1. Verantwortliche Stelle

Verantwortlich für die Bearbeitung Ihrer Personendaten ist:

Swihol GmbH
Kinderkleiderbörse Balu
Gartenstadtstrasse 6-8
3098 Köniz
UID: CHE-233.910.418
vertreten durch Tim Blöchlinger, Geschäftsführer

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns per E-Mail an datenschutz@balu-koeniz.ch, per Telefon unter 031 972 26 11 oder per Post an die obige Adresse.

Wir haben keine Datenschutzberaterin und keinen Datenschutzberater im Sinne von Art. 10 DSG ernannt. Ihre Anfragen bearbeitet die Geschäftsführung direkt.

2. Worum es in dieser Erklärung geht

Diese Datenschutzerklärung erklärt, welche Personendaten wir bearbeiten, wozu wir das tun, an wen wir sie weitergeben und welche Rechte Sie haben. Sie gilt für unseren Laden in Köniz, für das Kommissionsgeschäft, für unsere Website balu-koeniz.ch, für unseren Newsletter und für unsere Kanäle auf Social Media und WhatsApp.

Massgebend ist das Schweizer Bundesgesetz über den Datenschutz (DSG, SR 235.1) mit der Datenschutzverordnung (DSV, SR 235.11). Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen.

Wir halten uns an folgende Grundsätze:

• Wir bearbeiten nur die Daten, die wir für den jeweiligen Zweck brauchen.
• Wir verkaufen keine Personendaten und geben sie nicht zu Werbezwecken an Dritte weiter.
• Wir treffen keine automatisierten Einzelentscheidungen im Sinne von Art. 21 DSG. Entscheidungen, etwa über die Annahme von Ware, trifft immer ein Mensch.
• Wir bearbeiten keine besonders schützenswerten Personendaten, ausser soweit Sie uns solche von sich aus mitteilen, etwa in einer Bewerbung.

Diese Erklärung gilt nicht für Websites anderer Anbieter, auf die wir verlinken.

3. Laden und Kommissionsgeschäft

Wenn Sie bei uns Ware in Kommission geben, eröffnen wir für Sie ein Kundenkonto. Dafür bearbeiten wir:

• Name, Adresse, Telefonnummer und E-Mail-Adresse
• Ihre Kundennummer
• die eingelieferten Artikel, deren Verkaufspreise und den Verkaufsstatus
• Ihr Guthaben, Ihre Kommissionsanteile und die Auszahlungen

Wir brauchen diese Daten, um den Kommissionsvertrag zu erfüllen: Ware erfassen, verkaufen, abrechnen und auszahlen. Ausserdem müssen wir Geschäftsunterlagen aus Buchhaltungs- und Steuergründen aufbewahren. Ohne diese Angaben können wir keine Ware in Kommission nehmen.

Wenn Sie im Laden nur einkaufen, bearbeiten wir abgesehen von der Videoüberwachung (Abschnitt 4) in der Regel keine Personendaten, ausser Sie zahlen mit Karte, lösen ein Guthaben oder eine Geschenkkarte ein oder wünschen einen digitalen Beleg.

Warenwirtschaft und Kundenkonten: Circle-Hand

Kundenkonten, Artikel und Kommissionsabrechnungen verwalten wir mit der cloudbasierten Software Circle-Hand der Circle-Hand GmbH, Bülowstrasse 51, 10783 Berlin, Deutschland. Circle-Hand bearbeitet die Daten in unserem Auftrag und nur für unsere Zwecke. Weitere Informationen: Datenschutzerklärung von Circle-Hand.

Kasse: Shopify POS

Für Verkäufe an der Kasse nutzen wir Shopify POS. Anbieter für Kunden in der Schweiz ist die Shopify International Ltd., Dublin, Irland. Shopify bearbeitet die Verkaufsdaten (Artikel, Betrag, Zahlungsart, Zeitpunkt). Falls Sie an der Kasse Ihr Kundenkonto angeben, ein Guthaben oder eine Geschenkkarte einlösen oder einen digitalen Beleg wünschen, bearbeitet Shopify zusätzlich die dafür nötigen Angaben wie Name, Kundennummer oder E-Mail-Adresse. Shopify handelt dabei in unserem Auftrag. Shopify kann Daten an andere Konzerngesellschaften in Kanada und in den USA übermitteln (siehe Abschnitt 11). Weitere Informationen: Datenschutzerklärung von Shopify.

