Technische Server- und Sicherheitsprotokolle werden grundsätzlich während 30 Tagen aufbewahrt. Eine längere Aufbewahrung kann erforderlich sein, wenn ein konkreter Sicherheitsvorfall untersucht wird oder eine gesetzliche Pflicht besteht.

5. Hosting, Cloudflare und technische Betreuung

Die Website wird bei Amazon Web Services (AWS) in der Region Zürich betrieben. Für die technische Betreuung und Unterstützung setzen wir ONTIV ein. Cloudflare wird für DNS-Dienste und die Weiterleitung bzw. Absicherung des Websiteverkehrs eingesetzt.

Durch diese Dienste können technische Verbindungsdaten, insbesondere IP-Adressen, Header- und Browserinformationen, Sicherheitsereignisse sowie Zeit- und Zugriffsdaten bearbeitet werden. Cloudflare kann den Datenverkehr über seine technische Infrastruktur verarbeiten, soweit dies zur Bereitstellung, Sicherheit und Abwehr von Angriffen erforderlich ist.

Die eingesetzten Anbieter werden im Rahmen der anwendbaren datenschutzrechtlichen Anforderungen eingebunden. Soweit Personendaten im Ausland bearbeitet werden, gelten zusätzlich die Hinweise in Abschnitt 22.

6. Cookies und ähnliche Technologien

Unsere Website verwendet Cookies und ähnliche Technologien, soweit dies technisch erforderlich ist. Dazu gehören insbesondere Sitzungs-, Funktions- und Sicherheitscookies sowie Cookies, die für eingebundene Funktionen benötigt werden.

Wir setzen auf der Website kein Besuchertracking und keine Webanalyse wie Google Analytics ein. Wir verwenden keine eigenen Werbe- oder Profiling-Cookies. Einzelne eingebundene Drittanbieterfunktionen können technisch notwendige Cookies setzen, beispielsweise für Sitzungen oder Sicherheitsfunktionen.

Sie können Cookies über die Einstellungen Ihres Browsers löschen oder blockieren. Das Blockieren technisch notwendiger Cookies kann dazu führen, dass einzelne Funktionen nicht oder nur eingeschränkt funktionieren.

7. Kontaktformulare und allgemeine Anfragen

Wenn Sie uns über ein Kontaktformular, per E-Mail, telefonisch oder auf andere Weise kontaktieren, bearbeiten wir die von Ihnen übermittelten Angaben, um Ihre Anfrage zu beantworten, eine gewünschte Leistung vorzubereiten oder abzuwickeln und die Kommunikation zu dokumentieren.

Kontaktformular-Nachrichten werden über die Website an unsere Microsoft-365-Postfächer übermittelt. Die eigentlichen Nachrichteninhalte werden nicht dauerhaft in der WordPress-Datenbank gespeichert. WordPress führt für Formulare technische Audit- bzw. Versandinformationen, jedoch nicht den vollständigen Nachrichteninhalt. Diese technischen Formularprotokolle werden grundsätzlich nach 90 Tagen gelöscht.

Zur Missbrauchs- und Spamabwehr verarbeitet die Website zusätzlich kurzfristig technische Daten, insbesondere IP-bezogene Sicherheitsinformationen. Die Formulare verwenden technische Schutzmechanismen gegen automatisierte oder missbräuchliche Eingaben.

E-Mails und anschliessende Korrespondenz können in Microsoft 365 so lange aufbewahrt werden, wie dies für die Bearbeitung der Anfrage, die Kundenbeziehung, die Vertragsabwicklung oder gesetzliche Nachweispflichten erforderlich ist.

8. Raumbuchungen

Bei der Buchung von Räumen bearbeiten wir die Angaben, die zur Bearbeitung der Buchung erforderlich sind. Dazu gehören insbesondere Kontakt- und Firmendaten, gewünschter Raum, Datum und Uhrzeit, Buchungsreferenz, Angaben zur Nutzung sowie gegebenenfalls Rechnungs- und interne Bearbeitungsdaten.

Die Buchung wird in WordPress gespeichert. Das System versendet über Microsoft 365 automatisch Eingangsbestätigungen sowie, abhängig vom Bearbeitungsstatus, Bestätigungs- oder Stornierungsnachrichten an die buchende Person und die zuständigen Mitarbeitenden. Buchungsbestätigungen können eine ICS-Kalenderdatei enthalten.

