Datenschutzerklärung.

1. Verantwortliche Stelle

ailean Real Estate Technologies AG, Kuttelgasse 7, 8001 Zürich, Schweiz. UID CHE 415.801.057. Kontakt für Anfragen zum Datenschutz: über unsere Terminseite.

2. Welche Daten wir bearbeiten

Wir bearbeiten Daten, die Sie uns aktiv mitteilen (beispielsweise bei einer Kontaktanfrage, der Anmeldung zum Investoren Update, einer Bewerbung oder der Nutzung der Live Demo) und Daten, die beim Besuch unserer Webseite technisch entstehen (IP Adresse, Browser Typ, Zeitpunkt des Zugriffs).

Kommen Sie über einen Link mit Kampagnenkennzeichen auf unsere Webseite, etwa über eine unserer Anzeigen auf LinkedIn oder Google, merkt sich Ihr Browser dieses Kennzeichen (Quelle, Medium, Kampagne und Anzeigeninhalt) nur für die laufende Sitzung. Buchen Sie danach einen Termin, übermitteln wir es zusammen mit Ihrer Buchung, damit wir sehen, über welche Kampagne Sie uns gefunden haben. Kommen Sie über eine Anzeige bei Google, gehört dazu auch deren Klickkennung (gclid, gbraid oder wbraid). Das Kennzeichen enthält weder Ihren Namen noch Ihre Kontaktdaten und wird ohne Buchung nicht an uns gesendet. Ebenfalls nur für die laufende Sitzung merkt sich Ihr Browser die erste Seite, die Sie bei uns geöffnet haben, und den Namen der Webseite, über die Sie zu uns gekommen sind (etwa www.google.com). Auch diese Angaben erhalten wir nur mit einer Buchung. Damit eine Kalendereinladung nicht ins Leere geht, prüfen wir beim Verlassen des E Mail Feldes und beim Buchen über den DNS Dienst von Cloudflare, ersatzweise von Google, ob die Domain Ihrer E Mail Adresse E Mails empfangen kann; abgefragt wird nur die Domain, nie Ihre Adresse.

Die Dokumente in den Vorlagen und Rechnern werden in Ihrem Browser erstellt. Formulareingaben werden nicht an unseren Server gesendet; beim Sprachwechsel werden sie vorübergehend im Browser zwischengespeichert. Der Briefkopf (Firma, Adresse, Kontakt und optional Logo) bleibt im lokalen Speicher Ihres Browsers auf diesem Gerät, bis Sie ihn mit «Daten löschen» entfernen. Bei aktivierter Firmensuche wird der Suchbegriff aus dem Firmenfeld oder dem Feld der Vermieterschaft über unseren Server an das Handelsregister Zefix übermittelt, um die Firmenadresse zu ergänzen. Wir speichern weder Suchbegriff noch Suchergebnis.

3. Zweck der Bearbeitung

Die Bearbeitung erfolgt zur Beantwortung Ihrer Anfrage, zur Erbringung unserer vertraglichen Leistungen, zur Sicherstellung des sicheren Betriebs unserer Webseite sowie zur Erfüllung gesetzlicher Pflichten.

4. Rechtsgrundlage

Die Bearbeitung erfolgt auf Grundlage Ihrer Einwilligung, eines Vertrages mit Ihnen oder zur Wahrung berechtigter Interessen unsererseits. Für Nutzerinnen und Nutzer im EU Raum stützen wir uns zusätzlich auf Art. 6 DSGVO. Bei Abweichungen zwischen revDSG und DSGVO wenden wir das jeweils strengere Schutzniveau an.

5. Hosting und Speicherort

Die ailean Plattform läuft auf Microsoft Azure in der Region «Switzerland North» (Raum Zürich) mit Georedundanz in «Switzerland West» (Raum Genf). Mieter und Liegenschaftsdaten unserer Kunden werden in der Schweiz gespeichert; Übertragung und Ablage sind verschlüsselt (in transit und at rest). Für einzelne Verarbeitungsschritte setzen wir vertraglich verpflichtete Dienstleister ein (Ziffer 6).

