Datenschutzerklärung
Verantwortliche Stelle
NAHIVA ist ein Angebot der Propus GmbH, Untere Roostmatt 8, 6300 Zug, Schweiz. Kontakt für Datenschutzanliegen: [email protected].
Zwecke und Datenkategorien
NAHIVA verarbeitet nur so viele Angaben, wie für den jeweiligen Vorgang nötig sind.
- Aufruf der Website
- Der Webserver von NAHIVA führt keine Zugriffsprotokolle, und Suchbegriffe werden nicht gespeichert. Cloudflare verarbeitet als vorgeschaltetes Netz die technischen Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse), um die Seiten auszuliefern und Angriffe abzuwehren.
- Korrekturmeldung zu einem Firmenprofil
- Mitteilungstext und, falls angegeben, eine E-Mail-Adresse für Rückfragen sowie ein pseudonymisierter Absenderbezug zur Begrenzung von Missbrauch (siehe Aufbewahrungsdauer für dessen genaue Bildung und Löschung). Zweck: Qualitätssicherung der angezeigten Firmenangaben.
- Antrag auf Profilübernahme
- Name, E-Mail-Adresse und optional die Funktion der antragstellenden Person, Art und Beschreibung des Nachweises sowie ein pseudonymisierter Absenderbezug. Zweck: Prüfung der Vertretungsberechtigung, bevor eine Bearbeitung des Firmenprofils möglich wird. Ein Adressnachweis allein genügt dafür nie. Spätere Änderungen am Profil werden versioniert und mit einem Verweis auf den genehmigten Antrag festgehalten, damit nachvollziehbar bleibt, worauf eine Änderung zurückgeht, ohne dafür eine zusätzliche E-Mail-Adresse zu speichern.
- Anfrage an ein Unternehmen
- Nachricht, Name, E-Mail-Adresse, optional Telefonnummer sowie ein pseudonymisierter Absenderbezug. Nach ausdrücklicher Zustimmung wird zusätzlich ein Beleg dieser Zustimmung (angezeigter Text, Zeitpunkt) gespeichert. Zweck: Weiterleitung an genau das gewählte Unternehmen zur Bearbeitung dieser einen Anfrage.
- Warteliste für Anbieter (Benachrichtigung zum KI-Check)
- E-Mail-Adresse, optional ein Name, sowie ein pseudonymisierter Absenderbezug. Der Eintrag gilt erst nach Bestätigung über einen Link in einer E-Mail (Double-Opt-in) und bezieht sich auf eine bestimmte Firma als Interesse, nicht als Übernahme des Profils. Zusätzlich werden bis zu drei Einwilligungen mit Wortlaut, Version und Zeitpunkt gespeichert: die Kenntnisnahme dieser Datenschutzerklärung (Pflicht) sowie, je einzeln und freiwillig ankreuzbar, Neuigkeiten von NAHIVA und Angebote der anderen Bereiche der Propus GmbH (siehe Abschnitt «Werbung der Propus GmbH» unten). Der Versand der E-Mails erfolgt über Microsoft 365 der Propus GmbH (Microsoft Graph, eigene Anwendung nur mit dem Recht, E-Mails zu senden). Jede E-Mail enthält einen Abmeldelink, über den sich der Eintrag und die freiwilligen Einwilligungen jederzeit widerrufen lassen.
- Anbieterkonto (/konto)
- E-Mail-Adresse, ausschliesslich zur Anmeldung ohne Passwort. Ein Anmeldelink ist 15 Minuten gültig und wird per E-Mail versandt; gespeichert wird davon nur ein Einweg-Prüfwert, nie der Link selbst. Nach der Anmeldung entsteht eine Sitzung, ebenfalls nur als Einweg-Prüfwert des Sitzungsschlüssels im signierten Cookie unten. Ein Konto zeigt, mit welchen Firmen es verknüpft ist (aus einer bestätigten Warteliste-Anmeldung oder einer genehmigten Profilübernahme mit derselben Adresse) – diese Verknüpfung allein begründet keine Schreibrechte, eine Profiländerung bleibt an den Bearbeitungslink der Übernahme gebunden. Ein Konto lässt sich jederzeit selbst löschen.
- Abo, Zellen und Zahlung (/konto/abo, /konto/abo/zellen, /konto/berichte/abo)
- Sobald Abos angeboten werden: Vertragsdaten (gewählte Stufe, Status, Firma oder UID der bestellenden Person, akzeptierte AGB-Version und -Zeitpunkt), die für das Abo gewählten Marktzellen (Firma, Leistung, Ort) sowie die zur Zahlungsabwicklung nötigen Angaben. Zahlungsmittel- und Kartendaten selbst verarbeitet ausschliesslich Stripe, nie NAHIVA. Buchungsbelege werden 10 Jahre aufbewahrt (Art. 958f OR).
