Datenschutzerklärung

1. Zweck dieser Datenschutzerklärung

Diese Datenschutzerklärung informiert darüber, wie Insurana Personendaten bearbeitet, wenn Personen die öffentliche Website besuchen, ein Nutzerkonto erstellen, die Web-Anwendung verwenden, Dokumente hochladen, automatisierte oder KI-gestützte Funktionen nutzen, ein kostenpflichtiges Abo abschliessen, den Support kontaktieren oder E-Mail-Benachrichtigungen erhalten. Insurana ist eine Software zur digitalen Verwaltung und automatisierten Auswertung eigener Versicherungsunterlagen. Insurana bietet keine Versicherungsberatung oder Versicherungsvermittlung an.

2. Verantwortlicher

Verantwortlich für die Datenbearbeitung ist Danial Shiekho, Handelsname Insurana, Alvierstrasse 15, 9475 Sevelen, Schweiz. Datenschutzkontakt: datenschutz@insurana.ch. Der Datenschutzkontakt ist die zentrale Anlaufstelle für Datenschutzanfragen; die Bezeichnung bedeutet nicht, dass ein formeller Datenschutzbeauftragter nach schweizerischem oder europäischem Recht bestellt wurde.

3. Anwendbares Datenschutzrecht

Insurana bearbeitet Personendaten nach dem Schweizer Bundesgesetz über den Datenschutz und den weiteren anwendbaren Datenschutzbestimmungen. Soweit die Datenschutz-Grundverordnung der Europäischen Union im konkreten Einzelfall zwingend anwendbar ist, werden zusätzlich deren Anforderungen berücksichtigt. Das Angebot richtet sich vorrangig an Nutzer mit Wohnsitz oder Sitz in der Schweiz und wird nicht gezielt auf Personen im Europäischen Wirtschaftsraum ausgerichtet.

4. Kategorien bearbeiteter Personendaten

• Konto- und Stammdaten: E-Mail-Adresse, Passwort-Hash, Verifikationsstatus, Spracheinstellungen, Konto- und Planstatus, Zeitpunkt der Registrierung, Login- und Sicherheitsinformationen.
• Profildaten: Name oder Profilbezeichnung, Geburtsjahr oder Alter, Haushaltsangaben, Wohnregion, Angaben zu Personen, Fahrzeugen, Immobilien, Unternehmen oder anderen versicherten Objekten sowie weitere freiwillig eingetragene Angaben.
• Versicherungs- und Vertragsdaten: Versicherer, Produkt- oder Vertragsbezeichnung, Policennummer, Prämienangaben, Laufzeit, Vertragsbeginn und -ende, Selbstbehalte, im Dokument genannte Deckungen, Ausschlüsse, Datums- und Fristenangaben.
• Hochgeladene Dokumente: Versicherungspolicen, Versicherungsbedingungen, Nachträge, Rechnungen, Offerten, Korrespondenz, Schadenunterlagen, Fotos, Scans und sonstige vom Nutzer hochgeladene Inhalte.
• Automatisiert erzeugte Daten: extrahierte Dokumentenangaben, Dokumentenkategorien, Zusammenfassungen, erkannte Fundstellen, Confidence-Werte, mögliche Dokumentenüberschneidungen, nicht eindeutig erkannte Angaben, Termin- und Fristenhinweise, Nutzerkorrekturen, Status- und Review-Angaben.
• Kommunikationsdaten: Supportanfragen, E-Mail-Kommunikation, Feedback, Fehlermeldungen und sonstige Mitteilungen.
• Zahlungs- und Abodaten: gewählter Plan, Abrechnungsperiode, Zahlungsstatus, Rechnungsstatus, Transaktionsreferenz, Kundennummer beim Zahlungsdienstleister. Insurana speichert keine vollständigen Kreditkartendaten.
• Technische Daten: IP-Adresse, Browsertyp, Betriebssystem, Gerätetyp, Login-Zeitpunkt, Session-Informationen, Request- und Ereigniskennungen, Fehlerdaten, Sicherheitsereignisse, technisch erforderliche Nutzungsprotokolle.

5. Besonders schützenswerte Personendaten

Versicherungsunterlagen können besonders schützenswerte Personendaten enthalten, insbesondere Gesundheitsdaten, Angaben zu Unfällen, Angaben zu Behinderungen oder Arbeitsunfähigkeit, Informationen über rechtliche Streitigkeiten, Angaben über Sozialhilfemassnahmen, Angaben über finanzielle Verhältnisse und weitere sensible persönliche Umstände. Insurana fordert Nutzer nicht gezielt zur Eingabe medizinischer Diagnosen oder anderer sensibler Angaben auf. Solche Informationen können jedoch Bestandteil hochgeladener Dokumente sein. Vor dem Upload muss der Nutzer bestätigen, dass er zur Bearbeitung der betreffenden Dokumente berechtigt ist und die Informationen über die automatisierte und KI-gestützte Bearbeitung zur Kenntnis genommen hat.

