Stand 16. Oktober 2026

1. Worum es geht

Diese Datenschutzerklärung erklärt, welche Personendaten die submissio AG bearbeitet, zu welchen Zwecken und an wen sie Daten bekannt gibt. Sie gilt für unsere Website www.submissio.ch, für die Software submissio und für unsere Kontakte mit Kundinnen, Anbietenden, Interessentinnen und Geschäftspartnern. Massgebend ist das Schweizer Datenschutzgesetz (DSG).

2. Verantwortliche Stelle und Kontakt

Verantwortlich ist die submissio AG, Langmauerstrasse 113, 8006 Zürich. Fragen zum Datenschutz und Anfragen zu Ihren Rechten richten Sie an info@submissio.ch oder an unsere Postadresse.

3. Unsere Rolle bei Ausschreibungen

Vergabestellen nutzen submissio, um Beschaffungen vorzubereiten, zu publizieren und auszuwerten. Für die Daten, die eine Vergabestelle in ihren Projekten erfasst, und für die Angebote und Teilnahmeanträge, die Anbietende bei ihr einreichen, ist die Vergabestelle verantwortlich. Die submissio AG bearbeitet diese Daten in ihrem Auftrag, gestützt auf einen Auftragsbearbeitungsvertrag.

Für die Daten der Website, für die Benutzerkonten und für unsere eigene Kundenbeziehung ist die submissio AG selbst verantwortlich.

4. Welche Personendaten wir bearbeiten

Besuch der Website: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, verweisende Seite sowie Browser und Betriebssystem.
Kontaktformular und E-Mail: Name, E-Mail-Adresse und der Inhalt Ihrer Nachricht.
Benutzerkonto: Name, E-Mail-Adresse, Telefonnummer, Organisation, Funktion und Berechtigungen. Für die Anmeldung bearbeiten wir einmalige Anmeldecodes und pro Sitzung die IP-Adresse und den Browser. Wenn Sie sich mit Ihrem Microsoft-Konto anmelden, erhalten wir von Microsoft Ihren Namen, Ihre E-Mail-Adresse und eine Kennung Ihres Kontos. Anbietende melden sich mit ihrem Konto auf simap.ch an. Dabei erhalten wir von simap.ch ihren Namen, ihre E-Mail-Adresse, ihre Telefonnummer, eine Kennung ihres Kontos und die Firmen, denen sie dort angehören.
Inhalte in der Software: Projekte, Ausschreibungsunterlagen, Kriterien, Bewertungen, Kommentare und hochgeladene Dokumente, einschliesslich der darin genannten Kontaktpersonen.
Anbietende: Firmen- und Kontaktangaben, Teilnahmeanträge und Angebote mit Preisen, Antworten und Dokumenten sowie die Quittungen der Einreichung. Angaben der Anbietenden, auch die E-Mail-Adresse eingeladener Firmen, übernimmt die Software von simap.ch.
Protokolle: Die Software hält jede wesentliche Änderung im Audit-Trail fest, mit Person, Zeitpunkt und IP-Adresse. Für Betrieb und Fehleranalyse entstehen zudem technische Protokolle.
Kundenbeziehung: Kontaktangaben, Korrespondenz, Verträge, Rechnungen, Zahlungen und Bankverbindungen.

5. Zu welchen Zwecken wir Personendaten bearbeiten

Bereitstellung und Betrieb der Software und der Website;
Abschluss und Abwicklung von Verträgen, Support und Rechnungsstellung;
Sicherheit der Systeme, Fehleranalyse und Nachvollziehbarkeit von Änderungen;
Erfüllung gesetzlicher Pflichten, insbesondere der Aufbewahrungspflichten;
Beantwortung von Anfragen sowie Information über unsere Leistungen und Einladungen zu Anlässen per E-Mail;
Statistik über die Nutzung unserer Website, ohne Bezug zu einzelnen Personen.

