Datenschutz

Verantwortlich

Ubivo (Einzelfirma Marco Scherer) · Schweiz · Kontakt für Datenschutz-Anfragen: hallo@ubivo.ch

Vollständige Anbieter-Kennzeichnung im Impressum.

Welche Daten Ubivo speichert

• Beim Anonym-Besuch: kein Konto, kein Name, keine E-Mail-Adresse. Adress-Suchen zählen wir nur pseudonym in der Nutzungs-Statistik (siehe unten), es gibt keine Tracking-Cookies von Dritten, keine Analytics-Skripte (zum Kampagnen-Cookie nach einem Anzeigen-Klick siehe Cookies). Wir halten die IP nur flüchtig im Arbeitsspeicher für das Rate-Limit gegen Bot-Sweeps (max. 30 Reports/h), nicht in einer Datenbank, nicht mit deinem Konto verknüpft. Der Eintrag wird nach Ablauf des Zeitfensters (bis zu 1 Stunde) automatisch entfernt.
• Beim Login: deine E-Mail-Adresse, ausschliesslich für den Magic-Link-Versand und das Wiedererkennen deines Kontos. Keine weiteren Login- Identifier (Passwörter speichern wir nicht).
• Wenn du Profile speicherst: ein selbst vergebener Name + die Faktor-Gewichtungen, die du für deine Lebenssituation gewählt hast. Optional Profil-Felder wie Einkommen, Haushalt, Alter, Krankenkassen-Franchise, nur wenn du sie selbst einträgst.
• Wenn du eine Adresse merkst (☆ Merken): die Adresse + Koordinaten werden mit deinem Konto verknüpft. Das ist der Sinn der Merken-Liste. Jederzeit wieder entfernbar.
• Beim Kauf (Schnell-Check oder Dossier): deine User-ID, Start-Adresse, Produkt-Tier (Schnell-Check oder Dossier), Kauf-Status, Stripe-Session-ID sowie der Projekt-Name den du wählst. Wir sehen keine Kreditkartendaten. Der Bezahl-Anbieter Stripe wickelt die Zahlung ab.
• Beim Kauf ohne vorherige Anmeldung: Stripe übermittelt uns die E-Mail-Adresse, die du dort angibst. Damit du den Kauf auch auf anderen Geräten öffnen kannst, schreiben wir ihn einem Ubivo-Konto mit dieser Adresse gut (einem bestehenden oder einem, das wir dafür neu anlegen) und schicken dir dorthin einen Login-Link. Das dient der Erfüllung des Kaufvertrags. Ins Konto gelangt nur, wer den Link in diesem Postfach öffnet; der Kauf allein meldet niemanden an.
• Im Such-Projekt: die Adressen, die du als Vergleichs-Alternativen zu deiner Start-Adresse hinzufügst (max. 1 bzw. 5 je nach Tier). Adressen können jederzeit entfernt werden. Wir speichern, wie viele Tausch-Vorgänge du bereits durchgeführt hast, um das vertraglich vereinbarte Tausch-Kontingent (max. 2 bzw. 12) durchzusetzen. Optional der Kaufpreis je Adresse, wenn du ihn im Projekt einträgst. Er dient nur der Rechnung in deinem Dossier (Kaufnebenkosten, Tragbarkeit, Zehn-Jahres-Summe) und ist nicht Teil des Kaufbelegs. Du kannst ihn jederzeit leeren; bei der Konto-Löschung wird er sofort gelöscht.
