Datenschutzerklärung von Software als Dienstleistung (SaaS) Leistungen

1. Datenschutzinformationen für Nutzung von SaaS Leistungen

Diese Datenschutzinformationen gelten für die SaaS Leistungen der Hoval Cloud-Systeme (Hoval Supervisor cloud und HovalConnect der Hoval AG (nachfolgend als „Hoval“ oder „wir“ bezeichnet). HovalConnect umfasst dabei die mobile Anwendung für Anlagenbesitzer und weitere Anlagennutzer („HovalConnect App“) sowie die für Hoval Partner bereitgestellte Business-Anwendung („HovalConnect business“). Sie erläutern Ihnen, wie Ihre persönlichen Daten erhoben, verarbeitet und verwendet werden, bei der Verwendung von Hoval Cloud-Systemen.

Im Hinblick auf SaaS-Leistungen der Hoval Cloud-Systeme wird auf die gemeinsame Datenverarbeitung über das jeweilige Online-Portal hingewiesen, soweit eine solche besteht. Die gemeinsame Datenverarbeitung erfolgt insoweit entsprechend den Nutzungsbedingungen und der Datenschutzerklärung des jeweiligen Online-Portals.

Wir als Verantwortlicher nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und in Übereinstimmung mit den anwendbaren Datenschutzgesetzen der Schweiz, der Europäischen Union und des Vereinigten Königreichs sowie diesen Datenschutzinformationen. Zudem gewährleisten wir eine angemessene und sichere Verarbeitung und wenden angemessene Massnahmen zum Schutz Ihrer Daten im Hinblick auf die Wahrung der Vertraulichkeit, der Integrität und der Verfügbarkeit an. Unsere Sicherheitsmassnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

Diese Datenschutzinformationen enthalten nähere Informationen über:

• Kontaktinformationen des Verantwortlichen
• Kategorien der verarbeiteten Daten
• Angaben zum Zweck und der Rechtsgrundlage
• Datenempfänger
• Speicherdauer
• Informationen zu Ihren Rechten

2. Wer sind wir?

Der Verantwortliche ist die Hoval AG mit ihrem Hauptsitz in Vaduz, Liechtenstein, und den ihr zuzuordnenden Unternehmen. Eine Übersicht über der Gruppe zugehörige Unternehmen finden Sie auf www.hoval.com.

Für Fragen zum Datenschutz wenden Sie sich bitte per E-Mail an unseren Datenschutzbeauftragten unter dpo@hoval.com.

3. Wer für Ihre Daten verantwortlich ist

Je nachdem, wie Ihre Anlage angebunden wurde, ist Hoval allein oder gemeinsam mit einem weiteren Unternehmen für Ihre Daten verantwortlich:

a) Alleinige Verantwortlichkeit

Bei HovalConnect sowie bei HovalSupervisor cloud mit direkter Aufschaltung durch Hoval ist Hoval alleinige Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO beziehungsweise, soweit das Datenschutzrecht des Vereinigten Königreichs anwendbar ist, Art. 4 Nr. 7 UK GDPR. Eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO beziehungsweise Art. 26 UK GDPR besteht bei diesen Diensten nicht. Ein Professional-Kunde ist an der Verarbeitung nicht als Verantwortlicher beteiligt.

b) Gemeinsame Verantwortlichkeit

Bei HovalConnect business sowie bei HovalSupervisor cloud sind Hoval und der Professional-Kunde gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO beziehungsweise, soweit das Datenschutzrecht des Vereinigten Königreichs anwendbar ist, Art. 26 UK GDPR, sofern die jeweilige Verarbeitung gemeinsam durch Hoval und den Professional-Kunden erfolgt. Bei HovalSupervisor cloud gilt dies insbesondere, wenn die Anlage des Endkunden durch den Professional-Kunden aufgeschaltet wurde.

Die Parteien haben eine Vereinbarung über die gemeinsame Verantwortlichkeit geschlossen, in der festgelegt ist, wer von ihnen welche Verpflichtungen nach den jeweils anwendbaren Datenschutzgesetzen erfüllt.

