Datenschutzerklärung

1) Verantwortlicher

Jakob Secklehner
Maroltingergasse 57, 1160 Vienna, Austria
Email: switcheu@posteo.eu

2) Grundsätze

SwitchEU folgt den Grundsätzen „Privacy by Design“ und „Privacy by Default“ (Art. 25 DSGVO), der Datenminimierung und der Speicherbegrenzung. Website, Backend, Datenbank und Statistik werden vom Verantwortlichen selbst auf einem Server in Deutschland betrieben. Schriftarten und Programmcode kommen vom eigenen Server. Externe Dienste werden nur eingesetzt, wo es nötig ist, und sind in Abschnitt 11 vollständig aufgeführt.

3) Suche: wie personenbezogene Daten vermieden werden

Wenn du eine Suchanfrage absendest, sorgen mehrere Stufen dafür, dass nur Firmen- oder Produktnamen weiterverarbeitet werden:

1. Prüfung im Browser: Offensichtliche personenbezogene Daten (E-Mail-Adressen, Telefonnummern, Links, Personennamen) werden erkannt und blockiert, bevor die Anfrage dein Gerät verlässt. Auf dem Server folgt eine zweite Prüfung auf Personennamen.
2. Eigene Datenbank und Klassifizierung (Mistral AI, Frankreich): Kann die Anfrage direkt aus unserer kuratierten Datenbank beantwortet werden, verlässt sie den Server nicht. Andernfalls wird sie zur Klassifizierung an Mistral AI gesendet. Es gilt Zero Data Retention: Mistral speichert weder Eingabe noch Ausgabe und verarbeitet die Anfrage nur so lange, wie es zur Erzeugung der Antwort nötig ist. Erkennt Mistral personenbezogene Daten, wird die Anfrage sofort abgelehnt. Ist Mistral nicht erreichbar oder liefert keine eindeutige Antwort, findet ebenfalls keine Websuche statt.
3. Websuche (Brave Search API, USA): Brave Search erreichen nur Anfragen, die Mistral als Firmen- oder Produktnamen bestätigt hat oder die du ausdrücklich als solche bestätigt hast. Die Suchergebnisse werden anschließend von Mistral AI zu einer Antwort zusammengefasst.

Bestätigung durch dich (Schaltfläche „Trotzdem suchen“): Viele Unternehmen sind nach Personen benannt (z. B. „Hugo Boss“, „Bosch“), deshalb lehnen die Filter manchmal auch berechtigte Suchen ab. Du kannst dann bestätigen, dass es sich um einen Firmen- oder Markennamen handelt. Nur auf diese ausdrückliche Bestätigung hin wird die Suche ohne die Prüfung auf personenbezogene Daten wiederholt und erreicht Brave Search. Die Bestätigung gilt nur für diese eine Anfrage und wird nicht gespeichert.

Suchvorschläge: Während du tippst, schickt dein Browser die bisherige Eingabe an unseren eigenen Server, um passende Einträge aus unserer Datenbank vorzuschlagen. Diese Eingaben gehen an keinen externen Dienst.

Aktuelle Meldungen: Zu gefundenen europäischen Alternativen lädt der Server aktuelle Nachrichten und Nachhaltigkeitsinformationen über Brave Search und fasst sie mit Mistral AI zusammen. Dabei wird nur der Name des jeweiligen Unternehmens übermittelt, nicht deine Eingabe.

Ganz ausschließen lässt sich nicht, dass jemand personenbezogene Daten in das Suchfeld eingibt. Umgehen sie die Prüfungen im Browser und auf dem Server, können sie Mistral AI im Rahmen der Klassifizierung kurz erreichen, bevor die Anfrage abgelehnt wird. Auch dabei gilt Zero Data Retention.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse an der Bereitstellung des Suchdienstes und am Schutz der Nutzer durch das Herausfiltern personenbezogener Daten.

4) Assistent „Alternativen finden“

Der Assistent unter /find fragt ab, was ersetzt werden soll, sowie Wünsche zu Land, Hosting, Preis, Nachhaltigkeit und gewünschten Funktionen. Beide Freitextfelder werden im Browser auf personenbezogene Daten geprüft wie die Suche. Bei einem vermuteten Personennamen kannst du bestätigen, dass es ein Firmen- oder Markenname ist. Auf dem Server folgt eine Prüfung auf Personennamen. Wie bei der Suche muss Mistral AI anschließend bestätigen, dass das zu Ersetzende ein Unternehmen, Produkt oder Dienst ist. Erst dann wird es über Brave Search gesucht. Ist Mistral nicht erreichbar, findet keine Websuche statt. Aus den Suchergebnissen und deinen Angaben erstellt Mistral AI eine Liste von Alternativen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse an der Bereitstellung des Assistenten.

