carddy.Gratis-Karte erstellen
Datenschutz prüfen

Digitale Visitenkarte und Datenschutz in der Schweiz: die fünf Fragen an jeden Anbieter

Fünf Fragen an jeden Anbieter — und daneben carddys Antworten, samt dem, was carddy nicht vorweisen kann.

Wer in einer Kanzlei, einer Treuhandfirma oder einer Praxis ein neues Werkzeug einführt, muss es später verantworten. Bei einer digitalen Visitenkarte ist die Frage nach dem Datenschutz berechtigt: Die Karte liegt öffentlich im Netz, sie wird von Fremden aufgerufen, und dein Gegenüber hinterlässt dort womöglich seine eigenen Angaben. Diese Seite nennt die fünf Fragen, die du in der Schweiz jedem Anbieter stellen solltest — und daneben, was carddy darauf antwortet, inklusive der Stellen, an denen wir nichts vorzuweisen haben.

Gratis-Karte erstellenPreise ansehen

Zuerst: welche drei Stapel Daten überhaupt anfallen

Bei einer digitalen Visitenkarte entstehen drei getrennte Stapel. Sie gehören verschiedenen Leuten und sind unterschiedlich heikel. Wer die Prüfung sauber machen will, stellt die fünf Fragen weiter unten für jeden Stapel einzeln. Wer nur den ersten prüft, übersieht die beiden heikleren.

  • Deine eigenen Kartendaten: Name, Funktion, Firma, Mobil und Geschäftsnummer, E-Mail, Website, Adresse, Kurzbeschrieb, Foto, Links. Die gibst du selbst ein, und du kannst sie selbst wieder löschen.
  • Die Aufrufe deiner Karte: Jedes Mal, wenn jemand carddy.ch/dein-name öffnet. Hier entscheidet sich, ob ein Anbieter Besucher verfolgt oder bloss zählt.
  • Die Angaben, die dein Gegenüber freiwillig hinterlässt. Das sind Daten dritter Personen — rechtlich der heikelste Stapel, weil normalerweise du dafür verantwortlich bist, nicht der Anbieter.

Der Rahmen in der Schweiz: revDSG, DSGVO und der Weg der Daten

Diese Seite ist keine Rechtsberatung, sie ordnet nur ein, worauf sich die fünf Fragen stützen. In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (revDSG); Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Sobald Personen in der EU betroffen sind, kommt zusätzlich die DSGVO ins Spiel — bei einer Visitenkarte, die auch aus dem Ausland aufgerufen wird, ist das der Normalfall.

  • Verantwortlich für die Daten auf deiner Karte bist in erster Linie du. Der Anbieter bearbeitet sie in deinem Auftrag — darum musst du wissen, wo und durch wen das geschieht.
  • Werden Daten ins Ausland bekanntgegeben, kommt es auf das Zielland an. Für Staaten mit angemessenem Datenschutz führt der Bundesrat eine Länderliste (Anhang 1 der Datenschutzverordnung); Deutschland und Irland stehen darauf, die USA nicht pauschal.
  • Für Übermittlungen in die USA stützt sich carddy auf die Standardvertragsklauseln. Betroffen sind dabei die Betreiberfirmen der eingesetzten Dienste, nicht ein zusätzlicher Datenspeicher jenseits des Atlantiks.
  • Alle Auftragsbearbeiter stehen namentlich in Abschnitt 4 unserer Datenschutzerklärung, mit Zweck und Standort. Wer eine Prüfung macht, sollte genau diese Liste bei jedem Anbieter verlangen.

Frage 1: Wo liegen die Daten — und wer betreibt den Server?

«Server in Europa» ist keine Antwort. Frag nach dem konkreten Rechenzentrum, nach der Region und nach der Firma dahinter. Ein Betrieb in Frankfurt kann trotzdem von einer US-Firma geführt werden, und die Auslieferung einer Website läuft fast immer über ein weltweites Netz. Beides ist nicht automatisch schlimm, aber du solltest es wissen, bevor du unterschreibst.