Zur Vereinfachung der Bearbeitung koordiniert Hoval die Bearbeitung eingehender Anfragen zentral. Anfragen können bevorzugt an den Datenschutzbeauftragten von Hoval unter dpo@hoval.com gerichtet werden.

Im Hinblick auf die Datenverarbeitung übernimmt Hoval folgende Verantwortung:

• für die Erhebung der Daten
• für die Speicherung der Daten
• für die Änderung und Löschung der Daten, die Einschränkung deren Verarbeitung und deren Übertragung
• für eine angemessene Sicherheit der Datenübertragung und -verarbeitung.
• für die Einhaltung der in Bezug auf die Daten bestehenden, gesetzlichen Aufbewahrungspflichten
• für die Einhaltung national gültiger Datenschutzbestimmungen und Anforderungen
• für den vertraulichen Umgang mit Daten und deren zweckmässiger Verarbeitung

Im Hinblick auf die Datenverarbeitung übernimmt der Kunde, sofern er nicht Endkunde ist, folgende Verantwortung:

• für die Schaffung einer datenschutzkonformen Vereinbarung mit dem Endkunden, insbesondere einer geeigneten Rechtsgrundlage für die Erhebung, Verarbeitung und Nutzung der personenbezogenen Daten des Kunden
• für die Ermöglichung des datenschutzkonformen Zugangs zu den eigenen Daten des Endkunden, etwa durch Anlegung eines neuen Benutzerprofils für den Endkunden
• für die Ermöglichung eines Wechsels des Endkunden zu einem Datenverarbeitungsdienstes nach Massgabe von Ziffer 7 dieser Datenschutzvereinbarung

Hoval und der Professional-Kunde unterstützen sich gegenseitig, um Anfragen betroffener Personen zu beantworten und gesetzliche Datenschutzpflichten zu erfüllen; dabei übernimmt jede Partei die Aufgaben, die sie nach dieser Vereinbarung und den anwendbaren Gesetzen jeweils besser oder allein erfüllen kann.

c) Auftragsverarbeiter

Sowohl Hoval als auch der Professional-Kunde können für die jeweils von ihnen verantworteten Verarbeitungstätigkeiten Dienstleister als Auftragsverarbeiter im Sinne von Art. 28 DSGVO beziehungsweise, soweit das Datenschutzrecht des Vereinigten Königreichs anwendbar ist, Art. 28 UK GDPR einsetzen.

Jede Partei stellt sicher, dass mit ihren Auftragsverarbeitern ein Vertrag zur Auftragsverarbeitung gemäss Art. 28 DSGVO beziehungsweise Art. 28 UK GDPR abgeschlossen wird und die Anforderungen der jeweils anwendbaren Datenschutzgesetze erfüllt sind.

Soweit dies für die Erfüllung der gemeinsamen Pflichten im Rahmen der gemeinsamen Verantwortlichkeit erforderlich ist, informieren sich die Parteien gegenseitig über eingesetzte Auftragsverarbeiter.

4. Welche Informationen erheben wir von Ihnen?

Wir verarbeiten personenbezogene und nicht personenbezogene Daten (zusammen „Daten“), die im Rahmen der Nutzung unserer SaaS-Leistungen und Cloud-Dienste anfallen.

Zu den erfassten personenbezogenen Daten gehören, abhängig vom jeweils genutzten SaaS Hoval-Cloud System: (keine abschliessende Aufzählung):

• Kundenstammdaten (Name, Adresse, Kontaktdaten)
• Vertragsdaten (Kundennummer, gebuchte Leistungen, Zahlungsinformationen)
• Servicedaten
• Benutzer-, Zugriffs- und Verbindungsdaten
• Benutzerrollen und Zugriffsberechtigungen
• Projekt- und Anlagenkennungen
• Alarm- und Ereignisdaten
• Protokolldaten zu Benutzerzugriffen sowie Parameter- und Konfigurationsänderungen

