Datenschutz

Datenschutzerklärung RonaGuard

Stand: 08.10.2026

1. Geltungsbereich

Diese Datenschutzerklärung gilt für die App «RonaGuard» für iPhone und iPad, Mac und Android (nachfolgend «App») und für die Seiten, auf denen sie veröffentlicht ist. Sie richtet sich nach dem Schweizer Datenschutzgesetz (DSG) und, soweit anwendbar, nach der Datenschutz-Grundverordnung der EU (DSGVO). «Personendaten» entspricht «personenbezogenen Daten».

Die aktuelle Fassung steht unter https://sites.google.com/view/ronaguard-datenschutz/datenschutz, auf derselben Website auch auf Englisch, Französisch und Italienisch. Massgebend ist die deutsche Fassung.

2. Verantwortliche Stelle

Schweizerpunkt GmbH, Gotthelfstrasse 41, 8172 Niederglatt, Schweiz

E-Mail: datenschutz@schweizerpunkt.ch

Für die Inhalte Ihres Tresors sind nicht wir verantwortlich, sondern Sie selbst oder die Organisation, die einen geteilten Tresor betreibt. Wir erhalten diese Inhalte nie. Verantwortlich sind wir für den Weck-Dienst (Abschnitte 4.5 und 4.6), für E-Mails an uns und für die Seiten, auf denen diese Erklärung steht (Abschnitt 5).

3. Das Wichtigste in Kürze

• Es gibt kein Konto und keinen Server für Ihren Tresor. Wir sehen nie Ihre Einträge, Ihre Schlüssel, Ihr Master-Passwort oder Ihr Protokoll.

• Ihr Tresor ist ein verschlüsselter Ordner in einem Speicher, den Sie wählen: auf dem Gerät, im Ordner eines Cloud-Programms (zum Beispiel iCloud Drive, OneDrive oder Dropbox), direkt in Google Drive oder über WebDAV (zum Beispiel Infomaniak kDrive oder Nextcloud). Der Anbieter erhält nur verschlüsselte Dateien.

• Die App enthält keine Analyse, kein Tracking, keine Werbung und keine Telemetrie und schickt uns keine Absturzberichte.

• Unser einziger Dienst ist der freiwillige Weck-Dienst auf Servern in der Schweiz. Die App nutzt ihn nur, wenn Sie Sofort-Benachrichtigungen einschalten oder einen Notfallzugriff einrichten. Er sieht weder Namen noch Tresorinhalte.

• Autofill-Daten bleiben verschlüsselt auf Ihrem Gerät.

• Die Datenleck-Prüfung ist aus, bis Sie sie einschalten. Dann gehen nur 5 Zeichen eines Hashwerts an «Have I Been Pwned».

4. Die App

4.1 Ihr Tresor in Ihrem Speicher

• Einträge (zum Beispiel Zugangsdaten, Karten, Identitäten, Notizen, SSH-Schlüssel, Passkeys, 2FA-Codes), Anhänge und das Protokoll werden auf Ihrem Gerät verschlüsselt, bevor sie gespeichert werden (Argon2id, XChaCha20-Poly1305). Die Schlüssel entstehen und bleiben auf Ihren Geräten. Ihr Master-Passwort wird nirgends gespeichert. Verlieren Sie Master-Passwort und Notfall-Kit, kann niemand Ihren Tresor wiederherstellen, auch wir nicht.

• Der Anbieter Ihres Speichers sieht verschlüsselte Dateien mit zufälligen Namen, deren Anzahl, Grösse und Änderungszeiten, Ihr Konto und Ihre IP-Adresse beim Synchronisieren, bei geteilten Tresoren die Konten, mit denen der Ordner geteilt ist, und technische Angaben zur Verschlüsselung (ohne Namen und Inhalte). Weil auch das Ansehen eines Eintrags protokolliert wird, sieht er, wann ein Gerät aktiv ist.