6. Dienstleister (Subprozessoren)

Wir geben Daten nur weiter, wenn dies zur Erbringung unserer Leistungen erforderlich ist, wenn Sie eingewilligt haben oder wenn wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine Daten. Jeder Dienstleister ist durch einen Auftragsverarbeitungsvertrag gebunden. Die wichtigsten eingesetzten Dienste:

• Microsoft Azure (Cloud Infrastruktur, Schweiz; ISO 27001/27017/27018, SOC 1/2/3)
• Supabase (Produkt Datenbank, EU)
• n8n, self hosted (Workflow Automatisierung, Deutschland/EU)
• OpenAI (KI Inferenz, EU/USA; Enterprise API mit Zero Data Retention, kein Training mit ailean Eingaben)
• Meta / WhatsApp Business API (Mieterkanal, EU/USA)
• Twilio (SMS/Telefonie, USA/EU; wird durch self hosted 3CX in der Schweiz abgelöst)
• Resend, Cloudflare, Railway (E Mail Versand, CDN/Sicherheit, App Hosting, USA/EU)
• Stripe (Zahlungsabwicklung, EU; PCI DSS Level 1)
• Google Workspace (interne Zusammenarbeit, u. a. Bewerbungen, EU/USA)
• VideoAsk by Typeform (Video Bewerbungen, EU/USA; wird auf der Karriereseite erst nach Ihrer separaten Auswahl geladen)
• Run my Accounts AG (Buchhaltung, Schweiz)

Die vollständige, laufend aktualisierte Subprozessoren Liste ist Bestandteil unseres Auftragsverarbeitungsvertrags und wird Kunden auf Anfrage zur Verfügung gestellt. Kunden werden über Änderungen vorab informiert und haben ein Widerspruchsrecht.

7. Bekanntgabe ins Ausland

Findet eine Bearbeitung ausserhalb der Schweiz oder des EU/EWR Raums statt (insbesondere USA), stützen wir uns auf die Voraussetzungen von Art. 16 f. revDSG bzw. Art. 44 ff. DSGVO: das Swiss US Data Privacy Framework, soweit die Empfängerin zertifiziert ist, oder die EU Standardvertragsklauseln (SCC 2021/914) mit Schweizer Anhang, ergänzt um technische Schutzmassnahmen und ein dokumentiertes Transfer Impact Assessment. Fällt eine Transfergrundlage weg, informieren wir betroffene Kunden unverzüglich.

8. Auftragsverarbeitung für Immobilienverwaltungen

Verarbeitet ailean Mieterdaten im Rahmen der Plattform, handelt ailean als Auftragsverarbeiterin im Auftrag der jeweiligen Immobilienverwaltung; Verantwortliche im datenschutzrechtlichen Sinn (Art. 5 revDSG, Art. 4 DSGVO) ist die Verwaltung. Grundlage ist ein Auftragsverarbeitungsvertrag (DPA/AVV) nach Art. 9 revDSG und Art. 28 DSGVO mit Weisungsbindung, Vertraulichkeitspflichten und technisch organisatorischen Massnahmen.

Richten Mieterinnen und Mieter Datenschutzanfragen direkt an ailean, leiten wir diese unverzüglich an die zuständige Verwaltung weiter. Datenschutzverletzungen melden wir unseren Kunden innert 48 Stunden nach Kenntnis. Nach Vertragsende werden Personendaten nach Wahl des Kunden zurückgegeben oder gelöscht, ohne Weisung spätestens nach 30 Tagen.

9. Künstliche Intelligenz und Datenschutz

ailean nutzt Kundendaten (Eingaben und Ausgaben) nicht zum Training oder zur Feinabstimmung von KI Modellen; für Modellverbesserungen verwenden wir ausschliesslich unwiderruflich anonymisierte oder aggregierte Daten ohne Personenbezug. Das eingebundene Sprachmodell (OpenAI) wird über die Enterprise API mit Zero Data Retention betrieben und ist vertraglich vom Training mit ailean Eingaben ausgeschlossen. Kunden und betroffene Personen haben in jedem Fall ein jederzeit ausübbares Widerspruchsrecht (Opt out).

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung und Datenübertragbarkeit. Sie können Ihre Einwilligung jederzeit widerrufen und sich bei der zuständigen Aufsichtsbehörde beschweren (in der Schweiz: Eidgenössischer Datenschutz und Öffentlichkeitsbeauftragter, EDÖB).

