Datenschutzerklärung der Graubündner Kantonalbank

Für bestimmte Datenbearbeitungen, z.B. bei von der GKB angebotenen Apps wie Twint oder für GKB Mobile Banking, bestehen weitere Bestimmungen (wie z.B. Allgemeine Geschäfts- oder Nutzungsbedingungen). Diese sind auf den entsprechenden Websites oder in den entsprechenden Apps verfügbar.

1. Wer ist für die Datenbearbeitung verantwortlich, und an wen können Sie sich wenden?

Für die Datenbearbeitung verantwortlich ist:

2. Welche Quellen und Kategorien von Personendaten nutzen wir?

Wir bearbeiten (d.h. erheben, speichern, verwenden, übermitteln oder löschen) Personendaten aus folgenden Quellen:

• Von Kunden, Interessenten, Besuchern und Lieferanten zur Führung einer Geschäftsbeziehung erhaltene Personendaten, z.B. im Rahmen eines Beratungsgesprächs oder auf unseren Websites (bitte beachten Sie, dass Sie uns Daten Dritter nur bekanntgeben dürfen, wenn Sie die entsprechenden Personen durch einen Hinweis auf diese Datenschutzerklärung vorgängig über die Bearbeitung informiert haben)
• Personendaten, die uns von Dritten zur Erbringung ihrer Dienstleistung berechtigt mitgeteilt werden (z.B. von der Zentralstelle für Kreditinformationen [ZEK], der Informationsstelle für Konsumkredit [IKO] oder von Kooperationspartnern wie Drittbanken, Betreibern von Abwicklungssystemen, Kartenherausgebern)
• Personendaten, die uns von Amtsstellen oder Behörden im Rahmen ihrer Tätigkeit mitgeteilt werden (z.B. von Gerichten, Staatsanwaltschaften, Kinder- und Erwachsenenschutzbehörden)
• Personendaten, die aus öffentlich zugänglichen Quellen gewonnen werden (z.B. Grundbüchern, Handelsregistern, Presse, Internet)

Welche Personendaten wir bearbeiten, hängt vor allem von den Produkten und Dienstleistungen ab, die Sie nutzen. Die Kundendaten lassen sich in folgende Kategorien einteilen:

• Personalien (z.B. Name, Vorname, Geburtstag, Staatsangehörigkeit, Adress- und andere Kontaktdaten), Steuer-ID Nummer, Legitimationsdaten (z.B. Ausweisdaten) und Authentifikationsdaten (z.B. Unterschriftsprobe)
• Bestandesdaten (z.B. Vertragsnummern oder Informationen zum Konto, Depot oder zu abgeschlossenen Geschäften)
• Transaktions- bzw. Auftrags- und Risikomanagementdaten (z.B. Zahlungsauftragsdaten, gegebenenfalls Details zu Mandatserteilung, Anlageprodukten, Risiko- und Anlageprofil und Informationen über Ihre Einkommens- und Vermögensverhältnisse wie Bonitätsdaten, Scoring-/Ratingdaten)
• Marketingdaten (z.B. Bedürfnisse, Wünsche und Präferenzen)
• Dokumentationsdaten (z.B. Beratungsprotokolle) und allgemeine Korrespondenz
• Registrierungsdaten im Zusammenhang mit bestimmten Angeboten (z.B. Login-Bereiche unserer Website, Newsletter-Versand, kostenloser WLAN-Zugang) und Zugangskontrollen zu bestimmten Anlagen; je nach Kontrollsystem auch biometrische Daten
• Kommunikationsdaten (z.B. im Zusammenhang mit Kontaktformular, per E-Mail, Telefon oder Chat, brieflich oder über sonstige Kommunikationsmittel)
• Verhaltens- und Präferenzdaten (z.B. Online-Tracking, Produktnutzung)
• Technische Daten (z.B. interne und externe Kennungen, IP-Adressen, Aufzeichnungen von Zugriffen oder Änderungen, Cookie-Informationen)
• Sonstige Daten (z.B. Fotos, Videos und Tonaufnahmen von Anlässen oder durch Sicherheitskameras, im Zusammenhang mit behördlichen oder gerichtlichen Verfahren, Akten oder Beweismittel)