• Mit dem Anbieter haben Sie einen eigenen Vertrag; es gelten seine Datenschutzbestimmungen. Gehört er zu einem US-Konzern (zum Beispiel Apple, Google, Microsoft oder Dropbox), können diese technischen Angaben in die USA gelangen; die Inhalte bleiben verschlüsselt. Für eine geschäftliche Nutzung brauchen Sie mit dem Anbieter einen Vertrag zur Auftragsbearbeitung.

• Liegt der Tresor im Internet oder bei einem Datei-Anbieter auf iPhone, iPad oder Android, hält die App eine verschlüsselte Kopie auf dem Gerät, damit er sich auch ohne Verbindung öffnen lässt. Diese Kopie ist von Gerätesicherungen ausgenommen und wird gelöscht, wenn Sie den Tresor in der App von diesem Gerät entfernen.

4.2 Anmeldung bei Google Drive

Speichern Sie den Tresor direkt in Google Drive, melden Sie sich im Browser Ihres Systems bei Google an (OAuth). Google ist dabei Ihr eigener Speicher-Anbieter.

• Die App sieht Ihr Google-Passwort nie. Sie erhält nur Zugriff auf Dateien, die sie selbst angelegt hat (Berechtigung «drive.file»), nicht auf Ihre übrigen Dateien, und fragt weder Namen noch E-Mail-Adresse Ihres Google-Kontos ab.

• Der Zugangsschlüssel (Token) liegt nur im Schlüsselbund bzw. Keystore Ihres Geräts. Trennen Sie den Speicher in der App, widerruft sie den Zugang bei Google.

• RonaGuard nutzt Daten aus Google-APIs nur, um Ihren verschlüsselten Tresor zu speichern, zu synchronisieren und gelöschte Kopien zu entfernen, und gibt sie an niemanden weiter. Die Nutzung und Übertragung dieser Daten entspricht der Google API Services User Data Policy, einschliesslich der Anforderungen an die eingeschränkte Nutzung («Limited Use»).

4.3 Das Protokoll

• Festgehalten wird: welches Mitglied (als zufällige Kennung), wann, mit welchem Gerät, welche Aktion, bei welchem Eintrag und welche Felder betroffen waren. Dazu gehören auch Entsperren, Ansehen, Kopieren und automatisches Ausfüllen.

• Nicht festgehalten werden Passwörter, Feldinhalte, Websites, IP-Adressen und Standorte.

• Das Protokoll ist verschlüsselt und liegt in Ihrem Tresor. In geteilten Tresoren können es die Mitglieder lesen. Zeitangaben stammen von der Uhr des jeweiligen Geräts.

4.4 Geteilte Tresore und Einladungen

Einladungen, Antworten, Schlüsselkarten und Notfallzugänge übergeben Sie selbst, zum Beispiel über das Teilen-Menü oder einen E-Mail-Entwurf. Die App versendet nichts von sich aus, und die Codes enthalten kein Passwort.

Betreibt eine Organisation (zum Beispiel Ihr Arbeitgeber) einen geteilten Tresor, ist sie für die Bearbeitung verantwortlich. Sie entscheidet über Mitglieder, Rollen und Richtlinien und darüber, wie lange das Protokoll Personen zuordnet, und sie muss Sie darüber informieren. Für Auskunft, Löschung und Ihre anderen Rechte wenden Sie sich an diese Organisation.

4.5 Sofort-Benachrichtigungen (Weck-Dienst)

Gibt jemand etwas in einen geteilten Tresor frei oder nimmt Sie auf, kann RonaGuard Sie sofort benachrichtigen, auch wenn die App geschlossen ist. Dafür betreiben wir einen Weck-Dienst auf Servern in der Schweiz.

• Freiwillig: Die Funktion ist aus. Die App fragt einmal, wenn Sie den ersten geteilten Tresor anlegen oder eine Einladung annehmen, und meldet Ihr Gerät erst an, wenn Sie «Einschalten» wählen und das System Mitteilungen erlaubt. Ohne Weck-Dienst funktioniert alles; Freigaben erscheinen dann bei der nächsten Synchronisation.