• Wenn du dein Dossier teilst (Lese-Link): Du kannst für ein bezahltes Projekt bis zu drei Links gleichzeitig erzeugen, mit denen eine andere Person das Dossier lesen kann, ohne Konto. Wir speichern dazu: zu welchem Projekt der Link gehört, den Namen, den du dafür angibst (freiwillig), wann der Link erzeugt wurde, bis wann er gilt (30 Tage), ob du ihn widerrufen hast und wann er zuletzt geöffnet wurde. Den Link selbst speichern wir nicht, nur einen nicht umkehrbaren Prüfwert (SHA-256). Deine E-Mail-Adresse sieht die andere Person nicht.
  Was die andere Person sieht: das Dossier der Adressen dieses Projekts, gerechnet mit deinem Standardprofil und den Kaufpreisen, die du im Projekt eingetragen hast, dazu die Namen des Projekts und des Profils. Darin stecken Angaben wie Einkommen, Kaufpreis, Haushalt, Arbeitsort und Eigenkapital. Teile den Link deshalb nur mit Personen, die das sehen dürfen. Sie kann nichts ändern und kein PDF erstellen. Über die andere Person speichern wir nichts ausser dem Zeitpunkt des letzten Öffnens; ihre IP-Adresse halten wir nur flüchtig für das Rate-Limit, sonst gilt für ihren Besuch dasselbe wie für einen anonymen Besuch.
  Hinweis: Manche Messenger öffnen einen Link selbst, um eine Vorschau zu zeigen. Dann kann «zuletzt geöffnet» von dieser Vorschau stammen.
• Beim Werkzeug «Krankenkasse wechseln»: die Rechner-Eingaben (Gemeinde oder PLZ, Geburtsjahr, Franchise, Unfalldeckung, Modell, heutige Kasse und Prämie) gehen an unseren Server, werden dort nur zum Berechnen der Prämien verwendet und weder gespeichert noch protokolliert. Die Angaben für den Kündigungsbrief (Namen, Adresse, Geburtsdaten, Versichertennummern) bleiben in deinem Browser: Ubivo empfängt, speichert und sieht sie nicht, auch nicht im Browser-Speicher. Ubivo gibt nichts an Krankenkassen weiter.
• Beim Werkzeug «Mietzins prüfen»: Rechnung und Herabsetzungsbegehren entstehen vollständig in deinem Browser. Miete, Daten, Namen, Adresse und Mietobjekt gehen nicht an unseren Server, werden nicht gespeichert und auch nicht im Browser-Speicher abgelegt. Ubivo gibt nichts an deinen Vermieter weiter.
• Mit der Browser-Erweiterung «Ubivo · Inserat prüfen»: Die Erweiterung liest das geöffnete Inserat auf ImmoScout24, Homegate, Comparis oder Newhome nur in deinem Browser. Erst wenn du auf ihren Knopf klickst, öffnet sie ubivo.ch mit Adresse, Postleitzahl, Ort, Preis, Zimmerzahl, Fläche und dem Link des Inserats in der Adresszeile. Sonst sendet die Erweiterung nichts und speichert nichts. Ubivo speichert diese Angaben nur, wenn du das Inserat selbst in deinem Konto speicherst.
• NICHT gespeichert: kein Browsing-Verlauf ausserhalb der unten beschriebenen Nutzungs-Statistik, keine User-Agent-Profile mit Konto-Bezug, keine Server-Logs verknüpft mit deinem Konto.

