Datenschutzerklärung

Verantwortlich für die Bearbeitungen in dieser Erklärung ist während der Pilotphase:

Sobald eine Betreibergesellschaft gegründet ist, wird sie hier genannt und übernimmt diese Rolle.

Für alle Fragen zum Datenschutz und für die Ausübung Ihrer Rechte genügt eine E-Mail an hallo@sollaro.ch. Einen Datenschutzberater nach Art. 10 DSG haben wir nicht bestellt.

Wir bearbeiten Personendaten in zwei Rollen:

• Als Verantwortliche für die Website, Pilot-Anfragen, E-Mail-Kontakt, Benutzerkonten, das Unternehmerverzeichnis (Ziffer 9) und die Vertragsbeziehung mit den Büros, die Sollaro nutzen. Dafür gilt diese Erklärung direkt.
• Als Auftragsbearbeiterin (Art. 9 DSG) für die Projektdaten, die ein Büro in Sollaro erfasst oder von Unternehmern einreichen lässt: Kostenpläne, Ausschreibungen, Offerten, Werkverträge, Nachträge, Rechnungen, Zahlungen und die zugehörigen Dokumente. Verantwortlich ist das jeweilige Büro. Es bestimmt Zweck und Umfang, und mit ihm schliessen wir einen Auftragsbearbeitungsvertrag (AVV) ab. Was wir mit diesen Daten technisch tun, beschreiben wir hier trotzdem, damit Unternehmer, Bauherren und Mitarbeitende der Büros es nachlesen können.

Wer als Unternehmer, Bauherr oder Mitarbeitende eines Büros Fragen zu Projektdaten hat, wendet sich am besten direkt an das Büro. Anfragen, die bei uns eingehen, leiten wir an das Büro weiter.

Hosting und Server-Logs

Website und Anwendung laufen bei Vercel. Die Server-Funktionen laufen im Rechenzentrum Frankfurt (Deutschland), statische Dateien liefert Vercel über ein weltweites Netz aus. Die Datenbank liegt nicht bei Vercel, sondern in Zürich (Ziffer 10). Beim Aufruf einer Seite fallen technisch zwingend Daten an: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser und Betriebssystem, Statuscode. Vercel und wir nutzen sie, um die Seite auszuliefern, Fehler zu finden und Missbrauch abzuwehren. Logs bleiben höchstens 30 Tage gespeichert. Für den Schutz der Formulare halten wir die IP-Adresse zusätzlich einige Minuten im Arbeitsspeicher, um zu viele Anfragen von derselben Verbindung zu bremsen.

Cookies und Analyse

sollaro.ch setzt keine Cookies und verwendet keine Analyse-, Tracking- oder Werbedienste, keine Social-Media-Plugins und keine eingebetteten Inhalte Dritter. Schriften liefern wir selbst aus, nicht über Google Fonts.

Mit dem Formular «Pilot anfragen» bearbeiten wir Name, Büro, E-Mail-Adresse, Rolle, Anzahl Projekte und Ihre Nachricht. Wir speichern die Angaben in unserer Datenbank bei Supabase und erhalten eine Benachrichtigung per E-Mail über Resend. Zweck ist allein die Beantwortung der Anfrage und, wenn Sie wollen, die Vorbereitung eines Pilots. Kein Newsletter, keine Weitergabe an Dritte zu Werbezwecken.

Wenn Sie uns eine E-Mail schreiben, bearbeiten wir Adresse, Inhalt und Anhänge, um zu antworten und die Korrespondenz zu führen.

Konto und Anmeldung

Für ein Konto bearbeiten wir Name, E-Mail-Adresse, Passwort (nur als Hash, nie im Klartext), Büro, Rolle und Berechtigungen, dazu Zeitpunkt der letzten Anmeldung. Zweck ist die Bereitstellung der Anwendung und die Zuordnung zu einem Büro. Anmelde-, Bestätigungs- und Einladungs-E-Mails versenden wir über Resend.

Zwei-Faktor-Anmeldung und Sitzungen

Wer die Zwei-Faktor-Anmeldung einrichtet, verknüpft sein Konto mit einer Authenticator-App. Dafür speichert Supabase Auth einen geheimen Schlüssel zum Konto; die Codes selbst entstehen nur in der App auf Ihrem Gerät. Auf der Profilseite sehen Sie Ihre aktiven Sitzungen (Zeitpunkt, Browser) und können sich auf allen Geräten abmelden. Diese Angaben nutzen wir nur für die Sicherheit Ihres Kontos.