Für zuständige Mitarbeitende steht zusätzlich ein nicht öffentlich zugänglicher, technisch geschützter ICS-Raumkalender zur Verfügung. Dieser enthält Raum, Buchungsreferenz, Beginn und Ende, Standort sowie gegebenenfalls interne Hinweise. Namen, E-Mail-Adressen oder andere direkte Kontaktdaten der buchenden Person werden in diesem Kalender nicht ausgegeben.

Buchungsdatensätze werden grundsätzlich zwei Jahre nach Abschluss oder Stornierung der Buchung aufbewahrt und anschliessend gelöscht, soweit keine längere Aufbewahrung aus rechtlichen oder dokumentarischen Gründen erforderlich ist. Rechnungen und andere Buchhaltungsunterlagen werden davon getrennt nach den gesetzlichen Aufbewahrungsfristen aufbewahrt.

9. Ersatzkarten und Ersatzzertifikate

Anträge auf Ersatzkarten oder Ersatzzertifikate können über ein Formular auf unserer Website eingereicht werden. Dabei bearbeiten wir insbesondere Identifikations- und Kontaktdaten, Angaben zur benötigten Karte bzw. zum Zertifikat sowie gegebenenfalls ein Passfoto.

Die Antragsdaten werden zur Bearbeitung weitergeleitet und nicht dauerhaft als vollständiger Antrag in WordPress gespeichert. Ein hochgeladenes Foto wird auf dem Webserver nur so lange technisch vorgehalten, wie dies für die sichere Übermittlung und Bearbeitung erforderlich ist. Die für die Kartenerstellung erforderlichen Passfotos werden anschliessend in einem zugriffsbeschränkten Bereich von Microsoft SharePoint gespeichert, auf den nur hierfür berechtigte Mitarbeitende Zugriff haben.

Passfotos werden grundsätzlich bis zum Ablauf der jeweiligen Karte aufbewahrt und danach gelöscht, sofern keine andere gesetzliche oder sachlich notwendige Aufbewahrungspflicht besteht.

10. Kurskalender, Kursbuchungen und SEMCO

Für unseren Kurskalender, Kursanmeldungen und das Kundenportal verwenden wir SEMCO. Teile dieser Funktionen werden als eingebettete Inhalte (Iframe) in unsere Website integriert.

Bereits beim Öffnen einer Seite mit eingebettetem SEMCO-Inhalt können technische Verbindungsdaten an SEMCO übertragen werden, insbesondere IP-Adresse, Browser- bzw. User-Agent-Informationen, Herkunftsseite und weitere für die Verbindung erforderliche Daten. SEMCO kann im Rahmen der eingebetteten Funktion technisch notwendige Sitzungsinformationen oder Cookies verwenden.

Wenn Sie eine Kursanmeldung oder eine andere SEMCO-Funktion nutzen, werden die eingegebenen Daten für die jeweilige Buchung, Kursadministration oder Kundenbeziehung verarbeitet. Dazu können insbesondere Name, Arbeitgeber bzw. Firma, Kontaktangaben, Kurswahl, Teilnehmendendaten, Rechnungsangaben und administrative Informationen gehören.

Kurse werden separat in Rechnung gestellt. Auf der rail4mation-Website werden keine Online-Zahlungen abgewickelt und keine Kreditkarten- oder anderen Online-Zahlungsdaten erhoben. Für Kurstermine wird über die Website kein öffentlicher ICS-Abonnementdienst angeboten.

11. Kundenportal, Kundenbeziehungen und Vertragsabwicklung

Im Rahmen von Kundenbeziehungen bearbeiten wir Daten von Kunden, Ansprechpartnern, Teilnehmenden und gegebenenfalls weiteren beteiligten Personen. Die Bearbeitung dient insbesondere der Erstellung von Offerten, Auftrags- und Kursplanung, Kommunikation, Leistungserbringung, Rechnungsstellung, Reklamationsbearbeitung, Nachweisführung und Pflege der Geschäftsbeziehung.

Wenn ein Arbeitgeber oder Auftraggeber Mitarbeitende anmeldet, können wir deren Daten vom Arbeitgeber oder Auftraggeber erhalten. Wir verwenden diese Daten für die Durchführung der beauftragten Ausbildung bzw. Prüfung und die damit verbundene Administration.

12. Lernplattform e4learn.ch

rail4mation AG nutzt die Lernplattform e4learn.ch für digitale Lerninhalte und die Begleitung von Aus- und Weiterbildungen. Die öffentliche Website verlinkt auf diese Plattform; sie wird nicht innerhalb der öffentlichen Website eingebettet.