  • carddys Datenbank läuft bei Neon in der AWS-Region eu-central-1, Frankfurt. Dort liegen Kartendaten und hinterlassene Kontakte.
  • Die Anwendung selbst ist in der Datei vercel.json fest auf die Region fra1 gelegt — ebenfalls Frankfurt. Das ist nicht eine Einstellung im Konto, sondern steht im Code des Projekts.
  • Ehrlich dazu: Vercel Inc. und Neon Inc. sind US-Firmen. Die Auslieferung der Seite läuft über Vercels weltweites Netz. Für Übermittlungen in die USA stützen wir uns auf die Standardvertragsklauseln.
  • E-Mails verschicken wir über Resend; eine Nachverfolgung von Öffnungen und Klicks ist ausgeschaltet. Das betrifft zwei Arten von Mails: den Anmeldelink an dich und die Benachrichtigung, wenn jemand auf deiner Karte seine Angaben hinterlassen hat — in dieser Mail stehen genau diese Angaben drin.
  • Zahlungen laufen über Stripe in den USA; Kartendaten erreichen unsere Systeme nie.
  • Für den Bildspeicher (Profilfoto und Firmenlogo, Vercel Blob) sichern wir keine Region zu. Das betrifft zwei Bilder, die du ohnehin öffentlich zeigst — aber wir schreiben es lieber hin, als es wegzulassen.

Frage 2: Was wird beim blossen Aufruf der Karte gespeichert?

Zählen und messen ist nicht dasselbe: Ein Werkzeug kann pro Aufruf auch IP-Adresse, Land, Gerät, Browserkennung oder eine Besucherkennung festhalten. Jemand, der deine Karte scannt, hat dem nie zugestimmt. Frag darum konkret, welche Felder pro Aufruf in die Datenbank geschrieben werden — nicht, ob «datenschutzfreundlich» gemessen wird.

  • Bei carddy hält ein Aufruf vier Angaben fest: welche Karte, welche Art von Ereignis, welche Quelle, welcher Zeitpunkt. Es gibt keine Spalte für IP-Adresse, keine für eine Besucherkennung, keine für einen Fingerabdruck.
  • Das ist kein Versprechen, sondern eine Eigenschaft des Datenmodells: Was keine Spalte hat, kann auch nicht versehentlich befüllt werden. Ein Feld für das Land existiert im Schema, wird aber nirgends im Code beschrieben — es bleibt leer.
  • Die einzige Zusatzangabe ist ein sichtbarer Parameter in der Adresse: ?q=qr beim Scan des QR-Codes, ?q=nfc, wenn jemand die feste Adresse carddy.ch/k/… von einem selbst gekauften NFC-Aufkleber aufruft. Daran erkennt die Statistik, ob der Aufruf über einen geteilten Link, den QR-Code oder einen solchen Aufkleber kam. Der Parameter enthält keine Kennung und identifiziert niemanden. carddy liefert dabei selbst nichts Antippbares mit — wer einen NFC-Aufkleber will, kauft ihn anderswo und schreibt die feste Adresse selbst darauf.
  • Eine Stelle, an der wir doch eine Gerätekennung speichern, und zwar die einzige: Legt jemand deine Karte als Pass in Apple Wallet, meldet sein Gerät sich bei uns an. Gespeichert werden eine Gerätekennung von Apple und ein Push-Token, ausschliesslich dafür, dem Telefon eine geänderte Karte zu melden. Kein Name, keine IP. Der Stups selbst läuft über Apples Server.
  • Selbst die Missbrauchsbremse zählt je Karte statt je Absender — 60 Ereignisse pro Karte und Minute. Eine Bremse pro Absender bräuchte eine Kennung, und die wollten wir nicht speichern.
  • Der Preis davon: Du bekommst keine Besucherzahlen im Sinn von Personen, keine Wiederkehrer, keine Verweildauer, keine Länder- oder Geräteauswertung und keine Klickzahlen je Link. Wer diese Zahlen braucht, ist bei carddy falsch.