Technische und anlagenbezogene Daten (keine abschliessende Aufzählung):

• System-, Betriebs- und Konfigurationsdaten aus der Nutzung von Cloud-Services und sonstigen Diensten
• Anlagen- und Messdaten, insbesondere Temperaturen, Leistungen, Volumenströme und Zählerwerte
• Leistungs- und Auslastungsdaten
• Fehler- und Sicherheitsberichte
• technische Daten zu Geräten und Betriebssystemen
• Daten zur Optimierung, Überwachung und Weiterentwicklung der Dienste

5. Zweck der Verarbeitung

Wir verarbeiten Ihre Daten ausschliesslich, um unsere SaaS-Dienste und Cloud-Plattformen bereitzustellen und zu betreiben, Verträge zu erfüllen, abzurechnen und Sie zu betreuen (z. B. durch Kontaktaufnahme oder Terminabstimmung, inklusive Wartung, Optimierung und Monitoring sowie der technischen Fernbetreuung und Fernwartung direkt durch Hoval, soweit dieser Bestandteil der vereinbarten Leistung ist oder separat vereinbart wurde). Darüber hinaus dient die Verarbeitung der IT-Sicherheit, Missbrauchsvermeidung und Funktionssicherheit unserer Systeme, der kontinuierlichen Verbesserung, Überwachung und Weiterentwicklung unserer Software sowie der Erfüllung gesetzlicher Pflichten. Schliesslich unterstützen wir Sie bei einem Wechsel zu anderen Datenverarbeitungsdiensten durch Datenexport gemäss EU Data Act.

6. Rechtsgrundlage

Wir verarbeiten personenbezogene Daten stets nur auf einer der in Art. 6 Abs. 1 DSGVO beziehungsweise, soweit das Datenschutzrecht des Vereinigten Königreichs anwendbar ist, Art. 6 Abs. 1 UK GDPR genannten Rechtsgrundlagen. Die Zuordnung zu den jeweiligen Zwecken erfolgt wie folgt:

• Bereitstellung und Betrieb der SaaS- und Cloud-Dienste: Verarbeitung zur Erfüllung des Vertrags oder zur Durchführung vorvertraglicher Massnahmen (Art. 6 Abs. 1 lit. b DSGVO bzw. UK GDPR).
• Abrechnung, Vertragsverwaltung und Zahlungsabwicklung: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO bzw. UK GDPR).
• Wartung, Betreuung, Optimierung und Monitoring der Kundenanlage (bei separatem Vertrag): Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO bzw. UK GDPR).
• Direkte Aufschaltung einer Anlage auf HovalSupervisor cloud durch Hoval, soweit diese zur Bereitstellung der vereinbarten Cloud- oder Fernbetreuungsleistung erforderlich ist: Vertragserfüllung oder Durchführung vorvertraglicher Massnahmen (Art. 6 Abs. 1 lit. b DSGVO bzw. UK GDPR).
• Fernwartung einer von Hoval direkt aufgeschalteten Anlage: berechtigtes Interesse an einem störungsfreien, sicheren und energieeffizienten Betrieb der Anlage (Art. 6 Abs. 1 lit. f DSGVO bzw. UK GDPR). Sie können dieser Verarbeitung nach Massgabe von Art. 21 DSGVO bzw. UK GDPR widersprechen.
• Kundenkommunikation und Serviceanfragen (z. B. Support, Terminabstimmung): berechtigtes Interesse an einer effizienten und sicheren Kundenbetreuung (Art. 6 Abs. 1 lit. f DSGVO bzw. UK GDPR).
• IT- und Betriebssicherheit, Funktionssicherheit, Missbrauchsvermeidung: berechtigtes Interesse an der Aufrechterhaltung sicherer Systeme (Art. 6 Abs. 1 lit. f DSGVO bzw. UK GDPR).
• Kontinuierliche Verbesserung, Überwachung und Weiterentwicklung unserer Software: berechtigtes Interesse an der Optimierung und Weiterentwicklung unserer Software und Dienste (Art. 6 Abs. 1 lit. f DSGVO bzw. UK GDPR).
• Erfüllung gesetzlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO bzw. UK GDPR).
• Marketing- und Informationsmassnahmen: Verarbeitung mit Ihrer Einwilligung, soweit eine solche nach den anwendbaren Datenschutz- und Direktmarketingvorschriften erforderlich ist (Art. 6 Abs. 1 lit. a DSGVO bzw. UK GDPR).