6. Öffentliche Ausschreibungen und vertrauliche Angebote

Ausschreibungsunterlagen sind für die Öffentlichkeit bestimmt. Was eine Vergabestelle auf simap.ch publiziert, kann jede Person einsehen, herunterladen und weitergeben. Vertrauliche Informationen gehören deshalb nicht direkt in die Ausschreibungsunterlagen. Sollen sie Bestandteil der Ausschreibung sein, vermerkt die Vergabestelle zum Beispiel, dass sie nach Unterzeichnung einer Vertraulichkeitsvereinbarung bei ihr eingesehen werden können.

Angebote und Teilnahmeanträge sind dagegen vertraulich. Bis zur Öffnung sind sie versiegelt: Die Vergabestelle sieht nur, wer wann eingereicht hat. Preise und Antworten sind in der Datenbank verschlüsselt gespeichert. Andere Anbietende sehen die Inhalte nie. Die submissio AG greift auf Inhalte nur zu, soweit es für Betrieb und Support nötig ist. Eingereichte Angebote lassen sich nicht löschen, weil das Beschaffungsrecht ihre Aufbewahrung verlangt.

7. Empfänger und Auftragsbearbeiter

Wir geben Personendaten nur bekannt, soweit es für die genannten Zwecke nötig ist, und wir verkaufen sie nicht. Unsere Dienstleister bearbeiten die Daten nur in unserem Auftrag und nach unseren Weisungen:

Exoscale, Schweiz: Betrieb der Software, Datenbank, Dokumente und Backups.
mailomat, Schweiz: Versand der E-Mails der Software, zum Beispiel Anmeldecodes und Benachrichtigungen.
AppSignal B.V., Niederlande: Fehler- und Leistungsüberwachung der Software mit technischen Protokollen. Angebotspreise und Antworten der Anbietenden entfernen wir vor der Übermittlung.
Plausible Insights OÜ, EU: Besucherstatistik der Website (Ziffer 10).
Google (Google Workspace), Speicherung in Europa: E-Mail, Kalender, Videokonferenzen und interne Dokumentablage, gestützt auf den Auftragsbearbeitungsvertrag von Google.
Google (YouTube), USA: eingebettete Videos (Ziffer 10).
Attio Ltd., Grossbritannien: CRM.

Auf Veranlassung der Vergabestelle übermittelt die Software Ausschreibungen an simap.ch. Ausserdem geben wir Daten an Behörden bekannt, wenn eine gesetzliche Pflicht besteht.

8. Bekanntgabe ins Ausland

Die Software, die Datenbank, die Dokumente und die Backups liegen ausschliesslich in der Schweiz. Über die Empfänger in Ziffer 7 und deren Unterauftragsbearbeiter können Daten in Staaten der EU, nach Grossbritannien und in die USA gelangen. Die Staaten der EU und Grossbritannien gewährleisten nach dem Entscheid des Bundesrats einen angemessenen Datenschutz. Dasselbe gilt seit dem 15. September 2024 für Unternehmen in den USA, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind (Entscheid des Bundesrats vom 14. August 2024), darunter Google.

9. Cookies und lokaler Speicher

Wir verwenden nur Cookies, die für den Betrieb nötig sind. Cookies für Werbung oder Analyse setzen wir nicht.

Anmeldung: Ein Cookie hält Sie angemeldet, bis Sie sich abmelden. Während der Anmeldung setzen wir kurzlebige Cookies für den Anmeldecode und die Verknüpfung mit Microsoft.
Sicherheit: Ein Sitzungscookie schützt Formulare vor Missbrauch. Der Browser löscht es, wenn Sie ihn schliessen.
Einstellungen: Einstellungen der Oberfläche, zum Beispiel das Farbschema, speichern wir im lokalen Speicher Ihres Browsers. Sie verlassen Ihr Gerät nicht.