- Gratis-KI-Check (/konto/gratis-check, /konto/berichte)
- Gewählte Leistung und Ort (Gemeinde oder Kanton), die Kenntnisnahme der Bedingungen des Gratis-Checks mit Wortlaut, Version und Zeitpunkt sowie ein pseudonymisierter Absenderbezug zur Begrenzung von Missbrauch. Zweck: eine Marktzelle für das anfragende Anbieterkonto messen bzw. eine bereits vorhandene, höchstens 90 Tage alte Messung derselben Zelle wiederverwenden, und den fertigen Bericht dem Konto zuordnen.
- Anmeldung des internen Bereichs (/intern)
- Ausschliesslich ein signiertes Sitzungs-Cookie nach erfolgreicher Anmeldung der Prüfstelle; das Passwort selbst wird nicht gespeichert, nur ein Hashwert auf dem Server. Zweck: Zugriff auf die interne Prüfansicht (Claims, KI-Monitor) beschränken.
- KI-Monitor
- Nur die vorab festgelegte, versionierte Messfrage geht an die eingebundenen KI-Dienste – nie Personendaten. Angebunden sind Anthropic (Claude, über die Messages API mit Web-Suche), OpenAI (über die Responses API mit Web-Suche) und, für den Dienst «ChatGPT über die Oberfläche» (Paket M4), DataForSEO OÜ als Auftragsbearbeiterin – jeweils ausschliesslich mit hinterlegtem Schlüssel; ohne Schlüssel bleibt ein Dienst unkonfiguriert und wird nie aufgerufen. Ein zusätzlicher, kostenloser Test-Adapter mit erfundenen Beispielantworten dient nur der Entwicklung und ist in der Produktion nicht sichtbar. Gespeichert werden die vollständige Antwort und die von den Diensten angezeigten Quellenangaben (Internetadresse, Titel) – so bleibt jede erkannte Firmennennung bis zur ursprünglichen Antwort nachvollziehbar. Die vollständigen Antworten können Namen von Firmen und, soweit im Antworttext genannt, auch von natürlichen Personen enthalten (siehe Aufbewahrungsdauer unten).
Aufbewahrungsdauer
Nachricht und Kontaktangaben dieser Anfrage werden ausschliesslich zur Bearbeitung durch das gewählte Unternehmen verwendet und spätestens 12 Monate nach dem Versand automatisch gelöscht. Für eine vorzeitige Löschung oder einen Widerspruch genügt eine formlose Mitteilung an das Unternehmen, an das die Anfrage ging, oder – für die bei NAHIVA gespeicherte Kopie dieser Anfrage – an die Propus GmbH als Betreiberin von NAHIVA. Kontaktweg siehe Impressum bzw. Datenschutzerklärung.
- Prüfnachweise zu einem Antrag auf Profilübernahme werden spätestens 180 Tage nach Einreichung gelöscht; die Art des Nachweises und der Antrag selbst bleiben bestehen.
- Wird ein Antrag auf Profilübernahme nicht genehmigt (abgelehnt, zurückgezogen, strittig oder nie entschieden), werden Name, E-Mail-Adresse und Funktion der antragstellenden Person spätestens 12 Monate nach der letzten Statusänderung gelöscht – bzw. nach Eingang, falls nie entschieden. Genehmigte Anträge bleiben bestehen, solange die Profilübernahme besteht.
- Bei einer Korrekturmeldung wird die für Rückfragen angegebene E-Mail-Adresse spätestens 12 Monate nach Eingang gelöscht; der Meldungstext bleibt bestehen, weil er spätere Profiländerungen nachvollziehbar macht.
- Der Absenderbezug zur Begrenzung von Missbrauch bei Korrekturmeldungen, Anfragen, Anträgen auf Profilübernahme und Warteliste-Anmeldungen ist kein Klartext der IP-Adresse, sondern ein Einweg-Prüfwert (HMAC). Der geheime Schlüssel dafür wird zufällig erzeugt, liegt nur im Arbeitsspeicher des Servers und wechselt bei jedem Neustart. Der Prüfwert wird spätestens 24 Stunden nach Eingang gelöscht.