Kartenzahlung: PostFinance

Kartenzahlungen am Terminal wickelt die PostFinance AG, Bern, ab. Ihre Kartendaten gehen direkt vom Terminal an PostFinance und, je nach Karte, an die jeweilige Kartenorganisation. Wir selbst erhalten keine vollständigen Kartennummern, sondern nur Betrag, Zeitpunkt, Zahlungsart und eine gekürzte Kartennummer. PostFinance bearbeitet diese Daten in eigener Verantwortung. Weitere Informationen: Datenschutzerklärung von PostFinance.

4. Videoüberwachung im Laden

Unser Laden ist teilweise videoüberwacht. Hinweisschilder machen darauf aufmerksam. Die Videoüberwachung dient dem Schutz vor Diebstahl, Einbruch, Sachbeschädigung und Übergriffen sowie der Aufklärung solcher Vorfälle.

• Es werden nur Bilder erfasst, kein Ton.
• Umkleidekabinen und Toiletten werden nicht überwacht.
• Gespeicherte Aufnahmen bewahren wir nur so lange auf, wie es für diesen Zweck nötig ist.
• Zugriff auf Aufnahmen haben nur wenige, von uns berechtigte Personen.
• Bei einem Vorfall sichern wir die betreffenden Aufnahmen und geben sie wenn nötig an die Polizei oder andere zuständige Behörden weiter.

5. Website: Hosting, Server-Logfiles und Sicherheit

Unsere Website wird von HOSTFACTORY, einem Angebot der OptimaNet Schweiz AG, Stationsstrasse 56, 8472 Seuzach, gehostet. Das Rechenzentrum steht in der Schweiz. Weitere Informationen: Datenschutzerklärung von HOSTFACTORY.

Bei jedem Aufruf unserer Website speichert der Server automatisch technische Angaben in sogenannten Logfiles:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite und verweisende Website
• Browsertyp und Betriebssystem

Diese Angaben brauchen wir, um die Website auszuliefern, ihre Sicherheit und Stabilität zu gewährleisten und Angriffe abzuwehren. Wir führen sie nicht mit anderen Daten zusammen und löschen sie, sobald sie für diese Zwecke nicht mehr nötig sind.

Die Verbindung zu unserer Website ist mit TLS verschlüsselt. Sie erkennen das an «https://» und am Schloss-Symbol in der Adresszeile Ihres Browsers.

Schriften und Skripte von Drittanbietern

Für die Darstellung unserer Website laden wir einzelne Elemente von fremden Servern:

• Google Fonts: Die Schriftart «Inter» wird von Servern der Google Ireland Limited geladen. Dabei wird Ihre IP-Adresse an Google übermittelt.
• cdnjs (Cloudflare): Eine Programmbibliothek für eine Animation auf der Startseite wird über das Netzwerk der Cloudflare, Inc., USA, geladen. Dabei wird Ihre IP-Adresse an Cloudflare übermittelt. Weitere Informationen: Datenschutzerklärung von Cloudflare.

6. Cookies, Webanalyse und Werbung

Wir setzen auf unserer Website Cookies ein. Das sind kleine Textdateien, die Ihr Browser speichert. Wir unterscheiden:

• Technisch notwendige Cookies: Sie sorgen dafür, dass die Website funktioniert und sicher ist.
• Analyse-Cookies: Sie helfen uns zu verstehen, wie die Website genutzt wird (siehe Google Analytics unten).
• Marketing-Cookies: Sie messen den Erfolg unserer Google-Anzeigen und ermöglichen es, Besucherinnen und Besuchern unserer Website später wieder Anzeigen von uns zu zeigen (siehe Google Ads unten).

Werbe- oder Tracking-Cookies von Social-Media-Anbietern setzen wir nicht ein.

Sie können Cookies in Ihrem Browser jederzeit löschen oder blockieren. Die Website funktioniert dann unter Umständen nur eingeschränkt.

Google Tag Manager

Wir nutzen den Google Tag Manager, um die Analyse-Software auf unserer Website einzubinden. Der Tag Manager selbst setzt keine Cookies und wertet keine Daten aus. Beim Laden wird aber Ihre IP-Adresse an Google übermittelt, weil der Code von Google-Servern geladen wird.

Google Analytics 4

Wir nutzen Google Analytics 4, um zu verstehen, wie Besucherinnen und Besucher unsere Website nutzen, etwa welche Seiten aufgerufen werden, wie lange man bleibt und über welchen Weg man zu uns kommt. Dafür setzt Google Analytics Cookies (z. B. «_ga»), die bis zu zwei Jahre gespeichert bleiben können.