11. Cookies und Tracking

Technisch notwendige Einstellungen (etwa Sprach Präferenzen und Ihre Cookie Entscheidung) bleiben lokal in Ihrem Browser und werden nicht an uns übermittelt. Darüber hinaus setzen wir Google Analytics 4 und Google Ads (beide Google Ireland Limited, Irland) sowie auf allgemeinen B2B Seiten den LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Irland) zur Reichweiten und Kampagnenmessung ein.

Google Analytics wird erst aktiv, nachdem Sie im Cookie Hinweis ausdrücklich eingewilligt haben (Google Consent Mode v2, Voreinstellung «abgelehnt»). Ohne Einwilligung werden keine Analyse Cookies gesetzt und keine für Sie identifizierenden Daten an Google übermittelt. Willigen Sie ein, verarbeitet Google Nutzungsdaten (u. a. gekürzte IP Adresse, Geräte und Browserinformationen, aufgerufene Seiten) zur Reichweitenmessung; dabei kann eine Übermittlung in die USA stattfinden, gestützt auf die EU Standardvertragsklauseln bzw. das Data Privacy Framework (siehe Ziffer 7).

Unabhängig vom Cookie Hinweis messen wir serverseitig, wie unsere Kontaktaufnahmen wirken (etwa versendete E Mails, Briefe und LinkedIn Nachrichten, geöffnete und gebuchte persönliche Terminlinks, Antworten und Termine), und übermitteln diese Zählungen über das Measurement Protocol an Google Analytics. Übermittelt werden nur Ereignisart, Kampagne, Kanal, Textvariante, Zeitpunkt und gegebenenfalls Kosten, jedoch keine Namen, E Mail oder IP Adressen, keine CRM Kennungen und keine Kennung, die einer einzelnen Person zugeordnet ist. Google erhält dadurch keine Angaben, die sich auf Sie beziehen lassen. Beim Öffnen einer Terminseite wird dafür weder ein Cookie gesetzt noch ein Google Skript geladen. Rechtsgrundlage ist unser berechtigtes Interesse an der Messung unserer Kampagnen (Art. 6 Abs. 1 lit. f DSGVO, Art. 31 revDSG).

Schreiben wir Sie per E Mail, Brief, LinkedIn oder Telefon an, erhalten Sie einen persönlichen Terminlink, der Ihnen und dieser Kontaktaufnahme zugeordnet ist. Öffnen Sie ihn, halten wir in unserem CRM (Bitrix24) fest, dass und wann Sie ihn geöffnet haben, wie oft, zu welcher Kontaktaufnahme er gehört und ob Sie darüber einen Termin gebucht haben. Damit Prüfungen durch den Mailserver Ihres Unternehmens nicht als Ihr eigenes Öffnen gelten, stuft unser Buchungsdienst jeden Aufruf anhand des Netzbetreibers, der Browserkennung und des Abstands zum Versand ein; gespeichert wird nur diese Einstufung, bei automatischen Prüfungen zusätzlich der Name des prüfenden Netzes, keine IP Adresse. Dafür wird kein Cookie gesetzt und kein Skript eines Dritten geladen; an Google Analytics geht dabei nichts, was sich auf Sie beziehen lässt. Damit Sie die Terminseite später auch ohne den Link wieder aufrufen können, merkt sich Ihr Browser den persönlichen Terminlink bis zu 30 Tage im lokalen Speicher dieses Geräts; ist der Link abgelaufen oder widerrufen, wird er dort gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einer zielgerichteten und zurückhaltenden Kontaktaufnahme (Art. 6 Abs. 1 lit. f DSGVO, Art. 31 revDSG). Widersprechen Sie unserer Kontaktaufnahme, halten wir auch keine Öffnungen mehr fest.

