🔒 Das Wichtigste zuerst: Ihre DORA-Meldedaten (LEI, IKT-Drittanbieter, Verträge, Partnerdaten) werden ausschliesslich in Ihrem Browser verarbeitet und verlassen niemals Ihr Gerät. MELDIS speichert, überträgt oder verarbeitet diese Daten nicht auf unseren Servern.
Verantwortlich für die Datenverarbeitung im Sinne des liechtensteinischen Datenschutzgesetzes (DSG FL) und der Datenschutz-Grundverordnung (DSGVO) ist:
SAAND AG
Dr. Grass-Strasse 12 · 9490 Vaduz
Fürstentum Liechtenstein
E-Mail: support@meldis.li
Tel: +423 78 58 381
MELDIS verarbeitet ausschliesslich die Daten, die für den Betrieb des Dienstes zwingend erforderlich sind. Es gibt keine Werbung, kein Tracking, keine Analyse-Tools (Google Analytics, Hotjar o.ä.) auf dieser Website.
Bei Kauf eines MELDIS-Bundles über Stripe verarbeiten wir folgende Daten:
| Datenkategorie | Konkrete Daten | Zweck | Speicherdauer |
|---|---|---|---|
| Kontaktdaten | E-Mail-Adresse | Zustellung des Zugangscodes, Support | 3 Jahre ab Kauf |
| Kaufdaten | Bundle-Typ (Kleines Institut, Institut/Treuhänder, Gruppe/Konsolidiert, Remediation), Berichtsjahr, Einreichungsart (IND/CON), Kaufbetrag CHF | Vertragserfüllung, Rechnungsstellung | 10 Jahre (gesetzliche Aufbewahrungspflicht) |
| Transaktionsdaten | Stripe Session-ID (anonymisierter Zahlungsreferenz) | Zahlungsabgleich, Storno | 10 Jahre |
| Zugangscode | Token-Präfix (erste 12 Zeichen), Ablaufdatum, Verwendungszähler | Zugriffskontrolle | 6 Monate nach Ablauf |
| Sitzungskennung | Zufälliger 16-Byte-Sitzungsschlüssel (serverseitig, kein Gerätebezug) | Einzelsitzungs-Durchsetzung (verhindert parallele Nutzung desselben Tokens) | Bis Token-Ablauf + 6 Monate |
Die Zahlungsabwicklung selbst (Kreditkartendaten, TWINT) erfolgt ausschliesslich durch Stripe Payments Europe Ltd. SAAND AG hat zu keinem Zeitpunkt Zugriff auf vollständige Zahlungsmittelinformationen.
Zur Systemüberwachung und Qualitätssicherung erfassen wir folgende Betriebsdaten:
| Ereignis | Gespeicherte Daten | Was NICHT gespeichert wird |
|---|---|---|
| Token-Verwendung (Erstnutzung) | Token-Präfix (12 Zeichen), E-Mail-Domain (z.B. «bank.li», nicht vollständige Adresse), gehashte IP (SHA-256 + Salt — nicht rückrechenbar) | Vollständige IP-Adresse, vollständige E-Mail, Name |
| ZIP-Erstellung (Erfolg) | Einreichungsart, Berichtsjahr, Token-Präfix (12 Zeichen) | LEI, Unternehmensname, Vertragsinhalte, Anbietername, Anzahl Verträge/Partner, Dateigrösse |
| ZIP-Erstellung (Fehler) | Fehlermeldung, Token-Präfix (12 Zeichen) | LEI, Unternehmensname, Vertragsdaten |
| Ungültiger Token-Versuch | Gehashte IP | Eingegebener Token-String |
Der IP-Hash wird mit einem geheimen Salt berechnet, der jährlich rotiert wird. Eine Rückrechnung auf die originale IP-Adresse ist technisch nicht möglich.
Wir speichern keine LEI-, Vertrags- oder Anbieterdaten in der Telemetrie. Alle Telemetriedaten dienen ausschliesslich der Systemstabilität.
✓ Folgende Daten verlassen zu keinem Zeitpunkt Ihren Browser und werden von SAAND AG weder gespeichert noch verarbeitet: LEI (Legal Entity Identifier), Unternehmensname, IKT-Drittanbieterdetails, Vertragsdaten, Partner-LEIs, Mitarbeiterzahlen, Umsatzdaten, interne Systemarchitektur, Risikobewertungen. Diese Daten sind ausschliesslich im flüchtigen Arbeitsspeicher Ihres Browsers und werden beim Schliessen des Tabs vollständig gelöscht.