Nach Angaben von Google werden IP-Adressen von Nutzerinnen und Nutzern aus der Schweiz in Google Analytics 4 nicht gespeichert. Sie werden nur kurz verwendet, um ungefähr den Standort (Land, Region, Stadt) abzuleiten, und danach gelöscht. Die Daten werden zuerst über Server in der EU erfasst. Wir erhalten nur zusammengefasste Auswertungen und können Sie damit nicht identifizieren.

Wir haben in Google Analytics die Google-Signale aktiviert. Wenn Sie bei Google angemeldet sind und personalisierte Werbung zugelassen haben, kann Google Ihre Nutzung unserer Website mit Ihrem Google-Konto verknüpfen. So können wir geräteübergreifende Auswertungen erhalten und Zielgruppen für unsere Anzeigen bilden. Wir sehen dabei keine Angaben zu einzelnen Personen. Ob Google Ihre Daten für personalisierte Werbung nutzt, steuern Sie in den Einstellungen Ihres Google-Kontos.

Anbieter ist die Google Ireland Limited, Dublin, Irland. Google kann Daten an die Google LLC in den USA übermitteln (siehe Abschnitt 11). Weitere Informationen: Datenschutz in Google Analytics für die EU, die Schweiz und das Vereinigte Königreich und Datenschutzerklärung von Google.

Sie können die Erfassung durch Google Analytics verhindern, indem Sie Cookies blockieren oder das Browser-Add-on zur Deaktivierung von Google Analytics installieren.

Google Ads

Wir schalten Anzeigen in der Google-Suche und nutzen auf unserer Website die Dienste Conversion-Tracking und Remarketing von Google Ads. Anbieter ist die Google Ireland Limited, Dublin, Irland, mit möglicher Übermittlung an die Google LLC in den USA (siehe Abschnitt 11).

• Conversion-Tracking: Wenn Sie über eine unserer Anzeigen auf unsere Website kommen, setzt Google ein Cookie (z. B. «_gcl_au», Gültigkeit rund 90 Tage). So sehen wir, wie viele Besuche unsere Anzeigen bringen. Wir erhalten nur zusammengefasste Zahlen.
• Remarketing: Google merkt sich mit Cookies, dass Ihr Browser unsere Website besucht hat. Dadurch können wir Ihnen später auf Google und auf Partnerseiten Anzeigen von Balu zeigen. Wir erfahren dabei nicht, wer Sie sind.

Sie können personalisierte Werbung in Ihren Google-Werbeeinstellungen abschalten oder Cookies von Drittanbietern in Ihrem Browser blockieren.

7. Kontakt und Karte

Kontaktformular, E-Mail und Telefon

Wenn Sie uns über das Kontaktformular, per E-Mail oder per Telefon kontaktieren, bearbeiten wir Ihre Angaben (im Formular Vorname, Nachname, E-Mail-Adresse und Ihre Nachricht; bei Anrufen und E-Mails die Angaben, die Sie uns mitteilen), um Ihre Anfrage zu beantworten. Die Angaben aus dem Kontaktformular erhalten wir per E-Mail. Wir bewahren Ihre Nachricht so lange auf, wie es für die Bearbeitung und für allfällige Rückfragen nötig ist.

Karte zu unserem Standort

Auf unserer Website zeigen wir unseren Standort auf einer interaktiven Karte. Dafür verwenden wir die Kartensoftware Leaflet mit Kartenbildern von Google Maps. Beim Anzeigen der Karte lädt Ihr Browser die Kartenbilder direkt von Servern der Google Ireland Limited. Dabei werden Ihre IP-Adresse, die aufgerufene Seite und technische Angaben zu Ihrem Browser an Google übermittelt, mit möglicher Weitergabe an die Google LLC in den USA (siehe Abschnitt 11). Weitere Informationen: Datenschutzerklärung von Google.

8. Newsletter

Mit unserem Newsletter informieren wir über Annahmetermine, Aktionen und Neuigkeiten aus dem Laden. Für die Anmeldung brauchen wir nur Ihre E-Mail-Adresse.

Das Anmeldeformular auf unserer Website wird direkt von den Servern von Brevo geladen. Schon beim Aufruf einer Seite mit diesem Formular wird deshalb Ihre IP-Adresse an Brevo übermittelt.