Profil und Benachrichtigungen

Auf der Profilseite pflegen Sie Name, Funktion, Telefonnummer, ein Profilbild und Ihre Sprache. Benachrichtigungen per E-Mail sind nach Kategorien geordnet (zum Beispiel Einladung, Frist, Freigabe, Rechnung, Konto). Fristerinnerungen und den Wochenbericht können Sie abbestellen; Mails, die für eine Freigabe oder die Sicherheit Ihres Kontos nötig sind, nicht.

Cookies in der Anwendung

app.sollaro.ch setzt ausschliesslich technisch notwendige Cookies der Anmeldung (Supabase Auth). Sie enthalten die Sitzung und halten Sie angemeldet. Ohne sie funktioniert der geschützte Bereich nicht. Sie gelten nur für app.sollaro.ch, werden nicht an Dritte für eigene Zwecke weitergegeben und laufen ab bzw. werden beim Abmelden gelöscht. Andere Cookies setzen wir nicht. Sie können Cookies im Browser löschen oder sperren, dann ist die Anmeldung nicht möglich.

Projektdaten und Dokumente

Büros erfassen in Sollaro Projekte, Kostenpläne, Vergabeeinheiten, Ausschreibungen, Offerten, Werkverträge, Nachträge, Regie, Ausmasse, Rechnungen, Zahlungen, Rückbehalte und Garantien. Darin können Personendaten enthalten sein, vor allem Namen, Funktionen, Telefonnummern und E-Mail-Adressen von Kontaktpersonen bei Unternehmern, Bauherren und Planern sowie Angaben in hochgeladenen PDF- und Excel-Dateien. Diese Daten bearbeiten wir im Auftrag des Büros (siehe Ziffer 2), getrennt pro Büro, und nur, um die Funktionen der Anwendung zu erbringen.

Unternehmer-Portal per Link

Unternehmer erhalten vom Büro über Sollaro eine Einladung per E-Mail mit einem persönlichen Link. Sie brauchen kein Konto. Über den Link sehen sie nur ihre eigene Einladung und können Offerten und Unterlagen hochladen. Wir bearbeiten dabei Firma, Kontaktperson, E-Mail-Adresse, die hochgeladenen Dateien, den Zeitpunkt der Einreichung und die technischen Log-Daten des Aufrufs. Andere Bieter sehen diese Daten nie. Verantwortlich ist das einladende Büro.

Rechnungs- und Bankdaten

Für Werkverträge, Rechnungen und Zahlungsläufe speichert Sollaro Bankverbindungen der Unternehmer (IBAN, QR-IBAN, Kontoinhaber) und Beträge. Zweck ist die Prüfung der Rechnung gegen den Vertrag und der Export einer Zahlungsdatei (pain.001), die das Büro in seinem E-Banking selbst freigibt. Sollaro löst keine Zahlungen aus und hat keinen Zugriff auf Bankkonten.

Protokollierung und Audit-Trail

Prüfschritte, Bestätigungen, Freigaben und Änderungen an Kostenpositionen protokollieren wir mit Benutzer, E-Mail-Adresse, Zeitpunkt, Art der Änderung und, bei KI-Ergebnissen, Kennzeichen, Modell und Verbrauch. Das Protokoll ist nur anfügbar und dient der Nachvollziehbarkeit gegenüber Bauherren, Revision und im Streitfall. Es bleibt so lange bestehen wie das zugehörige Projekt.

Vertrag und Abrechnung

Für den Vertrag mit dem Büro bearbeiten wir Firmenangaben, Kontaktpersonen, Rechnungsadresse, Abonnement, Nutzungsumfang und Zahlungseingänge, um den Vertrag zu erfüllen, abzurechnen und gesetzliche Aufbewahrungspflichten einzuhalten.

Scanner im Browser

Mit dem Scanner fotografieren Sie Papierbelege mit der Kamera Ihres Geräts direkt im Browser. Der Zugriff auf die Kamera braucht Ihre Zustimmung im Browser und gilt nur, solange der Scanner offen ist. Die Fotos und das daraus erstellte PDF bleiben im Speicher des Browsers auf Ihrem Gerät, bis Sie den Upload bestätigen und das Dokument abgelegt ist; danach löschen wir die lokale Kopie. Bis dahin verlassen sie Ihr Gerät nicht. In einem privaten Fenster gehen nicht hochgeladene Fotos beim Schliessen verloren.

