Datenschutzerklärung — EU-Datenschutz-Grundverordnung (DSGVO)

Sarama CRM-Plattform
Verantwortliche: Angad Manik, Rebgasse 53, 4058 Basel, Schweiz
Inhaber: Angad Bank Manik
Marke: angad.swiss ist eine Marke von Angad Manik
Swiss UID: CHE-449.720.296
Datenschutz-Kontakt: Angad Bank Manik, impact@angad.swiss
Plattform: sarama.angad.swiss
Stand: 1. September 2026

1. Einleitung

Diese Datenschutzerklärung erläutert, wie Angad Manik («wir», «Verantwortliche») Personendaten im Zusammenhang mit der Sarama CRM-Plattform («Plattform») gemäss der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, «DSGVO») bearbeitet.

Wir handeln in folgenden Funktionen:

• Verantwortliche für Konto-/Nutzerdaten, Abrechnungsdaten und Plattformanalysen;
• Auftragsbearbeiterin für Personendaten, die unsere Kunden hochladen oder verbinden (einschliesslich Kontaktdaten, Formulareingaben, E-Mail-Inhalte und autorisierte Social-Media-Aktivitäten), wobei der Kunde als Verantwortlicher handelt;
• Unterauftragsbearbeiterin, wenn ein Kunde, etwa eine Agentur oder ein Freelancer, Personendaten für einen Drittkunden bearbeitet, der Verantwortlicher ist. Der Kunde bleibt dann für die Auftragsbearbeitungskette nach Art. 28 DSGVO, dokumentierte Weisungen und die Genehmigung zu unserer Beauftragung verantwortlich.

2. Datenschutz-Kontakt

Angad Bank Manik
Rebgasse 53, 4058 Basel, Schweiz
E-Mail: impact@angad.swiss

Sie können sich bei allen Fragen zum Datenschutz an unseren Datenschutz-Kontakt wenden. Wir bezeichnen diese Kontaktstelle nur dann als formell bestellten Datenschutzbeauftragten, wenn eine solche Bestellung erfolgt ist.

3. Kategorien von Personendaten

3.1 Konto- und Authentifizierungsdaten

3.2 Abrechnungsdaten (verarbeitet durch Stripe)

3.3 Vom Kunden hochgeladene Daten (wir als Auftragsbearbeiterin)

3.4 Tracking- und Analysedaten

3.5 KI- und Chat-Daten

3.6 Integrations-Zugangsdaten

3.7 Audit- und Sicherheitsdaten

3.8 Social-Publishing- und Marketing-Leistungsdaten

Social- und Marketing-Integrationen werden durch den Kontoinhaber oder einen ausdrücklich autorisierten kundenseitigen Administrator mit dessen eigener Anbieterautorisierung initiiert; Tokens werden verschlüsselt gespeichert. Bei client_required verbindet die kundenseitige Person das Konto; eine eingeladene Agentur, ein Freelancer oder ein anderer Dienstleister nutzt getrennt zugewiesene delegierte Berechtigungen zum Vorbereiten, Freigeben, Veröffentlichen, Planen oder Einsehen von Analysen. Wer die Prüfung anfordert, darf dieselbe Revision nicht freigeben. Die Freigabe ist an die aktuelle Inhaltsrevision, das Ziel, die Medien und die Anbietereinstellungen gebunden, die durch die gespeicherte kanonische Freigabenutzlast und deren Digest repräsentiert werden; eine wesentliche Änderung macht sie ungültig. Vor der Ausführung werden Berechtigung und passende Freigabe erneut geprüft. Nur die Person, die das Konto ursprünglich verbunden hat, darf es trennen und den lokalen Token sowie die Verbindung für den Workspace löschen. Jedes andere Mitglied, auch ein Organisationsinhaber, kann nur seine eigenen delegierten Berechtigungen mit Ausnahme der Freigabeberechtigung entfernen; eine Freigabeberechtigung muss durch den ursprünglichen Verbindenden widerrufen werden. Zugangsdaten werden nie auf ein anderes Mitglied übertragen; die Autorisierung beim Anbieter bleibt davon getrennt. Wir greifen nur über Konten auf Plattformdaten zu, die deren Inhaber oder autorisierter kundenseitiger Administrator ausdrücklich verbunden hat. Bei der LinkedIn-Unternehmensseitenverwaltung erlaubt r_basicprofile Sarama, das authentifizierte Administratormitglied hinter der Autorisierung über den LinkedIn-Endpunkt /v2/me zu identifizieren. Wir verarbeiten dessen Personen-URN, Namen und, falls LinkedIn sie liefert, öffentliche Profil-URL und Avatar ausschliesslich, um die LinkedIn-Autorisierungen dieser Person zu verknüpfen und anzuzeigen, wer die Verbindung autorisiert hat. Diese Anzeigefelder werden innerhalb von acht Wochen aktualisiert oder gelöscht.