• Was der Dienst speichert: das Push-Token Ihres Geräts mit Plattform (verschlüsselt), einen Prüfwert eines zufälligen Geheimnisses Ihrer Installation, zufällige, aus Schlüsseln abgeleitete Kanal-Kennungen mit ihren Zugangsschlüsseln (verschlüsselt), eine Marke, die die Geräte einer Person zusammenfasst, und den Tag der Anmeldung und der letzten Erneuerung.

• Was der Dienst nicht sieht: Namen, E-Mail-Adressen, Tresore, Einträge und Inhalte. Der Text der Benachrichtigung ist Ende-zu-Ende-verschlüsselt und wird erst auf Ihrem Telefon entschlüsselt. Erkennbar ist nur, welche Installationen zu einer Gruppe gehören und wann geweckt wird.

• IP-Adressen: nur im Arbeitsspeicher, als Prüfwert (HMAC) mit einem täglich neuen Schlüssel, zur Abwehr von Missbrauch und höchstens 24 Stunden lang; nie in den Protokolldateien des Diensts. Diese enthalten nur Ereignisarten, Statuscodes und Zähler.

• Zustellung: Apple (Apple Push Notification service) bzw. Google (Firebase Cloud Messaging) stellen die Nachricht zu. Sie erhalten das Push-Token, Zeitpunkt, Grösse und den verschlüsselten Text, den sie nicht lesen können. Auf Android enthält die App dafür das Firebase-Messaging-Programmteil von Google. Es startet erst, wenn Sie die Benachrichtigungen einschalten, sendet keine Analyse- oder Absturzdaten und meldet Google eine Installationskennung, die für das Push-Token nötig ist. Geräte ohne Google-Dienste erhalten keine Sofort-Benachrichtigungen.

• Anzeige: Mit «Namen und Titel zeigen» (an, abschaltbar) zeigt das Telefon, wer was freigegeben hat, sonst einen neutralen Text. Auf dem Sperrbildschirm zeigt Android nur den neutralen Text.

• Mac: Der Mac wird beim Dienst nicht angemeldet; er zeigt lokale Mitteilungen, solange RonaGuard läuft und der Tresor offen ist. Geben Sie etwas frei und haben Benachrichtigungen eingeschaltet, ruft Ihr Gerät (auch der Mac) den Dienst auf, um die anderen Mitglieder zu wecken. Gespeichert wird dabei nichts.

• Rechtsgrundlage: Ihre Einwilligung (soweit die DSGVO gilt: Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit widerrufen: Abschalten unter «Einstellungen» › «Benachrichtigungen» meldet Ihr Gerät ab und löscht die Anmeldung beim Dienst sofort.

• Speicherdauer: bis Sie abschalten, bis Apple oder Google das Token als ungültig melden, spätestens 90 Tage nach der letzten Erneuerung. Verschlüsselte Sicherungskopien des Diensts bewahren wir höchstens 14 Tage auf.

4.6 Notfallzugriff mit Wartezeit

Sie können eine Vertrauensperson bestimmen, die im Notfall Zugriff auf einen persönlichen Tresor anfragen kann. Lehnen Sie nicht innerhalb der Wartezeit (1 bis 30 Tage, Standard 7 Tage) ab, erhält sie ihn, je nach gewählter Stufe: «Ansehen» (Einträge lesen und kopieren) oder «Übernehmen» (zusätzlich alles in einen eigenen Tresor kopieren oder den Tresor mit neuem Master-Passwort weiterführen). Die Wartezeit setzt unser Weck-Dienst durch.

• Freiwillig: Die Funktion ist aus, bis Sie eine Vertrauensperson einrichten. Sie willigen beim Einrichten ein, die Vertrauensperson, wenn sie den Notfallzugang behält.

• Was der Dienst je Vertrauensperson speichert: eine zufällige Kennung, drei öffentliche Schlüssel zum Prüfen von Befehlen, Wartezeit und Stufe, einen Teil, der an die Vertrauensperson versiegelt ist und nur zusammen mit einer Datei in Ihrem Tresorordner etwas öffnet, die Kanal-Kennungen für Benachrichtigungen, den Zustand mit den Zeitpunkten von Anfrage, Ablehnung und Freigabe sowie verschlüsselte Mitteilungen bis zu ihrem Versand.

