Datenschutzerklärung

1. Wer wir sind

Custodian ist ein Projekt, das in Lausanne, Schweiz, entwickelt wird. Es ist noch keine eingetragene Gesellschaft. Bis zur Eintragung betreibt Mirko Casu es als Privatperson und ist dafür verantwortlich («Custodian», «wir», «uns», «unser»). Die Postadresse erhalten Sie auf Anfrage über die unten genannte Kontaktadresse.

Custodian (der «Dienst») zeigt, wie KI-Assistenten die Menschen beeinflussen, die sie nutzen. Der Dienst überwacht niemanden: Jede Person sieht nur ihre eigenen Ergebnisse, und eine Organisation sieht nur zusammengefasste Zahlen von mindestens sechs Personen.

Für alle Anfragen zum Datenschutz erreichen Sie uns unter: info@custodian.health

2. Zu dieser Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie Custodian Personendaten erhebt, verwendet, weitergibt und schützt. Sie gilt für:

Testnutzende: Personen, die auf der Seite Kostenlos testen für sich selbst ein Konto für die kostenlose Testphase erstellen.
Teilnehmende: Personen, die Custodian über ihre Organisation nutzen, mit dem Einladungscode der Organisation.
Kunden: Organisationen, die Custodian für die bei ihnen tätigen Personen nutzen, sowie deren Kontaktpersonen.
Besucherinnen und Besucher der Website: alle, die custodian.health besuchen.

Custodian ist Verantwortlicher für die Testkonten, für die Kontaktdaten der Kunden und für die Website. Für die Teilnehmenden ist der Kunde (die Organisation) Verantwortlicher, und Custodian bearbeitet die Daten in dessen Auftrag als Auftragsbearbeiter gemäss dem Auftragsbearbeitungsvertrag.

Diese Datenschutzerklärung ist auf Englisch, Deutsch, Französisch und Italienisch verfügbar. Weichen eine Übersetzung und der englische Text voneinander ab, ist der englische Text massgebend.

3. Wie Ihre Chats bearbeitet werden

Chats durchlaufen die folgenden Schritte in dieser Reihenfolge:

Erfassung auf Ihrem Computer. Die Browser-Erweiterung von Custodian zeichnet auf, was Sie und der Assistent auf ChatGPT, Claude, Gemini und Microsoft Copilot schreiben, und zwar nur, solange Sie die Erfassung eingeschaltet haben. Der optionale Connector von Custodian tut dasselbe für Programmierassistenten, die im Terminal genutzt werden (Claude Code, Codex CLI, GitHub Copilot CLI, Antigravity): Er liest die Sitzungsprotokolle, die diese Tools auf Ihrem Computer speichern, und übernimmt nur, was Sie geschrieben haben, sowie den Text der Antworten des Assistenten, nie die ausgeführten Befehle, die gelesenen Dateien oder den erzeugten Code. Der Text bleibt auf Ihrem Computer, bis er gesendet wird. Vor dem Senden können Sie die Warteschlange lesen, einen Chat entfernen, einen Chat dauerhaft ausschliessen oder alles löschen. Nach dem Senden behält der Browser keinen lesbaren Chat-Text.
De-Identifizierung beim Eintreffen. Der Text gelangt über eine verschlüsselte Verbindung zum Custodian-Dienst. Dort erkennt Presidio (eine Open-Source-Bibliothek) Namen, E-Mail-Adressen, Telefonnummern, Postadressen, Zahlungskarten- und Bankkontonummern, nationale Identifikationsnummern, IP-Adressen, Links und Ortsnamen und ersetzt sie, bevor etwas gespeichert wird. Der ungeschwärzte Text wird nie gespeichert. Die automatische Erkennung ist nicht perfekt: Ein Name, der ohne Grossbuchstaben eingegeben wurde, kann zum Beispiel übersehen werden.
Anonyme ID. Jede Aufzeichnung wird unter einer anonymen ID gespeichert, die der Dienst vergibt. Der Benutzername wird nie zusammen mit den Aufzeichnungen der Unterhaltungen gespeichert, und eine vom Browser übermittelte ID wird ignoriert. Der Dienst kann die ID jedoch weiterhin dem Konto zuordnen; die Aufzeichnungen bleiben deshalb Personendaten im Sinne des Gesetzes (pseudonymisierte Daten), und diese Datenschutzerklärung gilt für sie.
Analyse. Ein Modell, das innerhalb des Custodian-Dienstes auf dessen Server in der EU (Ziffer 7) läuft, liest den de-identifizierten Text. Es schätzt mentale Zustände (zum Beispiel Neugier, Stress oder Erleichterung) und bewertet die Sicherheit der Antworten des Assistenten. Es wird kein Text aus Unterhaltungen an einen externen KI-Dienst gesendet.