6. Bearbeitungszwecke

• Bereitstellung der Website und Web-Anwendung
• Registrierung und Verwaltung von Nutzerkonten
• Authentifizierung und Kontosicherheit
• Speicherung und Verwaltung hochgeladener Dokumente
• automatisierte und KI-gestützte Dokumentenanalyse
• Extraktion und strukturierte Darstellung ausgewählter Angaben
• Dokumentenklassifikation und Suchfunktionen
• Kennzeichnung möglicher inhaltlicher Überschneidungen
• Erkennung von Datums- und Fristenangaben
• Versand gewünschter Benachrichtigungen
• Bereitstellung dokumentenbezogener Frage-Antwort-Funktionen
• Schaden-Dokumentation
• Erstellung periodischer Dokumentenübersichten
• Zahlungs- und Aboabwicklung
• Kundensupport
• Missbrauchs- und Betrugsprävention
• Gewährleistung von Sicherheit und Stabilität
• Fehleranalyse und technische Verbesserung
• Erfüllung gesetzlicher Pflichten
• Durchsetzung oder Abwehr rechtlicher Ansprüche

7. Rechtsgrundlagen

Nach Schweizer Datenschutzrecht erfolgt die Bearbeitung unter Einhaltung der Grundsätze der Rechtmässigkeit, Verhältnismässigkeit, Zweckbindung, Transparenz und Datensicherheit. Soweit die DSGVO anwendbar ist, erfolgt die Bearbeitung je nach Zweck insbesondere aufgrund der Erfüllung eines Vertrags, vorvertraglicher Massnahmen, einer Einwilligung, gesetzlicher Verpflichtungen oder berechtigter Interessen an Sicherheit, Betrieb, Missbrauchsprävention und Weiterentwicklung. Soweit für eine Bearbeitung eine Einwilligung erforderlich ist, kann sie jederzeit mit Wirkung für die Zukunft widerrufen werden; die Rechtmässigkeit bereits erfolgter Bearbeitungen bleibt davon unberührt. Ein Widerruf kann dazu führen, dass bestimmte Funktionen nicht mehr bereitgestellt werden können.

8. KI-gestützte Bearbeitung

Insurana verwendet KI-gestützte Verfahren, um Inhalte aus hochgeladenen Dokumenten zu erkennen, zu strukturieren und zusammenzufassen. Dabei können Dokumentinhalte oder Ausschnitte daraus an einen spezialisierten KI-Dienstleister übermittelt werden. Je nach verwendeter Funktion können zusätzlich eingegebene Profilangaben verarbeitet werden, soweit sie für die gewünschte dokumentenbezogene Auswertung erforderlich sind. Die KI kann Text aus Dokumenten extrahieren, Dokumentinhalte kategorisieren, ausgewählte Angaben zusammenfassen, Fundstellen nennen, ähnliche Inhalte kennzeichnen und Fragen zu den hochgeladenen Unterlagen beantworten. Die KI führt keine verbindliche rechtliche oder versicherungsfachliche Prüfung durch.

9. Keine automatisierten Einzelentscheidungen

Insurana trifft keine ausschliesslich automatisierte Entscheidung, die gegenüber dem Nutzer unmittelbar rechtliche Wirkung entfaltet oder ihn in vergleichbarer Weise erheblich beeinträchtigt.

• Abschluss oder Kündigung eines Versicherungsvertrags
• Änderung eines Versicherungsvertrags
• Annahme oder Ablehnung eines Schadenfalls
• Festlegung einer Versicherungsprämie
• verbindliche Beurteilung einer Versicherungsdeckung
• Weiterleitung an einen Versicherer

10. Verwendung für Modelltraining

Die über die von Insurana eingesetzten kommerziellen API-Dienste übermittelten Inhalte werden nach den für Insurana geltenden vertraglichen API-Bedingungen nicht zum Training allgemein verfügbarer KI-Modelle verwendet. Insurana verwendet hochgeladene Versicherungsdokumente nicht zum Training eines eigenen allgemein verfügbaren KI-Modells. Soweit sich diese Bedingungen ändern, wird diese Datenschutzerklärung vor einer entsprechenden Nutzung angepasst und, falls erforderlich, eine gesonderte Einwilligung eingeholt.

11. Dienstleister und Empfänger

Insurana setzt technische Dienstleister ein, soweit dies für Betrieb und Bereitstellung erforderlich ist.

