Datenschutz-
erklärung

Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO und des Schweizer DSG ist:

Ein Datenschutzbeauftragter wurde freiwillig bestimmt und ist über die obige Adresse erreichbar.

Erhobene Daten
& Zwecke

Stammdaten (bei Buchung)

• Vor- und Nachname
• Geburtsdatum
• Adresse (Strasse, PLZ, Ort, Land)
• E-Mail-Adresse
• Telefonnummer
• Verwendungszweck der Miete

Zweck: Vertragsabschluss, Vertragsabwicklung, Rechnungsstellung, Kommunikation.

Identitätsprüfungsdaten

• Scan / Foto des amtlichen Ausweises (ID oder Pass), Vorder- und Rückseite
• Scan / Foto des Führerausweises, Vorder- und Rückseite
• Selfie-Foto zur biometrischen Verifikation

Zweck: Verifikation der Identität und Fahrberechtigung, Verhinderung von Identitätsmissbrauch.

Vertragsdaten

• Übergabe- und Rückgabeprotokolle (inkl. Fotos des Fahrzeugzustandes)
• Kilometerstand bei Übergabe und Rückgabe
• Schadensmeldungen
• Zahlungsstatus und -historie
• Kommunikationsverlauf (E-Mail, WhatsApp)

Technische Daten

• IP-Adresse (gekürzt zur Anonymisierung)
• Browser-Typ, Betriebssystem
• Referrer-URL
• Zeitpunkt des Zugriffs
• Session-Cookie (technisch notwendig)
• Zufällige Besucher-ID, Kampagnen-Parameter (UTM) und Klick-IDs von Werbeanzeigen (siehe § 11)

Zweck: Funktionsfähigkeit, IT-Sicherheit, Missbrauchsabwehr sowie Reichweiten- und Kampagnenmessung (siehe § 11).

Rechtsgrundlagen

Rechtsgrundlagen der Datenverarbeitung sind:

• Art. 6 Abs. 1 lit. b DSGVO / Art. 31 DSG — Vertragserfüllung und vorvertragliche Massnahmen (Buchung, Mietvertrag)
• Art. 6 Abs. 1 lit. c DSGVO / Art. 31 DSG — Gesetzliche Pflichten (Buchhaltung, Steuern, Verkehrsmeldewesen)
• Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 1 DSG — Berechtigte Interessen (Betrugsprävention, IT-Sicherheit, Geltendmachung von Ansprüchen, Reichweiten- und Kampagnenmessung)
• Art. 6 Abs. 1 lit. a DSGVO / Art. 31 Abs. 1 DSG — Einwilligung (wo ausdrücklich eingeholt, insbesondere für den Meta Pixel über das Cookie-Banner; jederzeit widerruflich)

Empfänger &
Auftragsverarbeiter

Zur Erfüllung unserer Leistungen binden wir sorgfältig ausgewählte Dienstleister ein. Alle sind vertraglich (Auftragsverarbeitungsverträge nach Art. 28 DSGVO / Art. 9 DSG) zur Wahrung des Datenschutzes verpflichtet.

• Stripe Payments Europe Ltd. (Irland/USA) — Zahlungsabwicklung, Kautions-Vorautorisierung
• Meta Platforms Ireland Ltd. (Irland/USA) — WhatsApp Business API für Nachrichtenkommunikation
• KI-Anbieter für die Ausweisprüfung, den Selfie-Abgleich, Antwortvorschläge und weitere KI-Hilfen (siehe § 6) — über einen eigenen, direkten API-Zugang von BellaStrada (ohne Zwischenanbieter): standardmässig OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C., USA); je nach Konfiguration alternativ Anthropic PBC (USA) oder Google (Google Ireland Ltd. / Google LLC, USA)
• Emergent Labs (Hosting-Plattform) — Anwendungs-Hosting, Object Storage für Dokumente
• InvictaX Group GmbH (Schweiz, Hosting in der Schweiz) — Marketing-Plattform InvictaFlow: Reichweitenmessung, Kampagnen- und Anfrage-Zuordnung (siehe § 11)
• Meta Platforms Ireland Ltd. (Irland/USA) — Meta Pixel, nur mit Ihrer Einwilligung; insoweit gemeinsame Verantwortlichkeit nach Art. 26 DSGVO (siehe § 11)
• Gmail/Google Workspace — E-Mail-Versand
• MongoDB (Cloud Services) — Datenbankhosting
• OpenStreetMap / Leaflet — Kartendarstellung für Bringservice (nur IP-Adresse, kein Profiling)
• Kantonale Behörden / Strafverfolgung — ausschliesslich bei gesetzlicher Pflicht oder bei Weiterleitung von Bussen
• Versicherungen — im Schadensfall, beschränkt auf relevante Daten