Frage 3: Werden Cookies gesetzt — und braucht es einen Banner?

Ein Cookie-Banner auf einer Visitenkarte ist ein Warnzeichen: Er steht meistens dort, weil im Hintergrund gemessen wird. Frag darum getrennt nach der öffentlichen Kartenseite und nach dem eingeloggten Bereich — und danach, ob fremde Dienste eingebunden sind, die ihrerseits etwas setzen.

  • Auf der öffentlichen Kartenseite setzt carddy keinen Cookie. Darum steht dort auch kein Cookie-Banner.
  • Cookies gibt es nur im eingeloggten Bereich, und es sind zwei: carddy_session für deine Anmeldung (30 Tage) und carddy_karte für die Notiz, welche Karte du im Dashboard zuletzt offen hattest. Beide betreffen dich, nicht dein Gegenüber, und dienen weder Werbung noch Analyse.
  • Zur Sitzung halten wir zusätzlich fest, mit welchem Browser du dich angemeldet hast. Das sind deine eigenen Daten, aber es gehört auf die Liste.
  • Im Browser läuft kein fremdes Skript: keine Analyse-Werkzeuge, keine Schriften von fremden Servern (sie kommen über next/font vom eigenen), kein eingebettetes Bezahlfenster — Stripe wird beim Buchen angesteuert, nicht in die Seite gelegt.

Frage 4: Wem gehören die Kontakte, die andere hinterlassen?

Sobald ein Werkzeug ein Formular anbietet, sammelst du Daten anderer Leute. Dann bist in aller Regel du die verantwortliche Stelle, nicht der Anbieter — und du musst sagen können, was damit passiert. Frag deshalb: Was steht im Formular drin, was leitet der Anbieter zusätzlich ab, wer darf die Daten sehen, und wie löscht man einen einzelnen Eintrag wieder?

  • Unten auf jeder carddy-Karte steht zugeklappt «Deine Angaben hinterlassen». Pflicht sind der Name und mindestens E-Mail oder Telefon, freiwillig sind Firma und eine Notiz bis 500 Zeichen. Mehr Felder gibt es nicht.
  • Erhoben wird ausschliesslich, was jemand selbst eintippt. Keine IP, kein Cookie, nichts Abgeleitetes. Eine nicht veröffentlichte Karte nimmt gar nichts entgegen.
  • Abschnitt 5 unserer Datenschutzerklärung hält fest: verantwortlich für diese Kontakte ist die Person, deren Karte sie erhalten hat. Die Frascati GmbH speichert sie in deren Auftrag — keine Werbung, keine Weitergabe, keine Auswertung.
  • Du siehst die Einträge im Dashboard mit Name, Firma, E-Mail, Telefon, Notiz und Eingangsdatum und kannst jeden einzeln löschen.
  • Zusätzlich schicken wir dir bei einem neuen Eintrag eine E-Mail; sie enthält die hinterlassenen Angaben. Massgeblich ist die Liste im Dashboard — dort steht jeder Eintrag, auch wenn eine Mail einmal nicht ankommt.
  • Sammeln und Ansehen ist in jedem Plan gratis, auch im Free-Plan. Nur der Export als CSV gehört zu Pro. Eine Grenze beim Sammeln hätte echte Kontakte verloren gehen lassen — das wollten wir nicht.
  • Was das nicht ist: ein unterschriebener Auftragsbearbeitungsvertrag. Dazu unten mehr.

Frage 5: Wie lange bleiben die Daten — und was passiert nach der Kündigung?

Zwei Fragen, die beim Einkauf am häufigsten vergessen werden und später am meisten schmerzen. Bei einer digitalen Visitenkarte hängt eine gedruckte oder gravierte Adresse daran: Schaltet der Anbieter die Seite nach dem letzten Zahlungstag ab, zeigt jeder verteilte QR-Code ins Leere. Frag also nach den Aufbewahrungsfristen, nach der Kontolöschung und danach, ob die Adresse erreichbar bleibt.