- Ein Warteliste-Eintrag wird erst nach Bestätigung über den Link in der E-Mail wirksam. Unbestätigte Einträge werden spätestens 7 Tage nach der Anmeldung automatisch gelöscht. Jede E-Mail enthält ausserdem einen Abmeldelink, über den sich der Eintrag und alle freiwilligen Einwilligungen jederzeit mit einem Klick widerrufen lassen; ein so widerrufener Eintrag wird spätestens 90 Tage nach dem Widerruf ebenfalls automatisch gelöscht.
- Ein Anbieterkonto, mit dem sich 24 Monate lang niemand mehr angemeldet hat, wird samt seinen Sitzungen und Firmenverknüpfungen automatisch gelöscht. Ein Anmeldelink verfällt spätestens 24 Stunden nach dem Versand, auch wenn er nie angeklickt wurde; eine Sitzung bleibt höchstens 30 Tage ohne Nutzung gültig.
- Sicherungskopien der Datenbank werden nach 14 Tagen automatisch überschrieben.
- Die vollständigen Antworten des KI-Monitors und ihre Quellenangaben können Namen von Firmen und, soweit im Antworttext genannt, auch von natürlichen Personen enthalten. Sie werden 24 Monate ab der Messung aufbewahrt; danach werden sie gelöscht oder nicht zugeordnete Namen darin geschwärzt. Zählungen und die Zuordnung erkannter Anbieter zu einer Registerfirma bleiben davon unberührt.
- Ein Gratis-Check wird zusammen mit dem Konto gelöscht, dem er gehört. Die zugrunde liegenden Messungen selbst (Fragen und Antworten des KI-Monitors) sind davon unabhängig und folgen unverändert der oben genannten 24-monatigen Aufbewahrungsfrist für KI-Monitor-Antworten.
Empfänger und Auftragsbearbeiter
- Das gewählte Unternehmen selbst erhält den Inhalt einer Anfrage – ausschliesslich nach ausdrücklicher Zustimmung und nur für diese eine Anfrage.
- Hosting: IONOS SE. Rechenzentrum in Deutschland (RIPE-Eintrag der Server-IP, geprüft 25.09.2026).
- Cloudflare, Inc. (USA) als vorgeschaltetes Netzwerk (DNS, Auslieferung, Schutz vor Angriffen), gestützt auf das Swiss-U.S. Data Privacy Framework (dort als aktiv zertifiziert geführt, Stand 25.09.2026).
- Bestätigungs- und Abmelde-E-Mails der Warteliste versendet Microsoft Corporation (Irland und USA) im Auftrag der Propus GmbH über Microsoft 365 (Absender [email protected]), mit einer eigenen Anwendung, die ausschliesslich das Recht besitzt, E-Mails von dieser Adresse zu senden – kein Lese- oder Schreibzugriff auf Postfächer. Irland ist als EU-Staat angemessen; für die USA stützt sich die Übermittlung auf das Swiss-U.S. Data Privacy Framework (dort als aktiv zertifiziert geführt, Stand 25.09.2026).
- KI-Dienste des Monitors: Anthropic PBC (USA) und OpenAI OpCo, LLC (USA), jeweils sobald ein Schlüssel hinterlegt ist – ausschliesslich versionierte Messfragen, nie Personendaten (siehe oben).
- KI-Monitor (Dienst «ChatGPT über die Oberfläche», Paket M4): DataForSEO OÜ (Estland) als Auftragsbearbeiterin, ausschliesslich die versionierte Messfrage, nie Personendaten. DataForSEO nennt in ihren öffentlichen Unterlagen für den Rechenzentrumsbetrieb Hetzner Online GmbH (Deutschland) sowie für Infrastrukturdienste Microsoft und Google (beide USA); für Übermittlungen ausserhalb der EU/EWR/Schweiz verweist sie auf Standardvertragsklauseln bzw. Angemessenheitsbeschlüsse.
- Zahlungsabwicklung für das Abo (sobald Abos angeboten werden): Stripe Payments Europe, Limited (Irland) als Vertragspartei für die Zahlungsabwicklung. Für eine allfällige Übermittlung innerhalb der Stripe-Gruppe an die US-Muttergesellschaft Stripe, LLC (USA) stützt sich diese auf das Swiss-U.S. Data Privacy Framework (dort als aktiv zertifiziert geführt, Stand 25.09.2026).
