Datenschutzerklärung

Stand: 10. Oktober 2026

Diese Erklärung sagt, welche Personendaten LEG Pilot bearbeitet, wozu, wie lange und wer sie sonst noch zu sehen bekommt. Sie ist bewusst in normaler Sprache geschrieben.

1. Wer verantwortlich ist

B-VentureLabs Schwandholzstrasse 41 1717 St. Ursen Schweiz

E-Mail: datenschutz@legpilot.ch

Für Fragen zum Datenschutz, für eine Auskunft oder für eine Löschung schreiben Sie an diese Adresse.

2. Zwei Rollen, die wir unterscheiden

LEG Pilot ist eine Software, mit der eine Lokale Elektrizitätsgemeinschaft (LEG) ihren intern gehandelten Strom abrechnet. Daraus ergeben sich zwei verschiedene Stellungen, und es ist wichtig, sie auseinanderzuhalten:

• Gegenüber der Vertretung einer LEG — der Person, die die Gemeinschaft führt und für LEG Pilot bezahlt — sind wir Verantwortlicher. Wir entscheiden, wozu ihre Kontodaten bearbeitet werden.
• Gegenüber den Teilnehmenden einer LEG sind wir Auftragsbearbeiter. Ihre Daten gehören der Gemeinschaft; wir bearbeiten sie ausschliesslich in deren Auftrag und nach deren Weisung. Wer bei einer LEG teilnimmt und Fragen zu seinen Daten hat, wendet sich zuerst an die Vertretung seiner Gemeinschaft — wir helfen ihr dabei.

Dieselbe Person kann beides sein: Wer seine eigene LEG vertritt und zugleich in ihr teilnimmt, hat ein einziges Konto und beide Stellungen.

3. Welche Daten wir bearbeiten und wozu

Wir verlangen von Ihnen nichts, was wir für diese Zwecke nicht brauchen. Ihr Profil hält deshalb nur Name, E-Mail-Adresse und Sprache. Eine Postadresse und eine Telefonnummer erfassen wir nur von der Vertretung einer LEG, weil der Netzbetreiber sie verlangt.

Wenn Sie eine LEG vertreten, beachten Sie: Adresse, Kontoinhaber und IBAN der Gemeinschaft stehen auf jeder Rechnung an ihre Teilnehmenden. Tragen Sie dort Ihre private Adresse oder Ihr privates Konto ein, sehen alle Teilnehmenden diese Angaben. Die App weist Sie beim Erfassen darauf hin.

Wenn Sie an einer LEG teilnehmen: Ihre Angaben erfasst in der Regel die Vertretung Ihrer Gemeinschaft, nicht Sie selbst. Wir bearbeiten sie im Auftrag der LEG und nur für deren Abrechnung und ihre Meldungen an den Netzbetreiber; verantwortlich dafür ist die Gemeinschaft (siehe Abschnitt 2). Pflicht ist nur Ihr Name, alles andere darf fehlen. Eine Sprache erfasst die Vertretung nicht — die wählen Sie selbst, wenn Sie Ihr Konto eröffnen. Andere Teilnehmende sehen Ihre Angaben nicht. Auskunft und Berichtigung erhalten Sie über die Vertretung, die alle zu Ihnen gespeicherten Angaben einsehen und korrigieren kann.

Wenn die Vertretung eine Mitgliederliste übernimmt: Die Vertretung kann die Angaben ihrer Mitglieder aus einer eigenen Liste übernehmen, zum Beispiel aus einer Excel-Tabelle. Diese Datei liest der Browser der Vertretung; auf unseren Server gelangt sie nicht, und wir bewahren weder die Datei noch ihren Namen auf. Bei uns kommen nur die Angaben an, die die Vertretung einem Feld der App zugeordnet hat. Andere Spalten, etwa ein Geburtsdatum oder Bemerkungen, speichern wir nicht. Ändert ein Import schon erfasste Angaben, behalten wir die früheren Werte höchstens 30 Tage, damit die Vertretung den Import zurücknehmen kann. Eine IBAN ändert ein Import nie.