  • Aufbewahrung: Kontodaten und Karteninhalte bleiben, solange dein Konto besteht. Anmelde-Token verfallen nach 15 Minuten, Sitzungen nach 30 Tagen. Rechnungsdaten unterliegen der gesetzlichen Frist von zehn Jahren.
  • Löschst du dein Konto, entfernen wir Karten, Links, Statistik und die gesammelten Kontakte. Du hast zudem das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Bearbeitung und Datenherausgabe — eine kurze Nachricht an info@frascatigmbh.ch genügt. Der Weg zum EDÖB steht dir offen.
  • Kündigst du carddy Pro, fällt das Konto auf Free zurück. Die Karten bleiben online — auch die, die über der Free-Grenze von zwei Karten liegen. Du kannst danach nur keine neuen mehr anlegen.
  • Gedruckte QR-Codes und die feste Adresse carddy.ch/k/… funktionieren weiter. Es wird nichts automatisch gelöscht; löschen kannst nur du selbst, im Konto.
  • Weg sind die Pro-Merkmale: eigene Akzentfarbe, dunkles Theme, Firmenlogo, der Tagesverlauf über 30 Tage und der CSV-Export. Der Hinweis «Erstellt mit carddy» erscheint wieder auf der Karte und in der E-Mail-Signatur.
  • Die bereits gesammelten Kontakte bleiben im Dashboard sichtbar und löschbar — nur herunterladen als CSV geht ohne Pro nicht mehr.
  • Rechnungen bleiben über das Stripe-Kundenportal abrufbar, auch nachdem das Abo ausgelaufen ist. Gekündigt wird ebenfalls dort, ohne Mail an uns.

Was carddy nicht vorweisen kann

Wer eine Prüfung macht, braucht auch die Gegenliste. Diese Punkte fehlen bei carddy heute, Stand August 2026. Wenn einer davon für deine Firma zwingend ist, prüfe ihn vor dem Start statt nachher.

  • Die Rechtstexte — Impressum, Datenschutzerklärung, AGB — sind selbst geschrieben und noch nicht anwaltlich geprüft. Ein Briefing für die Prüfung liegt bereit.
  • Es gibt keinen Auftragsbearbeitungsvertrag zum Unterzeichnen und keinen entsprechenden Anhang. Wenn deine Compliance-Stelle ein unterschriebenes Dokument verlangt, kann carddy das heute nicht liefern.
  • Keine ISO-Zertifikate, kein Bericht eines externen Penetrationstests.
  • Die Anmeldung läuft ausschliesslich über einen Einmal-Link per E-Mail. Kein Passwort, kein Google- oder Apple-Login, keine Zwei-Faktor-Anmeldung, kein SSO, keine Rollen und keine Nutzerverwaltung für Teams.
  • Keine eigene Domain und kein White-Label: Deine Karte liegt immer auf carddy.ch/dein-name. Pro entfernt nur den Hinweis, nicht die Adresse.
  • Die Anwendung gibt es nur auf Deutsch — kein Französisch, kein Italienisch, kein Englisch.
  • Stripe hat für uns noch keine Steuerregistrierung hinterlegt, obwohl die Frascati GmbH seit dem 26.05.2026 mehrwertsteuerpflichtig ist. Bis der Treuhänder das erledigt hat, weist die Rechnung die 8.1 % nicht getrennt aus. Die Preise verstehen sich inklusive Mehrwertsteuer.
  • Anbieterin ist die Frascati GmbH, Auf der Wacht 18, 4104 Oberwil BL, UID CHE-395.453.850. Schweizer Recht, Rechnung in Schweizer Franken.

