Betrieb durch SIX

SIX BBS AG betreibt im Auftrag der an der debiX+ App teilnehmenden Finanzinstitute die debiX+ App (nachfolgend «debiX+ App»). Dieser Betrieb umfasst die Erbringung von Dienstleistungen gegenüber den Kunden der auftraggebenden Finanzinstitute (nachfolgend «Nutzer»), dies erfolgt zusammen mit ihrer Schwestergesellschaft SIX Group Services AG.

Zur Vereinfachung der Lesbarkeit sind in der Folge mit SIX – ohne Nachteil für den Nutzer der debiX+ App – SIX BBS AG und SIX Group Services AG gemeint.

Nutzungsbedingungen

Der Nutzer akzeptiert im Rahmen der Verwendung der debiX+ App nachstehende Nutzungsbedingungen:

a.    Mit der Installation der debiX+ App bestätigt der Nutzer, dass er der rechtmässige Eigentümer oder Besitzer des verwendeten Mobilgeräts ist. Die Registrierung erfolgt mit mindestens einer oder mehreren Debitkarten, zu deren Benutzung der Nutzer zu privaten oder geschäftlichen Zwecken legitimiert ist. Die im Zusammenhang mit dem verwendeten Mobilgerät und der eingesetzten Debitkarte vorgenommenen Transaktionen gelten grundsätzlich als vom Nutzer rechtmässig vorgenommen und akzeptiert.

b.    Der Nutzer ist verantwortlich für die sichere Verwahrung des verwendeten Mobilgeräts. Der Nutzer hat angemessene Sicherheitsmassnahmen zu ergreifen, um allfälligen Missbrauch unberechtigter Dritter zu verhindern.

c.     Der Nutzer hat mit dem Benutzernamen und dem Passwort sorgfältig umzugehen. Das Passwort muss eigens für die debiX+ App erstellt werden und darf nicht leicht ermittelbar sein. Benutzername und Passwort sind geheim zu halten und die Aufbewahrung hat sicher zu erfolgen. Bei der Eingabe von Benutzername und Passwort ist stets darauf zu achten, dass Dritten keine Einsicht gewährt wird.

d.    Sofern der Nutzer das Login bei der debiX+ App oder die Freigabe von Transaktionen mit den auf dem verwendeten Mobilgerät hinterlegten biometrischen Daten verknüpfen möchte, kann er dies über die entsprechende Zustimmung im System aktivieren.

e.    Der Nutzer willigt ein, dass für die Verwendung der Kartendaten-Einlesefunktionalität (Scan) auf die Kamera des verwendeten Mobilgeräts zugegriffen werden kann.

f.      Der Nutzer autorisiert SIX, die im Rahmen des Zahlungsprozesses zur Verfügung gestellten Informationen nach den geltenden Gesetzen und ausschliesslich im Zusammenhang mit dem Betrieb der debiX+ App zu verwenden. Der Nutzer ist sich bewusst, dass zum Zwecke der Transaktionsabwicklung eine Weitergabe der Informationen an Dritte erfolgt.

g.    Möchte der Nutzer Benachrichtigungen im Zusammenhang mit 3-D-Secure-Transaktionen erhalten, wird die einmalige Aktivierung der Funktion Push-Benachrichtigungen empfohlen. Im Rahmen der Registrierung der Debitkarte hat der Nutzer die Möglichkeit, diese Funktion zu aktivieren; anschliessend kann er sie selbständig über die Betriebssystem-Einstellungen verwalten.

h.    Der Nutzer darf nur vom Hersteller des verwendeten Mobilgeräts zur Verfügung gestellte Betriebssysteme verwenden und ist für die regelmässige Aktualisierung der entsprechenden Sicherheitsupdates verantwortlich. Eingriffe in die Betriebssysteme des Mobilgeräts oder in die Funktionsweise, die Architektur oder den Programmiercode der debiX+ App sind nicht zulässig.

i.      Falls der Nutzer Grund zu der Annahme hat, dass die Sicherheit der Verwendung der debiX+ App nicht mehr gewährleistet ist, insbesondere wenn das verwendete Mobilgerät sich nicht mehr in seinem Besitz befindet und der Schutz seiner Daten gefährdet ist, hat er dies umgehend dem jeweiligen kartenherausgebenden Finanzinstitut der in der debiX+ App registrierten Debitkarte zu melden. 