Ihr Dashboard zeigt Ihre eigenen Ergebnisse. Nur Sie können es öffnen. Niemand in Ihrer Organisation sieht es.

Die Organisationsansicht für HR fasst die veröffentlichten Ergebnisse der Teilnehmenden des Kunden zusammen. Sie zeigt Durchschnittswerte, dargestellt als Stufen (niedrig, mittel oder hoch), wöchentliche Trends und mentale Zustände nur dort, wo mindestens sechs Teilnehmende beitragen, und zeigt nichts, solange weniger als sechs Teilnehmende Ergebnisse haben. Sie zeigt nie einen Namen, ein Konto, eine Unterhaltung oder das Ergebnis einer einzelnen Person und lässt sich nicht bis auf eine Person filtern.

Profiling. Die Schätzungen mentaler Zustände sind ein Profiling im Sinne der DSGVO und des Bundesgesetzes über den Datenschutz (DSG). Sie werden Ihnen angezeigt und HR nur als Teil einer Gruppe von mindestens sechs Personen. Custodian trifft über niemanden eine automatisierte Entscheidung, und die Ergebnisse sind keine Diagnose.

Besonders schützenswerte Daten. Die Schätzungen können etwas über Ihre Gesundheit aussagen, und Ihre Chats können alles enthalten, was Sie schreiben. Sie können deshalb besondere Kategorien personenbezogener Daten (DSGVO) und besonders schützenswerte Personendaten (DSG) sein. Custodian behandelt sie als solche: Sie werden nur mit Ihrer ausdrücklichen Einwilligung bearbeitet (Ziffer 5).

4. Welche Daten wir erheben

4.1 Chats

Wenn Sie die Erfassung einschalten, erhebt die Erweiterung oder der Connector den Text Ihrer Unterhaltungen mit den unterstützten KI-Assistenten (was Sie schreiben und was der Assistent antwortet), zusammen mit dem Zeitpunkt, dem Namen des Assistenten sowie den Kennungen von Unterhaltung und Nachricht. Die Seitenadresse wird auf Website und Pfad gekürzt; bei Programmierassistenten gibt es keine Seitenadresse, und es wird nichts über den Computer, das Projekt oder die Dateien gesendet. Die Daten werden in dem Intervall gesendet, das Sie festlegen (standardmässig einmal pro Tag), oder dann, wenn Sie sie selbst senden.

4.2 Ihr Konto

Der Dienst speichert einen Benutzernamen, einen Passwort-Hash (Argon2), die anonyme ID, gehashte Sitzungstoken und, bei einem Testkonto, die Anzahl der verwendeten Nachrichten. Er fragt nicht nach Ihrem Namen oder Ihrer E-Mail-Adresse. Wenn ein Konto erstellt wird, erhält das Custodian-Team eine E-Mail mit dem Benutzernamen, der Organisation und dem Zeitpunkt.

4.3 Kundenkontakte

Für eine Organisation speichern wir den Namen der Organisation sowie Name, geschäftliche E-Mail-Adresse und Funktion ihrer Kontaktpersonen und unsere Korrespondenz mit ihnen.

4.4 Nachrichten über die Kontaktseite

Wenn Sie das Formular auf der Kontaktseite verwenden, erhalten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Organisation, falls Sie sie angeben, das Thema und Ihre Nachricht. Der Custodian-Dienst sendet diese Angaben per E-Mail an das Postfach unseres Teams und speichert sie nicht.

4.5 Technische Daten

Zum Schutz des Dienstes führt der Dienst ein technisches Protokoll: Zeitpunkt, angefragte Adresse, Antwort und IP-Adresse. Die Grösse des Protokolls ist begrenzt: Ältere Einträge werden gelöscht, wenn neue geschrieben werden. Für die Begrenzung der Anzahl Anfragen pro IP-Adresse wird nur im Arbeitsspeicher gezählt. Cloudflare, das den Datenverkehr überträgt, bearbeitet ebenfalls IP-Adressen (siehe Ziffer 6).