Datentransfer
ins Ausland

Einige unserer Auftragsverarbeiter (insbesondere Stripe, Meta, OpenAI, Anthropic, Google) verarbeiten Daten in Drittländern ausserhalb der Schweiz und der EU — vor allem in den USA.

Für diese Transfers stützen wir uns auf:

• EU-Standardvertragsklauseln (SCC 2021/914) nach Art. 46 DSGVO
• EU-U.S. Data Privacy Framework (DPF) — für Anbieter, die sich zertifiziert haben
• Die Angemessenheitsbeschlüsse der EU-Kommission, soweit anwendbar
• Einwilligung der betroffenen Person, soweit erforderlich

Eine Liste der Subauftragsverarbeiter und Verweise auf die jeweiligen Datenschutzerklärungen der Anbieter stellen wir auf Anfrage zur Verfügung.

Einsatz von
künstlicher Intelligenz (KI)

1. KI-gestützte Identitätsprüfung

Zur schnellen und zuverlässigen Prüfung Ihrer Identität nutzen wir KI-basierte Bildanalyse (standardmässig GPT-4o von OpenAI; je nach Konfiguration alternativ Claude von Anthropic oder Gemini von Google). Die Anfragen laufen über einen eigenen, direkten API-Zugang von BellaStrada beim jeweiligen Anbieter — ohne Zwischenanbieter. Dabei werden Ihre hochgeladenen Dokumente und Ihr Selfie analysiert.

Was passiert konkret?

• Die Bilder werden verschlüsselt an die API des eingestellten KI-Anbieters übermittelt (Server u. a. in den USA; Übermittlung gestützt auf das Data Privacy Framework bzw. Standardvertragsklauseln)
• Die KI extrahiert Name, Geburtsdatum und weitere Ausweismerkmale (OCR)
• Die KI vergleicht Selfie mit Ausweisbild (Ähnlichkeitsprüfung)
• Das Ergebnis wird bei uns gespeichert — die Originalbilder in unserem Object Storage, die KI-Extraktion in der Datenbank
• Gemäss den API-Geschäftsbedingungen der Anbieter (OpenAI API, Anthropic API, kostenpflichtige Google Gemini API) werden die übermittelten Daten nicht zum Training von KI-Modellen verwendet

Keine automatisierte Einzelentscheidung

Die KI-Prüfung ist ein Hilfsmittel. Die finale Buchungsentscheidung trifft stets ein Mensch (Admin). Sie haben das Recht, dieser Art der Verarbeitung zu widersprechen — in diesem Fall erfolgt eine rein manuelle Prüfung, die jedoch mehrere Werktage dauern kann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO / Art. 31 DSG.

2. KI-Antwortvorschläge bei Kundenanfragen

Um Ihre Anfragen schneller zu beantworten, können unsere Mitarbeitenden sich einen Antwortentwurf von der KI vorschlagen lassen. Dazu werden der bisherige Nachrichtenverlauf (WhatsApp, Chat, E-Mail) sowie die zugehörigen Buchungsangaben (z. B. Name, Fahrzeug, Mietdatum, Buchungsstatus) an den eingestellten KI-Anbieter übermittelt — über unseren eigenen, direkten API-Zugang.