Wir werten aus, ob ein Newsletter geöffnet und welche Links angeklickt wurden, um unsere Newsletter zu verbessern. Dafür enthält der Newsletter kleine Grafiken (Zählpixel) und angepasste Links.

Sie können den Newsletter jederzeit abbestellen, über den Abmeldelink in jedem Newsletter oder mit einer Nachricht an uns. Danach löschen wir Ihre E-Mail-Adresse aus dem Verteiler.

Für Versand und Verwaltung nutzen wir Brevo der Brevo SAS, Paris, Frankreich. Brevo bearbeitet die Daten in unserem Auftrag. Nach eigenen Angaben kann Brevo Daten auch an Dienstleister in den USA und in Indien übermitteln (siehe Abschnitt 11). Weitere Informationen: Datenschutzerklärung von Brevo.

9. Social Media und WhatsApp-Kanal

Wir betreiben eine Facebook-Seite, ein Instagram-Profil und einen WhatsApp-Kanal. Auf unserer Website verlinken wir nur auf diese Angebote. Wir binden keine Social-Media-Plugins, Feeds oder Tracking-Pixel von Meta ein. Erst wenn Sie auf einen Link klicken, werden Sie zum jeweiligen Anbieter weitergeleitet.

Wenn Sie unsere Profile besuchen, ihnen folgen oder dort mit uns interagieren, bearbeitet der Anbieter Ihre Daten in eigener Verantwortung und nach seinen eigenen Bestimmungen. Für Nutzerinnen und Nutzer in Europa sind das die Meta Platforms Ireland Limited (Facebook, Instagram) und die WhatsApp Ireland Limited (WhatsApp), beide in Dublin, Irland. Die Anbieter können Daten auch in die USA und in andere Länder übermitteln.

• Von Facebook und Instagram erhalten wir nur zusammengefasste Statistiken, etwa zur Reichweite unserer Beiträge. Wir können daraus keine einzelnen Personen erkennen.
• Wenn Sie uns über diese Kanäle eine Nachricht schreiben, bearbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten.
• Über unseren WhatsApp-Kanal verschicken wir Informationen an alle Abonnentinnen und Abonnenten. Ihre Telefonnummer wird uns dabei nach Angaben von WhatsApp nicht angezeigt.

Weitere Informationen: Datenschutzrichtlinie von Meta (Facebook), Datenschutzrichtlinie von Instagram, Datenschutzrichtlinie von WhatsApp und Datenschutzrichtlinie für WhatsApp-Kanäle.

10. Bewerbungen

Wenn Sie sich bei uns bewerben, bearbeiten wir die Angaben und Unterlagen, die Sie uns schicken, um Ihre Eignung zu prüfen und das Bewerbungsverfahren durchzuführen. Zugriff haben nur die Personen, die über die Anstellung entscheiden.

Wenn wir Sie nicht anstellen, löschen wir Ihre Unterlagen spätestens drei Monate nach Abschluss des Verfahrens. Eine längere Aufbewahrung, etwa für künftige Stellen, erfolgt nur mit Ihrer Zustimmung. Wenn wir Sie anstellen, werden Ihre Unterlagen Teil des Personaldossiers.

11. Empfänger und Bekanntgabe ins Ausland

Die folgenden Dienstleister erhalten Personendaten von uns oder bearbeiten sie in unserem Auftrag.

Empfänger	Zweck	Land	Garantie bei Bekanntgabe ins Ausland
HOSTFACTORY (OptimaNet Schweiz AG)	Hosting der Website	Schweiz	nicht nötig
PostFinance AG	Kartenzahlungen	Schweiz	nicht nötig
Circle-Hand GmbH	Warenwirtschaft, Kundenkonten, Abrechnungen	Deutschland	angemessenes Datenschutzniveau
Shopify International Ltd.	Kassensystem	Irland, mit Weitergabe nach Kanada und in die USA	Irland und Kanada: angemessenes Datenschutzniveau; USA: verbindliche unternehmensinterne Datenschutzvorschriften (Binding Corporate Rules)
Brevo SAS	Newsletter und Anmeldeformular	Speicherung in der EU (Frankreich, Deutschland, Belgien); einzelne Unterauftragnehmer ausserhalb der EU, etwa in den USA	EU: angemessenes Datenschutzniveau; ausserhalb der EU: Standardvertragsklauseln bzw. Data Privacy Framework gemäss den Vertragsbedingungen von Brevo
Google Ireland Limited, Google LLC	Google Analytics, Google Tag Manager, Google Ads, Google Maps (Kartenbilder), Google Fonts	Irland, USA	Irland: angemessenes Datenschutzniveau; USA: Swiss-U.S. Data Privacy Framework
Cloudflare, Inc.	Auslieferung einer Programmbibliothek (cdnjs)	USA	Swiss-U.S. Data Privacy Framework

Welche Staaten der Bundesrat als angemessen anerkennt, ist in Anhang 1 der Datenschutzverordnung festgehalten. Seit dem 15. September 2024 gilt das auch für US-Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind. Weitere Informationen: Bundesamt für Justiz: Anerkennung von Staaten mit angemessenem Datenschutz.