5. Zwecke und Rechtsgrundlagen

Zweck	Verwendete Daten	Rechtsgrundlage
Ihre Chats analysieren und Ihr Dashboard anzeigen (Testphase)	Chats, Kontodaten	Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 Bst. a und Art. 9 Abs. 2 Bst. a DSGVO; Art. 6 Abs. 6 und 7 DSG), die Sie beim Erstellen des Kontos und beim Einschalten der Erfassung erteilen
Ihre Chats für Ihr Dashboard und die Organisationsansicht analysieren (Teilnehmende)	Chats, Kontodaten	Auftragsbearbeiter für den Kunden. Der Kunde als Verantwortlicher stützt sich auf Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 Bst. a und Art. 9 Abs. 2 Bst. a DSGVO; Art. 6 Abs. 6 und 7 DSG): Er holt Ihre Einwilligung ein, bevor Sie teilnehmen, und bewahrt einen Nachweis darüber auf. Bis Sie die Erfassung einschalten, wird nichts erhoben
Unser Team über jedes neue Konto sowie über jede Testphase informieren, die ihr Nachrichtenlimit erreicht	Benutzername, Organisation, Zeitpunkt	Testphase: berechtigtes Interesse am Betrieb des Dienstes und der Testphasen (Art. 6 Abs. 1 Bst. f DSGVO). Teilnehmende: Auftragsbearbeiter für den Kunden
Zusammenarbeit mit Kunden	Kontaktdaten der Kunden	Berechtigtes Interesse an der Zusammenarbeit mit dem Kunden (Art. 6 Abs. 1 Bst. f DSGVO); der Vertrag, wenn der Kunde eine natürliche Person ist (Art. 6 Abs. 1 Bst. b); die gesetzliche Pflicht zur Führung und Aufbewahrung der Buchhaltungsunterlagen (Art. 6 Abs. 1 Bst. c)
Ihre Nachricht beantworten	Nachrichten über die Kontaktseite	Berechtigtes Interesse, Ihnen zu antworten (Art. 6 Abs. 1 Bst. f DSGVO); vorvertragliche Massnahmen auf Ihre Anfrage für einen Vertrag, dessen Partei Sie wären (Art. 6 Abs. 1 Bst. b)
Sicherheit und Verhinderung von Missbrauch	Technische Daten, die Prüfung, ob ein Mensch handelt, bei der Registrierung für die Testphase und auf der Kontaktseite	Berechtigtes Interesse an der Sicherheit des Dienstes (Art. 6 Abs. 1 Bst. f DSGVO)

Widerruf der Einwilligung. Sie können Ihre Einwilligung jederzeit widerrufen, und zwar so einfach, wie Sie sie erteilt haben: Schalten Sie die Erfassung in der Erweiterung aus (oder führen Sie custodian off aus), um die Erhebung zu beenden, und löschen Sie Ihr Konto, um das Gespeicherte zu löschen. Wenn Sie über Ihre Organisation teilnehmen, können Sie den Widerruf auch Ihrer Organisation mitteilen. Der Widerruf berührt die Rechtmässigkeit der vorher erfolgten Bearbeitung nicht.

Die Teilnahme ist freiwillig. Wenn Sie Custodian über Ihre Organisation nutzen, entscheiden Sie frei, ob Sie teilnehmen. Eine Ablehnung oder ein späterer Ausstieg darf Ihnen keinen Nachteil bringen. Die Nutzungsbedingungen verpflichten die Organisation, dies sicherzustellen.

Wir verwenden keine Daten für Werbung oder Marketing, und wir verkaufen keine Daten.

6. Dienstleister

Custodian setzt die folgenden Dienstleister ein. Kein Dienstleister erhält Text aus Unterhaltungen für eigene Zwecke, und KI-Anbieter erhalten ihn überhaupt nicht.