Mail-Eingang

Jedes Projekt kann eine eigene Eingangsadresse haben (zum Beispiel eingang+kurzname@eingang.sollaro.ch). E-Mails an diese Adresse nimmt unser Dienstleister Resend entgegen (Resend Receiving) und meldet sie an Sollaro. Wir übernehmen nur die Anhänge im Format PDF oder JPEG und halten dazu Absender, Empfängeradresse, Betreff, Zeitpunkt und die technische Kennung der Mail fest. Den Text der E-Mail speichern wir nicht. Anhänge in anderen Formaten und Mails an unbekannte Adressen verwerfen wir.

Ablage und Zuordnung

Gescannte und gemailte Dokumente liegen in einer privaten Ablage unseres Datenbankanbieters in der Schweiz (Ziffer 10). Im Eingang kann eine Person des Büros die KI-Einordnung starten: Das Dokument geht dann an den KI-Anbieter in der EU (Ziffer 7), der Dokumentart, Absender, Seitenzahlen und einen Vorschlag für den passenden Vorgang zurückgibt, etwa Vertrag oder Vergabe. Der Vorschlag ist ein Entwurf; abgelegt wird erst, wenn eine Person ihn bestätigt. Verantwortlich für den Inhalt der Dokumente ist das Büro (Ziffer 2).

Einige Funktionen werten Dokumente mit einem Sprachmodell aus, etwa das Auslesen von Positionen, Preisen und Vorbehalten aus einer Offerte. Die Auswertung startet nur, wenn eine Benutzerin oder ein Benutzer des Büros sie auslöst. Dann geht das betreffende Dokument zusammen mit einer Anweisung an den KI-Anbieter, nur für diese eine Auswertung.

• Anbieter: Wir nutzen Sprachmodelle von Anthropic (Claude) über einen von zwei Cloud-Anbietern: Amazon Web Services (AWS) mit dem Dienst Amazon Bedrock, Anfragen an die Region Frankfurt oder Zürich und Verarbeitung über das EU-Inferenzprofil in europäischen AWS-Regionen, oder Google Cloud mit dem Dienst Vertex AI in der Multi-Region EU. Welcher Anbieter für ein Büro aktiv ist, steht im AVV. Anthropic als Hersteller des Modells erhält die Dokumente nicht. Wechseln wir den Anbieter, passen wir diese Erklärung und den AVV vorher an.
• Kein Training: Nach den Bedingungen von AWS für Amazon Bedrock und von Google Cloud für Vertex AI verwenden weder der Cloud-Anbieter noch der Modellanbieter Eingaben und Ergebnisse zum Training von Modellen, und sie werden nicht an den Modellanbieter weitergegeben. Auch die kommerziellen Bedingungen von Anthropic schliessen das Training mit Kundeninhalten aus (Commercial Terms, Abschnitt B).
• Speicherung: Wir speichern die Anweisung und die Rohantwort des Modells nicht separat. Gespeichert werden das Dokument im Projekt, das geprüfte Ergebnis als Entwurf mit Quellenangabe (Seite) und im Audit-Trail Modell und Verbrauch. Amazon Bedrock speichert Eingaben und Ausgaben grundsätzlich nicht. Soweit AWS sie je nach Modell vorübergehend zur Erkennung von Missbrauch aufbewahrt, bleiben sie in der verarbeitenden europäischen Region und gehen nicht an Anthropic.
• Mensch entscheidet: KI-Ergebnisse sind Entwürfe. Jede Position wird von einem Menschen bestätigt, bevor sie weiterverwendet wird.

Der Projekt-Assistent beantwortet Fragen von angemeldeten Personen eines Büros zu einem Projekt, etwa zu Fristen, Regeln oder dem Stand einer Vergabe. Er liest dafür nur Daten, die die fragende Person im Projekt ohnehin sehen darf; versiegelte Offerten bleiben auch für ihn verschlossen. Er ändert keine Daten, verschickt nichts und gibt nichts frei.

• Was wir bearbeiten: Ihre Fragen, die Antworten, die Angabe, welche Projektdaten gelesen wurden, Zeitpunkt sowie Modell und Verbrauch. Für jede Antwort gehen die Frage, der bisherige Verlauf des Gesprächs und die gelesenen Projektdaten an den KI-Anbieter in der EU (Ziffer 7).
• Zweck: die Antwort auf Ihre Frage, die Nachvollziehbarkeit der Quellen und die Abrechnung des Kontingents. Wir werten die Gespräche nicht für Werbung oder Profile aus und trainieren damit keine Modelle.
• Wer es sieht: Den Gesprächsverlauf sehen nur Sie. Andere Personen im Büro und Externe sehen ihn nicht. Wir geben ihn nicht an Dritte weiter, ausser an den KI-Anbieter für die Antwort.
• Aufbewahrung: Der Verlauf bleibt gespeichert, bis Sie das Gespräch löschen, spätestens bis das Projekt, Ihr Konto oder das Büro gelöscht wird.