Nutzungs-Statistik (Funnel-Telemetrie)

Um zu verstehen, welche Teile von Ubivo Besucher bis zum Kauf führen und welche nicht, zeichnen wir einzelne Ereignisse deines Besuchs auf: Aufrufe der Startseite, der Themen-Seiten, eines Reports, der Preise und des Vergleichs; das Abschicken einer Adresse; welche Abschnitte eines Reports du erreichst; ob die Dossier-Vorschau im Gratis-Report ins Bild kommt und angeklickt wird; Klicks auf die Links zu BauCheck; den Start des Stripe-Checkouts, abgeschlossene Käufe und PDF-Downloads.

• Identifikation: eine pseudonyme Kennung, berechnet als SHA-256-Hash aus deiner IP-Adresse, der Kennung deines Browsers (User-Agent) und dem Kalendertag. Es wird kein Cookie gesetzt, und weder IP-Adresse noch Browser-Kennung werden gespeichert. Weil der Kalendertag einfliesst, wechselt die Kennung täglich. Wir erkennen dich nicht tagesübergreifend wieder. Kein Cross-Site-Tracking, keine Verknüpfung mit Werbe-Netzwerken.
• A/B-Tests: Wir testen gelegentlich zwei Textvarianten gegeneinander (z.B. eine Wortwahl auf den Faktor-Karten) und messen anhand der Ereignisse oben, welche hilfreicher ist. Die Zuteilung nutzt einen Hash aus IP-Adresse und Browser-Kennung, hier ohne Kalendertag, damit du innerhalb eines Experiments dieselbe Variante siehst. Gespeichert wird nur der Name der Variante beim Ereignis; ein Cookie gibt es dafür nicht.
• Eingeloggte Nutzer: Bist du angemeldet, speichern wir bei den meisten Ereignissen deine Konto-ID mit (nicht bei Klicks auf BauCheck). Diese Ereignisse erscheinen in deinem Daten-Export. Löschst du dein Konto (Art. 32 DSG), entfernen wir die Konto-ID sofort aus allen Ereignissen.
• Was gespeichert wird: je Ereignis die Art und der Zeitpunkt, die pseudonyme Kennung und, je nach Ereignis, eine kurze Zusatzangabe (etwa der erreichte Report-Abschnitt, die Stelle des BauCheck-Links, die Seite, von der eine Adresse abgeschickt wurde, oder ob ein Kauf ohne Konto lief), das gekaufte Produkt, die Variante eines A/B-Tests, die grobe Geräte-Kategorie (Desktop/Mobile/Bot/Unbekannt) und der Host-Name der verweisenden Seite (z.B. eine Suchmaschine, nicht die vollständige URL). Adressen speichern wir nur als gekürzten Hashwert (SHA-256, die ersten 16 Hex-Zeichen), nie im Klartext. Das ist eine Pseudonymisierung, keine Anonymisierung: Wer eine Liste von Adressen durchrechnet, könnte einen Hashwert einer Adresse zuordnen. Wir tun das nicht und werten Trends aus, nicht einzelne Besuche.
• Was NICHT gespeichert wird: keine Mausbewegungen, keine anderen Klicks als die oben genannten, keine Scroll-Tiefe in Pixeln, keine gemessene Verweildauer, keine genauen Geräte-Daten. Beim Report halten wir aber fest, welche Abschnitte in die obere Bildschirmhälfte gescrollt wurden; das zeigt grob, wie weit gelesen wurde. Weil jedes Ereignis einen Zeitpunkt trägt, lässt sich ausserdem ungefähr ablesen, wie lange ein Report offen war.
• Aufbewahrung: 90 Tage. Ältere Ereignisse löscht ein stündlicher Lauf. Auch die Tages-Summen für unsere Auswertung werden aus diesen Ereignissen berechnet und reichen deshalb nicht weiter als 90 Tage zurück.
• Rechtsgrundlage: unser überwiegendes privates Interesse, das Produkt zu verbessern (Art. 31 Abs. 1 DSG). Ohne Mess-Möglichkeit könnten wir nicht entscheiden welche Teile von Ubivo den Käufern Nutzen bringen.
• Widerspruch: Die Kennung wird pseudonym aus IP-Adresse und Browser berechnet (kein Cookie) und lässt sich daher nicht durch Cookie-Löschen abschalten. Die Ereignisse werden nach 90 Tagen gelöscht; ohne Anmeldung enthalten sie nichts, was direkt auf deine Person zeigt. Für einen Widerspruch nach Art. 30 DSG oder Fragen zur Bearbeitung erreichst du uns unter hallo@ubivo.ch.

Wo die Daten liegen

Alle User-Daten liegen in einer PostgreSQL-Instanz beim Anbieter HostBott (Blumenweg 8, 7204 Untervaz GR); die Server stehen in Schweizer Rechenzentren. Keine US-Cloud, kein Drittland für die Speicherung. Daten-Transit zu den unten genannten Empfängern ist verschlüsselt (TLS).

An wen Daten weitergegeben werden

Ubivo teilt nur dort Daten mit Drittanbietern, wo das technisch nötig ist, und beschränkt jeweils auf das Minimum:

• Stripe (Bezahl-Anbieter): für Käufe von Schnell-Check und Dossier. Daten: bei einem Kauf mit Konto deine User-ID und deine E-Mail-Adresse (Stripe füllt sie vor), die Kauf-Adresse, Produktwahl, dein Betrag und, falls vorhanden, die Kampagnen-Kennung aus dem Cookie ubivo_utm (siehe Cookies). Bei einem Kauf ohne Anmeldung erfasst Stripe deine E-Mail-Adresse und gibt sie uns für die Zuordnung zum Konto weiter. Wir sehen keine Kreditkartendaten. Stripe bearbeitet die Zahlungsdaten zum grössten Teil in eigener Verantwortung (Zahlungsabwicklung, Betrugsabwehr, gesetzliche Pflichten); dafür gilt die Datenschutzerklärung von Stripe (stripe.com/ch/privacy). Soweit Stripe für uns die Checkout-Sitzungen mit den Kaufangaben führt (Kauf-Kennung, Adresse, Produkt und, falls vorhanden, Konto-ID und Kampagnen-Kennung), ist Stripe unser Auftragsbearbeiter.
  Bekanntgabe ins Ausland: Vertragspartner von Ubivo ist Stripe Payments Europe, Limited in Irland. Für bewilligungspflichtige Zahlungsdienste in der Schweiz nennt Stripe die Stripe Payments UK, Ltd. im Vereinigten Königreich. Für beide Staaten hat der Bundesrat einen angemessenen Datenschutz festgestellt (Art. 16 Abs. 1 DSG). Stripe kann Daten ausserdem in die USA übermitteln. Dafür ist Stripe nach dem Swiss-U.S. Data Privacy Framework zertifiziert, das der Bundesrat als angemessen anerkannt hat; zusätzlich vereinbart Stripe Standarddatenschutzklauseln mit Schweizer Zusatz (Art. 16 Abs. 2 lit. d DSG). Angaben nach dem Stripe-Datenschutzcenter, abgerufen am 2. Oktober 2026.
• ZeptoMail (E-Mail-Versand): ZeptoMail der Zoho Corporation B.V., Utrecht (Niederlande), Rechenzentren in den Niederlanden und Irland: für den Login-Link und Transaktions-Mails (Kauf-Bestätigung). Daten: deine E-Mail-Adresse und der Inhalt der Mail. Für Betrieb und Support kann die Zoho Corporation Pvt. Ltd. aus Indien zugreifen; Indien hat kein angemessenes Datenschutzniveau, Zoho sichert solche Übermittlungen mit Standardvertragsklauseln ab (Art. 16 Abs. 2 lit. d DSG). Details unter zoho.com/privacy.
• swisstopo, BAFU, BFS, ARE, MeteoSchweiz, ESTV und weitere amtliche CH-Stellen: Geo- und Statistik- Daten werden öffentlich von uns abgerufen. Diese Stellen erhalten KEINE Daten über dich (Anfragen kommen von Ubivo- Servern). Bei kommunalen Abfragen kann die Server-IP an den jeweiligen WMS-Server gehen, ohne User-Bezug.
• Open-Meteo + Copernicus CAMS: Wetter- und Luft-Daten werden serverseitig abgerufen, ohne User-Bezug.
• swisstopo WMTS-Tile-Service: wenn du den Marker-Picker für Neubau-Adressen öffnest, lädt dein Browser swisstopo-Karten-Kacheln direkt (Standard-WMTS- Protokoll). swisstopo sieht dabei deine IP-Adresse und die angefragten Kachel-Koordinaten, gleichbedeutend wie wenn du map.geo.admin.ch besuchst. Wir leiten nichts weiter und speichern nichts darüber.
• Sonst NIEMAND. Wir verkaufen keine Daten, wir geben sie nicht an Werbe-Netzwerke oder Daten-Broker, wir teilen sie nicht mit Behörden ohne richterlichen Beschluss.

Wie lange Daten gespeichert werden

• Konto-Daten bleiben bis du das Konto löschst. Lösch-Flow im Konto-Bereich. Ein Klick, sofortige Löschung aller Konto-bezogenen Daten.
• Gespeicherte Adressen / Profile bleiben bis du sie selbst entfernst oder das Konto löschst.
• Kauf-Belege halten wir aus Steuer- und Buchhaltungsgründen 10 Jahre (gesetzliche Aufbewahrungs- pflicht). Diese Belege enthalten User-ID, Adresse, Betrag, Datum, aber keine Faktor-Werte.
• IP fürs Rate-Limit wird nur flüchtig im Arbeitsspeicher gehalten (keine persistente Speicherung) und nach Ablauf des Zeitfensters (bis zu 1 Stunde) entfernt, nie mit Konto verknüpft.
• Nutzungs-Statistikwird 90 Tage gespeichert, die daraus berechneten Tages-Summen ebenfalls (siehe Sektion „Nutzungs-Statistik" oben).
• Lese-Links gelten 30 Tage. Abgelaufene oder widerrufene Links löschen wir 30 Tage danach. Löschst du dein Konto, werden alle Links sofort gelöscht. Wird ein Kauf rückerstattet, funktionieren seine Links sofort nicht mehr.

Deine Rechte

Nach revDSG (Schweizer Datenschutzgesetz, Art. 25 ff.) hast du folgende Rechte:

• Auskunft (Art. 25): alles was wir zu dir gespeichert haben kannst du jederzeit als JSON-Datei herunterladen · /api/me/export.
• Berichtigung: falsche Daten korrigieren. Die meisten Felder kannst du im Konto-Bereich selbst ändern, sonst Mail an hallo@ubivo.ch.
• Löschung: Konto + alle verknüpften Daten löschen via /account/delete (sofort, keine Wartezeit).
• Datenübertragbarkeit: der oben verlinkte JSON-Export ist maschinenlesbar. Du kannst ihn überallhin mitnehmen.
• Widerruf der Einwilligung: jederzeit möglich, ohne Begründung. Der Widerruf wirkt für die Zukunft.
• Beschwerde-Recht beim EDÖB: bei Beanstandungen kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten wenden.

