Datenschutzerklärung

1. Verantwortliche Stelle

Inventage AG
Technoparkstrasse 1
8005 Zürich, Schweiz
E-Mail: [email protected]

2. Funktionsweise der App

Die Mobile App «ImmuSuisse» funktioniert vollständig lokal. Sämtliche von Ihnen erfassten Daten verbleiben auf Ihrem Endgerät. Inventage AG hat zu keinem Zeitpunkt Zugriff darauf. Optional können Sie Ihre Daten mit einem von Ihnen gewählten Solid Pod synchronisieren (siehe Abschnitt 5).

Impfdaten gelten unter Schweizer Datenschutzrecht als besonders schützenswerte Personendaten (Gesundheitsdaten).

3. Lokal gespeicherte Daten

Folgende Daten werden auf Ihrem Gerät gespeichert:

• Profilangaben: Name, Geschlecht, Geburtsdatum, optionale Wohnadresse (Strasse und Nr., PLZ, Ort), optionales Profilbild
• Erfasste Impfungen: Datum, Impfstoff, Lot-Nummer. Bei Impfstoffen ausserhalb des Schweizer Katalogs zusätzlich die von Ihnen selbst angegebenen Zielkrankheiten
• Erfasste durchgemachte Krankheiten: Krankheit, Zeitpunkt (Jahr, allenfalls Monat und Tag), Bestätigungsgrad
• Daten zur impfenden bzw. zur dokumentierenden Person, sofern Sie diese erfassen: Name, Praxisadresse
• Für die Freischaltung des Impfstatus zur Prüfung ein zufällig erzeugter Gerätecode und der eingelöste Freischaltcode. Der Gerätecode verlässt Ihr Gerät nur, wenn Sie ihn uns für einen Freischaltcode zusenden

Die App-Daten und die Anmeldedaten der Solid-Pod-Sitzung sind nicht im automatischen Cloud-Backup des Betriebssystems enthalten. Der Schlüssel für die Pod-Verschlüsselung ist an Ihr Gerät gebunden und lässt sich nicht über ein Backup übertragen. Die Daten werden nicht an Inventage AG oder Dritte übermittelt, ausgenommen die optionale Solid-Pod-Synchronisation (siehe Abschnitt 5).

4. Geräte-Berechtigungen

Die App fragt bei Bedarf folgende Systemberechtigungen ab:

• Kamera: ausschliesslich zum Scannen von QR-, DataMatrix- und Strichcodes (Impfdaten, WebID-Adressen für die Solid-Pod-Anmeldung, Kopplung eines weiteren Geräts), zum Fotografieren von Impfstoffetiketten für die Texterkennung direkt auf dem Gerät sowie, auf iOS, zur optionalen Aufnahme eines Profilbilds. Beim Scannen und bei der Texterkennung werden keine Bilder gespeichert oder weitergegeben.
• Fotos (nur iOS): nur, wenn Sie ein Profilbild aus Ihrer Foto-Mediathek auswählen möchten. Die Android-App bietet kein Profilbild und fragt diese Berechtigung nicht ab.

Ein Profilbild wird ausschliesslich lokal innerhalb der App gespeichert.

5. Optionale Synchronisation via Solid Pod

Sie können Ihre Daten optional mit einem Solid Pod synchronisieren, einer offenen, dezentralen Datenplattform. Die Wahl des Pod-Anbieters liegt ausschliesslich bei Ihnen, ebenso die Verantwortung für dessen Datenschutzpraxis. Inventage AG ist weder Anbieter noch Auftragsverarbeiter dieser Synchronisation. Seit Version 26.10 verschlüsselt die App Ihre Impfdaten auf dem Gerät, bevor sie diese in den Pod schreibt (siehe Abschnitt 8).

Wenn Sie einen Pod verbinden, ruft die App die von Ihnen angegebene WebID-Adresse ab und prüft, ob der Anmeldedienst Ihres Anbieters erreichbar ist. Der Anmeldedienst lädt seinerseits eine Datei von unserer Web-Adresse, mit der sich die App ausweist. Diese Abfrage stellt der Anmeldedienst, nicht Ihr Gerät. App-Daten werden dabei nicht übermittelt.