• Die KI erstellt nur einen Entwurf. Jede Antwort wird von einem Menschen geprüft, bei Bedarf angepasst und erst dann versendet — es wird nichts automatisch verschickt
• Es werden nur die für die Antwort nötigen Angaben übermittelt; keine Ausweisdokumente und keine Zahlungsdaten
• Gemäss den API-Geschäftsbedingungen der Anbieter werden die Daten nicht zum Training von KI-Modellen verwendet
• Rechtsgrundlage: Vertragserfüllung bzw. vorvertragliche Kommunikation (Art. 6 Abs. 1 lit. b DSGVO) und berechtigtes Interesse an einer effizienten Kundenbetreuung (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 1 DSG)
• Sie können widersprechen (datenschutz@bellastrada.ch) — wir beantworten Ihre Anfragen dann ohne KI-Unterstützung

3. Weitere KI-Hilfen

• Kennzeichen-Unkenntlichmachung: Auf Fahrzeugfotos (z. B. für die Website oder in Protokollen) werden Kennzeichen automatisch per KI erkannt und unkenntlich gemacht. Abgebildete Personen oder Kennzeichen Dritter werden dabei nicht ausgewertet oder gespeichert
• Erklärung von Zahlungsfehlern: Technische Fehlermeldungen unseres Zahlungsdienstleisters Stripe (z. B. abgelehnte Zahlung) können zur verständlichen Erklärung an die KI übermittelt werden. Kartendaten werden dabei nie übermittelt
• Rechtsgrundlage: berechtigtes Interesse (Datensparsamkeit beim Schutz von Kennzeichen, rasche Klärung von Zahlungsproblemen; Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 1 DSG)

Für alle KI-Funktionen gilt: Anbieter ist standardmässig OpenAI, je nach Konfiguration alternativ Anthropic oder Google; die Übermittlung in die USA erfolgt gestützt auf das Data Privacy Framework bzw. Standardvertragsklauseln (siehe § 5).

Zahlungs-
abwicklung (Stripe)

Zahlungen und Kautions-Vorautorisierungen werden über Stripe Payments Europe Ltd. abgewickelt. Wir selbst speichern keine Kreditkartendaten.

• Bei Kartenzahlung werden Sie auf das Stripe-Formular weitergeleitet (bzw. Stripe-iframe eingebettet)
• Stripe verarbeitet Name, E-Mail, Kartendaten, Betrag und übermittelt uns nur eine Transaktions-ID sowie den Status
• Stripe ist PCI-DSS Level 1 zertifiziert und DPF-registriert (USA)
• Details siehe: https://stripe.com/privacy

WhatsApp-
Kommunikation (Meta)

Wenn Sie uns eine Telefonnummer angeben und Kommunikation per WhatsApp wünschen (oder wir Sie so kontaktieren), läuft der Nachrichtenaustausch über die Meta WhatsApp Business API.

• Verarbeitete Daten: Telefonnummer, Nachrichteninhalt, Zeitstempel, Zustell-/Lesestatus
• Betreiber: Meta Platforms Ireland Ltd. — Server in Irland und USA
• Nachrichten werden Ende-zu-Ende-verschlüsselt zwischen Mobilgerät und WhatsApp, Meta hat jedoch Zugriff auf Metadaten
• Wir verwenden WhatsApp nur für betriebliche Kommunikation (Buchung, Erinnerungen, Rückfragen) — keine Werbung
• Sie können der WhatsApp-Kommunikation jederzeit widersprechen; wir wechseln dann auf E-Mail
• Meta-Datenschutzerklärung: https://www.whatsapp.com/legal/business-policy

Speicherdauer

Wir speichern Personendaten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder Gesetz und Verträge es vorschreiben.