Ein eingeladener externer Mitwirkender handelt auf Grundlage der Befugnis des Kunden oder dessen Auftraggebers. Der Kunde muss dieses Mandat prüfen, nur erforderliche Berechtigungen erteilen, sie überprüfen und widerrufen sowie die im AVV beschriebene Weisungs- und Genehmigungskette zwischen Verantwortlichem, Auftrags- und Unterauftragsbearbeiter sicherstellen. Eine Einladung in den Arbeitsbereich oder technische Berechtigung allein beweist keine Autorisierung durch den Social-Media-Kontoinhaber.

Die Verwaltung einer LinkedIn-Unternehmensseite kann ausserdem Kommentare zu Beiträgen des Kunden, Zeitstempel, Reaktionszahlen, Akteurkennung und Akteurtyp sowie Profilfelder umfassen, die LinkedIn direkt in der Kommentarantwort liefert: Vor- und Nachname, Profilüberschrift, öffentliche Profil-URL und Avatar. Sarama führt keine separate Profilabfrage zur kommentierenden Person durch. Name, Profilüberschrift und öffentlicher Profillink können nur dem LinkedIn-Mitglied, das die Community-Management-Autorisierung verbunden hat und mit der Seite verbunden ist, vorübergehend angezeigt werden. Kommentaraktivität und inline gelieferte Kommentator-Profilfelder werden nicht dauerhaft gespeichert, nicht in CRM-Kontakte oder Leads übernommen, nicht exportiert, nicht mit anderen Plattformen verbunden und nicht an KI-Anreicherungen gesendet.

4. Daten, die wir NICHT erheben

• Klartext-Kontopasswörter. Passwort-Anmeldung wird unterstützt, aber Supabase Auth prüft Passwörter mit einem Einweg-Hash; Sarama kann das ursprüngliche Passwort nicht lesen.
• Eigene Tracking-Cookies über die nachstehend offengelegten hinaus (Google Analytics und Cloudflare Turnstile setzen Cookies wie in Abschnitt 5 beschrieben)
• Werbe-Pixel oder seitenübergreifende Tracker innerhalb der Plattform-Anwendung (die öffentliche Marketing-Website nutzt einwilligungsgesteuertes Google Analytics, siehe Abschnitt 5)
• Gerätefingerabdrücke
• Präzise Standortdaten
• Sitzungsaufzeichnungen
• Biometrische Daten

5. Empfänger und Unterauftragsbearbeiter

Wir geben Personendaten an folgende Empfängerkategorien weiter:

Wichtig: KI-Modell-API-Aufrufe verwenden die eigenen API-Schlüssel des Kunden. Wir kontrollieren oder haben keinen Zugang zu den Konten des Kunden bei diesen Anbietern. Der Kunde initiiert diese Datenübertragungen und ist für die Bedingungen mit diesen Anbietern verantwortlich. Eine KI-Funktion, für die der Kunde keinen Schlüssel hinterlegt hat, wird nicht ausgeführt; einen von der Anbieterin betriebenen Ersatzschlüssel für KI-Verkehr des Kunden gibt es nicht.

5a. Stripe — zwei verschiedene Beziehungen

Unser eigenes Stripe-Konto wickelt ab, was der Kunde an uns bezahlt: Abonnements, Domain- und Speicher-Zusatzpakete, einmalige und nutzungsbasierte Marktplatz-Käufe sowie Ersteller-Auszahlungen. Hier ist Stripe unsere Unterauftragsbearbeiterin.