Nicht-personenbezogene Daten unterliegen nicht der DSGVO bzw. UK GDPR. Sie werden nach Massgabe der jeweils anwendbaren gesetzlichen Bestimmungen, insbesondere des EU Data Act, soweit dieser anwendbar ist, sowie dieser Datenschutzinformationen verarbeitet und genutzt, soweit dies für die Vertragserfüllung oder Leistungserbringung erforderlich oder anderweitig rechtlich zulässig ist.

7. Pflichten nach Kapitel VI EU Data Act für Datenverarbeitung

Als Anbieter von Datenverarbeitungsdiensten, insbesondere von SaaS Diensten, ermöglichen wir den Wechsel zu einem anderen Datenverarbeitungsdienst oder zurück zu einer Inhouse Lösung. Sie haben das Recht, die bei uns gespeicherten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Wir stellen sicher, dass ein Datenexport technisch möglich ist, und informieren transparent über Verfahren, Fristen, Formate und etwaige Kosten. Interoperabilität wird sichergestellt, soweit dies technisch machbar und rechtlich zulässig ist. Unfaire Hürden für den Anbieterwechsel werden nicht geschaffen.

Sollten Sie zu einem anderen Datenverarbeitungsdienst wechseln wollen, bitten wir um schriftliche Mitteilung.

Die Übergangszeit für den Wechsel des Datenverarbeitungsdienstes beträgt ab dem Ende der Kündigungsfrist grundsätzlich 30 Kalendertage. Ist die Übergangszeit von 30 Tagen für den Wechsel technisch nicht realisierbar, werden wir Sie innerhalb von 14 Werktagen nach Antragstellung darüber informieren und alternative Übergangsfristen angeben, die 7 Monate nicht überschreiten werden.

Im Übrigen gelten die Regelungen aus Kapitel VI des EU Data Act, insbesondere Art. 25 EU Data Act.

8. Aufbewahrung von Daten

Wir verarbeiten und speichern Ihre personenbezogenen Daten für die Dauer des jeweiligen Vertragsverhältnisses.

Nach Beendigung des Vertragsverhältnisses, auch im Fall eines Wechsels des Datenverarbeitungsdienstes, löschen wir die von Ihnen generierten oder Ihnen direkt zuordenbaren exportierbaren Daten und digitalen Assets, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Die Löschung erfolgt, sobald die Daten für die Vertragsabwicklung nicht mehr benötigt werden, spätestens 12 Monate nach Vertragsende.

Rechnungen, Zahlungsdaten und Verträge bewahren wir aufgrund handels- und steuerrechtlicher Vorschriften zehn Jahre ab Ende des jeweiligen Geschäftsjahres auf. In dieser Zeit verarbeiten wir diese Daten ausschliesslich zur Erfüllung der Aufbewahrungspflicht und löschen sie anschliessend.

Anlagen- und Messdaten speichern wir in einer Zeitreihen-Datenbank, welche technisch für die von Ihnen genutzten Anwendungen notwendig ist. Des Weiteren werden diese Einträge zu Analysezwecken aufbewahrt. Die Werte sind Ihnen zuordenbar, solange Sie Ihre Anlage als Besitzer in HovalConnect registriert haben. Wird Ihr Benutzerkonto gelöscht, entfällt diese Zuordnung; von Ihnen vergebene Bezeichnungen wie z. B. der Anlagenname werden dabei auf die Seriennummer zurückgesetzt. Die Anlagen- und Messwerte bleiben danach ohne Bezug zu Ihrer Person gespeichert und werden nur noch für den Betrieb und die Weiterentwicklung unserer Dienste ausgewertet.