• Was der Dienst nicht sieht: Namen, E-Mail-Adressen, Tresore, Speicherorte, Inhalte und Ihren Tresorschlüssel. Erkennbar ist nur, dass zwei Gruppen von Installationen über einen Notfallzugriff verbunden sind und wann angefragt, abgelehnt oder freigegeben wurde.

• Die Apps beider Personen fragen den Stand beim Dienst ab. IP-Adressen behandelt er wie in Abschnitt 4.5.

• Rechtsgrundlage: die Einwilligung beider Personen (soweit die DSGVO gilt: Art. 6 Abs. 1 lit. a DSGVO). Widerruf: Entfernen Sie die Vertrauensperson, löscht der Dienst die Hinterlegung sofort. Entfernt die Vertrauensperson den Notfallzugang, fragt ihre App den Dienst nicht mehr ab.

• Speicherdauer: bis zum Entfernen, sonst 730 Tage nach dem letzten gültigen Befehl. Verschlüsselte Sicherungskopien höchstens 14 Tage.

• Nach der Freigabe hat die Vertrauensperson Zugriff auf Ihren Tresor; was sie dann sieht oder kopiert, bleibt bei ihr. Für die Einhaltung der Wartezeit vertrauen Sie unserem Dienst.

4.7 Autofill

• Autofill ist aus, bis Sie es in RonaGuard einschalten und RonaGuard in den Einstellungen Ihres Systems dafür wählen.

• Für die Tresore, die Sie anbieten, legt die App verschlüsselte Autofill-Daten auf dem Gerät ab (Titel, Benutzernamen, Adressen, Passwörter, 2FA-Schlüssel und Passkeys). Sie verlassen das Gerät nicht und sind von Sicherungen ausgenommen. Jedes Ausfüllen bestätigen Sie mit Biometrie, oder mit dem Gerätecode, wenn Sie das erlauben.

• Das System teilt der App mit, für welche Website oder App ausgefüllt werden soll. Diese Angabe bleibt auf dem Gerät und steht nicht im Protokoll. Auf Android liest RonaGuard dafür Name, Signaturzertifikat und Installationsquelle dieser einen App, keine Liste Ihrer Apps.

• Auf Apple-Geräten liegen Benutzernamen und Websites zusätzlich im Autofill-Speicher des Systems, solange «Vorschläge über der Tastatur» eingeschaltet ist.

• Einziger Netzzugriff: Melden Sie sich auf Android in einer App mit einem Passkey an und ist diese App nicht mit dem Eintrag verknüpft, ruft RonaGuard auf der Website des betreffenden Diensts die Datei /.well-known/assetlinks.json ab, um zu prüfen, ob die App zu diesem Dienst gehört. Der Dienst sieht dabei Ihre IP-Adresse; es werden keine Cookies gesendet, und das Ergebnis bleibt nur im Arbeitsspeicher. Auf Apple-Geräten hat die Autofill-Erweiterung keinen Netzzugang.

4.8 Datenleck-Prüfung

Nur wenn Sie die Datenleck-Prüfung einschalten (anfangs aus) und im Tresor-Check «Jetzt prüfen» wählen, nie im Hintergrund: Die App sendet die ersten 5 Zeichen des SHA-1-Hashwerts eines Passworts an api.pwnedpasswords.com («Have I Been Pwned») und vergleicht die Antwort auf Ihrem Gerät. Der Dienst sieht Ihre IP-Adresse, aber weder Ihr Passwort noch dessen vollständigen Hashwert. Er wird ausserhalb der Schweiz und der EU betrieben; es gelten seine eigenen Bestimmungen. Das Ergebnis bleibt im Arbeitsspeicher.

4.9 Verbindungen der App

Die App verbindet sich nur mit:

1. Ihrem Speicher und, bei Google Drive, dem Anmeldedienst von Google, auch um Kopien gelöschter Daten beim Anbieter zu entfernen (Abschnitt 4.11);

2. unserem Weck-Dienst und, auf Android, Firebase von Google, nur nach Ihrer Einwilligung (Abschnitte 4.5 und 4.6);

3. «Have I Been Pwned», nur wenn Sie es einschalten und eine Prüfung starten (Abschnitt 4.8);

4. nur auf Android und nur bei Passkeys in Apps: der Website des betreffenden Diensts (Abschnitt 4.7).