Bei der Nutzung der Lernplattform können insbesondere Benutzerkonto- und Stammdaten, Arbeitgeber- bzw. Firmenzuordnung, Kurszuweisungen, Anmelde- und Sitzungsdaten, Bearbeitungsstände, Lernfortschritt, Quiz- und Testergebnisse, abgegebene Aufgaben, Feedback sowie Zertifikats- und Abschlussinformationen verarbeitet werden.

Die Bearbeitung dient der Bereitstellung und Durchführung der gebuchten Ausbildung, der Lernfortschrittskontrolle, der Durchführung von Lernzielkontrollen, der Dokumentation des Kursabschlusses, der Qualitätssicherung sowie der Ausstellung von Nachweisen und Zertifikaten. Für die technische Anmeldung und Sitzungsverwaltung verwendet die Lernplattform notwendige Cookies.

Die Aufbewahrung von Daten auf der Lernplattform richtet sich nach dem jeweiligen Ausbildungszweck, den vertraglichen Vorgaben und den notwendigen Nachweis- und Aufbewahrungspflichten. Benutzerkonten oder Kurszugänge können nach Ende des benötigten Zugriffs gesperrt oder entfernt werden, während einzelne Ausbildungs-, Prüfungs- oder Nachweisdaten länger aufbewahrt werden können.

13. Aus- und Weiterbildungen, Anwesenheit und Ausbildungsnachweise

Für die Planung, Durchführung und Dokumentation unserer Aus- und Weiterbildungen bearbeiten wir insbesondere Teilnehmendenstammdaten, Arbeitgeber- und Auftragsangaben, Kurszuweisungen, Termine, Anwesenheiten, Absenzen, Lernfortschritt, Resultate von Lernzielkontrollen, Feedback sowie Angaben zu absolvierten Ausbildungsabschnitten.

Diese Daten dienen dazu, die Ausbildung ordnungsgemäss zu organisieren und durchzuführen, Teilnahme- oder Kompetenznachweise zu erstellen, die vertraglich vereinbarte Leistung gegenüber dem Auftraggeber nachzuweisen und regulatorische bzw. qualitätssichernde Anforderungen zu erfüllen.

Soweit für den Auftrag erforderlich, können relevante Ausbildungsdaten und Nachweise an den Arbeitgeber oder Auftraggeber der teilnehmenden Person übermittelt werden. Dies umfasst nur die für den jeweiligen Zweck erforderlichen Angaben.

14. Prüfungen, Bewertungen und Prüfungsprotokolle

Im Rahmen theoretischer und praktischer Prüfungen, Prüfungsreifeabklärungen, Kompetenzbeurteilungen und vergleichbarer Verfahren bearbeiten wir insbesondere Identifikationsdaten, Prüfungsdatum und -art, Prüfungsaufgaben und Antworten, Bewertungen, Resultate, Bemerkungen von Prüfenden, Prüfungsprotokolle sowie Informationen über bestandene oder nicht bestandene Prüfungen und Wiederholungen.

Diese Daten werden benötigt, um Prüfungen ordnungsgemäss durchzuführen, Resultate nachvollziehbar festzuhalten, die Erfüllung von Ausbildungs- und Qualifikationsanforderungen zu dokumentieren und gesetzliche, regulatorische, vertragliche oder qualitätssichernde Nachweispflichten zu erfüllen.

Prüfungsprotokolle, Prüfungsergebnisse und damit verbundene Qualifikationsnachweise können deshalb über längere Zeiträume aufbewahrt werden. Die konkrete Aufbewahrungsdauer richtet sich nach der Art der Prüfung, den einschlägigen Vorschriften und Reglementen, den Anforderungen zuständiger Stellen sowie dem erforderlichen Nachweiszweck. Eine Löschung erfolgt, sobald die Unterlagen für diese Zwecke nicht mehr benötigt werden und keine Aufbewahrungspflicht entgegensteht.

Soweit erforderlich oder vorgesehen, können Prüfungsergebnisse und Nachweise an Auftraggeber, Arbeitgeber, Prüfungsorganisationen, zuständige Stellen oder Behörden bekanntgegeben werden.

15. Zertifikate, Ausweise und Qualifikationsnachweise

Zur Ausstellung und gegebenenfalls späteren Bestätigung oder Ersetzung von Zertifikaten, Karten und Qualifikationsnachweisen bearbeiten wir die hierfür erforderlichen Identifikations-, Ausbildungs-, Prüfungs- und Ausstellungsdaten.