Die GKB bearbeitet Interessenten- und Besucherdaten im Hinblick auf einen möglichen Produkt- oder Dienstleistungsabschluss. Dabei werden insbesondere folgende Daten bearbeitet:

• Personalien und Bestandesdaten wie z.B. Name, Vorname, Adresse, Geburtsdatum, Geschlecht, Telefonnummer, E-Mail-Adresse
• Technische Daten wie z.B. interne und externe Kennungen, IP-Adressen, Aufzeichnungen von Zugriffen oder Änderungen
• Produkt-, Dienstleistungsentwicklungs- und Marketingdaten wie z.B. Bedürfnisse, Wünsche oder Präferenzen

Personendaten von Geschäftspartnern, ihren Mitarbeitenden und Beauftragten werden im Rahmen der vertraglichen Geschäftsbeziehung bearbeitet. Darunter fallen insbesondere folgende Daten:

• Personalien und Bestandesdaten wie z.B. Name, Vorname, Adresse, Geburtsdatum, Telefonnummer, E-Mail-Adresse, Vertragsnummern und -dauer, Informationen zum Konto oder zu abgeschlossenen Geschäften
• Technische Daten wie z.B. interne und externe Kennungen, Geschäftsnummern, IP-Adressen, Aufzeichnungen von Zugriffen oder Änderungen

Zudem kann die GKB Telefonate, sofern gesetzlich vorgesehen oder zu Schulungs- und Qualitätssicherungszwecken, aufzeichnen. Videoaufzeichnungen erfolgen aus Sicherheitsgründen sowie zwecks Aufklärung allfälliger Straftaten, insbesondere im Bereich der bankeigenen Geldautomaten und Bankräume.

Im Weiteren bearbeitet die GKB Stamm- und Bestandesdaten von ihren Partizipanten.

3. Zu welchem Zweck bearbeiten wir Ihre Daten, und auf welcher Rechtsgrundlage?

Wir bearbeiten Personendaten im Einklang mit den massgeblichen Datenschutzbestimmungen.

a) Zur Erfüllung von vertraglichen Pflichten
Die Bearbeitung von Daten erfolgt zwecks Erbringung von Bankgeschäften und Finanzdienstleistungen im Rahmen vorvertraglicher Massnahmen, die auf Anfrage hin erfolgen, oder zwecks Durchführung der Verträge mit unseren Kunden sowie Geschäftspartnern. Die Zwecke der Datenbearbeitung richten sich in erster Linie nach dem konkreten Produkt (z.B. Konto, Einlagen, Wertpapiere, Kredit, Vermittlung) und können unter anderem Bedarfsanalysen, Beratung, Vermögensverwaltung und -betreuung sowie die Durchführung von Transaktionen umfassen. Weitere Einzelheiten zu den Datenbearbeitungszwecken finden Sie in den jeweiligen Vertragsunterlagen und Geschäftsbedingungen.

b) Im Rahmen der lnteressenabwägung
Soweit erforderlich bearbeiten wir Ihre Daten über die eigentliche Vertragserfüllung hinaus, um unsere berechtigten Interessen oder diejenigen Dritter zu wahren, z.B.:

• Konsultation von und Datenaustausch mit Auskunftsstellen (z.B. Betreibungsamt, Zentralstelle für Kreditinformation [ZEK], Informationsstelle für Konsumkredit [IKO]) zur Ermittlung von Bonitäts- bzw. Ausfallrisiken im Kreditgeschäft
• Prüfung und Optimierung von Verfahren zur Bedarfsanalyse für die direkte Kundenansprache bzw. Kundenakquisition
• Werbung oder Markt- und Meinungsforschung, soweit Sie der Nutzung Ihrer Daten nicht widersprochen haben (siehe Ziff. 8)
• Geltendmachung rechtlicher Ansprüche und Verteidigung bei rechtlichen Streitigkeiten
• Gewährleistung der IT-Sicherheit und des IT-Betriebs der GKB
• Verhinderung und Aufklärung von Straftaten
• Massnahmen zur Sicherstellung des Hausrechts, einschliesslich Videoüberwachungen, Sammlung von Beweismitteln bei Überfällen und anderen Delikten oder zum Nachweis von Verfügungen (z.B. an Geldautomaten)
• Massnahmen zur Gebäude- und Anlagensicherheit (z.B. Zutrittskontrollen)
• Massnahmen zur Geschäfts- und Risikosteuerung innerhalb der GKB sowie Weiterentwicklung von Dienstleistungen und Produkten

Zudem erheben wir Personendaten aus öffentlich zugänglichen Quellen zum Zweck der Kundenakquisition.

c) Aufgrund Ihrer Einwilligung
Wenn Sie uns eine Einwilligung zur Bearbeitung von Personendaten für bestimmte Zwecke erteilt haben, bearbeiten wir Ihre Personendaten entsprechend. Eine erteilte Einwilligung kann widerrufen werden. Der Widerruf tritt ab dem Zeitpunkt des Widerrufs in Kraft. Bearbeitungen, die vor dem Widerruf erfolgt sind, sind davon nicht betroffen (siehe Ziff. 8).

d) Aufgrund gesetzlicher Vorgaben oder im öffentlichen Interesse
Als Bank unterliegen wir diversen rechtlichen Verpflichtungen. Unter anderem sind dies gesetzliche bzw. regulatorische, standesrechtliche und bankaufsichtsrechtliche Vorgaben (z.B. Schweizerisches Bankengesetz, Finanzmarktinfrastrukturgesetz, Kollektivanlagengesetz, Geldwäschereigesetz, Pfandbriefgesetz, Steuergesetze, Verordnungen und Rundschreiben der Eidgenössischen Finanzmarktaufsicht [FINMA], Richtlinien der Schweizerischen Bankiervereinigung oder Anforderungen der Schweizerischen Nationalbank).

Zu den Zwecken der Bearbeitung gehören unter anderem die Kreditwürdigkeitsprüfung, die Identitäts- und Altersprüfung, die Betrugs- und Geldwäschereiprävention, die Erfüllung steuerrechtlicher Kontroll- und Meldepflichten und die Bewertung und Steuerung von Risiken innerhalb der GKB.

Innerhalb der GKB haben diejenigen Stellen Zugriff auf Ihre Daten, die diese zur Erfüllung unserer vertraglichen und gesetzlichen Pflichten benötigen. Zu diesem Zweck können auch von uns eingesetzte Dienstleister und Erfüllungsgehilfen (insbesondere sog. Auftragsbearbeiter) Daten erhalten und bearbeiten. Es handelt sich hierbei insbesondere um Unternehmen in den Kategorien Bankdienstleistungen, Marketing, IT-Dienstleistungen, Logistik, Druckdienstleistungen, Telekommunikation, Inkasso, Beratung und Vertrieb. Ihr Beizug erfolgt nach sorgfältiger Überprüfung sowie im Einklang mit den banken- und datenschutzrechtlichen Bestimmungen. Sie werden unter anderem zur Wahrung des Bankkundengeheimnisses, soweit Bankkunden betroffen sind, und der datenschutzrechtlichen Anforderungen verpflichtet.