Nachweis der Zustimmung zum Gesellschaftsvertrag. Jede Gemeinschaft hat einen Gesellschaftsvertrag, und wer teilnimmt, stimmt ihm in der App zu. Damit die Gemeinschaft im Streitfall belegen kann, wer welchem Vertrag wann zugestimmt hat, halten wir zu jeder Zustimmung fest:

• Ihren Namen und Ihre E-Mail-Adresse zum Zeitpunkt der Zustimmung (als Kopie) und die Teilnahme, für die Sie zugestimmt haben — bei einer Organisation auch deren Namen
• die Fassung des Vertrags mit ihrem Gültigkeitsbeginn, die Sprache und eine Prüfsumme genau des PDFs, das Ihnen vorlag
• den Wortlaut des Satzes, den Sie bestätigt haben, und dass Sie den Vertrag bis zum Ende gelesen haben
• den Zeitpunkt der Zustimmung auf die Sekunde, gesetzt von unserem Server
• die IP-Adresse und den Browser, von denen aus Sie zugestimmt haben

Wir bearbeiten diesen Nachweis im Auftrag der LEG; verantwortlich ist die Gemeinschaft. Sehen kann ihn die Vertretung Ihrer Gemeinschaft — sie allein mit IP-Adresse und Browser — und Sie selbst: In Ihrem Profil finden Sie Fassung, Sprache, Zeitpunkt und das PDF, dem Sie zugestimmt haben. IP-Adresse und Browser erhalten Sie mit einer Auskunft (Abschnitt 7). Der Nachweis bleibt bestehen, solange Sie an der Gemeinschaft teilnehmen, und danach fünf Jahre; IP-Adresse und Browser entfernen wir nach 12 Monaten. Löschen Sie Ihr Konto, bleibt der Nachweis mit Name und E-Mail-Adresse bis zum Ende dieser Frist erhalten. Solange Sie einen Vertrag in der App geöffnet haben, merken wir uns zudem bis zu 24 Stunden, welches PDF wir Ihnen gezeigt haben, ohne IP-Adresse und Browser — nur so lässt sich sicherstellen, dass Sie genau diesem Dokument zustimmen.

Notiz zu einer neuen Fassung. Lädt die Vertretung eine neue Fassung des Vertrags hoch, kann sie in einer kurzen Notiz beschreiben, was sich geändert hat. Diese Notiz lesen alle Teilnehmenden der Gemeinschaft. Die Vertretung wird beim Schreiben gebeten, keine Namen und keine Angaben zu einzelnen Personen hineinzuschreiben. Die Notiz bleibt so lange bestehen wie die Fassung, zu der sie gehört.

Einladung und Registrierung. Bevor Sie ein eigenes Konto haben, lädt die Vertretung Ihrer LEG Sie ein. Die Einladung nennt Ihren Namen und enthält einen Link, den nur wir bilden können; er lässt sich einmal verwenden und läuft nach 30 Tagen ab. Reagieren Sie nicht, erinnern wir Sie höchstens einmal. Beide Mails verschicken wir über unseren Dienstleister Brevo (Abschnitt 4) und enthalten sonst nichts über Sie — weder Ihre Zahlungsverbindung noch die Kontaktangaben der Vertretung. Öffnen Sie den Link, schützt die Seite ihn zusätzlich mit demselben Spam-Schutz von Cloudflare wie die Anmeldeseite (Abschnitt 4); erweist sich ein Link als ungültig, halten wir dazu Ihre IP-Adresse und den Zeitpunkt fest, ohne weiteren Bezug zu Ihrer Person, und löschen das nach 30 Tagen.

Nachweis der Zustimmung zu den Nutzungsbedingungen für Teilnehmende. Mit der Registrierung stimmen Sie diesen Bedingungen zu und nehmen diese Erklärung zur Kenntnis. Dafür halten wir fest:

• Ihren Namen und Ihre E-Mail-Adresse zum Zeitpunkt der Zustimmung, als Kopie
• die Fassung der Nutzungsbedingungen und die Sprache, in der sie Ihnen vorlagen
• den Stand dieser Erklärung im selben Moment
• den Zeitpunkt der Zustimmung, gesetzt von unserem Server

Sehen können das nur Sie selbst, in Ihrem Profil — nicht die Vertretung Ihrer LEG, denn dieses Verhältnis besteht zwischen Ihnen und uns. Der Nachweis bleibt bestehen, solange Ihr Konto besteht, und danach fünf Jahre, wie beim Gesellschaftsvertrag oben.