Links, die wir in Kontaktaufnahmen, Beiträgen, Anzeigen oder auf Drucksachen weitergeben, laufen über unsere eigene Domain (ailean.re/t/…), ohne Kurzlink Dienst eines Dritten. Persönliche Links enthalten Ihren Vor und Nachnamen und eine zufällige Endung, damit sie sich nicht erraten lassen, und sind Ihnen zugeordnet; einen Aufruf halten wir wie oben beschrieben in unserem CRM fest. Für jeden Link zählen wir zudem die Aufrufe je Tag, getrennt nach Personen und automatischen Prüfungen von Mail und Chatsystemen, sowie nach Land, Gerätetyp (Computer, Telefon, Tablet) und Herkunft. Von der verweisenden Seite speichern wir nur die Domain, bei einem unserer QR Codes den Vermerk «QR Code». Um verschiedene Besucherinnen und Besucher eines Tages zu unterscheiden, bildet unser Webserver bei Cloudflare aus IP Adresse, Browserkennung und Datum eine verschlüsselte Kennung, die jeden Tag wechselt und sich nicht auf die IP Adresse zurückführen lässt; die IP Adresse selbst geben wir nicht weiter und speichern sie nicht. Es wird kein Cookie gesetzt und kein Skript eines Dritten geladen. Die Zählungen liegen auf unseren eigenen Servern bei Hetzner in Deutschland und gehen nicht an Werbe oder Analyseanbieter. Rechtsgrundlage ist unser berechtigtes Interesse an der Messung unserer Kontaktaufnahmen und Kampagnen (Art. 6 Abs. 1 lit. f DSGVO, Art. 31 revDSG).

Kommen Sie über einen persönlichen Link aus einer unserer Kontaktaufnahmen auf ailean.re, demo.ailean.re oder kpi.ailean.re und willigen Sie im Cookie Hinweis ein, ordnen wir Ihren Besuch Ihrem Kontakt zu. Dafür speichert Ihr Browser eine zufällige Besucherkennung im lokalen Speicher. Wir erfassen, welche Seiten Sie aufrufen, wie lange Sie dort aktiv sind, wie weit Sie scrollen, welche Links und Schaltflächen Sie anklicken, wie weit Sie ein Video oder Audio abspielen, ob Sie den Rechner oder eine Vorlage verwenden (nur dass, nie was Sie eingeben) und bis zu welchem Schritt Sie eine Terminbuchung führen. Wechseln Sie mit Ihrer Einwilligung zwischen diesen Seiten, geben wir die Besucherkennung im Adressanhang (#) mit; die andere Seite übernimmt sie erst, wenn Sie auch dort einwilligen. Nicht erfasst werden Formulareingaben, Abfrageparameter, Mausbewegungen oder Bildschirmaufzeichnungen. Die Daten liegen auf unseren eigenen Servern bei Hetzner in Deutschland und gehen nicht an Werbe oder Analyseanbieter. Eine Zusammenfassung Ihrer Besuche (etwa wie oft und wann, welche Themen und wie weit eine Terminbuchung kam) halten wir in unserem CRM (Bitrix24) fest, damit unsere weitere Kontaktaufnahme zu Ihrem Interesse passt; diese Zusammenfassung bleibt Teil Ihres Kontaktverlaufs. Die einzelnen Ereignisse löschen wir nach zwölf Monaten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Art. 31 revDSG). Lehnen Sie ab oder widerrufen Sie, wird die Kennung gelöscht und nichts mehr erfasst. Ohne persönlichen Link findet keine solche Zuordnung statt.

Abweichend davon gilt für Besucherinnen und Besucher aus der Schweiz und Liechtenstein (Land laut Netzbetreiber, ohne IP Adresse gespeichert): Kommen Sie über Ihren persönlichen Link, erfassen wir Ihren Besuch wie oben beschrieben ab dem Aufruf, auch ohne vorherige Einwilligung. Rechtsgrundlage ist unser berechtigtes Interesse, unsere Kontaktaufnahme auf Ihr tatsächliches Interesse abzustimmen (Art. 31 revDSG). Sie können jederzeit widersprechen, mit «Ablehnen» im Cookie Hinweis oder über Cookie Einstellungen ändern; dann wird die Kennung gesperrt und gelöscht, und wir erfassen nichts mehr. Google Analytics, Google Ads und der LinkedIn Insight Tag werden weiterhin nur mit Ihrer Einwilligung geladen.