Informationen über Sie dürfen wir nur an Dritte weitergeben bzw. diesen zugänglich machen, wenn dafür eine rechtliche (insbesondere gesetzliche) Grundlage besteht, Sie eingewilligt haben (z.B., um eine uns von Ihnen in Auftrag gegebene Finanztransaktion durchzuführen) oder wir zur Erteilung einer Bankauskunft befugt sind. Unter diesen Voraussetzungen können Empfänger von Personendaten z.B. sein:

• Amtsstellen (z.B. Strafverfolgungsbehörden, Aufsichtsbehörden [insbesondere FINMA], Gerichte, Betreibungs- und Konkursämter, Erbschaftsbehörden, Kindes- und Erwachsenenschutzbehörden) bei Vorliegen einer gesetzlichen oder anderweitigen rechtlichen Grundlage bzw. Verpflichtung
• Kredit- und Finanzdienstleistungsinstitute oder vergleichbare Einrichtungen, an die wir zur Durchführung der Geschäftsbeziehung Personendaten übermitteln (z.B. Korrespondenzbanken, Depotbanken, Broker, Börsen, Auskunftsstellen)
• Abwicklungsstellen des Zahlungsverkehrs und des Wertschriftenhandels mit internationalem Bezug
• Dienstleister im In- und Ausland, die in unserem Auftrag oder in gemeinsamer Verantwortlichkeit mit diesen Daten über Sie arbeiten oder in eigener Verantwortlichkeit Daten über Sie von uns erhalten. Dienstleistungen von Dritten betreffen zum Beispiel IT-Dienstleistungen, den Versand von Informationen, Marketing-, Vertriebs-, Kommunikations oder Druckdienstleistungen, Organisation und Durchführung von Veranstaltungen und Empfängen, das Inkasso, Wirtschaftsauskunfteien, Adressprüfer (z.B. zur Aktualisierung von Adressbeständen bei Umzügen), Betrugsbekämpfungsmassnahmen sowie Leistungen von Beratungsunternehmen, Anwälten und Telekom-Unternehmen. Die involvierten Dienstleister informieren über ihre eigenständigen Datenverarbeitungen in ihren eigenen Datenschutzerklärungen.

5. Werden Daten an einen Drittstaat oder an eine internationale Organisation übermittelt?

Eine Datenübermittlung an Stellen in Ländern ausserhalb der Schweiz (Drittstaaten) findet statt, soweit

• es zur Ausführung Ihrer Aufträge erforderlich ist (z.B. Zahlungs- und Wertpapieraufträge),
• es gesetzlich vorgeschrieben ist (z.B. steuerrechtliche Meldepflichten, Amts- und Rechtshilfe gegenüber ausländischen Behörden),
• es aufgrund des Beizugs von Dienstleistern (Auftragsbearbeitern) notwendig ist,
• es aus Gründen der IT-Sicherheit bzw. zwecks Erkennung von Cyber-Angriffen geboten erscheint oder
• Sie uns Ihre Einwilligung erteilt haben.

Die unter Ziff. 4 genannten Empfänger von Personendaten können sich in der Schweiz, aber auch im Ausland befinden. Ihre Personendaten können daher auf der ganzen Welt bearbeitet werden. Befindet sich ein Empfänger in einem Land ohne angemessenen Datenschutz, z.B. in den USA, verpflichten wir diesen durch den Abschluss anerkannter Standardvertragsklauseln zur Einhaltung eines angemessenen Datenschutzes oder stützen uns auf eine gesetzliche Ausnahmebestimmung (z.B. Ihre Einwilligung, den Abschluss oder die Abwicklung eines Vertrags, die Wahrung überwiegender öffentlicher Interessen, die Durchsetzung von Rechtsansprüchen, oder wenn es sich um von Ihnen allgemein zugänglich gemachte Daten handelt, deren Bearbeitung Sie nicht widersprochen haben).

6. Wie lange werden Ihre Daten gespeichert?

Wir bearbeiten und speichern Personendaten, solange es für die Erfüllung unserer vertraglichen und gesetzlichen Pflichten erforderlich ist. Dabei ist zu beachten, dass die Geschäftsbeziehung mit einem Kunden in der Regel ein auf mehrere Jahre angelegtes Dauerschuldverhältnis ist.