Meldungen an Ihre Vertretung. Stimmt etwas an Ihrer Einheit, Ihrer Rolle oder Ihren Messpunkten nicht, können Sie das der Vertretung Ihrer LEG melden. Wir halten Ihren Text — bis zu 500 Zeichen —, die betroffene Einheit und den Zeitpunkt fest; lesen kann ihn nur die Vertretung, nie andere Teilnehmende. Die Hinweismail an die Vertretung nennt nur Ihren Namen und Ihre LEG, nie den Text selbst. Erledigt die Vertretung eine Meldung, entfernen wir den Text 90 Tage danach; dass gemeldet und erledigt wurde, bleibt stehen.

Warnung bei einer geänderten Zahlungsverbindung. Ändert sich Ihre Zahlungsverbindung — ob durch Sie selbst oder durch die Vertretung —, schicken wir Ihnen eine E-Mail darüber, ohne die IBAN oder einen Teil davon zu nennen. So bemerken Sie eine fremde Änderung, auch wenn Sie sie nicht selbst vorgenommen haben.

Kündigung und Austritt. Tritt jemand aus der Gemeinschaft aus, halten wir im Auftrag der LEG fest: die betroffenen Einheiten, den Anlass, den Tag, an dem die Kündigung eingegangen ist, und das Austrittsdatum. Der Anlass ist einer von drei festen Werten: Kündigung der Person, Wegzug oder anderer Grund. Ein Freitext dazu ist nicht möglich. Dazu kommen der Tag, an dem die Vertretung den Austritt dem Netzbetreiber gemeldet hat, der Tag der Bestätigung des Netzbetreibers und, falls es sie gibt, eine Rücknahme der Kündigung. Eine Kündigung kann die Person selbst in der App einreichen oder die Vertretung erfassen. Wer eine Einheit am selben Standort übernimmt, erfährt nichts über die bisherige Person, und die bisherige Person erfährt nichts über ihn.

Wer selbst kündigt, kann je Einheit ankreuzen, dass der Nachfolger am Standort der LEG beitreten möchte. Wir speichern dazu nur dieses Ja oder Nein und nichts über den Nachfolger. Die Vertretung sieht die Angabe und meldet sich bei der Person, die gekündigt hat.

Nachweis einer Selbstkündigung. Kündigen Sie selbst in der App, halten wir zusätzlich fest:

• den Zeitpunkt, gesetzt von unserem Server
• Ihr Konto sowie Ihren Namen und Ihre E-Mail-Adresse zu diesem Zeitpunkt, als Kopie
• die Einheiten, die Sie gekündigt haben, und das Austrittsdatum
• den Wortlaut des Satzes, den Sie bestätigt haben, und den Hinweis dazu, falls er gezeigt wurde

Eine IP-Adresse und Angaben zu Ihrem Browser erfassen wir dabei nicht. Zeitpunkt und Bestätigungsmail belegen die Kündigung bereits. Die Vertretung Ihrer LEG kann den Nachweis sehen. Sie sehen Ihre eigene Kündigung, solange Sie Zugang zum Portal haben. Der Nachweis bleibt auch bestehen, wenn Sie Ihr Konto löschen lassen.

Die Meldung an den Netzbetreiber macht die Vertretung selbst. Sie trägt dafür Ihren Namen, den Standort, die Messpunkte und das Austrittsdatum in das Portal des Netzbetreibers ein. LEG Pilot stellt diese Angaben nur zusammen und übermittelt nichts an den Netzbetreiber. E-Mail-Adresse, Telefonnummer und IBAN gehören nicht dazu.

E-Mails zum Austritt. Reicht jemand eine Kündigung ein oder erfasst die Vertretung eine, erhält die Person eine Bestätigung mit den Einheiten und dem Austrittsdatum, wenn wir eine E-Mail-Adresse von ihr haben. Dasselbe gilt, wenn der Austritt wirksam wird. Die Vertretung erhält eine Mail über eine neue Selbstkündigung, eine über deren Rücknahme und eine Erinnerung an die Meldefrist, alle ohne den Namen der Person. Die Mail über eine neue Selbstkündigung nennt, für wie viele Einheiten ein Nachfolger angekündigt ist. Keine dieser Mails nennt eine Messpunktnummer, eine IBAN oder den Anlass der Kündigung. Wir verschicken sie über Brevo (Abschnitt 4).