• Hosting und Infrastruktur: Hetzner Online GmbH, Deutschland. Serverbetrieb, Datenbank, Datei- und Objektspeicherung, Backups, technische Infrastruktur. Die primäre Verarbeitung findet in europäischen Rechenzentren statt.
• KI-Verarbeitung: Anthropic beziehungsweise die für die verwendete Claude-API verantwortliche Konzerngesellschaft. Analyse von Dokumentinhalten, Extraktion strukturierter Angaben, Erstellung dokumentenbezogener Antworten und Zusammenfassungen. Dabei kann eine Verarbeitung in den USA stattfinden.
• Zahlungsabwicklung: Stripe. Zahlungsabwicklung, Aboverwaltung, Rechnungs- und Transaktionsstatus, Betrugsprävention. Stripe kann Daten innerhalb der Europäischen Union, der Schweiz und der USA bearbeiten und für bestimmte Bearbeitungen selbst datenschutzrechtlich verantwortlich sein.
• E-Mail-Versand: Resend beziehungsweise Plus Five Five, Inc. und von Resend eingesetzte Infrastruktur wie Amazon SES. E-Mail-Verifikation, Passwort-Reset, Konto- und Sicherheitsmeldungen, Erinnerungen, Zahlungs- und Abohinweise, Support-Kommunikation. Eine Verarbeitung kann insbesondere in den USA stattfinden.
• Behörden und andere Empfänger: Personendaten können ausserdem offengelegt werden, wenn eine gesetzliche Verpflichtung besteht, eine behördliche oder gerichtliche Anordnung vorliegt, dies zur Durchsetzung oder Abwehr rechtlicher Ansprüche oder zur Untersuchung eines Sicherheitsvorfalls erforderlich ist, oder der Nutzer ausdrücklich zugestimmt hat. Personendaten werden nicht an Versicherer, Broker oder andere Vermittler weitergegeben, um Versicherungsverträge anzubieten oder abzuschliessen.

12. Auftragsbearbeitung

Soweit Dienstleister Personendaten ausschliesslich im Auftrag von Insurana bearbeiten, werden sie vertraglich verpflichtet, Daten nur nach dokumentierten Weisungen, vertraulich und mit angemessenen Sicherheitsmassnahmen zu bearbeiten. Dienstleister dürfen Unterauftragsbearbeiter nur nach Massgabe der jeweiligen Vereinbarungen einsetzen.

13. Bekanntgabe ins Ausland

Personendaten können in Staaten bearbeitet werden, in denen das Datenschutzniveau von den schweizerischen Behörden als angemessen anerkannt wird. Bei Empfängern in Staaten ohne allgemein anerkanntes angemessenes Datenschutzniveau — insbesondere den USA, wo Anthropic und Resend Daten verarbeiten können — stützt sich die Übermittlung, soweit erforderlich, auf anerkannte Standarddatenschutzklauseln, schweizerische Ergänzungen zu diesen Klauseln, geeignete zusätzliche technische und organisatorische Massnahmen, einen anwendbaren Angemessenheitsrahmen oder eine gesetzliche Ausnahme. Trotz vertraglicher und technischer Schutzmassnahmen kann bei einer Verarbeitung in Drittstaaten nicht vollständig ausgeschlossen werden, dass ausländische Behörden nach dem dortigen Recht auf Daten zugreifen.

14. Cookies und lokale Speicherung

Insurana verwendet technisch notwendige Cookies oder vergleichbare lokale Speichertechnologien für Login, Session-Verwaltung, Sicherheit, Spracheinstellungen und technisch notwendige Präferenzen. Insurana verwendet auf der öffentlichen Website keine Cookies für personalisierte Werbung. Falls künftig optionale Analyse- oder Marketingtechnologien eingesetzt werden, wird vor deren Aktivierung informiert und, soweit erforderlich, eine Einwilligung eingeholt.

15. E-Mails und Benachrichtigungen

Vertrags- und sicherheitsbezogene E-Mails können insbesondere versendet werden für Registrierung und E-Mail-Verifikation, Passwort-Reset, Sicherheitswarnungen, Kontoänderungen, Zahlungs- und Aboinformationen, vom Nutzer aktivierte Erinnerungen sowie Support-Kommunikation. Marketing- oder Produktinformationen werden nur versendet, wenn eine entsprechende Einwilligung oder eine andere ausreichende Rechtsgrundlage besteht. Marketing-E-Mails können jederzeit über den Abmeldelink oder durch Mitteilung an Insurana abbestellt werden.