Sind die Daten für die Erfüllung der Pflichten nicht mehr erforderlich, werden sie – soweit technisch möglich – regelmässig gelöscht, es sei denn, deren befristete Weiterbearbeitung ist für folgende Zwecke erforderlich:

• Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (insbesondere gemäss Schweizerischem Obligationenrecht, Mehrwertsteuergesetz, Bundesgesetz über die direkte Bundessteuer, Bundesgesetz über die Harmonisierung der direkten Steuern der Kantone und Gemeinden, Bundesgesetz über die Stempelabgaben, Geldwäschereigesetz oder Verrechnungssteuergesetz)
• Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder spezielle Aufbewahrungsvorschriften (diese können zur Aufbewahrung für eine bestimmte oder unbestimmte Zeitperiode verpflichten)

7. Wie werden Ihre Daten geschützt?

Wir setzen aktuelle und angemessene technische und organisatorische Massnahmen zum Schutz Ihrer Personendaten ein. Dazu gehören unter anderem der Einsatz von Authentifikations- und Verschlüsselungstechnologien und Firewalls, Antivirenschutz, physische und technische Zugangsbeschränkungen, Sicherheitskontrollen für interne und externe IT-Dienstleistungen sowie die Schulung und Sensibilisierung der Mitarbeitenden und Dienstleister.

8. Welche Datenschutzrechte haben Sie?

Jede betroffene Person hat hinsichtlich der sie betreffenden Daten, im Rahmen des anwendbaren Datenschutzrechts das Recht auf Auskunft, das Recht auf Berichtigung, das Recht auf Löschung, das Recht auf Einschränkung der Bearbeitung, das Recht auf Widerspruch sowie das Recht auf Datenübertragbarkeit. Darüber hinaus haben Sie ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde.

Eine erteilte Einwilligung in die Bearbeitung von Personendaten können Sie jederzeit uns gegenüber widerrufen (siehe auch oben in Ziff. 3 lit. c). Der Widerruf wirkt für die Zukunft und berührt die Rechtmässigkeit der bis zum Widerruf bearbeiteten Daten nicht. Mit dem Widerruf werden Ihre Personendaten nicht mehr für den entsprechenden Zweck bearbeitet, sofern nicht überwiegende private oder öffentliche Interessen oder das Gesetz die Weiterbearbeitung erlauben. Dasselbe gilt, wenn Sie einer Datenbearbeitung widersprechen.

Sie können Ihre Rechte mittels Schreiben oder E-Mail, möglichst unter Beilage einer ID- bzw. Passkopie, an die oben in Ziffer 1 erwähnte Stelle ausüben.

Bitte beachten Sie, dass diese Rechte gesetzlichen Voraussetzungen und Einschränkungen unterliegen (z.B. können wir Daten nicht löschen, wenn wir diesbezüglich einer Aufbewahrungspflicht unterliegen). Wir werden Sie über allfällige Einschränkungen informieren.

9. Besteht für Sie eine Pflicht zur Bereitstellung von Daten?

Sie müssen diejenigen Personendaten bereitstellen, welche für die Aufnahme und Erfüllung der Geschäftsbeziehung erforderlich sind. Ohne diese Daten werden wir in der Regel nicht in der Lage sein, den Vertrag mit Ihnen zu schliessen, die von Ihnen gewünschten Dienstleistungen zu erbringen oder Ihnen Produkte zur Verfügung zu stellen. Sodann können wir von Gesetzes wegen zur Erhebung von Personendaten verpflichtet sein. Insbesondere sind wir nach den geldwäschereirechtlichen Vorschriften verpflichtet, Sie vor der Begründung der Geschäftsbeziehung anhand eines Ausweisdokumentes zu identifizieren und dabei Angaben wie Namen, Geburtsort, Geburtsdatum, Staatsangehörigkeit, Adresse sowie Ausweisdaten zu erheben und festzuhalten. Damit wir dieser gesetzlichen Pflicht nachkommen können, haben Sie uns gemäss Geldwäschereigesetz die notwendigen Informationen und Unterlagen zur Verfügung zu stellen und uns sich im Laufe der Geschäftsbeziehung ergebende Änderungen unverzüglich anzuzeigen. Sollten Sie uns die erforderlichen Unterlagen und Informationen nicht zur Verfügung stellen, dürfen wir die Geschäftsbeziehung nicht aufnehmen oder fortsetzen.