• Buchungs- und Vertragsdaten: 10 Jahre (Art. 958f OR — Aufbewahrungspflicht Schweiz)
• Rechnungen und Zahlungsbelege: 10 Jahre (Art. 958f OR)
• Ausweiskopien und Selfies: 90 Tage nach Ende des Mietverhältnisses, danach automatische Löschung
• Kommunikation (E-Mail, WhatsApp): 3 Jahre nach letztem Kontakt
• Kundenkonto-Stammdaten: bis zur Löschung des Kontos durch den Kunden (oder 3 Jahre Inaktivität)
• Technische Server-Logs: 30 Tage, danach anonymisiert
• Reichweiten- und Kampagnendaten (InvictaFlow): höchstens 26 Monate, danach Löschung oder Anonymisierung
• Kampagnen-Herkunft im Browser (localStorage): 90 Tage; anonyme Formularschritt-Statistik: 30 Tage
• Bewertungen / Reviews: unbefristet (nach Einwilligung; jederzeit widerruflich)

Ihre
Rechte

Nach Schweizer DSG und EU-DSGVO stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 25 DSG / Art. 15 DSGVO) — Sie dürfen wissen, welche Daten wir über Sie verarbeiten
• Berichtigungsrecht (Art. 32 DSG / Art. 16 DSGVO) — Sie können unrichtige Daten korrigieren lassen
• Löschungsrecht / Recht auf Vergessenwerden (Art. 32 DSG / Art. 17 DSGVO) — soweit keine Aufbewahrungspflichten entgegenstehen
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruchsrecht (Art. 30 DSG / Art. 21 DSGVO) — insbesondere gegen Verarbeitung auf Basis berechtigter Interessen
• Recht auf Datenübertragbarkeit (Art. 28 DSG / Art. 20 DSGVO) — Herausgabe der Daten in maschinenlesbarem Format
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft

Anfragen richten Sie bitte formlos per E-Mail an: datenschutz@bellastrada.ch. Wir antworten innert 30 Tagen (DSG) bzw. einem Monat (DSGVO). Zur Verifikation Ihrer Identität können wir zusätzliche Informationen anfordern.

Cookies
& Tracking

Auf www.bellastrada.ch setzen wir technisch notwendige Speichertechnologien, eine Reichweiten- und Kampagnenmessung sowie — ausschliesslich mit Ihrer Einwilligung — den Meta Pixel ein. Google Analytics verwenden wir nicht.

1. Technisch notwendig (ohne Einwilligung)

• Session-Cookie / Login-Token (Authentifizierung) — wird nach Sitzungsende oder Logout gelöscht
• CSRF-Token — zur Formular-Sicherheit
• Sprach-Präferenz (localStorage) — bleibt auf Ihrem Gerät
• Ihre Cookie-Entscheidung (localStorage) — damit das Banner nicht bei jedem Besuch erneut erscheint

2. Reichweiten- und Kampagnenmessung (InvictaFlow)

Wir nutzen die Marketing-Plattform InvictaFlow der InvictaX Group GmbH (Schweiz, Hosting in der Schweiz) als Auftragsverarbeiterin. Dabei werden folgende Daten verarbeitet:

• Eine zufällig erzeugte Besucher-ID, die im lokalen Speicher (localStorage) Ihres Browsers abgelegt wird — es werden dafür keine Drittanbieter-Cookies gesetzt
• Aufgerufene Seite (URL), Referrer-URL und Zeitpunkt des Aufrufs
• Kampagnen-Parameter (UTM-Werte) und Klick-IDs von Werbeanzeigen (Google: gclid/gbraid/wbraid, Meta: fbclid), die ebenfalls im localStorage gespeichert werden
• Interaktionen wie Klicks auf Telefon, E-Mail oder WhatsApp sowie abgeschlossene Anfragen, Vertragsunterzeichnungen, Zahlungen und Gutscheinkäufe (ohne Zahlungsdaten)
• Wenn Sie ein Formular absenden (z. B. eine Buchungsanfrage): Name, E-Mail-Adresse, Telefonnummer, Firma und Nachricht (max. 500 Zeichen), um die Anfrage der Werbequelle zuzuordnen

Zweck: Messung der Website-Nutzung und der Wirksamkeit unserer Werbekampagnen sowie Zuordnung von Anfragen zu ihrer Herkunft. Es wird kein website-übergreifendes Profil erstellt, und die Daten werden nicht verkauft. Rechtsgrundlage: berechtigtes Interesse (Art. 31 Abs. 1 DSG / Art. 6 Abs. 1 lit. f DSGVO); bei Formular-Anfragen zusätzlich vorvertragliche Massnahmen (Art. 6 Abs. 1 lit. b DSGVO).