Vertragschliessende Stripe-Gesellschaft ist die Stripe Payments Europe, Limited, Irland. Dies folgt daraus, dass unser eigenes Plattform-Stripe-Konto ein Schweizer Konto ist: Das Stripe Services Agreement nennt die Stripe Payments Europe, Limited als vertragschliessende Gesellschaft für die Schweiz, das Vereinigte Königreich und Gibraltar, und der Stripe-Auftragsverarbeitungsvertrag nennt dieselbe Gesellschaft für jedes Stripe-Konto ausserhalb Nord- und Südamerikas. Irland liegt im EWR; gegenüber unserer Vertragspartnerin findet daher keine Drittlandsübermittlung statt, auch nicht für Käufer und Nutzer im EWR und im Vereinigten Königreich. Soweit Stripe diese Daten in den Vereinigten Staaten weiterverarbeitet, geschieht dies durch die Stripe, LLC, die unter dem EU-U.S. Data Privacy Framework, dessen UK Extension und dem Swiss-U.S. Data Privacy Framework selbstzertifiziert ist und sich zusätzlich auf die EU-Standardvertragsklauseln sowie das UK International Data Transfer Addendum nach dem Stripe Data Transfers Addendum stützt.

Das eigene Stripe-Konto des Kunden wird verwendet, wenn der Kunde über seine Buchungsseiten oder Chatbots eigene Produkte verkauft (Ziff. 14a der AGB). Dieses Konto verbindet der Kunde selbst, die Zahlungsseite gehört dem Kunden, und das Geld wird auf sein Konto abgerechnet. In diesem Ablauf ist der Kunde Verantwortlicher und Stripe die Auftragsbearbeiterin des Kunden nach dessen eigenem Stripe-Vertrag, nicht unsere. Wir sind nicht Partei des Kaufvertrags, nicht Merchant of Record und für diesen Verkauf weder Zahlungsdienstleisterin noch Zahlungsvermittlerin: Wir erhalten, halten und leiten diese Gelder nicht und sehen die Kartendaten des Käufers zu keinem Zeitpunkt. Als Auftragsbearbeiterin des Kunden verarbeiten wir lediglich einen kleinen, abschliessenden Satz von Kennungen — auf einer Buchungsseite überhaupt keine Besucherdaten, über einen Chatbot die Kennung der Chat-Sitzung und sonst nichts, nie die E-Mail-Adresse des Besuchers. Die dem Käufer geschuldete Datenschutzerklärung ist die des Kunden. Ziff. 14a.8 der AGB beschreibt die Rollenverteilung vollständig sowie genau, was übermittelt wird und was nicht.

Wir verlegen unser eigenes Plattform-Stripe-Konto auf ein neues Konto derselben Firma. Dies ist ein Kontowechsel, kein Empfängerwechsel: Vertragschliessende Gesellschaft bleibt die Stripe Payments Europe, Limited, Irland, und Verarbeitungszweck, Datenkategorien, Empfängerland und Garantien bleiben unverändert — nur die Kontokennung ändert sich. Da sich die Unterauftragsbearbeiterin selbst nicht ändert, liegt keine mitteilungspflichtige Änderung nach Ziff. 8.4(g) der AGB vor; wir halten sie hier gleichwohl fest. Betroffen ist nur unser eigenes Konto: Ein vom Kunden verbundenes Stripe-Konto nach Ziff. 14a bleibt hiervon unberührt.

5b. Wo wir ein eigenes KI-Anbieterkonto verwenden

Sämtliche KI-Funktionen, die auf Kundendaten arbeiten, laufen über den eigenen API-Schlüssel des Kunden (Ziff. 3.5). Eigene KI-Anbieterkonten unterhalten wir ausschliesslich für drei eng umgrenzte Zwecke, von denen keiner Daten von Kontakten, Besuchern oder Käufern eines Kunden verarbeitet:

• Prompt-Sicherheitsprüfung im Marktplatz (Mistral, Frankreich) — eine kostenpflichtige, freiwillige Prüfung, die ein Marktplatz-Ersteller für sein eigenes Angebot erwerben kann. Übermittelt wird ausschliesslich der eigene Anweisungstext des Erstellers (System-Prompt, Verhaltensblöcke und angehängte Skills). Es werden zu keinem Zeitpunkt Käuferdaten oder CRM-Inhalte übermittelt.
• Prüfung von Agenten-Anweisungen (Mistral, Frankreich) — dieselbe Art automatisierter Kontrolle, im Produkt angeboten für einen eigenen Agenten des Kunden vor dessen Einsatz. Auch hier wird nur der eigene Anweisungstext des Kunden übermittelt.
• KI-Modellkatalog (OpenAI, USA) — das Auslesen der öffentlichen Modell- und Preisseiten der Anbieter, damit die Modellauswahl aktuelle Modelle und Preise anzeigen kann. Kundendaten sind daran nicht beteiligt.