Ihr Benutzerkonto löschen wir nach Ablauf der Übergangszeit für den Wechsel des Datenverarbeitungsdienstes gemäss Ziffer 7, spätestens 60 Tage nach Vertragsende. Sie können die Löschung jederzeit auch selbst verlangen.

Eine längere Speicherung kann erfolgen, soweit dies zur Erfüllung unionsrechtlicher Aufbewahrungspflichten, zur Wahrung berechtigter Interessen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. In diesen Fällen werden die Daten nach Wegfall des jeweiligen Zwecks gelöscht.

9. Weitergabe von Daten

Wir geben personenbezogene Daten nur weiter, wenn hierfür eine Rechtsgrundlage besteht. Dies kann insbesondere der Fall sein, wenn Sie eingewilligt haben, die Weitergabe zur Erfüllung eines Vertrags erforderlich ist, eine gesetzliche Verpflichtung besteht oder die Weitergabe zur Wahrung berechtigter Interessen zulässig ist.

Soweit ein Endkunde einem Hoval Partner den Zugriff auf seine Anlage über HovalConnect Business freigibt, werden dem autorisierten Hoval Partner die für den freigegebenen Anlagenzugriff vorgesehenen Daten im Umfang der jeweiligen Zugriffsberechtigung zugänglich gemacht. Soweit der Hoval Partner diese Daten für eigene Service-, Wartungs- oder Betreuungszwecke verarbeitet, ist er für diese Verarbeitung eigenständig datenschutzrechtlich verantwortlich.

Darüber hinaus können wir Dienstleister einsetzen, die personenbezogene Daten in unserem Auftrag verarbeiten, beispielsweise für Hosting, IT-Betrieb oder Support. Diese Dienstleister werden entsprechend den anwendbaren datenschutzrechtlichen Anforderungen vertraglich verpflichtet.

Soweit der EU Data Act anwendbar ist, stellen wir Daten auf Verlangen des Nutzers einem von ihm bestimmten Dritten zur Verfügung, soweit die gesetzlichen Voraussetzungen hierfür erfüllt sind.

10. Offenlegung gegenüber Behörden und Erfüllung gesetzlicher Pflichten

Unter bestimmten Umständen können wir gesetzlich verpflichtet sein, personenbezogene Daten an Behörden, Gerichte oder andere öffentliche Stellen weiterzugeben. In diesem Fall übermitteln wir die Daten nur, soweit dies zur Erfüllung unserer gesetzlichen Verpflichtungen erforderlich ist.

11. Datenübertragung in Drittländer

Soweit wir personenbezogene Daten in Länder ausserhalb des Europäischen Wirtschaftsraums übermitteln oder dort verarbeiten lassen, erfolgt dies unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO. Eine Übermittlung erfolgt insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien, insbesondere anerkannter Standardvertragsklauseln, soweit die gesetzlichen Voraussetzungen hierfür erfüllt sind.

Soweit die UK GDPR anwendbar ist und personenbezogene Daten aus dem Vereinigten Königreich in ein anderes Land übermittelt oder dort zugänglich gemacht werden, erfolgt die Übermittlung nach den anwendbaren Vorschriften der UK GDPR. Hierfür können insbesondere UK-Angemessenheitsregelungen, geeignete Garantien oder eine gesetzlich vorgesehene Ausnahme herangezogen werden.

12. Haftung

Für Verstösse gegen die anwendbaren Datenschutzvorschriften gelten die gesetzlichen Haftungsregelungen, insbesondere Art. 82 DSGVO beziehungsweise, soweit das Datenschutzrecht des Vereinigten Königreichs anwendbar ist, Art. 82 UK GDPR.

13. Werbung und Marketing

Wenn Sie eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten zu Marketingzwecken. Dies umfasst Informationen zu neuen Dienstleistungen, Serviceangeboten sowie zu ausgewählten Kooperationspartnern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO beziehungsweise, soweit anwendbar, Art. 6 Abs. 1 lit. a UK GDPR. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Soweit wir für Marketingmassnahmen Dienstleister einsetzen, erfolgt deren Einsatz nach Massgabe der anwendbaren datenschutzrechtlichen Anforderungen.