Für die Auswahl von Unternehmern führen wir ein Verzeichnis von Bauunternehmen. Wir beziehen dafür öffentlich zugängliche Angaben aus dem Handelsregister (Zefix) und dem UID-Register des Bundesamts für Statistik (Name, UID, Rechtsform, Sitz, Zweck) sowie Zuschlagspublikationen auf simap.ch (Auftrag, Beschaffungsstelle, Datum, Betrag). Bei Einzelunternehmen und Personengesellschaften können das Personendaten sein. Wir bearbeiten sie, weil sie allgemein zugänglich sind und unsere Kundinnen und Kunden ein berechtigtes Interesse haben, Unternehmen eindeutig zu identifizieren und ihre Referenzen bei öffentlichen Aufträgen zu kennen (Art. 30 Abs. 3 und Art. 31 Abs. 1 DSG).

Die Angaben sind für angemeldete Benutzer von Sollaro sichtbar und werden nicht an weitere Dritte verkauft. Kontaktpersonen der Beschaffungsstellen speichern wir nicht. Wir bewerten keine Personen und erstellen keine Ranglisten. Wir übernehmen Änderungen und Löschungen aus den Registern regelmässig. Sollaro liest simap.ch nur und veröffentlicht dort nichts.

Sie können der Bearbeitung Ihrer Angaben im Verzeichnis jederzeit widersprechen: hallo@sollaro.ch. Angaben aus simap.ch sind keine amtliche Veröffentlichung; massgebend sind die Publikationen auf simap.ch.

Nachweise, die ein Unternehmer selbst über seinen Link hochlädt (etwa Betreibungsauszug oder Versicherungsbestätigung), sind kein Teil des öffentlichen Verzeichnisses. Sie gehören zu den Projektdaten des einladenden Büros (Ziffer 2) und sind nur für dieses Büro sichtbar.

Wir setzen folgende Dienstleister als Auftragsbearbeiter ein. Sie bearbeiten die Daten nur nach unseren Weisungen und sind vertraglich zu Vertraulichkeit und Datensicherheit verpflichtet. Die aktuelle Liste ist auch Anhang 1 des AVV mit den Büros.

Für das Unternehmerverzeichnis (Ziffer 9) und die Feiertage je Kanton beziehen wir öffentliche Daten aus folgenden Quellen. Diese Stellen sind keine Auftragsbearbeiter: Sie erhalten von uns keine Personendaten, wir lesen nur ihre Veröffentlichungen.

Weitere Empfänger: Behörden und Gerichte, wenn wir gesetzlich dazu verpflichtet sind; Berater wie Treuhand oder Anwalt unter Schweigepflicht, soweit nötig. Innerhalb eines Büros sehen Personen Projektdaten nur entsprechend ihrer Rolle. Externe wie Unternehmer sehen nur, was das Büro für sie freigibt.

Datenbank, Dateien und Backups liegen in der Schweiz. Ins Ausland gelangen Personendaten auf drei Wegen: Die Anwendung läuft bei Vercel in Frankfurt, E-Mails versendet und empfängt Resend, und die KI-Auswertung läuft über AWS oder Google Cloud in der EU. Weil einige Anbieter ihren Sitz in den USA oder Singapur haben oder von dort Betrieb und Support leisten, etwa Supabase Inc. in den USA, können Personendaten auch in diese Staaten gelangen. Die EU-Staaten und die USA, für Unternehmen mit Zertifizierung unter dem Swiss-U.S. Data Privacy Framework, gelten nach Anhang 1 der Datenschutzverordnung als Staaten mit angemessenem Datenschutz. Wo das nicht zutrifft, stützen wir uns auf die vom EDÖB anerkannten Standardvertragsklauseln der EU-Kommission mit den Anpassungen für die Schweiz (Art. 16 Abs. 2 lit. d DSG). Eine Kopie der Garantien erhalten Sie auf Anfrage.

Behörden in Drittstaaten können nach ihrem Recht unter Umständen Zugriff auf Daten verlangen. Dieses Restrisiko lässt sich auch mit Vertragsklauseln nicht ganz ausschliessen.

Wir bewahren Personendaten nur so lange auf, wie es der Zweck oder eine gesetzliche Pflicht verlangt.