j.      Mit der Registrierung seiner E-Mail-Adresse willigt der Nutzer ein, dass SIX diese für die elektronische Kommunikation mit ihm in Verbindung mit der debiX+ App verwenden darf. Mögliche Anwendungsfälle können sein: vom Nutzer initiierte Stammdatenänderungen, Mitteilungen über Änderungen der Nutzungsbedingungen seitens SIX, Anfragen von SIX im Zusammenhang mit Transaktionen zwecks Vermeidung von Karten- und debiX+ App-Missbrauch.

k.     Es ist Sache des Nutzers, den technischen Zugang zur debiX+ App sicherzustellen. SIX übernimmt keine Haftung im Zusammenhang mit dem vom Nutzer gewählten Netzbetreiber oder die Funktionstüchtigkeit der vom Nutzer verwendeten Hard- und Software.

l.      Die Haftung von SIX für Schäden, entgangenen Gewinn oder Datenverluste des Nutzers im Zusammenhang mit der Verwendung der debiX+ App ist soweit gesetzlich zulässig ausgeschlossen.

m.    Im Rahmen der Verwendung der debiX+ App findet keine Übertragung von Immaterialgüterrechten statt. Alle Rechte an der debiX+ App verbleiben zu jeder Zeit bei SIX.

Datenschutzhinweise zur debiX+ App

In dieser Datenschutzerklärung wird dargelegt, wie und mit welchen Mitteln SIX BBS AG («SIX») personenbezogene Daten (nachstehend: «personenbezogene Daten») der Nutzer der debiX+ App (nachstehend: «Nutzer») erhebt, nutzt und offenlegt (nachstehend: «bearbeitet»). Zudem wird beschrieben, wie SIX die Vertraulichkeit der verarbeiteten personenbezogenen Daten wahrt.

Der Nutzer stimmt der Bearbeitung von personenbezogenen Daten durch SIX gemäss der Datenschutzerklärung zu. Rechtliche oder vertragliche Pflichten zur Wahrung der Vertraulichkeit, denen SIX in Verbindung mit den personenbezogenen Daten des Nutzers unterliegt, bleiben von dieser Datenschutzerklärung unberührt.

In Fällen, in denen der Nutzer die debiX+ App zu Bearbeitungszwecken verwendet, für die SIX bezüglich der personenbezogenen Daten nicht als Datenverantwortlicher zuständig ist, gilt die Datenschutzerklärung des entsprechenden Datenverantwortlichen, z. B. die Datenschutzerklärung des jeweilig kartenherausgebenden Finanzinstituts der in der debiX+ App registrierten Debitkarte («Finanzinstitut»).

SIX kann die Datenschutzerklärung jederzeit einseitig ändern und veröffentlicht die jeweils aktuelle Version im App-Store.


1. Datenschutz bei SIX

Die Tätigkeit von SIX als Infrastrukturanbieter im Bereich von Zahlungen und Finanzdienstleistungen macht die Erhebung und Bearbeitung grosser Datenmengen erforderlich. Dementsprechend stellt Datenschutz unsere höchste Priorität dar. Unser Grundprinzip lautet, dass überall da, wo Daten bearbeitet werden, ein hohes Niveau an Datenschutz und -sicherheit gewährleistet sein muss. Das gilt für Daten von Finanzinstituten, Nutzern und Geschäftspartnern und auch für Mitarbeiterdaten, da es beim Datenschutz vor allem um den Schutz von Einzelpersonen geht. Aus diesem Grund und um nationalen und internationalen Rechtsvorschriften Genüge zu tun, räumen wir der Einhaltung geltender Gesetze sowie dem Schutz von Daten und der Privatsphäre betroffener Personen eine hohe Priorität ein.

Kontaktdaten:
SIX BBS AG
Hardturmstrasse 201
8005 Zürich
Schweiz


2. Art der erhobenen personenbezogenen Daten

SIX bearbeitet personenbezogene Daten von Nutzern, die die debiX+ App aus den entsprechenden App-Stores herunterladen und sie installieren und nutzen.

