Datenschutzerklärung

Scales GmbH, Roosstrasse 53, 8832 Wollerau, Schweiz · UID CHE-187.382.678. Kontakt für Datenschutzanfragen: dennis@myscales.ch. majiq ist ein Produkt der Scales GmbH.

Auftragsbearbeiterin für die Inhalte deines Datenraums (die hochgeladenen Dokumente sowie die Fragen und Antworten im Datenraum): Du — die Beratungs-, Käufer- oder Verkäuferfirma — bist dafür verantwortlich; wir bearbeiten diese Daten nur auf deine Weisung (Auftragsbearbeitungsvertrag).

Verantwortliche für deine Konto-Daten (Name, E-Mail, Firma) sowie für das firmenübergreifende Lernen, dem du jederzeit widersprechen kannst.

Konto-Daten: Name, E-Mail, Firma, Rolle, Anmelde- und Nutzungs-Logs.

Datenraum-Inhalte: was in deinen hochgeladenen Dokumenten steht — das kann Personendaten Dritter umfassen (z.B. Namen, Adressen, IBAN, Lohnangaben, Funktionen, Steuer-/UID-Nummern).

Fragen im Datenraum: die Fragen und Antworten, die Bieter, Verkäufer, Fachpersonen und das Beraterteam dort schreiben, und wer sie geschrieben hat. Auch sie können Personendaten enthalten.

Bereitstellung der Due-Diligence-Plattform: Aufbereitung des Datenraums, KI-gestützte Identifikation von Risiken, Massnahmen-Tracking sowie Bieter-Kommunikation. Rechtsgrundlagen: Vertragserfüllung (Art. 31 Abs. 2 lit. a revDSG; Art. 6 Abs. 1 lit. b DSGVO) und überwiegende berechtigte Interessen an der Durchführung der Transaktion (Art. 6 Abs. 1 lit. f DSGVO).

Firmenübergreifendes Lernen: Zur Qualitätsverbesserung leiten wir aus bestätigten Erkenntnissen allgemeine, abstrahierte Prüf-Muster ab. Ein Muster beschreibt einen Prüfsachverhalt allgemein und enthält weder Dokumentinhalte noch Namen, Beträge oder sonstige Angaben, die einen Rückschluss auf dich, ein Mandat, eine Zielgesellschaft oder eine Person zulassen. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung jederzeit widersprechen — als Firmen-Admin direkt über den Schalter in den Einstellungen, oder per kurzer Nachricht an dennis@myscales.ch.

Speicherung und Verarbeitung der Inhalte deines Datenraums erfolgen in der EU, dem EWR oder der Schweiz: Texterkennung, Klassifikation und KI-Analyse laufen in Rechenzentren dieses Gebiets. Die Anwendung selbst läuft in der Schweiz (Zürich); die Datenbank und die hochgeladenen Dateien liegen ebenfalls dort. Dokumenteninhalte werden nicht in die USA oder andere Drittstaaten übermittelt.

Tokenisierung vor dem Hochladen: Hochladende Personen können Personennamen vor dem Hochladen durch neutrale Platzhalter ersetzen. Dieses Werkzeug läuft vollständig lokal im Browser — dabei werden keine Dokumentinhalte an uns übertragen.

Web-Suche des Mandats-Experten: Braucht eine Frage Wissen von aussen (etwa einen Branchenvergleich, Markt-, Rechts- oder Steuerfragen), schlägt der Experte einen Suchsatz aus allgemeinen Begriffen vor. Der Satz wird technisch geprüft: der Name des Mandats, die Namen seiner Gesellschaften und der uns aus dem Mandat bekannten Personen, Adressen sowie Zahlen ausser Jahreszahlen werden gestoppt. Gesucht wird erst, wenn eine Beraterin oder ein Berater genau diesen Satz freigibt; ohne Freigabe geht nichts hinaus. Das KI-Modell erhält dafür ausschliesslich den freigegebenen Suchsatz — keine Dokumenteninhalte — und bildet daraus Suchanfragen an die Suchdienste Brave oder Bing. Diese Suchdienste arbeiten auch ausserhalb der EU, des EWR und der Schweiz. Jede Web-Suche wird protokolliert und mit dem Mandat gelöscht.