Nach dem Austritt. Sind alle Ihre Einheiten ausgetreten, schliesst das Portal Ihrer LEG für Sie. Ihr Konto bleibt bestehen. Sie können danach nichts mehr ändern und sehen nur noch Ihre eigenen Angaben: Name, Kontaktangaben, Postadresse, die gekürzte IBAN sowie Ihre Zustimmungen und Meldungen. Auskunft über Ihre Daten und Kopien Ihrer Rechnungen erhalten Sie weiterhin über die Vertretung Ihrer LEG. Die Mail zum wirksamen Austritt nennt Ihnen deren Kontakt. Haben Sie danach weder eine Teilnahme noch eine Vertretung, führen wir das Konto nicht still weiter. Es auf Ihren Wunsch löschen zu lassen, geht über datenschutz@legpilot.ch (Abschnitt 1). Was die Aufbewahrungspflichten bestehen lassen, steht in Abschnitt 6.

Was wir nicht tun: Wir werten Ihr Verhalten nicht aus, erstellen kein Profil von Ihnen, treffen keine automatisierten Entscheidungen über Sie und geben Ihre Daten nicht zu Werbezwecken weiter. Wir verkaufen keine Daten und verwenden sie nicht zum Training von Modellen künstlicher Intelligenz.

4. Wer die Daten sonst noch sieht

Wir setzen für den Betrieb vier Dienstleister ein. Sie bearbeiten Daten ausschliesslich in unserem Auftrag und sind vertraglich daran gebunden:

Eine Besonderheit beim Spam-Schutz: Cloudflare prüft die Angaben aus Ihrem Browser in unserem Auftrag. Dieselben Angaben nutzt Cloudflare aber auch als eigene Verantwortliche, um die Erkennung von Maschinen zu verbessern. Dafür gilt die Datenschutzerklärung von Cloudflare samt dem Turnstile Privacy Addendum (cloudflare.com/turnstile-privacy-policy).

Ändert sich diese Liste, legen wir den Vertretungen der Gemeinschaften eine neue Fassung des Auftragsbearbeitungsvertrags zur Zustimmung vor, bevor der neue Dienstleister zum Einsatz kommt.

5. Bekanntgabe ins Ausland

Der grösste Teil Ihrer Daten bleibt in der Schweiz. Die Staaten, in die Daten gelangen können, nennen wir ausdrücklich, weil Art. 19 Abs. 4 des Datenschutzgesetzes das verlangt:

• USA — durch den Spam-Schutz von Cloudflare gelangt Ihre IP-Adresse dorthin, sobald Sie die Anmeldeseite oder einen Einladungslink öffnen. Ausserdem sitzen dort Unterauftragnehmer von Supabase (Betriebsprotokolle, Support) und von Brevo (Überwachung, Support). Abgesichert bei Cloudflare durch die Zertifizierung nach dem Swiss-U.S. Data Privacy Framework und zusätzlich durch Standardvertragsklauseln, bei Supabase und Brevo durch Standardvertragsklauseln.
• Singapur — dort sitzt Supabase Pte. Ltd., unsere Vertragspartnerin für die Datenbank. Die Daten selbst liegen in Zürich. Abgesichert durch Standardvertragsklauseln mit Schweizer Ergänzung.
• Indien — von dort kann ein Support-Dienstleister von Brevo auf die Versanddaten zugreifen. Abgesichert durch Standardvertragsklauseln.
• EU (Belgien, Frankreich, Deutschland) — dort liegen die Rechenzentren von Brevo, über die unsere E-Mails gehen. Die EU steht auf der Liste der Staaten mit angemessenem Datenschutz.

6. Wie lange wir aufbewahren

Eine Löschung erfasst nicht immer alles: Was gesetzlich aufbewahrt werden muss, bleibt. Wir sagen Ihnen in diesem Fall, was geblieben ist und warum.

7. Ihre Rechte

Sie haben das Recht,

• Auskunft zu verlangen, welche Daten wir über Sie bearbeiten (Art. 25 DSG),
• Ihre Daten berichtigen zu lassen, wenn sie falsch sind (Art. 32 Abs. 1 DSG),
• die Löschung zu verlangen, soweit keine Aufbewahrungspflicht entgegensteht,
• Ihre Daten in einem gängigen Format herausverlangen (Art. 28 DSG),
• der Bearbeitung zu widersprechen (Art. 30 Abs. 2 lit. b DSG).

Wir antworten innert 30 Tagen und verlangen dafür nichts. Damit wir Ihre Daten nicht einer fremden Person herausgeben, können wir einen Nachweis Ihrer Identität verlangen. Ihren Namen und Ihre Sprache können Sie jederzeit selbst im Profil ändern, Ihre E-Mail-Adresse ebenfalls — sie wird über einen Link an die neue Adresse bestätigt, und die bisherige Adresse erhält eine Warnung, damit eine fremde Änderung nicht unbemerkt bleibt.