In ausgewählten Fällen werden personenbezogene Daten auch bearbeitet, wenn SIX Telefongespräche mit Nutzern aufzeichnet, sei es, um eigenen rechtlichen Verpflichtungen nachzukommen oder zu Schulungs- oder Qualitätssicherungszwecken.

SIX bearbeitet diejenigen personenbezogenen Daten, die der Nutzer SIX bei der Erstellung eines Nutzerkontos ausdrücklich und aktiv bereitstellt.

  • Anrede
  • Vor- und Nachname
  • Geburtsdatum
  • E-Mail-Adresse
  • Mobiltelefonnummer
  • Kontonummer
  • IBAN
  • Kartennummer und Verfall
  • Adresse
  • Kontovollmachten

Die SIX debiX+ App bearbeitet zudem technische sowie handlungsbezogene Daten des vom Nutzer verwendeten Geräts,

  • Mobiltelefon-Informationen (Gerätename, Gerätesprache, Gerätenummer und -modell, EMCert-ID)
  • IP-Adresse
  • Browsertyp und -version (in Zusammenhang mit einer 3-D-Secure-Zahlung)
  • Betriebssystem (in Zusammenhang mit einer 3-D-Secure-Zahlung)

In Fällen, in denen SIX personenbezogene Daten des Nutzers im Auftrag von Finanzinstituten bearbeitet, gilt die jeweilige Datenschutzerklärung des Finanzinstituts.


3. Nutzung von personenbezogenen Daten und rechtliche Grundlage

SIX kann durch die Bearbeitung personenbezogener Daten gemäss dieser Datenschutzerklärung die Qualität seiner debiX+ App sowie der damit nutzbaren Funktionen und Dienstleistungen verbessern.

Personenbezogene Daten werden insbesondere zu folgenden Zwecken bearbeitet:

  • technisches Management, Forschung an und Weiterentwicklung der debiX+ App;
  • Benutzerverwaltung;
  • Mitteilungen im Zusammenhang mit Updates sowie Änderungen an Datenschutzerklärungen und Bedingungen.

Bei der Verwendung der debiX+ App sind die folgenden Prozessschritte zu unterscheiden:

  1. Der Nutzer erhält eine Debitkarte sowie den OTRC-Registrierungscode für die debiX+ App von seinem Finanzinstitut.
  2. Der Nutzer lädt die debiX+ App via Apple Store oder Google Play auf sein Gerät und registriert sich als Nutzer bei SIX.
  3. Der Nutzer registriert danach in der debiX+ App seine Debitkarte für 3-D Secure.
  4. Der Nutzer nimmt bei Online-Shops Zahlungen mit der Debitkarte vor und bestätigt diese mit der debiX+ App im 3-D-Secure Verfahren oder optional mit SMS-Bestätigungscode.

Bei diesen Prozessschritten werden die unter Punkt 2 aufgeführten Daten bearbeitet, wobei jedoch zwischen von SIX und von den Finanzinstituten verantwortete Daten unterschieden werden muss, was sich auch in der unterschiedlichen Verantwortlichkeit für deren Bearbeitung und Löschung widerspiegelt.

Nachfolgend sind die einzelnen Prozessschritte, die enthaltenen Datenattribute und die Verantwortlichkeiten erläutert:

Prozessschritt

Bearbeitete Daten

Verantwortlich für die Daten und Anlaufstelle für Fragen*
Der Nutzer erhält eine Debitkarte sowie den OTRC-Registrierungscode für die debix+ App von seinem Finanzinstitut. - Anrede
- Vor- und Nachname
- Geburtsdatum (optional)
- Kontonummer
- IBAN
- Kartennummer und Verfall
- Adresse
- Kontovollmachten
Datenverantwortliche: das Finanzinstitut des Nutzers
Der Nutzer lädt die debiX+ App via Apple Store oder Google Play auf sein Gerät und registriert sich als Nutzer bei SIX.