Widerspruch: Sie können dieser Verarbeitung jederzeit widersprechen — per E-Mail an datenschutz@bellastrada.ch oder indem Sie den lokalen Speicher (Website-Daten) für bellastrada.ch in Ihrem Browser löschen bzw. blockieren.

3. Interne Kampagnen- und Formularstatistik

Zusätzlich merken wir uns in Ihrem Browser für bis zu 90 Tage, über welche Kampagne bzw. Website Sie zu uns gekommen sind (UTM-Werte, Klick-IDs, Referrer), und übermitteln diese Angaben zusammen mit Ihrer Buchungsanfrage an uns. Zur Verbesserung des Buchungsformulars erfassen wir anonym, welche Formularschritte aufgerufen und abgeschlossen werden (zufällige Sitzungs-ID, keine Personendaten, automatische Löschung nach 30 Tagen). Rechtsgrundlage: berechtigtes Interesse (Art. 31 Abs. 1 DSG / Art. 6 Abs. 1 lit. f DSGVO).

4. Meta Pixel (nur mit Einwilligung)

Nur wenn Sie im Cookie-Banner auf «Akzeptieren» klicken, laden wir den Meta Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland. Der Pixel setzt Cookies (z. B. «_fbp») und übermittelt Seitenaufrufe, Ihre IP-Adresse, Browser- und Geräteinformationen sowie ggf. die Klick-ID an Meta.

• Zweck: Erfolgsmessung unserer Werbeanzeigen auf Facebook und Instagram sowie Ausspielung von Werbung an Personen, die unsere Website besucht haben (Retargeting)
• Meta kann diese Daten mit Ihrem Facebook- bzw. Instagram-Konto verknüpfen und auch für eigene Zwecke verwenden. Für die Erhebung und Übermittlung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung ist allein Meta verantwortlich
• Datenübermittlung in die USA auf Grundlage des EU-U.S. bzw. Swiss-U.S. Data Privacy Framework sowie von Standardvertragsklauseln
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO / Art. 31 Abs. 1 DSG)
• Datenschutzerklärung von Meta: https://www.facebook.com/privacy/policy

Einwilligung ändern oder widerrufen

Sie können Ihre Entscheidung jederzeit über den Link «Cookie-Einstellungen» im Fussbereich jeder Seite ändern. Wählen Sie «Nur notwendige», wird der Meta Pixel nicht mehr geladen. Bereits gesetzte Meta-Cookies können Sie in Ihrem Browser löschen. Der Widerruf gilt für die Zukunft; die Rechtmässigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Sicherheit

Wir treffen angemessene technische und organisatorische Massnahmen nach Art. 8 DSG / Art. 32 DSGVO, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen:

• SSL/TLS-Verschlüsselung aller Datenübertragungen
• Bcrypt-Hashing für Passwörter
• Verschlüsselte Speicherung sensibler Credentials (WhatsApp-Tokens u. ä.)
• Zugriffskontrolle via JWT / OTP (rollenbasiert)
• Regelmässige Sicherheits-Updates der Software
• Zugriff auf Dokumente nur für autorisierte Mitarbeitende
• Segmentierte Datenhaltung (Kundendaten, Zahlungsdaten, Identitätsdokumente getrennt)
• Isolierte Object-Storage mit signierten URLs

Kontakt &
Beschwerderecht

Für Fragen zur Verarbeitung Ihrer Daten oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

Sie haben zudem das Recht, sich bei einer Aufsichtsbehörde zu beschweren:

Änderungen der
Datenschutzerklärung

Wir passen diese Datenschutzerklärung bei Bedarf an neue rechtliche oder betriebliche Gegebenheiten an. Die jeweils aktuelle Version ist auf www.bellastrada.ch/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir Sie zusätzlich per E-Mail.

Diese Datenschutzerklärung wurde zuletzt im Juni 2026 aktualisiert.