10. Gibt es eine automatisierte Entscheidungsfindung?

Wir treffen in der Regel keine Einzelentscheidungen, die ausschliesslich auf einer automatisierten Bearbeitung Ihrer Personendaten beruhen und für Sie mit einer Rechtsfolge verbunden sind oder Sie erheblich beeinträchtigen. Andernfalls werden wir Sie den gesetzlichen Vorgaben gemäss informieren und Ihnen die entsprechenden Rechte einräumen. Konkret haben Sie dann die Möglichkeit, Ihren Standpunkt darzulegen und zu verlangen, dass die Entscheidung von einer natürlichen Person überprüft wird.

11. Für welche Zwecke findet Profiling statt?

Wir bearbeiten Ihre Personendaten in bestimmten Fällen automatisiert, um bestimmte persönliche Aspekte des Kunden zu bewerten (Profiling). Wir setzen beispielsweise in folgenden Fällen Profiling ein:

• Vertragsprüfung und -abwicklung (z.B. im Zusammenhang mit der Risikoprofilierung und Ermittlung Ihrer Anlagestrategie oder zur Prüfung Ihrer Kreditwürdigkeit)
• Identifizierung von Risiken, insbesondere im Zusammenhang mit dem Risikomanagement bzw. der Geldwäscherei-, Missbrauchs- und Betrugsbekämpfung und der IT-Sicherheit
• Personalisierung von Werbung für unsere Produkte und Dienstleistungen und solche unserer Kooperationspartner (damit Sie möglichst nur Informationen zu solchen Angeboten erhalten, die Sie tatsächlich interessieren)
• Marktforschung, Produktentwicklung und -verbesserung (damit wir unsere Produkte und Dienstleistungen sowie unsere Websites und Apps entsprechend den Kunden- bzw. Nutzerbedürfnissen weiterentwickeln und verbessern können)

12. Werden biometrische Daten erhoben?

Biometrische Daten gelten als besonders schützenswerte Personendaten. Daher ist Ihre separate und ausdrückliche Einwilligung erforderlich, um Ihren Fingerabdruck oder ein anderes biometrisches Erkennungssystem für den Zugriff auf Applikationen oder Einrichtungen zu verwenden.

13. Welche Cookies und andere Tracking- und Analysetechnologien werden eingesetzt?

Wir setzen auf unseren Websites bzw. Apps sogenannte Cookies bzw. andere Tracking- und Analysetechnologien ein. Für weitere Informationen hierzu lesen Sie bitte unsere Cookie-Policy auf gkb.ch/rechtlichehinweise. Bitte beachten Sie, dass wir auch Ihr Verhalten im Zusammenhang mit unseren Newslettern verfolgen (z.B., ob und wann Sie einen solchen geöffnet bzw. darin enthaltene Links aufgerufen haben). In unseren Apps können wir weitere Tracking- und Analysetechnologien von Drittanbietern einsetzen, um Ihr Nutzungsverhalten erheben und analysieren zu lassen. Dadurch können wir unsere Apps fortlaufend optimieren und Fehler identifizieren. Sie haben jederzeit die Möglichkeit, die Erhebung und Übermittlung Ihrer Nutzungsdaten an den jeweiligen Anbieter in der jeweiligen App in den Einstellungen auszuschalten.

14. Änderungen der Datenschutzerklärung

Wir behalten uns das Recht vor, diese Datenschutzerklärung von Zeit zu Zeit abzuändern. Die jeweils auf gkb.ch/datenschutzerklaerung veröffentlichte Version ist die jeweils geltende Fassung.

Stand: September 2023