- Vor- und Nachname
- Geburtsdatum
- E-Mail-Adresse
- Mobiltelefonnummer
- Mobiltelefon-Informationen (Gerätename, Gerätesprache, Gerätenummer und -modell, EMCert-ID)
- IP-Adresse
- Browsertyp und -version (in Zusammenhang mit einer 3-D-Secure-Zahlung)
- Betriebssystem (in Zusammenhang mit einer 3-D-Secure-Zahlung)

 

Datenverantwortliche: SIX

Der Nutzer registriert danach in der debiX+ App seine Debitkarte für 3-D Secure. - Kartennummer und Verfall Datenverantwortliche: das Finanzinstitut des Nutzers
- Name
- Registrierungscode OTRC

Datenverantwortliche: SIX

Der Nutzer nimmt bei Online-Shops Zahlungen mit der Debitkarte vor und bestätigt diese mit der debiX+ App im 3-D-Secure Verfahren oder optional mit SMS-Bestätigungscode. - Kartennummer und Verfall
- CVV/CVC
Datenverantwortliche: das Finanzinstitut des Nutzers

*siehe auch Kapitel 6

Für alle Prozessschritte, bei denen die Datenverantwortung beim Finanzinstitut liegt, und für alle anderen Datenbearbeitungen, insbesondere die mit der Debitkarte verbundenen Datenbearbeitungen, müssen sich die Nutzer direkt an das entsprechende Finanzinstitut wenden.

SIX bearbeitet personenbezogene Daten gemäss den geltenden Gesetzen. Je nach Bearbeitungszweck ist eine der nachfolgend aufgeführten rechtlichen Grundlagen für die Bearbeitung der personenbezogenen Daten des Nutzers heranzuziehen:

(a) Verfolgung der legitimen Interessen von SIX, ohne die Interessen, Grundrechte und Freiheiten des Nutzers ungebührlich zu beeinträchtigen;

(b) Ergreifung von Schritten zum Abschluss oder zur Ausführung eines Vertrags mit Finanzinstituten im Hinblick auf die angeforderten Produkte oder Dienstleistungen oder die Erfüllung unserer Vertragspflichten gegenüber dem Nutzer;

(c) Einhaltung rechtlicher und/oder regulatorischer Pflichten, einschliesslich Compliance mit behördlichen Verfügungen und Anweisungen.

Hier einige Beispiele für die oben genannten «legitimen Interessen von SIX»:

  • Verfolgung der oben genannten Zwecke
  • Ausübung der Rechte von SIX, einschliesslich der Rechte im Rahmen der unternehmerischen Freiheit und des Eigentumsrechts
  • Bereitstellung von Produkten und Dienstleistungen, Gewährleistung eines gleichbleibend hohen Dienstleistungsstandards und fortgesetzte Zufriedenstellung unserer Nutzer und anderer Stakeholder
  • Erfüllung der Rechenschaftspflichten und der regulatorischen Anforderungen

In allen Fällen wird davon ausgegangen, dass diese Interessen nicht von den sich aus dem Schutz der Privatsphäre des Nutzers ergebenden Interessen ausser Kraft gesetzt werden.


4. Datenübertragung

Der Nutzer ermächtigt SIX, zwecks Erbringung von Dienstleistungen und Erfüllung der oben genannten Zwecke personenbezogene Daten an Mitarbeitende, Vertreter oder andere Dritte inner- oder ausserhalb des Landes, in dem der Nutzer lebt, zu übertragen. Diese Regelung ist insbesondere bei einem Wechsel von der debiX+ App zu einer anderen Anwendung relevant. SIX verlangt von Mitarbeitenden, Vertretern und anderen Dritten mit Zugriff auf personenbezogene Daten die Einhaltung aller geltenden Datenschutzbestimmungen. Alle Personen, denen SIX gemäss dieser Datenschutzerklärung Zugriff auf personenbezogene Daten einräumt, werden auf die Verpflichtungen in Bezug auf die Datensicherheit und den Datenschutz hingewiesen, die sich daraus ergeben. SIX garantiert bei der Übertragung der personenbezogenen Daten des Nutzers in andere Länder die Einhaltung des gesetzlich erforderlichen Schutzniveaus, z. B. durch die Übernahme der EU-Standardvertragsklauseln (Standard Contractual Clauses, SCC) oder ähnlicher Bestimmungen, und gewährleistet so den Datenschutz.

SIX behält sich das Recht vor, personenbezogene Daten gemäss dieser Datenschutzerklärung Regulierungs- und Aufsichtsbehörden offenzulegen. Dabei handelt SIX jederzeit in Übereinstimmung mit geltenden Vorschriften, Gesetzen, Gerichtsanordnungen und offiziellen Anträgen.