Bestimmte Nachweisdaten können auch nach Abschluss einer Ausbildung länger aufbewahrt werden, damit wir ausgestellte Nachweise nachvollziehen, deren Echtheit bestätigen, Ersatzdokumente erstellen oder regulatorische Nachweispflichten erfüllen können.

16. Rechnungsstellung und Buchhaltung

Für Offerten, Rechnungen, Zahlungsverfolgung und Buchhaltung bearbeiten wir insbesondere Kunden- und Firmendaten, Kontaktpersonen, Leistungs- und Kursangaben, Rechnungsadressen, Beträge, Zahlungsstatus sowie die für die Finanzbuchhaltung notwendigen Belege.

Buchhaltungsunterlagen und Geschäftsbücher werden entsprechend den gesetzlichen Vorgaben grundsätzlich während zehn Jahren aufbewahrt. Dies gilt unabhängig davon, ob andere zugehörige operative Daten früher gelöscht werden.

Die Anmeldung und Verwaltung unseres Newsletters erfolgt über WordPress. Für die Anmeldung bearbeiten wir insbesondere die E-Mail-Adresse sowie allfällige weitere im Anmeldeformular angegebene Daten.

Eine Newsletter-Anmeldung wird erst wirksam, wenn der per E-Mail versandte Bestätigungslink angeklickt wurde (Double Opt-in). Nicht bestätigte Anmeldungen werden nach sieben Tagen automatisch gelöscht. Der Versand der Bestätigungs- und Newsletter-E-Mails erfolgt über unsere Microsoft-365-Infrastruktur.

Sie können sich jederzeit über die vorgesehene Abmeldefunktion vom Newsletter abmelden. Nach der Abmeldung bewahren wir den erforderlichen Nachweis der früheren Einwilligung grundsätzlich während 24 Monaten auf. Die E-Mail-Adresse kann darüber hinaus in einer Sperr- bzw. Ausschlussliste gespeichert bleiben, soweit dies erforderlich ist, um weitere Newsletter-Zusendungen zuverlässig zu verhindern.

Newsletter-Abonnements und andere Kunden- oder CRM-Kontakte werden technisch getrennt geführt. Eine Newsletter-Anmeldung führt nicht automatisch zu einer allgemeinen Werbe- oder CRM-Einwilligung.

Wenn Sie sich bei rail4mation bewerben, bearbeiten wir die von Ihnen eingereichten Bewerbungsdaten für die Prüfung Ihrer Bewerbung, die Kommunikation mit Ihnen und die Durchführung des Bewerbungsverfahrens. Dazu können insbesondere Kontaktdaten, Lebenslauf, Ausbildungs- und Berufserfahrung, Zeugnisse, Referenzen und weitere von Ihnen eingereichte Unterlagen gehören.

Unterlagen nicht berücksichtigter Bewerbender werden grundsätzlich spätestens drei Monate nach Abschluss des Bewerbungsverfahrens bzw. nach der Absage gelöscht, sofern keine gesetzliche Pflicht, ein konkreter Rechtsanspruch oder eine ausdrückliche Einwilligung für eine längere Aufbewahrung entgegensteht.

Kommt ein Arbeitsverhältnis zustande, werden die hierfür erforderlichen Daten in die Personaldokumentation übernommen und entsprechend den für Arbeitsverhältnisse geltenden Aufbewahrungs- und Nachweispflichten weiterbearbeitet. Personaldaten werden in zugriffsbeschränkten Bereichen gespeichert und sind nur für berechtigte Personen zugänglich.

19. YouTube

Auf unserer Website können YouTube-Videos eingebunden sein. Die Videos werden nicht bereits mit dem blossen Seitenaufruf abgespielt. Erst wenn Sie die Wiedergabe starten, wird eine Verbindung zu YouTube bzw. Google hergestellt.

Wir verwenden hierfür soweit technisch vorgesehen die Domain youtube-nocookie.com und damit den erweiterten Datenschutzmodus. Beim Abspielen können dennoch Verbindungs-, Geräte- und Nutzungsdaten an Google übermittelt und dort weiterbearbeitet werden. Wenn Sie bei Google angemeldet sind, kann Google die Nutzung unter Umständen Ihrem Benutzerkonto zuordnen.

20. Google Maps und externe Links

Unsere Website enthält Links zu Google Maps, beispielsweise für die Anreise. Google Maps wird nicht automatisch als Karte in die Website geladen. Eine Verbindung zu Google entsteht erst, wenn Sie einen entsprechenden Link aufrufen.