5) Server- und Anwendungsprotokolle

Es entstehen zwei Arten von Protokollen:

• Zugriffsprotokolle des Webservers: IP-Adresse, Zeitpunkt, aufgerufene URL und Browserkennung (User Agent). Sie dienen der Sicherheit, der Abwehr von Missbrauch und der Fehlersuche und werden nach 14 Tagen gelöscht. Der Server ist ein IONOS VPS in Deutschland und wird ausschließlich vom Verantwortlichen verwaltet. Ein fremdes CDN ist an der Auslieferung der Website nicht beteiligt.
• Anwendungsprotokolle des Backends (selbst gehostetes Supabase): Suchanfragen erscheinen darin nur als gekürzter, gesalzener SHA-256-Hash (16 Zeichen), dazu Ereignisart und Verarbeitungsdauer. Mit dem Salt kann der Verantwortliche einzelne Anfragen zur Fehlersuche wiedererkennen. IP-Adressen werden für die Begrenzung der Anfragen pro Nutzer (Rate-Limiting) nur als Hash im Arbeitsspeicher gehalten. Die Backend-Dienste selbst, etwa die Schnittstelle zur Datenbank, protokollieren technisch bedingt IP-Adresse, Zeitpunkt und aufgerufene Adresse jeder Anfrage. Alle Protokolle des Backends werden täglich gelöscht, sind also höchstens einen Tag alt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse am sicheren Betrieb und an der Fehlerbehebung.

6) Zwischenspeicherung von Ergebnissen

Um doppelte Anfragen an externe Dienste zu vermeiden und schneller zu antworten, werden Ergebnisse in unserer Datenbank auf demselben Server zwischengespeichert. Die Einträge enthalten nur Unternehmens- und Produktdaten, keine Nutzerkennungen, IP-Adressen oder sonstigen personenbezogenen Daten.

• Ergebnisse mit hoher Zuverlässigkeit (z. B. bekannte Unternehmen mit stabilen Daten): 14 Tage (bei Produkten 7 Tage). Übersetzte Ergebnisse: 14 Tage
• Standardergebnisse: 7 Tage; produktspezifische Ergebnisse: 4 Tage
• Ergebnisse mit geringer Zuverlässigkeit: 1 Tag
• Web-Suchergebnisse: 7 Tage bei Ergebnissen aus einer Nutzersuche. Bis zu 30 Tage bei Ergebnissen, die zur Prüfung von Hauptsitz und Profildaten eines Unternehmens abgerufen werden
• Ergebnisse, die vollständig aus unserer kuratierten und unserer Klima-Datenbank stammen, ohne externe Websuche: bis zu 30 Tage
• Statische Unternehmensdaten (Hauptsitz, Land, Gründungsjahr): bis zu 30 Tage
• Nachrichten- und Nachhaltigkeitsdaten: 1 Tag
• Ergebnisse des Assistenten: 7 Tage

Als Schlüssel dienen normalisierte Firmen- oder Produktnamen bzw. die Eingabe im Assistenten samt gewählter Filter. Sie sind mit keinem Nutzer verknüpft. Abgelaufene Einträge werden täglich automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse an weniger Anfragen an externe Dienste und kürzeren Antwortzeiten.

7) Keine Cookies, nur notwendiger Speicher im Browser

SwitchEU setzt keine Cookies, weder eigene noch fremde. Im Speicher deines Browsers werden nur die folgenden Einträge abgelegt. Sie enthalten keine Kennung und werden nie an uns übertragen:

• cookie-notice-dismissed-v1 (localStorage, 12 Monate): merkt sich, dass du den Datenschutzhinweis bestätigt hast.
• umami.disabled (localStorage): nur wenn du der Besucherstatistik widersprochen hast (Abschnitt 8).
• switcheu-saved-v1 (localStorage, bis du ihn löschst): deine Merkliste, nur wenn du Alternativen gemerkt hast. Gespeichert werden Name, Land, Website und Kurzbeschreibung der Firmen. Die Liste verlässt deinen Browser nicht.
• switcheu-lang (localStorage, bis du ihn löschst): merkt sich die gewählte Sprache.
• tsr-scroll-restoration-v1_3 (sessionStorage, bis du den Tab schließt): merkt sich die Scrollposition, damit „Zurück“ an die richtige Stelle führt.

Rechtsgrundlage: § 165 Abs. 3 TKG 2021: Diese Speicherung ist für den von dir gewünschten Dienst unbedingt erforderlich und braucht keine Einwilligung. Du kannst die Einträge jederzeit in deinem Browser löschen.

8) Besucherstatistik (Umami)

Für Besucherzahlen nutzen wir Umami auf unserem eigenen Server in Deutschland. Umami setzt keine Cookies und gibt nichts an Dritte weiter.

Gespeichert werden die aufgerufene Seite (ohne Suchbegriffe), der Zeitpunkt, Gerätetyp, Browser und Land sowie eine pseudonyme Kennung, die sich jeden Monat ändert. Deine IP-Adresse wird nicht gespeichert. Region und Stadt, die Umami aus ihr ableitet, löschen wir stündlich.

Nach 12 Monaten werden die Daten gelöscht.