6. Datenexport

Sie können jederzeit ein Backup Ihrer App-Daten erstellen und auf einem Speicherort Ihrer Wahl ablegen, als passwortgeschützte Datei oder als ZIP-Datei im offenen FHIR-Format (Schweizerischer Gesundheitsdaten-Standard CH VACD). Diese Funktion erfolgt vollständig auf Ihrem Gerät. Zum Passwortschutz siehe Abschnitt 8.

7. Aktualisierung von Impfplan und Impfstoffkatalog

Die App ruft folgende Dateien aus dem Internet ab:

• den Schweizerischen Impfplan (periodisch) von einer von Inventage AG betriebenen Web-Adresse
• eine Versionsdatei (höchstens einmal pro Tag, ohne Cookies) von derselben Adresse, um zu prüfen, ob eine neuere App-Version verfügbar ist
• den Schweizer Impfstoffkatalog und die zugehörigen Krankheitsbezeichnungen (beim Start) von fhir.ch, der offiziellen FHIR-Publikationsplattform von HL7 Switzerland

Die Dateien sind für alle Nutzerinnen und Nutzer identisch. Es werden keine App-Daten und keine personenbezogenen Identifikationsmerkmale übermittelt. Die Server-Logs enthalten technisch zwingend die IP-Adresse der Anfrage. Diese wird nicht mit Ihren App-Daten verknüpft.

Die Web-Adresse von Inventage AG liegt bei Netlify (Netlify Inc., USA). Die Anfragen der App erreichen zuerst das Netzwerk von Cloudflare (Cloudflare, Inc., USA), das sie an Netlify weiterleitet. Die IP-Adresse kann deshalb in den USA verarbeitet werden. Beide Unternehmen sind für das Swiss-US Data Privacy Framework zertifiziert. Für solche Unternehmen gilt der Angemessenheitsbeschluss des Bundesrats vom 14. August 2024. fhir.ch wird in der Schweiz gehostet (Infomaniak Network SA, Genf).

8. Datensicherheit

Auf dem Gerät

Ihre App-Daten sind durch das Sandboxing des Betriebssystems vor dem Zugriff anderer Apps geschützt. Auf einem Gerät mit Bildschirmsperre sind sie zudem verschlüsselt gespeichert. Auf iOS sind sie bei gesperrtem Gerät nicht lesbar. Ausgenommen ist ein laufender Abgleich mit dem Solid Pod, der beim Sperren zu Ende geführt wird. Auf Android verschlüsselt die App ihre Datenbank und ihre Einstellungen zusätzlich selbst. Der Schlüssel dafür verlässt das Gerät nicht. Sämtliche Internetverbindungen erfolgen über verschlüsselte HTTPS-Verbindungen.

App-Sperre

Optional können Sie die App mit Face ID, Touch ID, Fingerabdruck, Gesichtserkennung oder dem Gerätecode sperren. Die Prüfung übernimmt das Betriebssystem. Die App erhält nur das Ergebnis und keine biometrischen Daten.

Export

Die Sicherungsdatei wird in der Voreinstellung auf Ihrem Gerät mit einem Passwort verschlüsselt. Das Passwort verlässt Ihr Gerät nicht und wird nirgends gespeichert. Ohne dieses Passwort lässt sich die Datei nicht mehr öffnen, auch von uns nicht. Für die Weitergabe an Fachpersonen oder andere Programme können Sie stattdessen eine unverschlüsselte ZIP-Datei wählen.

Solid Pod

Die App verschlüsselt Ihre Impfdaten auf dem Gerät, bevor sie diese in den Pod schreibt, auf iOS und Android gleich. Der Pod-Anbieter sieht, wie viele Profile es gibt und wie viele Impfungen und Krankheiten zu jedem Profil gespeichert sind. Er sieht auch, wann Einträge geändert oder gelöscht wurden. Die Profile erscheinen für ihn als zufällige Kennungen. Namen, Geburtsdaten, Adressen, Impfstoffe, Chargennummern, Krankheiten und Angaben zu impfenden Personen kann er nicht lesen.