Darüber hinaus können wir auf Websites oder Dienste Dritter verlinken. Für die Datenbearbeitung auf diesen externen Angeboten sind die jeweiligen Betreiber verantwortlich. Es gelten deren Datenschutzinformationen.

21. Empfänger und Auftragsbearbeiter

Wir geben Personendaten nur weiter, soweit dies für die beschriebenen Zwecke erforderlich ist, eine gesetzliche Pflicht besteht oder eine andere zulässige Grundlage vorliegt. Zu den möglichen Empfängern bzw. Auftragsbearbeitern gehören insbesondere:

Amazon Web Services (Hosting der Website in der Region Zürich);
Cloudflare (DNS, Weiterleitung, Sicherheits- und Netzwerkdienste);
Microsoft, insbesondere Microsoft 365 und SharePoint (E-Mail, Kommunikation und ausgewählte Dokumentablagen);
ONTIV (technische Betreuung und Unterstützung);
SEMCO bzw. die für SEMCO eingesetzten technischen Betreiber (Kurskalender, Kursbuchung und Kundenportal);
RunMyAccounts (Finanzbuchhaltung und Rechnungswesen);
technische Dienstleister für die Lernplattform e4learn.ch;
beauftragte Ausbilder, Prüfungsexperten, Partnerunternehmen oder weitere Leistungserbringer, soweit sie die Daten zur Durchführung der vereinbarten Ausbildung oder Prüfung benötigen;
Arbeitgeber bzw. Auftraggeber von Teilnehmenden, soweit Ausbildungs-, Prüfungs- oder Nachweisdaten im Rahmen des Auftrags an sie zurückgemeldet werden müssen;
Behörden oder zuständige Stellen, soweit eine gesetzliche oder regulatorische Pflicht zur Bekanntgabe besteht.

Mit Auftragsbearbeitern werden, soweit erforderlich, Vereinbarungen zur Auftragsbearbeitung bzw. entsprechende Datenschutzklauseln eingesetzt.

22. Bekanntgabe von Personendaten ins Ausland

Unsere Website wird in der Schweiz (AWS-Region Zürich) gehostet. Bei der Nutzung internationaler Dienste kann es dennoch zu einer Bearbeitung von Personendaten ausserhalb der Schweiz kommen. Dies betrifft insbesondere Cloudflare, Microsoft 365/SharePoint und YouTube/Google. Technische Verbindungs-, Sicherheits-, Support- oder Nutzungsdaten können dabei namentlich in den Vereinigten Staaten von Amerika (USA), in Irland sowie in weiteren Staaten bearbeitet werden, in denen die jeweiligen Anbieter, Konzerngesellschaften oder Unterauftragsbearbeiter tätig sind. Aufgrund der globalen Infrastruktur dieser Anbieter können sich die konkret betroffenen Staaten ändern. Die jeweils aktuellen Staaten ergeben sich aus den veröffentlichten Datenstandort- und Unterauftragsbearbeiterlisten der betreffenden Anbieter; diese Anbieterinformationen sind Bestandteil der Transparenzinformationen zu den jeweiligen Diensten. Auf Anfrage teilen wir die für eine konkrete Bearbeitung relevanten Staaten und Garantien mit.

Aktuelle Länder- und Unterauftragsbearbeiterinformationen der wichtigsten internationalen Anbieter: Cloudflare: www.cloudflare.com/gdpr/subprocessors/cloudflare-services/; Microsoft 365: learn.microsoft.com/en-us/microsoft-365/enterprise/o365-data-locations und learn.microsoft.com/en-us/microsoft-365/enterprise/personnel-loc/m365-personnel-location; Google/YouTube: policies.google.com/privacy. Diese Verzeichnisse werden von den Anbietern laufend aktualisiert.

Soweit für einen Empfängerstaat kein vom Bundesrat anerkanntes angemessenes Datenschutzniveau besteht, stellen wir einen geeigneten Schutz sicher, insbesondere durch anerkannte Standarddatenschutzklauseln und, soweit erforderlich, zusätzliche Schutzmassnahmen. Soweit gesetzlich zulässig, kann eine Bekanntgabe im Einzelfall auch auf eine Ausnahme nach dem DSG gestützt werden.

Weitere Informationen zu den im konkreten Fall betroffenen Empfängerländern und verwendeten Garantien können über unseren Datenschutzkontakt angefordert werden.