16. Protokolldaten

Zur Sicherheit, Fehleranalyse und Stabilität können technische Protokolle bearbeitet werden. Diese können IP-Adressen, Zeitpunkte, Fehlercodes, Gerätedaten, Request-IDs, Login-Ereignisse und sicherheitsrelevante Aktionen enthalten. Insurana versucht, vollständige Versicherungsdokumente, Gesundheitsdaten, vollständige Policentexte und Zahlungsdaten nicht in regulären technischen Logs zu speichern.

17. Speicherdauer

• Konto- und Profildaten: Speicherung während des Bestehens des Nutzerkontos und danach, soweit dies für Abwicklung, Sicherheit oder Rechtsansprüche erforderlich ist.
• Versicherungsdokumente und extrahierte Angaben: Speicherung, bis der Nutzer die betreffenden Inhalte oder sein Konto löscht, soweit keine zulässigen Gründe für eine weitere Speicherung bestehen.
• Zahlungs- und Rechnungsdaten: Speicherung entsprechend den anwendbaren handels-, steuer- und buchhaltungsrechtlichen Aufbewahrungspflichten.
• Support-Kommunikation: Speicherung, solange dies für die Bearbeitung der Anfrage und die Dokumentation möglicher Ansprüche erforderlich ist.
• Sicherheits- und technische Logs: Speicherung für einen begrenzten Zeitraum, der sich nach Sicherheitszweck, Fehleranalyse und Erforderlichkeit richtet; bei konkreten Sicherheitsereignissen können relevante Protokolle bis zum Abschluss der Untersuchung und allfälliger Rechtsverfahren länger aufbewahrt werden.
• Backups: Gelöschte Daten können bis zur regulären Überschreibung noch in technisch geschützten Sicherungskopien enthalten sein. Backup-Daten werden nicht für den normalen Betrieb weiterverwendet und nur im Rahmen einer notwendigen Systemwiederherstellung zurückgespielt.

18. Datensicherheit

Insurana trifft angemessene technische und organisatorische Massnahmen entsprechend dem Schutzbedarf und dem aktuellen Risiko.

• verschlüsselte Datenübertragung
• Passwort-Hashing
• Zugriffsbeschränkungen
• rollenbasierte Berechtigungen
• Trennung von Entwicklungs- und Produktionsumgebungen
• Sicherheitsprotokollierung
• Backups
• Aktualisierung technischer Komponenten
• Schutz vor unberechtigten Zugriffen
• Beschränkung interner Zugriffe nach dem Erforderlichkeitsprinzip

19. Datenschutzverletzungen

Insurana untersucht vermutete Verletzungen der Datensicherheit. Soweit eine Verletzung voraussichtlich zu einem hohen Risiko für Persönlichkeit oder Grundrechte betroffener Personen führt, erfolgt eine Meldung an den EDÖB nach den gesetzlichen Vorgaben. Betroffene Personen werden informiert, wenn dies zu ihrem Schutz erforderlich ist oder eine zuständige Behörde dies verlangt.

20. Rechte betroffener Personen

• Auskunft über bearbeitete Personendaten
• Berichtigung unrichtiger Daten
• Löschung von Daten
• Herausgabe oder Übertragung bestimmter Daten
• Widerspruch gegen bestimmte Bearbeitungen
• Widerruf erteilter Einwilligungen
• Einschränkung einer Bearbeitung, soweit vorgesehen
• menschliche Überprüfung einer automatisierten Einzelentscheidung, falls eine solche künftig eingesetzt würde

21. Daten anderer Personen

Wer Daten anderer Personen hochlädt oder eingibt, muss sicherstellen, dass er dazu berechtigt ist. Die betroffene Person muss, soweit erforderlich, über die Bearbeitung durch Insurana und diese Datenschutzerklärung informiert werden.

22. Minderjährige

Insurana richtet sich grundsätzlich an volljährige und handlungsfähige Personen. Minderjährige dürfen Insurana nur mit Zustimmung ihrer gesetzlichen Vertretung nutzen.

23. Änderungen

Diese Datenschutzerklärung kann angepasst werden, wenn sich Bearbeitungsprozesse ändern, neue Funktionen eingeführt werden, Dienstleister wechseln, sich rechtliche Anforderungen ändern oder Sicherheitsmassnahmen angepasst werden. Wesentliche Änderungen werden in geeigneter Form kommuniziert. Die jeweils aktuelle Fassung ist auf der Website abrufbar.

24. Beschwerden

Betroffene Personen können sich an eine zuständige Datenschutzaufsichtsbehörde wenden. Für die Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

25. Kontakt

Datenschutzanfragen: Danial Shiekho, Handelsname Insurana, Alvierstrasse 15, 9475 Sevelen, Schweiz, E-Mail: datenschutz@insurana.ch.