Der Schlüssel liegt nur auf den verbundenen Geräten und, durch einen Sicherheitscode geschützt, im Pod selbst. Die App zeigt den Sicherheitscode beim Einrichten einmal an. Weitere Geräte verbinden Sie mit diesem Code oder über die Kopplung mit einem bereits verbundenen Gerät. Sicherheitscode und Kopplungscode werden nicht an Inventage AG übermittelt. Ohne den Sicherheitscode und ohne ein verbundenes Gerät lassen sich die Daten im Pod nicht mehr lesen, auch von uns nicht. Ein verbundenes Gerät kann jederzeit einen neuen Code erzeugen.

Wer den Pod schon vor Version 26.10 genutzt hat, stellt die Daten auf der Seite «Speicherort» auf die Verschlüsselung um. Bis zur Umstellung liegen die Daten dort unverschlüsselt und der Pod-Anbieter kann sie lesen.

9. Kein Tracking, kein Analytics, keine Werbung

Die App enthält keine Tracker, keine Analytics-Werkzeuge, keine Werbung und keine Drittanbieter-Crash-Reports. Die App selbst übermittelt keine Nutzungs- oder Telemetriedaten.

Apple und Google zeigen uns, wie oft die App geladen wurde. Wenn Sie auf Ihrem Gerät erlaubt haben, Analysedaten mit App-Entwicklern zu teilen, erhalten wir zudem technische Absturzberichte und zusammengefasste Nutzungsstatistiken. Wir verwenden die Downloadzahlen und die Absturzberichte. Die Absturzberichte helfen uns, Fehler zu beheben.

10. Kinder und Familie

Die App ist für die Verwaltung der Impfdaten der gesamten Familie geeignet, einschliesslich Kindern. Für Kinder gelten dieselben Schutzmassnahmen wie für Erwachsene. Eltern oder Erziehungsberechtigte sind verantwortlich für die Verwaltung der Daten ihrer minderjährigen Kinder.

11. Datenlöschung

Sie können jederzeit einzelne Profile, Impfungen, durchgemachte Krankheiten oder sämtliche App-Daten innerhalb der App löschen. Das Deinstallieren der App entfernt alle lokal gespeicherten Daten unwiderruflich. «Alle Daten löschen» entfernt auch die Anmeldedaten der Solid-Pod-Sitzung und den Schlüssel für die Pod-Verschlüsselung. Ist ein Solid Pod verbunden, wählen Sie dabei zwischen «Nur lokal löschen» und «Überall löschen». «Überall löschen» entfernt auch die Impfdaten und die Schlüsseldatei im Pod. Andernfalls bleiben die Daten im Pod erhalten, bis Sie sie über ein anderes verbundenes Gerät oder über Ihren Pod-Anbieter löschen.

Inventage AG bewahrt keine App-Daten auf. Entsprechend gibt es keine von Inventage AG festgelegten Aufbewahrungsfristen.

12. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten. Da Inventage AG keinen Zugriff auf Ihre App-Daten hat, üben Sie diese Rechte unmittelbar innerhalb der App aus. Bei darüber hinausgehenden Fragen wenden Sie sich an[email protected]. Cloudflare (Cloudflare, Inc., USA) nimmt E-Mails an diese Adresse entgegen und leitet sie an das Postfach der Inventage AG weiter.

Zudem haben Sie das Recht, beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) eine Beschwerde einzureichen, sofern Sie der Auffassung sind, dass Ihre Datenschutzrechte verletzt wurden.

13. Geltungsbereich und anwendbares Recht

ImmuSuisse ist ausschliesslich für Nutzerinnen und Nutzer in der Schweiz bestimmt. Die App basiert auf dem Schweizerischen Impfplan und dem Swissmedic-Impfstoffkatalog und ist nicht für eine Nutzung ausserhalb der Schweiz konzipiert.

Diese Datenschutzerklärung sowie die Datenverarbeitung in der App unterstehen schweizerischem Recht, insbesondere dem revidierten Bundesgesetz über den Datenschutz (DSG) und der Datenschutzverordnung (DSV).

14. Aktualisierungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Änderungen werden auf dieser Seite veröffentlicht.

Stand: Oktober 2026