5. Datenschutzmassnahmen

SIX schützt personenbezogene Daten mit geeigneten physikalischen, elektronischen und prozessbezogenen Sicherheitsmassnahmen wie Firewalls, persönlichen Passwörtern und Kodierungs- und Authentisierungstechnologien. SIX hält die regulatorischen Anforderungen in Verbindung mit dem PCI-DSS ein.


6. Rechte der betroffenen Person

Nutzer, deren personenbezogene Daten auf Grundlage dieser Datenschutzerklärung bearbeitet werden, haben folgende Rechte:

Erhalt von Informationen dazu, ob SIX personenbezogene Daten speichert und in welcher Form diese personenbezogenen Daten vorliegen können (Informationen zu Datenkategorien, Empfängern oder Empfängerkategorien, Aufbewahrungsfristen für personenbezogene Daten und Kriterien, die im Hinblick auf Aufbewahrungsfristen gelten);

  • Erhalt einer Kopie der personenbezogenen Daten;
  • Aufforderung zur Korrektur falscher personenbezogener Daten;
  • Aufforderung zur Löschung der personenbezogenen Daten;
  • Aufforderung zur Einschränkung der Bearbeitung personenbezogener Daten;
  • Erhalt der personenbezogenen Daten in einem strukturierten, zugänglichen und maschinenlesbaren Format (falls verfügbar);
  • Einreichung eines Widerspruchs gegen die Bearbeitung, insbesondere die Bearbeitung für Direktwerbungszwecke.

Die obigen Rechte können verwehrt oder eingeschränkt werden, wenn die Interessen, Rechte und Freiheiten von Dritten Vorrang haben oder die Bearbeitung für die Feststellung, die Ausübung oder die Verteidigung eines Rechtsanspruchs von SIX erforderlich ist.

Falls Datenschutzrechte ausgeübt werden sollen, sind die die Datenverantwortlichen des Finanzinstituts zu kontaktieren.

Für Datenschutzrecht bezogene Anfragen sind die Datenverantwortlichen des Finanzinstituts zu kontaktieren.

Für von SIX erhobene und bearbeitete Daten (gemäss Tabelle in Kapitel 3) können die Datenschutzrechte mittels diesem Link ausgeübt werden: (https://privacyportal-ch.onetrust.com/webform/a8a308f1-1ad4-4b5d-8b15-487e80eb979b/c1c6d998-274e-4ce5-8714-a9b5c2872e34).

Die Anfrage kann auch an folgende Stelle gerichtet werden:

SIX Group Services Ltd.
Data Protection Officer
Hardturmstrasse 201
8005 Zürich
Schweiz

E-Mail: dataprotection@six-group.com

Nutzer haben ausserdem das Recht, eine Beschwerde bei der für sie zuständigen Datenschutzbehörde einzureichen, oder an dem Ort, an dem ihrer Meinung nach ein Problem im Zusammenhang mit personenbezogenen Daten entstanden ist.


7. Speicherung

SIX bewahrt personenbezogene Daten nur so lange auf, wie es für die Erfüllung des Zwecks, für den sie erhoben wurden, oder für die Einhaltung rechtlicher oder regulatorischer Anforderungen erforderlich ist.


8. Links und Cookies

Die debiX+ App leitet den Nutzer für Konfigurationen zum Identitäts- und Zugriffsmanagement zu einer Website von SIX weiter. Die einzigen auf dem Mobilgerät des Nutzers gespeicherten und von dieser Webseite verwendeten Cookies sind funktionelle Cookies, mit deren Hilfe die Seite geladen wird und die Informationen im Formular gespeichert werden.


9. Datenverantwortlicher und Vertretung in der EU / in GB

SIX BBS AG
Hardturmstrasse 201
8021 Zürich
Schweiz

EU-Vertretung: SIX Financial Information Deutschland GmbH in Frankfurt (Theodor-Heuss-Allee 108, 60486 Frankfurt am Main, Deutschland).

GB-Vertretung: SIX Financial Information UK Ltd. in London (33 St Mary Axe, 4th Floor, Exchequer Court, London EC3A 8AA, Grossbritannien).