Jedes von MELDIS generierte ZIP-Paket enthält ein nicht sichtbares Unicode-Wasserzeichen, das aus dem Token-Präfix abgeleitet wird. Dieses Wasserzeichen ist nicht personenbezogen: Es enthält ausschliesslich den Token-Präfix (erste 12 Zeichen), den SAAND AG gemäss §2.1 ohnehin als Kaufdatum speichert. Der Zweck ist die forensische Zuordnung im Fall unberechtigter Weitergabe des ZIP-Pakets. Das Wasserzeichen enthält keine LEI, keine Firmendaten und keine weiteren personenbezogenen Informationen. Es kann vom Empfänger ohne gesonderten SAAND-seitigen Schlüssel nicht ausgelesen werden.
| Dienstleister | Zweck | Sitz / Datenschutzniveau | Übermittelte Daten |
|---|---|---|---|
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Dublin, Irland (EU, DSGVO) | E-Mail, Kaufbetrag, Bundle-Typ (via Stripe Checkout) |
| Twilio SendGrid | E-Mail-Versand: (1) Zugangscode bei Kauf, (2) Aktivierungsbenachrichtigung bei Erstnutzung (Sicherheits-Hinweis) | USA (EU-Standardvertragsklauseln) | E-Mail-Adresse, Zugangscode bzw. Token-Präfix (12 Zeichen), Bundle-Details — Link- und Öffnungstracking deaktiviert |
| Microsoft Azure | Cloud-Infrastruktur (Static Web Apps, Table Storage, Functions) | Schweiz Nord (Azure Switzerland North) — kein Datentransfer ins Ausland | Token-Entitäten, Telemetriedaten |
| GLEIF (Global LEI Foundation) | LEI-Verifikation (Bundle-Finder auf Landing Page) | Frankfurt, Deutschland (EU) — öffentliche API, nur lesend | Ihr eingegebener LEI — wird vom Browser direkt abgefragt, nicht von SAAND-Servern |
Eine Weitergabe Ihrer Daten an weitere Dritte oder zu Werbezwecken erfolgt nicht.
Alle von SAAND AG serverseitig gespeicherten Daten werden ausschliesslich in Azure Switzerland North (Zürich) gespeichert und verarbeitet. Es findet keine Replikation in andere Azure-Regionen statt (Constraint: Swiss Data Residency).
Technische Schutzmassnahmen:
MELDIS verwendet keine Cookies — weder technisch notwendige, noch analytische, noch Werbe-Cookies. Es werden keine Tracking-Technologien (Pixel, Fingerprinting, Sitzungsaufzeichnung) eingesetzt. Ein Cookie-Banner ist daher nicht erforderlich.
Der Zugangscode und der JWT (Sitzungsschlüssel) werden ausschliesslich im flüchtigen JavaScript-Arbeitsspeicher (In-Memory) gehalten und niemals in localStorage, sessionStorage oder Cookies geschrieben.
Als betroffene Person haben Sie folgende Rechte gegenüber SAAND AG:
Anfragen richten Sie bitte an: support@meldis.li
Sie haben ausserdem das Recht, Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen:
Datenschutzstelle Liechtenstein (DSS)
Städtle 38 · 9490 Vaduz
datenschutzstelle.li
MELDIS richtet sich ausschliesslich an von der FMA-LI beaufsichtigte Finanzunternehmen (B2B). Da DORA-Registerdaten ausschliesslich browserseitig verarbeitet werden und SAAND AG keinen Zugriff auf sie hat, ist SAAND AG nach unserer Rechtsauffassung kein Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Auf Wunsch unterzeichnen wir gleichwohl einen AVV — wenden Sie sich dazu an support@meldis.li.
SAAND AG behält sich vor, diese Erklärung bei Änderungen des Dienstes oder der Rechtslage anzupassen. Die jeweils aktuelle Version ist unter www.meldis.li/datenschutz.html abrufbar. Bei wesentlichen Änderungen werden aktive Nutzer per E-Mail informiert.