Cookies

Ubivo setzt technisch nötige Cookies und, nur nach einem Klick aus einer Kampagne, ein Kampagnen-Cookie:

• Session-Cookie nach Login (HttpOnly, SameSite=Lax, Secure). Er verknüpft deine Sitzung mit deinem Konto. Pflicht für eingeloggte Funktionen.
• Kauf-Cookies, nur nach einem Kauf ohne Anmeldung (HttpOnly, SameSite=Lax, Secure): ubivo_kauf_start merkt sich für höchstens 24 Stunden, dass dieser Browser einen Kauf gestartet hat, und wird nur an die Rückkehr-Adresse von Stripe geschickt. ubivo_kauf enthält für 180 Tage die Kennung deines bezahlten Kaufs (nicht deine Person und kein Konto), damit du den Report in diesem Browser ohne Anmeldung öffnen kannst. Beide sind signiert und nicht fälschbar.
• Lese-Cookie, nur beim Öffnen eines geteilten Dossiers (HttpOnly, SameSite=Lax, Secure): ubivo_freigabe merkt sich für höchstens 24 Stunden (nie länger als der Link gilt), welche Lese-Links dieser Browser geöffnet hat (bis zu drei). Es enthält keine Person und kein Konto, ist signiert und nicht fälschbar. Ein widerrufener Link wirkt sofort nicht mehr, auch wenn das Cookie noch besteht.
• Funnel-Telemetrie:Die Verkettung deiner Ereignisse (siehe Sektion „Nutzungs-Statistik") läuft cookie-frei über eine berechnete pseudonyme Kennung (IP-Adresse + Browser-Kennung + Kalendertag). Ein Cookie ubivo_telemetry_sid (HttpOnly, SameSite=Lax) wird technisch nur gelesen, falls bereits eines vorhanden ist; aktiv gesetzt wird es derzeit nicht. Cross-Site-Tracking findet nicht statt.
• Kampagnen-Cookie, nur nach einem Klick aus einer Kampagne (first-party, SameSite=Lax, nicht HttpOnly, weil es im Browser gesetzt wird): ubivo_utm wird nur gesetzt, wenn die aufgerufene Adresse eine Kampagnen-Angabe (utm_campaign) trägt, zum Beispiel nach einem Klick auf eine Werbeanzeige. Es enthält für 30 Tage die Quelle und den Namen der Kampagne, bereinigt und ohne Angaben zu deiner Person. Kaufst du in dieser Zeit, hängen wir den Wert an die Zahlung bei Stripe. So sehen wir, welche Kampagne zu Käufen führt. Dieses Cookie ist nicht technisch nötig; Ubivo funktioniert ohne es genauso.

Kein Cookie von Werbe-Netzwerken, kein Drittanbieter-Tracking, keine Analytics von Google/Meta/Adobe. Aktiv gesetzt werden nur der Login-Session-Cookie, nach einem Kauf ohne Anmeldung die Kauf-Cookies, beim Öffnen eines geteilten Dossiers das Lese-Cookie (alle technisch nötig) und, nur nach einem Klick aus einer Kampagne, das Kampagnen-Cookie ubivo_utm. Die Funnel-Telemetrie kommt ganz ohne gesetztes Cookie aus; sie stützt sich auf unser überwiegendes privates Interesse an der Verbesserung des Produkts (Art. 31 Abs. 1 DSG). Einen Cookie-Banner gibt es nicht: Das Schweizer Datenschutzrecht verlangt für diese Cookies keine vorgängige Einwilligung, sondern eine Information, und die steht hier. Wenn du das Kampagnen-Cookie nicht willst, lösche es oder blockiere Cookies von ubivo.ch in deinem Browser; das wirkt als Widerspruch.

Sicherheit

HTTPS-erzwungen (HSTS), CSP-Header restriktiv, keine Drittanbieter-JS-Skripte. Die besonders sensiblen Angaben deines Personalisierungs-Profils (Einkommen, Kranken­kassen- Franchise und Arbeitsort-Adresse) werden zusätzlich feld-verschlüsselt at-rest gespeichert (pgcrypto/pgp_sym, Schlüssel getrennt von der Datenbank). Sicherheits-Bugs an security@ubivo.ch. Responsible-Disclosure willkommen.

Änderungen

Wir aktualisieren diese Seite wenn sich substanzielle Verarbeitungs-Zwecke ändern. Bei wesentlichen Änderungen informieren wir eingeloggte User per E-Mail. Stand dieses Dokuments: 3. Oktober 2026.