Cloudflare, Inc. (USA, mit Servern weltweit): stellt die Website bereit, überträgt den Datenverkehr zwischen Ihrem Computer und dem Custodian-Dienst und betreibt Turnstile, die Prüfung, ob sich ein Mensch und nicht ein Programm für eine Testphase registriert oder eine Nachricht über die Kontaktseite sendet. Dieser Datenverkehr umfasst die Chats vor der De-Identifizierung: Die Verbindungen sind verschlüsselt, und Cloudflare bearbeitet den Datenverkehr nur, um ihn zu übermitteln. Cloudflare leitet ausserdem E-Mails, die an info@custodian.health gesendet werden, an das Postfach des Teams weiter.
Infomaniak Network SA (Schweiz): sendet die E-Mails des Dienstes an das Custodian-Team (neue Konten, Nachrichten von der Kontaktseite) und bewahrt die Korrespondenz mit info@custodian.health auf.

Die De-Identifizierung (Presidio, eine Open-Source-Bibliothek) und die Analyse (ein Modell auf Basis von Apertus, dem offenen Modell der Swiss AI Initiative) laufen beide innerhalb des Custodian-Dienstes auf dem Server, den Custodian in Italien betreibt. Kein KI-Anbieter ist beteiligt.

Wir können Personendaten bekanntgeben, wenn das Gesetz, eine gerichtliche Anordnung oder ein gültiges Ersuchen einer Behörde dies verlangt.

7. Wo sich die Daten befinden

Der Custodian-Dienst, der die Aufzeichnungen der Unterhaltungen speichert und analysiert, läuft auf einem Server, den Custodian in Italien betreibt, innerhalb der EU. Die Aufzeichnungen der Unterhaltungen verlassen ihn nicht, ausser wenn Sie sie selbst exportieren.

Cloudflare befindet sich in den USA. Das Unternehmen ist nach dem Datenschutzrahmen EU-USA (EU-U.S. Data Privacy Framework) und nach dem Swiss-U.S. Data Privacy Framework zertifiziert: Für Unternehmen, die danach zertifiziert sind, anerkennen die Europäische Kommission und der Bundesrat ein angemessenes Schutzniveau. Die Übermittlungen an Cloudflare sind zudem durch die Standardvertragsklauseln der Europäischen Kommission abgedeckt. Sie können bei uns eine Kopie dieser Klauseln verlangen.

Infomaniak befindet sich in der Schweiz. Die Europäische Kommission anerkennt, dass die Schweiz Personendaten angemessen schützt.

8. Aufbewahrung der Daten

Datenkategorie	Aufbewahrungsdauer
Testkonto, seine Aufzeichnungen und seine Ergebnisse	30 Tage nach dem Ende der Testphase, das heisst nach dem letzten Upload des Kontos. Danach löscht der Dienst sie automatisch.
Konto einer teilnehmenden Person, seine Aufzeichnungen und seine Ergebnisse	30 Tage nach dem Ende des Vertrags mit dem Kunden, sofern der Vertrag keine kürzere Frist vorsieht.
Kontaktdaten der Kunden und Korrespondenz	Während der Laufzeit des Vertrags und 3 Jahre nach dessen Ende, oder länger, wenn das Gesetz es verlangt.
Nachrichten über die Kontaktseite	12 Monate nach unserem letzten Austausch. Kommt danach ein Vertrag mit Ihrer Organisation zustande, gilt dasselbe wie für die Korrespondenz mit Kunden.
Technisches Protokoll	Bis neuere Einträge es überschreiben (das Protokoll hat eine feste Maximalgrösse).

Sofortige Löschung. Sie müssen nicht warten. In Ihrem Dashboard löscht Delete my account das Konto, alle seine Aufzeichnungen und seine Ergebnisse sofort. Sie können die Löschung auch per E-Mail an info@custodian.health verlangen.

9. Ihre Rechte

Nach der DSGVO und dem schweizerischen Bundesgesetz über den Datenschutz (DSG) haben Sie, jeweils in den dort vorgesehenen Grenzen, folgende Rechte:

Auskunft: eine Kopie der Personendaten erhalten, die Custodian über Sie gespeichert hat. Download my data in Ihrem Dashboard stellt sie Ihnen sofort bereit.
Berichtigung: unrichtige Daten berichtigen lassen.
Löschung: Ihre Daten löschen lassen. In Ihrem Dashboard können Sie dies sofort selbst tun.
Einschränkung: die Bearbeitung in bestimmten Fällen einschränken lassen.
Datenübertragbarkeit: Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
Widerspruch: einer Bearbeitung widersprechen, die auf einem berechtigten Interesse beruht.
Widerruf der Einwilligung: jederzeit, wie in Ziffer 5 beschrieben.