Wenn Sie mit unserer Antwort nicht zufrieden sind, können Sie sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

8. Sicherheit

Die Übertragung ist verschlüsselt, Passwörter speichern wir nur als nicht rückrechenbaren Prüfwert. Der Zugriff auf die Daten einer Gemeinschaft wird nicht nur in der Anwendung geprüft, sondern in der Datenbank selbst durchgesetzt — auch wir als Betreiber sehen über die Anwendung keine Inhalte einer Gemeinschaft, die wir nicht selbst vertreten. Wenn Sie ein neues Passwort setzen, prüfen wir, ob es in bekannten Datenlecks vorkommt; dabei verlässt Ihr Passwort unseren Server nicht.

9. Cookies und was Ihr Browser sich merkt

Wir setzen keine Cookies zum Zählen oder Beobachten. Nötig sind diese Einträge — die ersten sieben sind Cookies, der letzte liegt im Speicher Ihres Browsers:

Das Einladungs-Cookie enthält nur den Code aus Ihrem Link, keinen Namen und keine E-Mail-Adresse. Es gilt ausschliesslich unter /einladung, läuft nach höchstens einer Stunde ab und wird gelöscht, sobald Sie die Einladung angenommen haben.

Das Cookie zum Hinweis auf die Einrichtung enthält keinen Namen und keine Adresse. Darin stehen nur die Kennungen der Gemeinschaften, bei denen Sie den Hinweis ausgeblendet haben, und ein Prüfwert, der sich bei jeder Anmeldung ändert. Er lässt sich ohne unsere Daten auf nichts zurückführen und sorgt allein dafür, dass der Hinweis bei Ihrer nächsten Anmeldung wieder erscheint. Das Cookie geht nur an die Seiten der Verwaltung einer Gemeinschaft und endet, wenn Sie den Browser schliessen. Für das Cookie zu „Später" beim Gesellschaftsvertrag gilt das nicht in gleicher Weise: Es lebt höchstens sieben Tage ab Ihrem letzten „Später" und bleibt dabei auch über eine neue Anmeldung hinweg bestehen — aber nur für dasselbe Konto. Darin stehen die Kennungen der aufgeschobenen Fassungen, je mit dem Zeitpunkt Ihres „Später", und vorn ein aus der Kennung Ihres Kontos gebildeter, gekürzter Prüfwert — kein Klartext und keine weiteren Personendaten. Nach den sieben Tagen erscheint das Fenster zur Zustimmung wieder.

Das Sprach-Cookie enthält keine Kennung. Sein Inhalt ist buchstäblich de oder fr — kein Merkmal, mit dem sich ein Gerät oder eine Person wiedererkennen liesse, und keine Auswertung. Sind Sie angemeldet, entscheidet ohnehin die Sprache in Ihrem Profil; das Cookie sorgt dann nur dafür, dass die Anmeldeseite nach dem Abmelden in derselben Sprache erscheint.

Darstellung und Seitenleiste gehören zum Gerät, nicht zu Ihnen. Beide sagen nichts über Sie aus und erreichen unseren Server nie: Die gewählte Darstellung liegt ausschliesslich im Speicher Ihres Browsers, der Zustand der Seitenleiste in einem Cookie, dessen Inhalt buchstäblich true oder false ist. Melden Sie sich an einem anderen Gerät an, beginnen beide wieder bei der Vorgabe — und in Ihrem Profil steht davon nichts.

Die Spracheinstellung Ihres Browsers wird ausgewertet und sofort vergessen. Sie entscheidet beim ersten Besuch, in welcher Sprache die Seite erscheint. Wir speichern sie nirgends — weder in der Datenbank noch in unseren Protokollen — und wir leiten daraus auch kein Cookie ab.

Ohne diese Einträge funktionieren Anmeldung, Sprachwahl und Darstellung nicht; sie sind für den Betrieb erforderlich (Art. 45c FMG). Ein Zustimmungsbanner braucht es dafür nicht.

10. Änderungen

Ändert sich, was wir mit Ihren Daten tun, ändern wir diese Erklärung und setzen ein neues Datum oben hin. Betrifft die Änderung einen neuen Dienstleister, legen wir sie den Vertretungen zusätzlich als neue Vertragsfassung zur Zustimmung vor.