14. Sicherheit

Wir schützen Ihre personenbezogenen Daten durch angemessene technische und organisatorische Massnahmen gemäss Art. 32 DSGVO beziehungsweise Art. 32 UK GDPR, soweit dieser anwendbar ist. Sicherheit ist fester Bestandteil der Entwicklung und des Betriebs unserer Systeme.

Wir setzen insbesondere folgende Massnahmen um:

Technische Massnahmen:

• Verschlüsselte Datenübertragung zwischen Anlagen und Cloud Infrastruktur nach anerkannten Sicherheitsstandards
• Logische Mandantentrennung zur Vermeidung unbefugter Zugriffe zwischen Kundeninstanzen.
• Verschlüsselte Speicherung von Kundendaten.
• Laufende Überwachung der Systeme zur Erkennung von Sicherheitsvorfällen und Anomalien.

Organisatorische Massnahmen:

• Regelmässige Sicherheitsprüfungen, einschliesslich externer Penetrationstests
• Interne Prozesse zur Umsetzung gesetzlicher Anforderungen wie NIS 2, Cyber Resilience Act und EU Data Act.
• Vorbereitung und Weiterentwicklung im Hinblick auf anerkannte Sicherheitsstandards, insbesondere IEC 62443 4 2.

15. Welche Rechte haben Sie?

a) Datenschutzrechtliche Rechte

• Recht auf Auskunft über Ihre personenbezogenen Daten
• Recht auf Berichtigung unrichtiger oder Vervollständigung unvollständiger personenbezogener Daten
• Recht auf Löschung Ihrer personenbezogenen Daten
• Recht auf Einschränkung der Verarbeitung
• Recht auf Datenübertragbarkeit
• Recht auf Widerspruch gegen bestimmte Verarbeitungen
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte oder bei Fragen zur Verarbeitung Ihrer personenbezogenen Daten können Sie sich an unseren Datenschutzbeauftragten unter dpo@hoval.com wenden.

b) Rechte nach dem EU Data Act

Soweit der EU Data Act auf die Nutzung unserer Dienste anwendbar ist, stehen Ihnen die dort vorgesehenen Rechte auf Zugang zu und Nutzung von Daten zu, die bei der Nutzung verbundener Produkte oder verbundener Dienste entstehen.

Soweit gesetzlich vorgesehen, stellen wir Ihnen diese Daten zusammen mit den für ihre Nutzung erforderlichen Informationen in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung.

Sofern die von Ihnen genutzte Leistung als Datenverarbeitungsdienst im Sinne des EU Data Act einzustufen ist, können zusätzlich die gesetzlichen Rechte zum Wechsel zu einem anderen Anbieter oder zu einer eigenen Infrastruktur bestehen. In diesem Fall unterstützen wir den Wechsel nach Massgabe der anwendbaren gesetzlichen Vorgaben.

c) Beschwerderecht

Sie haben das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren. Für Hoval können Sie sich insbesondere an die Datenschutzstelle Liechtenstein wenden. Soweit die UK GDPR anwendbar ist, können Sie sich zudem an die Information Commissioner's Office (ICO) im Vereinigten Königreich wenden.

Liechtensteinische Datenschutzstelle
Kirchstrasse 8
Postfach 684
9490 Vaduz
www.datenschutzstelle.li

Information Commissioner’s Office (ICO)
Wycliffe House
Water Lane
Wilmslow
Cheshire
SK9 5AF
United Kingdom
www.ico.org.uk

16. Änderungen in der Datenschutzerklärung

Sollten wir diese Datenschutzinformationen aufgrund von angepassten Diensten oder aufgrund von rechtlichen Anforderungen anpassen müssen, so gilt die jeweils aktuelle verfügbare Version.

Letztmals geändert am 22. September 2026