Weitere Verbindungen gibt es nicht: keine Update-Prüfung, keine Werbung, keine Analyse, keine Schriften und keine Website-Symbole aus dem Internet (die App zeigt für jeden Eintrag dessen Anfangsbuchstaben).

4.10 Berechtigungen

• Face ID, Touch ID oder Fingerabdruck: nur wenn Sie das Entsperren damit einschalten. Die App erhält vom Betriebssystem nur das Ergebnis; biometrische Daten verlassen den geschützten Bereich des Geräts nicht.

• Dateien und Ordner, die Sie auswählen: für den Tresor sowie für Import und Export.

• Netzwerk: für die Verbindungen in Abschnitt 4.9.

• Mitteilungen: erst, wenn Sie Benachrichtigungen einschalten.

• Autofill: nur wenn Sie es einschalten (Abschnitt 4.7).

RonaGuard fragt nicht nach Ihrem Standort, Ihren Kontakten oder Ihrer Werbe-ID und nutzt weder Kamera noch Mikrofon.

4.11 Löschen und Speicherdauer

• Daten in Ihrem Speicher bleiben, bis Sie sie löschen. Gelöschte Einträge liegen 30 Tage im Papierkorb. Danach, oder wenn Sie den Papierkorb leeren, wird der Schlüssel des Eintrags gelöscht; sein Inhalt ist damit auch in älteren Protokolleinträgen nicht mehr lesbar. Im Protokoll bleibt nur, dass es den Eintrag gab und was mit ihm geschah.

• Wo die Schnittstelle Ihres Anbieters es erlaubt (Nextcloud, Google Drive), entfernt die App nach dem endgültigen Löschen auch die Kopien im Papierkorb und ältere Versionen beim Anbieter («Papierkorb des Anbieters mitleeren», je Tresor abschaltbar). Sonst zeigt sie, was dort wie lange bleibt.

• Sicherungen Ihrer Geräte und Exporte, die Sie erstellt haben, können Daten weiter enthalten. Exporte als CSV oder JSON sind nicht verschlüsselt; die App warnt davor.

• In geteilten Tresoren können ehemalige Mitglieder pseudonymisiert werden; ihr Name ist dann nicht mehr lesbar.

• Autofill-Daten löscht die App, wenn Sie Autofill ausschalten, einen Tresor davon ausschliessen oder ihn vom Gerät entfernen.

• Auf Apple-Geräten können Einträge im Schlüsselbund eine Deinstallation überdauern. Entfernen Sie Ihre Tresore deshalb in der App, bevor Sie sie deinstallieren.

• Zum Weck-Dienst siehe Abschnitte 4.5 und 4.6.

5. Diese Seiten und die Website

5.1 Google Sites

Diese Datenschutzerklärung veröffentlichen wir mit Google Sites (https://sites.google.com/view/ronaguard-datenschutz). Wenn Sie diese Seiten besuchen, bearbeitet Google Daten nach seinen eigenen Datenschutzbestimmungen. Die App verwendet Google Sites nicht.

5.2 Website von RonaGuard

Die eigene Website von RonaGuard ist noch nicht veröffentlicht. Sie ist so gebaut, dass sie keine Cookies setzt, keine Analyse- oder Tracking-Dienste verwendet und keine Inhalte von Dritten lädt. Schalten Sie dort die Sprache selbst um, merkt sich Ihr Browser die Wahl im lokalen Speicher (localStorage), ohne sie an uns zu senden. Bevor die Website online geht, ergänzen wir hier, welcher Hoster sie betreibt, wo er sitzt und wie lange er Zugriffsprotokolle aufbewahrt.

6. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, bearbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu beantworten. Soweit die DSGVO anwendbar ist, stützen wir uns dabei auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Massnahmen) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen diese Daten, sobald sie nicht mehr benötigt werden, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Bitte senden Sie uns nie Passwörter, Tresordateien oder Ihr Notfall-Kit.