Herkunft indirekt beschaffter Daten
Firmenangaben mit der Quelle «Registerangabe» stammen aus dem Zentralen Firmenindex Zefix des Eidgenössischen Amts für das Handelsregister (EHRA) und werden über die LINDAS-Verknüpfungsplattform des Bundes bezogen (Datensatz «Zefix – Zentraler Firmenindex» auf opendata.swiss). Angezeigt werden ausschliesslich aktive juristische Personen (AG, GmbH und Ähnliches) mit Sitz in den Kantonen Zürich, Aargau, Zug, Schwyz, St. Gallen, Thurgau und Schaffhausen – keine Organpersonen und kein Gesellschaftszweck. Enthält die Domiziladresse einen c/o-Zusatz, wird dieser öffentlich nicht angezeigt, auch nicht in strukturierten Daten (JSON-LD); er kann den Namen einer natürlichen Person nennen. Wer der Anzeige seiner Registerdaten widersprechen möchte, nutzt die Korrekturmeldung auf dem betroffenen Profil oder eine formlose Mitteilung an die Kontaktadresse oben. Die Registerangaben entfalten keine Rechtswirkungen (Art. 14 Abs. 1 HRegV); massgeblich sind die Einträge im Handelsregister und ihre Veröffentlichung im Schweizerischen Handelsamtsblatt.
Gratis-KI-Check und Kundenberichte
Ein Gratis-KI-Check misst eine Marktzelle (Leistung × Ort) – dieselben Messungen gelten für jede Firma dieser Zelle. Im Kundenbericht eines Gratis-Checks oder Abos können darum auch andere Firmen derselben Zelle erscheinen: ihr Firmenname, ob und wie oft eine KI-Antwort sie nennt, sowie die dabei zitierten Internetadressen. Gezeigt werden ausschliesslich Firmen mit Registerbezug oder übernommenem Profil sowie Vergleichsportale – nie eine natürliche Person und nie ein nicht zugeordneter Name (Entscheid vom 25.09.2026, «Firmen ja, Personen nein»). Der Bericht zeigt ausserdem nie den Wortlaut einer KI-Antwort, nur strukturierte Kennzahlen (Anteil mit statistischer Schwankungsbreite, Verlauf, zitierte Quellen, zugeordnete Mitbewerber) – keine Wirkungszusage.
Werbung der Propus GmbH
Werbung der Propus GmbH erhalten Sie ausschliesslich, wenn Sie dafür das gesonderte, freiwillige Häkchen gesetzt haben. Es deckt derzeit den Bereich Propus ab (Immobilienfotografie, Drohnenaufnahmen, virtuelle Rundgänge, Grundrisspläne, Immobilienvideo); weitere Bereiche (Studio, Code) kommen erst dazu, sobald ihre Angebote beschrieben und im Häkchen genannt sind. Ohne dieses Häkchen verwendet die Propus GmbH Ihre Kontaktangaben nie zu Werbezwecken.
Für andere Bereiche der Propus GmbH werden nie genutzt: Anfragen und Daten von Suchenden, Messdaten und Berichte der Monitor-Kunden sowie Angaben aus Übernahmenachweisen. Erlaubt sind ausschliesslich zusammengefasste, anonyme Auswertungen.
Wir verkaufen keine Daten.
Cookies
NAHIVA setzt nur technisch notwendige Cookies: nahiva_intern_session für die Anmeldung des internen Bereichs und nahiva_konto_session für die Anmeldung eines Anbieterkontos unter /konto. Beide entstehen erst nach einer erfolgreichen Anmeldung dort und werden für keine andere Auswertung verwendet. Keine Analyse- oder Marketing-Cookies.
Rechte der betroffenen Personen
- Auskunft über die zu einer Person gespeicherten Angaben.
- Berichtigung unrichtiger Angaben.
- Löschung, soweit keine Aufbewahrungspflicht entgegensteht.
- Herausgabe der selbst bereitgestellten Angaben in einem gängigen elektronischen Format.
- Widerspruch gegen eine Bearbeitung, insbesondere gegen die Anzeige der eigenen Registerdaten auf einem Firmenprofil – Weg dafür ist die Korrekturmeldung auf dem betroffenen Profil oder eine formlose Mitteilung an die Kontaktadresse oben. Nach einem solchen Widerspruch bleibt die Anzeige dauerhaft unterdrückt, auch bei späteren Registerabgleichen.
Die Auskunft nach oben ist kostenlos und wird in der Regel innert 30 Tagen erteilt. Einer Bearbeitung zu Werbezwecken – insbesondere den freiwilligen Einwilligungen der Warteliste – kann jederzeit mit Wirkung für die Zukunft widersprochen werden, am einfachsten über den Abmeldelink in der jeweiligen E-Mail.
Aufsichtsbehörde
Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), sofern eine Anfrage an die verantwortliche Stelle oben nicht zum Ziel führt.
Stand: 25. September 2026, Version 3.