Wenn Sie über Ihre Organisation teilnehmen, ist die Organisation Verantwortlicher: Sie können Ihre Anfrage an sie oder an uns richten. Wir leiten Ihre Anfrage an die Organisation weiter und unterstützen diese bei der Beantwortung.

Wir antworten innerhalb von 30 Tagen. Braucht eine Anfrage mehr Zeit, erlaubt uns das Gesetz, diese Frist zu verlängern: Wir teilen Ihnen dann innerhalb der 30 Tage mit, weshalb und wann Sie die Antwort erhalten. Schreiben Sie an info@custodian.health.

Beschwerde oder Anzeige bei einer Behörde

Wenn Sie der Ansicht sind, dass Ihre Personendaten unrechtmässig bearbeitet werden, können Sie:

Beschwerde bei der Datenschutzaufsichtsbehörde des EU- oder EWR-Staates einreichen, in dem Sie wohnen oder arbeiten oder in dem der mutmassliche Verstoss stattgefunden hat. Die Behörde des Staates, von dem aus Custodian betrieben wird, ist der italienische Garante per la protezione dei dati personali (www.garanteprivacy.it).
in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch) Anzeige erstatten. Der EDÖB kann eine Untersuchung eröffnen und informiert Sie darüber, was er unternommen hat und mit welchem Ergebnis.

10. Datensicherheit

Wir schützen Personendaten mit technischen und organisatorischen Massnahmen, darunter:

Verschlüsselte Verbindungen (TLS) zwischen der Erweiterung, dem Connector, der Website und dem Dienst
Entfernung identifizierender Angaben, bevor Aufzeichnungen der Unterhaltungen gespeichert werden
Passwörter als Argon2-Hashes gespeichert; Sitzungstoken nur als Hashes gespeichert
Ein Organisationskonto erfordert den Einladungscode der Organisation; Testkonten bleiben von jeder Organisation getrennt
Der Administrator von Custodian sieht Teilnahmezahlen unter anonymen IDs, keinen Text aus Unterhaltungen und keine individuellen Ergebnisse
Verschlüsselter Datenträger auf dem Server des Dienstes

Mehr dazu finden Sie auf der Sicherheitsseite.

11. Cookies und ähnliche Technologien

Die Custodian-Website setzt keine eigenen Cookies. Sie verwendet keine Webanalyse, keine Werbung und keine Tracker und zeigt deshalb kein Cookie-Banner. Die Einrichtungsseite speichert den Einladungscode im Sitzungsspeicher des Browsers, solange der Tab geöffnet ist, damit er nach einem Neuladen nicht erneut abgefragt wird. Das Dashboard speichert das Sitzungstoken im Sitzungsspeicher, den der Browser leert, wenn der Tab geschlossen wird. Die Website speichert im Sitzungsspeicher zudem, ob ihre Startanimation bereits abgespielt wurde, sowie das letzte Ergebnis der Prüfung des Dienststatus, damit sich beides nicht auf jeder Seite wiederholt.

Die Seite Kostenlos testen und die Kontaktseite laden Cloudflare Turnstile, das prüft, ob ein Mensch und nicht ein Programm das Formular sendet. Turnstile liest technische Signale des Browsers und verfolgt Sie nicht über verschiedene Websites hinweg.

12. Kinder

Custodian richtet sich an Erwachsene am Arbeitsplatz. Ein Testkonto setzt voraus, dass die Person 16 Jahre oder älter ist. Wenn Sie glauben, dass ein Kind unter 16 Jahren ein Konto erstellt hat, schreiben Sie an info@custodian.health, und wir löschen es.

13. Änderungen dieser Datenschutzerklärung

Wenn wir diese Datenschutzerklärung ändern, passen wir das Datum oben auf dieser Seite an. Über wesentliche Änderungen informieren wir Kunden mindestens 14 Tage vor deren Inkrafttreten per E-Mail. Eine Änderung, die eine neue Einwilligung erfordert, wird für Sie erst wirksam, wenn Sie diese Einwilligung erteilen.

14. Kontakt

Für alle Fragen zum Datenschutz, für Anfragen zu Ihren Daten oder um ein mögliches Datenschutzproblem zu melden:

Custodian, ein in Lausanne, Schweiz, entwickeltes Projekt
Betrieben von Mirko Casu (Postadresse auf Anfrage)
Kontakt: info@custodian.health

Datenschutz­erklärung