7. App-Stores und Betriebssystem

Wenn Sie die App über den App Store oder Google Play laden, bearbeiten Apple bzw. Google Daten nach ihren eigenen Bestimmungen. Wir erhalten von ihnen nur zusammengefasste Statistiken, etwa die Zahl der Installationen. Absturzberichte erhalten wir nur, wenn Sie im Betriebssystem erlaubt haben, solche Berichte mit App-Entwicklern zu teilen; wir verwenden sie nur zur Fehlerbehebung. Dienste des Betriebssystems wie Schlüsselbund, Biometrie, Autofill, Zwischenablage, Mitteilungen und Sicherungen gehören nicht zu RonaGuard; für sie gelten die Bestimmungen von Apple bzw. Google.

8. Empfänger und Bekanntgabe ins Ausland

• Weck-Dienst: Der Hoster in der Schweiz bearbeitet die Daten in unserem Auftrag. Apple und Google erhalten für die Zustellung Push-Token, Zeitpunkt, Grösse und den verschlüsselten Text, auf Android zusätzlich die Firebase-Installationskennung. Sie können diese Angaben in den USA bearbeiten. Die Bekanntgabe stützt sich auf das Swiss-U.S. bzw. EU-U.S. Data Privacy Framework, soweit die Unternehmen danach zertifiziert sind, sonst auf Standardvertragsklauseln. Den Inhalt der Benachrichtigungen können sie nicht lesen.

• In eigener Verantwortung bearbeiten Daten: Ihr Speicher-Anbieter, «Have I Been Pwned», die App-Stores, Google für diese Seiten und die Websites der Dienste, deren Passkeys Sie auf Android in Apps nutzen. Das geschieht zum Teil ausserhalb der Schweiz und der EU, zum Beispiel in den USA.

• Wir verkaufen keine Daten, zeigen keine Werbung und erstellen keine Profile.

9. Ihre Rechte

Nach dem DSG und, soweit anwendbar, der DSGVO haben Sie insbesondere folgende Rechte:

• Auskunft über Ihre Personendaten

• Berichtigung unrichtiger Daten

• Löschung

• Einschränkung der Bearbeitung

• Widerspruch gegen die Bearbeitung

• Datenherausgabe oder -übertragung

• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Daten in Ihrem Tresor haben wir nicht. Diese Rechte üben Sie dort direkt in der App aus, zum Beispiel mit Export und Löschen; in geteilten Tresoren wenden Sie sich an die Organisation, die den Tresor betreibt. Die Angaben beim Weck-Dienst können wir keiner Person zuordnen (kein Konto, keine Namen). Sie löschen sie deshalb in der App: Abschalten der Benachrichtigungen löscht Ihre Anmeldung sofort, Entfernen einer Vertrauensperson die Hinterlegung für den Notfallzugriff. Für alle anderen Anliegen: datenschutz@schweizerpunkt.ch

Sie haben ausserdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. In der Schweiz ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). In der EU und im EWR ist es insbesondere die Aufsichtsbehörde an Ihrem Wohnort.

10. Kinder

RonaGuard richtet sich nicht an Kinder. Es gibt kein Konto, keine Werbung und keinen Chat. Die App fragt weder nach Alter noch nach Namen; der freiwillige Weck-Dienst speichert nur die technischen Angaben aus den Abschnitten 4.5 und 4.6.

11. Sicherheit

Die Verschlüsselung findet auf Ihrem Gerät statt; Ihr Schutz hängt deshalb auch von Ihnen ab. Wir empfehlen ein Master-Passwort aus mindestens fünf zufälligen Wörtern, eine Gerätesperre und ein sicher aufbewahrtes Notfall-Kit. Sicherheitslücken melden Sie bitte an datenschutz@schweizerpunkt.ch mit dem Betreff «Sicherheit RonaGuard».

12. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die rechtlichen Anforderungen ändern. Es gilt die jeweils aktuelle Fassung unter https://sites.google.com/view/ronaguard-datenschutz/datenschutz.