23. Aufbewahrungsdauer

Wir bewahren Personendaten nur so lange auf, wie dies für den jeweiligen Bearbeitungszweck, zur Erfüllung vertraglicher oder gesetzlicher Pflichten oder zur Wahrung berechtigter Nachweis- und Rechtsinteressen erforderlich ist. Danach werden die Daten gelöscht oder anonymisiert, soweit keine weitere Aufbewahrung erforderlich ist.

Für wichtige Datenkategorien gelten derzeit insbesondere folgende Grundsätze:

Technische Website- und Sicherheitsprotokolle: grundsätzlich 30 Tage; bei konkreten Sicherheitsvorfällen gegebenenfalls länger
Technische Kontaktformular-Protokolle: grundsätzlich 90 Tage
Raumbuchungsdatensätze: grundsätzlich 2 Jahre nach Abschluss oder Stornierung
Buchhaltungsunterlagen und Geschäftsbücher: grundsätzlich 10 Jahre gemäss gesetzlichen Vorgaben
Passfotos für Ersatzkarten: grundsätzlich bis zum Ablauf der betreffenden Karte
Nicht bestätigte Newsletter-Anmeldungen: 7 Tage
Newsletter-Einwilligungsnachweis nach Abmeldung: grundsätzlich 24 Monate; Sperrlisteneintrag soweit zur Verhinderung weiterer Zusendungen erforderlich
Nicht berücksichtigte Bewerbungen: grundsätzlich spätestens 3 Monate nach Absage bzw. Abschluss des Verfahrens
Prüfungsprotokolle, Prüfungsergebnisse und Qualifikationsnachweise: nach den einschlägigen regulatorischen, vertraglichen und dokumentarischen Anforderungen; je nach Nachweiszweck langfristig
Kurs-, Lern- und Ausbildungsdaten: solange für Durchführung, Nachweis, Qualitätssicherung sowie gesetzliche oder vertragliche Pflichten erforderlich

24. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um Personendaten vor Verlust, unberechtigtem Zugriff, missbräuchlicher Verwendung, Veränderung oder Offenlegung zu schützen. Dazu gehören je nach System insbesondere Rollen- und Zugriffsbeschränkungen, geschützte Benutzerkonten, technische Sicherheitskontrollen, abgesicherte Übertragungswege, Protokollierung, Berechtigungsmanagement und regelmässige technische Pflege.

Der Zugriff auf personenbezogene Unterlagen wird nach dem Need-to-know-Prinzip auf Personen beschränkt, die diese Daten für ihre Aufgabe benötigen. Besonders schützenswerte oder identitätsbezogene Dokumente, beispielsweise Passfotos, werden in hierfür vorgesehenen zugriffsbeschränkten Bereichen gespeichert.

Trotz angemessener Sicherheitsmassnahmen kann bei elektronischer Kommunikation und Datenverarbeitung kein absoluter Schutz garantiert werden.

25. Ihre Rechte

Im Rahmen des anwendbaren Datenschutzrechts haben Sie insbesondere das Recht, Auskunft darüber zu verlangen, ob und welche Personendaten wir über Sie bearbeiten. Sie können zudem die Berichtigung unrichtiger Daten verlangen und, soweit die gesetzlichen Voraussetzungen erfüllt sind, die Löschung bzw. Vernichtung von Personendaten oder die Beendigung einer unzulässigen Bearbeitung verlangen.

Soweit die gesetzlichen Voraussetzungen erfüllt sind, können Sie ausserdem die Herausgabe bestimmter Personendaten in einem gängigen elektronischen Format oder deren Übertragung an einen anderen Verantwortlichen verlangen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt die Rechtmässigkeit einer vor dem Widerruf erfolgten Bearbeitung nicht.

Zur Bearbeitung eines Auskunfts- oder anderen Datenschutzbegehrens können wir einen geeigneten Identitätsnachweis verlangen, wenn dies erforderlich ist, um Personendaten vor einer Herausgabe an unberechtigte Dritte zu schützen. Gesetzlich vorgesehene Einschränkungen oder Ausnahmen bleiben vorbehalten.

Anfragen richten Sie bitte an: datenschutz@rail4mation.ch

26. Aufsichtsbehörde

Sie können sich bei datenschutzrechtlichen Anliegen auch an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden. Weitere Informationen finden Sie auf der Website des EDÖB.

www.edoeb.admin.ch

27. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Datenbearbeitungen, eingesetzte Systeme oder die rechtlichen Anforderungen ändern. Massgebend ist die jeweils auf unserer Website veröffentlichte Fassung. Bei wesentlichen Änderungen aktualisieren wir das oben angegebene Datum.