Sollaro trifft keine Entscheide, die ausschliesslich automatisiert erfolgen und für jemanden mit einer Rechtsfolge oder einer erheblichen Beeinträchtigung verbunden sind (Art. 21 DSG). Vergabeanträge, Zuschläge, Rechnungsfreigaben und Zahlungen entscheiden immer Menschen im Büro. Ampeln und Prüfhinweise sind Hilfen für diese Entscheide. Wir werten keine Persönlichkeitsmerkmale aus und betreiben kein Profiling.

Wir schützen Personendaten mit technischen und organisatorischen Massnahmen, die dem Risiko angemessen sind (Art. 8 DSG). Die wichtigsten:

• Verschlüsselte Übertragung (TLS, HSTS) und verschlüsselte Speicherung beim Hoster.
• Strikte Trennung der Büros in der Datenbank (Row Level Security auf allen Tabellen), Zugriff nur nach Rolle.
• Private Dateiablage, Downloads nur über zeitlich begrenzte signierte Links.
• Portal-Links mit zufälligem, nicht erratbarem Schlüssel; kein Einblick in andere Bieter.
• Schutz der Formulare durch Begrenzung der Anfragen pro Verbindung und Bot-Erkennung.
• Nur anfügbarer Audit-Trail für Prüfungen und Änderungen.
• Zwei-Faktor-Anmeldung mit Authenticator-App für alle Konten der Anwendung, Abmeldung auf allen Geräten über die Profilseite.
• Zwei-Faktor-Anmeldung für die administrativen Zugänge zu unseren Anbietern, Zugriff nur für Personen, die ihn brauchen.

Wir sind nicht zertifiziert (zum Beispiel nach ISO 27001). Unsere Anbieter verfügen teils über eigene Zertifizierungen, die sie selbst ausweisen. Erfahren wir von einer Verletzung der Datensicherheit mit voraussichtlich hohem Risiko, melden wir sie dem EDÖB und informieren die Betroffenen, wenn nötig (Art. 24 DSG). Betrifft sie Projektdaten, informieren wir das Büro.

Sie haben im Rahmen des Datenschutzrechts insbesondere das Recht,

• Auskunft zu verlangen, ob und welche Personendaten wir über Sie bearbeiten (Art. 25 DSG);
• unrichtige Daten berichtigen zu lassen;
• die Löschung zu verlangen oder einer Bearbeitung zu widersprechen, soweit keine Pflicht oder überwiegendes Interesse entgegensteht;
• Ihre Daten in einem gängigen elektronischen Format herauszuverlangen oder übertragen zu lassen (Art. 28 DSG);
• eine erteilte Einwilligung jederzeit für die Zukunft zu widerrufen.

Schreiben Sie dafür an hallo@sollaro.ch. Wir antworten in der Regel innert 30 Tagen und können einen Identitätsnachweis verlangen, wenn wir Sie sonst nicht sicher zuordnen können. Die Auskunft ist grundsätzlich kostenlos. Geht es um Projektdaten eines Büros, leiten wir die Anfrage an das Büro weiter und unterstützen es bei der Antwort.

Sie können sich jederzeit an die Aufsichtsbehörde wenden: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern, edoeb.admin.ch.

Sollaro richtet sich an Büros in der Schweiz. Die DSGVO kann trotzdem gelten, etwa wenn Unternehmer aus der EU über das Portal Offerten einreichen oder Kunden mit Sitz in der EU die Anwendung nutzen. Dann gelten zusätzlich:

• Rechtsgrundlagen: Vertrag und vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO) für Konto, Pilot-Anfrage und Abrechnung; berechtigtes Interesse (lit. f) für Server-Logs, Sicherheit und die Beantwortung von E-Mails; rechtliche Pflicht (lit. c) für Aufbewahrung. Für Projektdaten bestimmt das Büro als Verantwortliches die Rechtsgrundlage.
• Rechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 15 bis 21 DSGVO sowie Beschwerde bei einer Aufsichtsbehörde in der EU, insbesondere am Wohn- oder Arbeitsort.
• Übermittlung: Die Schweiz gilt nach Beschluss der EU-Kommission als Staat mit angemessenem Datenschutz. Für Anbieter ausserhalb gelten die Garantien in Ziffer 11.

Einen Vertreter in der EU nach Art. 27 DSGVO haben wir derzeit nicht bestellt, weil wir unser Angebot nicht gezielt an Personen in der EU richten. Wir prüfen das neu, sobald sich das ändert.

Wir passen diese Erklärung an, wenn sich Funktionen, Anbieter oder das Recht ändern. Es gilt die jeweils hier veröffentlichte Fassung. Wesentliche Änderungen bei den Auftragsbearbeitern teilen wir den Büros gemäss AVV vorgängig mit.

Stand: 21.10.2026