10. Statistik, Kontaktformular, Videos und Links

Statistik: Auf der Website messen wir mit Plausible, wie oft Seiten aufgerufen werden. Plausible setzt keine Cookies und speichert weder Ihre IP-Adresse noch Ihre Browserkennung. Die Daten bleiben in der EU, und wir sehen nur zusammengefasste Zahlen. In der Software setzen wir keine Statistik-Werkzeuge ein.

Kontaktformular: Wir schützen das Formular selbst vor Spam, ohne Dienste Dritter. Dafür begrenzen wir die Anzahl Nachrichten pro IP-Adresse. Ihre Nachricht erreicht uns per E-Mail.

Videos: Einzelne Beiträge und Handbücher zeigen Videos von YouTube. Wir binden sie im datenschutzfreundlichen Modus ein. Wenn Sie eine solche Seite öffnen, erhält Google trotzdem Ihre IP-Adresse und technische Merkmale Ihres Browsers.

Links zu LinkedIn: Die Website verlinkt auf unsere Profile bei LinkedIn. LinkedIn erhält erst Daten von Ihnen, wenn Sie einen dieser Links anklicken.

Alle anderen Dateien der Website und der Software, zum Beispiel Schriften und Skripte, liefern wir selbst aus.

11. Datensicherheit

Website und Software sind nur über eine verschlüsselte Verbindung (HTTPS) erreichbar.
Die Server stehen bei Exoscale in der Schweiz. Exoscale ist nach ISO 27001, 27017 und 27018 zertifiziert.
Die Festplatten der Server und der Speicher für Dokumente sind verschlüsselt (AES-256). Backups verschlüsseln wir zusätzlich, bevor wir sie ablegen.
Die Datenbank ist nur über das interne Netzwerk erreichbar.
Vergabestellen melden sich ohne Passwort an, mit einmaligen Codes per E-Mail oder über Microsoft. Anbietende melden sich über simap.ch an.
Zugriffe sind nach Rollen beschränkt, und der Audit-Trail hält Änderungen nachvollziehbar fest.

12. Wie lange wir Personendaten aufbewahren

Wir bewahren Personendaten so lange auf, wie es für den Zweck nötig ist oder das Gesetz es verlangt. Danach löschen oder anonymisieren wir sie. Insbesondere gilt:

Beschaffungsunterlagen, Angebote und der zugehörige Audit-Trail bleiben so lange erhalten, wie das Beschaffungsrecht es verlangt, mindestens drei Jahre ab rechtskräftigem Zuschlag.
Geschäftsunterlagen wie Verträge und Rechnungen bewahren wir zehn Jahre auf.
Die stündlichen Backups löschen wir nach 20 Tagen.
Technische Protokolle löscht AppSignal in der Regel nach 30 Tagen.

13. Keine automatisierten Einzelentscheidungen

Wir treffen keine Entscheidungen, die ausschliesslich automatisiert erfolgen und Sie erheblich betreffen. Die Software berechnet Bewertungen nach den Vorgaben der Vergabestelle. Über den Zuschlag entscheidet immer die Vergabestelle.

14. Ihre Rechte

Sie können Auskunft über Ihre Personendaten verlangen. Sie können zudem verlangen, dass wir falsche Daten berichtigen, Daten löschen oder Ihre Daten in einem gängigen elektronischen Format herausgeben. Sie können der Bearbeitung Ihrer Daten widersprechen, insbesondere der Information über unsere Leistungen per E-Mail. Gesetzliche Aufbewahrungspflichten, zum Beispiel für eingereichte Angebote, können einer Löschung entgegenstehen.

Richten Sie Ihre Anfrage an die Adresse in Ziffer 2. Um Missbrauch zu verhindern, können wir Sie bitten, sich auszuweisen. Betrifft Ihre Anfrage Daten, die wir im Auftrag einer Vergabestelle bearbeiten, leiten wir sie an diese weiter. Sie können sich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten beschweren (www.edoeb.admin.ch).

15. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenbearbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.