Nicht gezählt wirst du, wenn dein Browser Do Not Track oder Global Privacy Control sendet. Du kannst die Zählung auch hier abschalten:

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Besucherzahlen). Auf deinem Gerät wird nichts gespeichert.

9) Firmenlogos (Brandfetch)

Die Logos der Unternehmen stellt der Dienst Brandfetch bereit. Damit sie verlässlich und aktuell angezeigt werden, lädt dein Browser sie direkt von Brandfetch (cdn.brandfetch.io). Brandfetch erlaubt keine Zwischenspeicherung auf unserem Server und blockiert solche Abrufe technisch. Eine Auslieferung über unseren eigenen Server ist deshalb nicht möglich.

Bei jedem Logo-Abruf erhält Brandfetch technisch bedingt deine IP-Adresse, deine Browserkennung (User Agent), die Domain des Unternehmens, dessen Logo angezeigt wird, und als Herkunft nur „switcheu.eu“, nicht die konkrete Seite. Brandfetch liefert die Logos über das Netzwerk Amazon CloudFront von Amazon Web Services aus, meist über einen Server in deiner Nähe. Wir erhalten von Brandfetch keine Daten über dich.

Wenn du das nicht möchtest, kannst du Anfragen an cdn.brandfetch.io mit einem Inhaltsblocker unterbinden. SwitchEU funktioniert dann weiterhin, nur ohne Logos.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse an einer verlässlichen, gut erkennbaren Darstellung der Unternehmen. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Amazon Web Services ist unter dem EU-US Data Privacy Framework zertifiziert.

10) Unternehmen vorschlagen

Über das Formular „Unternehmen vorschlagen“ kannst du uns ein Unternehmen nennen. Gespeichert werden nur Firmenname, Website und Notiz, wie du sie eingibst, sowie Zeitpunkt und Bearbeitungsstand. Die Notiz wird im Browser auf personenbezogene Daten geprüft. Mit dem Vorschlag werden weder IP-Adresse noch Browserdaten gespeichert (zu den allgemeinen Serverprotokollen siehe Abschnitt 5). Vorschläge werden nach der Bearbeitung gelöscht, spätestens aber nach 3 Monaten automatisch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse an der Erweiterung des Verzeichnisses.

11) Empfänger und Dienstleister

Die Website wird vom Verantwortlichen selbst auf einem Server in Deutschland betrieben. Außer den folgenden Dienstleistern erhält niemand Daten. Mistral AI und Brave erhalten im normalen Betrieb nur Firmen- und Produktnamen. Brandfetch erhält beim Laden der Logos deine IP-Adresse (Abschnitt 9).

• IONOS SE (Deutschland): stellt den Server (IONOS VPS, Rechenzentrum in Deutschland) bereit, auf dem Website, Backend, Datenbank und Statistik laufen. IONOS ist Auftragsverarbeiter gemäß Art. 28 DSGVO für die Infrastruktur und hat keinen Zugriff auf Anwendungsdaten, soweit das technisch nicht für den Betrieb nötig ist.
• Mistral AI SAS (Frankreich): klassifiziert Suchanfragen und fasst Suchergebnisse zusammen, als Auftragsverarbeiter gemäß Art. 28 DSGVO mit Auftragsverarbeitungsvertrag. Es gilt Zero Data Retention. Mistral verwendet die Daten nicht zum Training seiner Modelle.
• Brave Software, Inc. (USA): Websuche. Erhält nur Anfragen, die als Firmen- oder Produktnamen eingestuft oder von dir als solche bestätigt wurden, sowie Firmennamen für aktuelle Meldungen. Die Anfragen stellt unser Server. Brave sieht deshalb nie deine IP-Adresse, sondern nur die unseres Servers. Brave bewahrt die Anfragen bis zu 90 Tage für Abrechnung und Fehlersuche auf. Für Übermittlungen in die USA stützt sich Brave nach eigenen Angaben auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. Es gelten die Bedingungen der Brave Search API.
• Brandfetch SA (Savigny, Schweiz), mit Amazon Web Services (Amazon CloudFront) für die Auslieferung: Firmenlogos. Erhält beim Laden der Logos deine IP-Adresse, Browserkennung und die Domain des Unternehmens (Abschnitt 9).

12) Externe Links

Links zu anderen Websites öffnen wir so, dass die Zielseite nicht erfährt, von welcher Seite bei uns du kommst. Für die Datenverarbeitung dort ist der jeweilige Betreiber verantwortlich. Bitte beachte dessen Datenschutzerklärung.

13) Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und auf Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Da wir keine Konten führen und Daten nicht einzelnen Personen zuordnen, können wir Anfragen zu Protokoll- und Statistikdaten meist nur beantworten, wenn du uns hilfst, die Daten zu finden. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der österreichischen Datenschutzbehörde.

Österreichische Datenschutzbehörde – dsb.gv.at

14) Kontakt

Für Fragen zum Datenschutz: switcheu@posteo.eu

Zuletzt aktualisiert: September 2026