Fragen im Datenraum: Bevor eine Person eines Bieters eine neue Frage absendet, prüft ein KI-Modell von Microsoft Azure in der EU, ob es dazu schon eine Antwort gibt. Es erhält Betreff und Text der Frage und eine Auswahl von Kandidaten aus dem, was diese Person im Datenraum selbst sieht: Unterlagen mit Name, Dokumentart und Bereich sowie Fragen mit Betreff, dem Anfang des Texts und, falls vorhanden, der jüngsten Antwort. Den Namen der Person und ihren Bieter gibt die Plattform nicht mit. Das Modell wählt nur unter diesen Kandidaten; gezeigt werden höchstens drei. Ausserdem ordnet es die Frage für das Beraterteam einem Bereich und einer Unterlage zu. Ob ein Treffer die Frage beantwortet, entscheidet die Person selbst; sie kann die Frage auch trotzdem senden oder abbrechen. Nichts wird automatisch entschieden. Findet die Prüfung nichts oder fällt sie aus, geht die Frage sofort an das Beraterteam. Nach dem Eingang einer neuen Frage vergleicht ein KI-Modell von Microsoft Azure in der EU sie mit früheren Fragen desselben Mandats, je Betreff und Anfang des Texts. Verglichen wird mit Fragen anderer Bieter und mit Fragen, die das Beraterteam mit der Frage eines anderen Bieters zusammengeführt hat. So kann das Beraterteam gleiche Fragen gemeinsam beantworten. Dieses Ergebnis sieht nur das Beraterteam; die Bieter erfahren davon nichts. Öffnet das Beraterteam die Fragen eines Mandats, beurteilt ein KI-Modell von Microsoft Azure in der EU, ob eine Frage beantwortet ist. Es erhält dazu Betreff und Nachrichten der Frage samt den Namen angehängter Dateien, nicht aber die Namen der Verfasser; auch dieses Ergebnis sieht nur das Beraterteam. Jede Prüfung vor dem Absenden wird protokolliert, auch wenn die Person die Frage danach abbricht oder nicht sendet: mit Fragetext, Kandidaten, Treffern, Einordnung und Ergebnis sowie der Person und ihrem Bieter. Das Protokoll dient als Nachweis, was die Prüfung vorlegte und wie die Person entschied; nur das Beraterteam liest es, und es wird mit dem Mandat gelöscht.

Es findet keine automatisierte Einzelentscheidung mit Rechtswirkung statt — die Analyse unterstützt die Beraterinnen und Berater; die Entscheidung trifft ein Mensch.

Wir setzen sorgfältig ausgewählte Dienstleister mit entsprechenden Verträgen ein, in folgenden Kategorien:

• Datenbank, Authentifizierung und Dokumenten-Speicher (Schweiz, Zürich; im Ruhezustand verschlüsselt)
• Texterkennung/OCR (EU)
• KI-Analyse (EU-Rechenzentren)
• Hosting der Anwendung mit Web-Firewall (Schweiz, Zürich)
• Schadsoftware-Prüfung hochgeladener Dateien (EU/Schweiz)
• Aufgaben-Orchestrierung (Steuerungs- und Ablaufdaten)
• Transaktionaler E-Mail-Versand
• Web-Suche des Mandats-Experten (Suchdienste Brave und Bing; erhalten nur Suchanfragen, die aus dem freigegebenen Suchsatz gebildet sind, keine Dokumenteninhalte)

Die vollständige, namentliche Liste unserer Auftragsbearbeiter (inkl. Sitz und Schutzmassnahmen) ist Bestandteil unseres Auftragsbearbeitungsvertrags — Kunden erhalten sie mit dem Vertrag und jederzeit auf Anfrage.

Dienste innerhalb der EU, des EWR und der Schweiz bieten ein angemessenes Schutzniveau. Dokumenteninhalte verbleiben in diesem Gebiet. Für einzelne technische Dienste (z.B. E-Mail-Versand, Ablauf-Steuerung mit reinen Steuerungsdaten) mit Anbietern in den USA stützen wir uns auf die EU-Standardvertragsklauseln bzw. das Swiss-/EU-US Data Privacy Framework. Eine Transfer-Risiko-Bewertung liegt vor. Bei der Web-Suche des Mandats-Experten (Ziff. 5) gehen Suchanfragen, die aus dem freigegebenen Suchsatz gebildet sind, an Suchdienste mit Sitz in den USA; sie enthalten keine Dokumenteninhalte, und der Suchsatz ist darauf angelegt, keine Personendaten zu tragen.

Mandatsdaten und Dokumente, dazu die Fragen im Datenraum und das Protokoll ihrer Prüfung vor dem Absenden: während des aktiven Mandats und höchstens 24 Monate danach. Verarbeitungs-Protokolle (Nachweis der Bearbeitung): 5 Jahre. Technische Protokolle der Modellaufrufe (nur Prüfsummen und Token-Zahlen, keine Klardaten): 12 Monate. Zugriffsprotokolle der Web-Firewall (IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browser-Kennung): 90 Tage. Konto-Daten: bis zur Löschung des Kontos.

Du hast das Recht auf Auskunft (Art. 25 revDSG / Art. 15 DSGVO), Berichtigung, Löschung bzw. Vernichtung, Datenherausgabe und -übertragung (Art. 28 revDSG / Art. 20 DSGVO), sowie Widerspruch gegen das firmenübergreifende Lernen. Es besteht ein Beschwerderecht beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) bzw. bei der zuständigen EU-Datenschutzbehörde.

Scales GmbH, Roosstrasse 53, 8832 Wollerau · dennis@myscales.ch