Jede weitere Nutzung eines von Sarama betriebenen KI-Kontos stellt eine Änderung dieser Erklärung und der obigen Liste der Unterauftragsbearbeiter dar.

6. Internationale Datenübermittlungen

6.1 Unsere Hauptinfrastruktur wird von Supabase in Zürich, Schweiz betrieben. Die Schweiz verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission (Durchführungsbeschluss (EU) 2024/2272).

6.2 Für Unterauftragsbearbeiter in den USA stützen wir uns auf:

• Den EU-US-Datenschutzrahmen (soweit anwendbar);
• Standardvertragsklauseln (SVK) gemäss Durchführungsbeschluss (EU) 2021/914;
• Ergänzende technische Massnahmen (Verschlüsselung bei Übertragung und Speicherung).

6.3 KI-Modell-Übermittlungen werden vom Kunden initiiert: Der Kunde stellt seine eigenen API-Schlüssel bereit und wählt, welche Modelle verwendet werden. Wir stellen die technische Verbindung her, aber der Kunde kontrolliert den Datenfluss.

7. Aufbewahrungsdauer

Nach Vertragsende und Ablauf der 30-tägigen Exportfrist werden alle Kundendaten endgültig gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Diese allgemeine Exportfrist verlängert keine kürzere Anbietervorgabe. Gespeicherte LinkedIn-Marketingdaten werden innerhalb von 10 Tagen oder weniger endgültig gelöscht, nachdem der Dienst für den betreffenden Kunden endet und die Daten nicht mehr benötigt werden, oder nachdem der Kunde bzw. Account Manager dies verlangt. Von LinkedIn angeforderte Daten werden innerhalb der von LinkedIn bestimmten, gegebenenfalls kürzeren Frist gelöscht. Endet Saramas Teilnahme am oder Zugriff auf das LinkedIn Marketing API Program, werden alle Mitgliederdaten sofort gelöscht.

8. Ihre Rechte nach der DSGVO

Als betroffene Person haben Sie folgende Rechte:

Für Kontakte unserer Kunden: Wenn Sie als Kontakt im CRM eines Kunden gespeichert sind, wenden Sie sich bitte an diesen Kunden (den Verantwortlichen). Wir unterstützen den Kunden als Auftragsbearbeiterin bei der Erfüllung des Antrags.

Wir beantworten Betroffenenanfragen innerhalb von 30 Tagen. Komplexe Anfragen können mit Benachrichtigung um weitere 60 Tage verlängert werden. Diese DSGVO-Antwortfrist ist von den operativen LinkedIn-Löschpflichten getrennt: zehn Tage oder weniger nach Ende des Kundendienstes bzw. einem Verlangen des Kunden oder Account Managers, die von LinkedIn bestimmte Frist für angeforderte Daten und die sofortige Löschung aller Mitgliederdaten bei Ende der Teilnahme am oder des Zugriffs auf das Marketing API Program.

9. Sicherheitsmassnahmen

Wir setzen die folgenden technischen und organisatorischen Massnahmen gemäss Art. 32 DSGVO um:

Technische Massnahmen:

• AES-256-GCM-Verschlüsselung für API-Schlüssel und sensible Zugangsdaten
• Supabase Vault für OAuth-Token-Verschlüsselung
• TLS 1.2+ für alle Datenübertragungen
• Row-Level Security (RLS) auf allen Datenbanktabellen — Datenisolation zwischen Organisationen
• HMAC-SHA256-Tokenvalidierung für Abmeldelinks
• Content Security Policy (CSP) Header
• DOMPurify für HTML-Bereinigung (XSS-Prävention)
• Ratenbegrenzung auf öffentlichen Endpunkten (5–10 Anfragen/Min/IP)
• Keine CORS-Wildcard — dynamische Domainvalidierung