Der LinkedIn Insight Tag wird ebenfalls erst nach Ihrer ausdrücklichen Einwilligung geladen. LinkedIn verarbeitet dabei die aufgerufene URL, die zuvor besuchte Seite, IP Adresse, Geräte und Browsermerkmale sowie den Zeitpunkt des Aufrufs, um Kampagnenergebnisse zuzuordnen, Zielgruppenstatistiken zu erstellen und Website Zielgruppen zu bilden. Auf unseren Terminseiten und personalisierten Kundenseiten ist der Tag technisch deaktiviert. Enhanced Matching ist nicht eingerichtet; Namen, E Mail Adressen oder andere aktiv eingegebene Kennungen werden nicht an den Tag übergeben. Eine Übermittlung in die USA kann stattfinden (siehe Ziffer 7).

Für Google Ads (Conversion Tracking) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Muttergesellschaft: Google LLC, USA) gilt dieselbe Einwilligung wie für Google Analytics: Google Ads wird erst geladen, nachdem Sie im Hinweis zu Cookies ausdrücklich eingewilligt haben (Google Consent Mode v2, Voreinstellung «abgelehnt»). Wir messen damit, ob Besucherinnen und Besucher, die über eine unserer Anzeigen bei Google auf unsere Webseite gelangen, einen Termin buchen, und optimieren auf dieser Grundlage unsere Kampagnen. Verarbeitet werden Cookies und vergleichbare Kennungen, die Klickkennung der Anzeige (gclid, gbraid oder wbraid), die aufgerufenen Seiten, die abgeschlossene Terminbuchung als Conversion, Ihre IP Adresse, die Google gekürzt verarbeitet, sowie Informationen zu Gerät und Browser.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Art. 31 revDSG), die Sie jederzeit widerrufen können (siehe unten). Eine Übermittlung in die USA kann stattfinden, gestützt auf das Data Privacy Framework zwischen der EU bzw. der Schweiz und den USA sowie die Standardvertragsklauseln der EU (siehe Ziffer 7). Die Speicherdauer bestimmt Google; Cookies, mit denen Conversions gemessen werden, bleiben in der Regel höchstens 90 Tage gespeichert. Weitere Informationen finden Sie in der Datenschutzerklärung von Google; personalisierte Werbung können Sie in den Anzeigeneinstellungen von Google steuern. Buchen Sie einen Termin, speichern wir die Klickkennung und die Kampagnenkennzeichen zusammen mit der Buchung zudem in unserem CRM (Bitrix24), damit wir den Termin der jeweiligen Kampagne zuordnen können (siehe Ziffer 2). Kommt eine Buchung über eine Google Anzeige zustande, melden wir Google Ads zudem die Klickkennung zusammen mit dem Ergebnis zurück, also ob ein Termin gebucht wurde und ob daraus später ein Kundenverhältnis entstanden ist, jeweils mit Zeitpunkt. Name, E Mail Adresse oder andere Kontaktdaten übermitteln wir dabei nicht. So messen wir, welche Kampagnen zu Gesprächen und Kunden führen. Rechtsgrundlage ist unser berechtigtes Interesse an der Messung der Wirksamkeit unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO, Art. 31 revDSG); Sie können dem jederzeit widersprechen (siehe unten).

Ihre Einwilligung ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar: Cookie Einstellungen ändern. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, Art. 31 revDSG).

Auf der Karriereseite wird VideoAsk erst geladen, nachdem Sie die Schaltfläche zum Öffnen auswählen. Erst dann stellt Ihr Browser eine Verbindung zu VideoAsk her und übermittelt technisch notwendige Verbindungsdaten. Kamera, Mikrofon und eine optionale Bildschirmfreigabe werden nur nach Ihrer Browserfreigabe und nur im Bewerbungsdialog verwendet. Rechtsgrundlage ist Ihre separate Einwilligung.

12. Sicherheit

Wir treffen die nach Art. 8 revDSG und Art. 32 DSGVO erforderlichen technischen und organisatorischen Massnahmen: Verschlüsselung in transit und at rest, Multi Faktor Authentifizierung, rollenbasierte Zugriffe nach Need to know, Mandantentrennung, Protokollierung sowie Backup und Notfallkonzepte. Details zu unserer Sicherheits Architektur finden Sie unter Sicherheit.

13. Änderungen

Wir können diese Datenschutzerklärung jederzeit anpassen. Die jeweils aktuelle Version ist auf dieser Seite verfügbar.

Stand: 6. November 2026.