Meta (Facebook, Instagram) und WhatsApp bearbeiten Daten in eigener Verantwortung (siehe Abschnitt 9). Google nutzt Daten aus Google Ads und den Google-Signalen teilweise auch für eigene Zwecke (siehe Abschnitt 6).

Darüber hinaus geben wir Personendaten nur weiter, wenn wir gesetzlich dazu verpflichtet sind oder es zur Wahrung unserer Rechte nötig ist, zum Beispiel an Behörden, Gerichte, die Polizei, unsere Treuhänderin oder Rechtsberater.

12. Wie lange wir Daten aufbewahren

Wir bewahren Personendaten nur so lange auf, wie es für den jeweiligen Zweck nötig ist oder das Gesetz es verlangt.

Daten	Aufbewahrung
Buchungsbelege, Kommissionsabrechnungen, Kassendaten	10 Jahre (gesetzliche Aufbewahrungspflicht, Art. 958f OR)
Kundenkonto und Guthaben	solange das Konto genutzt wird; Guthaben verfallen gemäss unseren AGB nach 5 Jahren. Konten, die nicht mehr genutzt werden, löschen wir, sobald wir sie nicht mehr benötigen und keine Aufbewahrungspflicht besteht.
Videoüberwachung	nur so lange, wie für den Zweck nötig; bei einem Vorfall bis zu dessen Abschluss
Newsletter-Anmeldung	bis zur Abmeldung
Kontaktanfragen	bis die Anfrage erledigt ist und keine Rückfragen mehr zu erwarten sind
Bewerbungen ohne Anstellung	höchstens 3 Monate nach Abschluss des Verfahrens
Server-Logfiles	nur so lange, wie für Sicherheit und Fehlerbehebung nötig

13. Datensicherheit

Wir schützen Ihre Daten mit technischen und organisatorischen Massnahmen vor Verlust, Missbrauch und unbefugtem Zugriff. Dazu gehören verschlüsselte Verbindungen, Zugriffsrechte nur für die Personen, die sie für ihre Arbeit brauchen, regelmässige Updates sowie die sorgfältige Auswahl unserer Dienstleister. Einen vollständigen Schutz kann aber niemand garantieren. Unverschlüsselte E-Mails können von Dritten gelesen werden; schicken Sie uns vertrauliche Angaben deshalb lieber auf anderem Weg.

14. Ihre Rechte

Nach dem DSG haben Sie insbesondere folgende Rechte:

• Auskunft: Sie können erfahren, ob und welche Personendaten wir über Sie bearbeiten (Art. 25 DSG). Die Auskunft ist in der Regel kostenlos.
• Berichtigung: Sie können verlangen, dass wir unrichtige Daten korrigieren.
• Löschung und Widerspruch: Sie können verlangen, dass wir Ihre Daten löschen oder nicht mehr bearbeiten, soweit keine gesetzliche Pflicht oder kein überwiegendes Interesse entgegensteht.
• Herausgabe: Sie können verlangen, dass wir Ihnen Daten, die Sie uns gegeben haben, in einem gängigen elektronischen Format herausgeben oder an eine andere Stelle übertragen (Art. 28 DSG).
• Widerruf: Eine Einwilligung, etwa für den Newsletter, können Sie jederzeit für die Zukunft widerrufen.

Für Ihr Anliegen genügt eine Nachricht an die Kontaktangaben in Abschnitt 1. Damit niemand Unbefugtes Auskunft über Sie erhält, können wir Sie bitten, sich auszuweisen. Wir antworten in der Regel innert 30 Tagen.

Wenn Sie der Ansicht sind, dass wir Ihre Daten nicht korrekt bearbeiten, können Sie sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, melden. Wir freuen uns aber, wenn Sie zuerst mit uns sprechen.

15. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Abläufe, Dienstleister oder das Recht ändern. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.