Häufige Fragen

Erfüllt carddy das revDSG und die DSGVO?▾

Diese Frage kann seriös kein Anbieter für dich beantworten, weil es davon abhängt, was du mit dem Werkzeug tust. Was wir sagen können: Kartendaten und hinterlassene Kontakte liegen in Frankfurt, beim Aufruf einer Karte werden weder IP-Adresse noch Cookie noch Browserkennung gespeichert, und Abschnitt 5 unserer Datenschutzerklärung regelt die Rolle bei Daten dritter Personen. Legt jemand die Karte als Pass in Apple Wallet, speichern wir von seinem Gerät eine Gerätekennung und ein Push-Token, damit das Telefon eine geänderte Karte nachladen kann. Was wir nicht sagen können: Die Texte sind selbst geschrieben und noch nicht anwaltlich geprüft, und einen Auftragsbearbeitungsvertrag zum Unterzeichnen gibt es nicht.

Werden Cookies gesetzt, wenn jemand meine Karte öffnet?▾

Nein. Auf der öffentlichen Kartenseite setzt carddy keinen Cookie und speichert keine IP-Adresse. Festgehalten wird pro Aufruf nur: welche Karte, welche Art, welche Quelle, wann. Cookies gibt es ausschliesslich im eingeloggten Bereich, und es sind zwei: carddy_session für deine Anmeldung und carddy_karte für die zuletzt geöffnete Karte. Deshalb erscheint auf der Karte auch kein Cookie-Banner.

Wo liegen meine Kontaktdaten genau?▾

In einer Neon-Datenbank in der AWS-Region eu-central-1 in Frankfurt. Die Anwendung läuft in der Vercel-Region fra1, ebenfalls Frankfurt; das steht fest in der vercel.json des Projekts. Betrieben werden beide Dienste von US-Firmen, und die Auslieferung der Seite läuft über Vercels weltweites Netz — für Übermittlungen in die USA stützen wir uns auf die Standardvertragsklauseln. E-Mails laufen über Resend: der Anmeldelink an dich und die Benachrichtigung über einen neuen Kontakt, in der die hinterlassenen Angaben stehen. Zahlungen laufen über Stripe.

Wem gehören die Kontakte, die jemand auf meiner Karte hinterlässt?▾

Dir. Verantwortlich für diese Angaben ist die Person, deren Karte sie erhalten hat; die Frascati GmbH speichert sie in deren Auftrag, damit sie im Konto abrufbar sind. Wir verwenden sie für nichts anderes — keine Werbung, keine Weitergabe, keine Auswertung. Bei einem neuen Eintrag schicken wir dir eine E-Mail, in der diese Angaben stehen. Einzelne Einträge kannst du jederzeit selbst löschen. Das gilt in jedem Plan; nur der CSV-Export gehört zu Pro.

Wie lange werden meine Daten gespeichert und kann ich alles löschen?▾

Kontodaten und Karteninhalte bleiben, solange dein Konto besteht. Anmelde-Token verfallen nach 15 Minuten, Sitzungen nach 30 Tagen, Rechnungsdaten unterliegen der gesetzlichen Aufbewahrungsfrist von zehn Jahren. Löschst du dein Konto, entfernen wir Karten, Links, Statistik und die gesammelten Kontakte. Einzelne Kontakte und einzelne Karten kannst du jederzeit selbst löschen. Auskunft, Berichtigung, Löschung, Einschränkung und Datenherausgabe kannst du per Nachricht an info@frascatigmbh.ch verlangen; der Weg zum EDÖB steht dir offen.

Was passiert mit meiner Karte, wenn ich kündige?▾

Sie bleibt online und läuft im Free-Umfang weiter, auch wenn du mehr Karten hast, als Free erlaubt — du kannst dann bloss keine neuen anlegen. Gedruckte QR-Codes funktionieren weiter. Gelöscht wird nichts ausser von dir selbst. Weg sind nur die Pro-Merkmale: eigene Farbe, dunkles Theme, Firmenlogo, Tagesverlauf über 30 Tage und CSV-Export.

In zwei Minuten steht deine Karte.

Kostenlos anfangen, ohne Kreditkarte. Zwei Karten und Links ohne Limit sind im Free-Plan enthalten.

Kostenlos starten