Organisatorische Massnahmen:

• E-Mail-Verifizierungscodes, Passwort-Anmeldung, Passkeys und verknüpfte OAuth-Identitäten; Passwortprüfung durch Supabase Auth mit Einweg-Hash
• Rollenbasierte Zugriffskontrolle innerhalb von Organisationen
• Audit-Protokollierung der oben beschriebenen sicherheitsrelevanten und freigabebezogenen Ereignisse
• Empfohlene API-Schlüsselrotation alle 90 Tage
• Unterauftragsbearbeitungsverträge mit allen Dritten
• Regelmässige Sicherheitsüberprüfungen

10. Auftragsbearbeitungsvertrag (AVV)

Abschnitt 8.4 unserer AGB enthält die vertraglichen Auftragsbearbeitungsbestimmungen für Saramas Rolle nach Art. 28 DSGVO und Art. 9 nDSG. Eine separat unterzeichnete Fassung ist auf Anfrage unter impact@angad.swiss erhältlich.

Der AVV umfasst:

• Gegenstand und Dauer der Bearbeitung
• Art und Zweck der Bearbeitung
• Arten von Personendaten und Kategorien betroffener Personen
• Pflichten der Auftragsbearbeiterin
• Unterauftragsbearbeitermanagement
• Unterstützung bei Betroffenenrechten
• Verfahren zur Meldung von Datenschutzverletzungen
• Auditrechte

11. Meldung von Datenschutzverletzungen

Im Falle einer Verletzung des Schutzes von Personendaten:

• Melden wir die Verletzung der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden (Art. 33 DSGVO);
• Benachrichtigen wir betroffene Personen unverzüglich, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten birgt (Art. 34 DSGVO);
• Benachrichtigen wir betroffene Kunden (als Verantwortliche) unverzüglich, damit diese ihre eigenen Meldepflichten erfüllen können;
• Empfehlen wir die sofortige Rotation aller gespeicherten API-Schlüssel.

12. Automatisierte Entscheidungsfindung

Die Plattform führt keine automatisierte Entscheidungsfindung oder Profiling durch, das rechtliche Wirkung entfaltet oder betroffene Personen in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO).

KI-generierte Inhalte werden als Vorschläge für die Nutzer des Kunden bereitgestellt, die die volle Kontrolle über ergriffene Massnahmen behalten.

13. Daten von Kindern

Die Plattform richtet sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Personendaten von Kindern. Sollten wir feststellen, dass Daten eines Kindes erhoben wurden, werden wir diese umgehend löschen.

14. E-Mail-Tracking-Transparenz

Unsere Plattform ermöglicht Kunden, E-Mail-Öffnungen und -Klicks zu verfolgen. Als Auftragsbearbeiterin stellen wir den technischen Mechanismus bereit. Der Kunde (Verantwortlicher) ist verantwortlich für:

• Die Information seiner Empfänger über das Tracking in seiner Datenschutzerklärung;
• Die Einholung der Einwilligung, wo nach anwendbarem Recht erforderlich;
• Die Bereitstellung von Opt-out-Mechanismen (Abmeldelinks sind Pflicht).

Wir filtern Apple Mail Privacy Protection-Öffnungen (IP-Bereich 17.x.x.x) zur Verbesserung der Genauigkeit.

15. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt. Die aktuelle Fassung ist stets unter sarama.angad.swiss/de/site/datenschutz-dsgvo verfügbar.

16. Aufsichtsbehörde

Sie haben das Recht, Beschwerde bei einer Aufsichtsbehörde einzureichen. Angesichts unseres Schweizer Sitzes ist die federführende Behörde:

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern, Schweiz
https://www.edoeb.admin.ch

Für EU-Betroffene können Sie auch Ihre lokale Datenschutzbehörde kontaktieren.

17. Kontakt

Für datenschutzrechtliche Anfragen:

Unternehmen: Angad Manik
Inhaber: Angad Bank Manik
Marke: angad.swiss (eine Marke von Angad Manik)
Rebgasse 53, 4058 Basel, Schweiz
Swiss UID: CHE-449.720.296
Angad Bank Manik — Datenschutz-Kontakt
E-Mail: impact@angad.swiss

Letzte Aktualisierung: 21. August 2026