1. Präambel und Geltungsbereich

Die SWIX MONACO S.A.M. («SWIX MC») misst dem Schutz und der Sicherheit der ihr anvertrauten personenbezogenen Daten höchste Bedeutung bei. Als im Fürstentum Monaco ansässige Vermögensverwaltungsgesellschaft verarbeitet sie hochsensible persönliche und finanzielle Informationen über ihre Kunden und die mit ihnen verbundenen Personen sowie Daten über ihre Lieferanten, Geschäftspartner und Mitarbeitenden.

Diese Richtlinie erläutert in klaren Worten, wie SWIX MC personenbezogene Daten erhebt, verwendet, aufbewahrt und schützt und welche Rechte den betroffenen Personen zustehen. Sie spiegelt die Pflichten wider, die für SWIX MC gemäss dem Gesetz Nr. 1.565 vom 3. Dezember 2024 über den Schutz personenbezogener Daten, der Souveränen Verordnung Nr. 11.327 vom 10. Juli 2025 zur Umsetzung dieses Gesetzes sowie den Empfehlungen der Autorité de Protection des Données Personnelles (APDP) gelten.

Sie gilt für alle von SWIX MC verarbeiteten personenbezogenen Daten, unabhängig davon, ob diese direkt bei den betroffenen Personen, über professionelle Intermediäre oder von Drittdienstleistern erhoben werden, einschliesslich der über die Website der Gesellschaft erhobenen Daten. Sie ist Teil des Governance-Rahmens der Gesellschaft und wird durch detaillierte interne Verfahren ergänzt.

2. Verantwortlicher und Ansprechperson für Datenschutz

Die SWIX MONACO S.A.M., eine monegassische Aktiengesellschaft mit einem Aktienkapital von EUR 450’000, mit Sitz an der Villa le Dôme, 4/6 rue des Lilas, 98000 Monaco, eingetragen im Handels- und Industrieregister von Monaco unter der Nummer 26S10433, ist der Verantwortliche für die in dieser Richtlinie beschriebenen Verarbeitungstätigkeiten.

Es wurde eine Ansprechperson für Datenschutz (RPD) ernannt. Diese ist erreichbar unter dataprotection-swixmonaco@swixfo.com oder per Post am Sitz der Gesellschaft, zuhanden der Ansprechperson für Datenschutz.

3. Begriffsbestimmungen

• Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
• Verarbeitung: jeder Vorgang im Zusammenhang mit personenbezogenen Daten, einschliesslich Erhebung, Erfassung, Speicherung, Abfrage, Offenlegung, Löschung oder Vernichtung.
• Verantwortlicher: die Person, die über die Zwecke und Mittel der Verarbeitung entscheidet, in diesem Fall SWIX MC.
• Auftragsverarbeiter: ein Dienstleister, der personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet.
• Sensible Daten: Daten, insbesondere über die rassische oder ethnische Herkunft, politische, weltanschauliche oder religiöse Überzeugungen, die Gewerkschaftszugehörigkeit, die Gesundheit, das Sexualleben sowie über Straftaten und strafrechtliche Verurteilungen.

4. Betroffene Personen und Datenquellen

Diese Richtlinie gilt für: Kunden und potenzielle Kunden; wirtschaftlich Berechtigte, Bevollmächtigte und andere mit verwalteten Strukturen verbundene Personen; Lieferanten, professionelle Intermediäre und Geschäftspartner; Bewerbende und Mitarbeitende sowie Besucherinnen und Besucher der Website.

Daten werden erhoben:

• direkt bei der betroffenen Person;
• beim Kunden, wenn die Daten mit ihm verbundene Personen betreffen;
• bei professionellen Intermediären und Beratern, die die Geschäftsbeziehung vermitteln;
• bei Depotbanken und Brokern, in Bezug auf Konto- und Transaktionsdaten;
• bei Anbietern von Compliance-Datenbanken, für Sanktionsprüfungen, die Identifikation politisch exponierter Personen und die Suche nach negativen Informationen;
• aus öffentlichen Quellen und amtlichen Registern.

5. Zwecke der Verarbeitung

SWIX MC verarbeitet personenbezogene Daten ausschliesslich zu rechtmässigen und notwendigen Zwecken, die in direktem Zusammenhang mit den von ihr erbrachten Dienstleistungen stehen. Die Zwecke hängen von der Art der Beziehung ab und können Folgendes umfassen.

5.1 Kunden und potenzielle Kunden

• Aufnahme und Pflege der Kundenbeziehung, einschliesslich Kundenaufnahme, Eignungsprüfung und Portfolioverwaltung.
• Durchführung von Finanzanalysen, Erbringung von Anlageberatung und Vermögensverwaltungsdienstleistungen gemäss den vereinbarten Mandaten.
• Erfüllung gesetzlicher und regulatorischer Pflichten, insbesondere in Bezug auf die Bekämpfung von Geldwäscherei und Terrorismusfinanzierung, Sanktionsprüfungen und Steuermeldungen.
• Kommunikation mit Kunden über ihre Portfolios, Marktentwicklungen, Kapitalmassnahmen und andere relevante Angelegenheiten.

5.2 Verbundene Personen und wirtschaftlich Berechtigte

• Identifizierung und Überprüfung wirtschaftlich Berechtigter, Bevollmächtigter und anderer verbundener Personen gemäss den Pflichten zur Bekämpfung von Geldwäscherei und Terrorismusfinanzierung sowie den steuerlichen Pflichten.
• Verwaltung von Kundenstrukturen wie Trusts, Stiftungen oder Holdinggesellschaften.

5.3 Lieferanten und Geschäftspartner

• Verwaltung von Verträgen, Zahlungen und Due Diligence in Bezug auf Drittdienstleister und professionelle Intermediäre.
• Führung eines Lieferantenregisters gemäss den regulatorischen Erwartungen.

5.4 Mitarbeitende und Bewerbende

• Verwaltung des Arbeitsverhältnisses, einschliesslich Lohnabrechnung, Mitarbeitendenleistungen, Weiterbildung und Leistungsbeurteilung.
• Bearbeitung von Bewerbungen künftiger Mitarbeitender und Dienstleister.

5.5 Allgemeiner Geschäftsbetrieb

• Gewährleistung der Sicherheit der IT- und Kommunikationssysteme, einschliesslich der Nutzung des Portfoliomanagementsystems Infront.
• Durchführung interner Revisionen, Risikomanagement und Compliance-Überwachung.
• Schutz der Sicherheit und Integrität von Räumlichkeiten, Systemen und Daten.
• Beantwortung von über die Website eingereichten Anfragen.

Personenbezogene Daten werden nicht für Zwecke verarbeitet, die mit den oben beschriebenen unvereinbar sind, es sei denn, dies ist gesetzlich vorgeschrieben oder zulässig. Wenn eine Einwilligung erforderlich ist, wird sie klar und in informierter Weise eingeholt.

6. Rechtsgrundlagen

SWIX MC verarbeitet personenbezogene Daten nur, wenn dafür eine gültige Rechtsgrundlage besteht. Dieser Abschnitt legt die in Artikel 5 des Gesetzes Nr. 1.565 vorgesehenen Rechtsgrundlagen dar, auf die sich die Gesellschaft stützen kann:

• Vertragserfüllung: Verarbeitung, die für den Abschluss, die Erfüllung und die Verwaltung von Vertragsbeziehungen mit Kunden, Lieferanten und Mitarbeitenden erforderlich ist;
• Erfüllung gesetzlicher Pflichten: insbesondere Kontrollen zur Bekämpfung von Geldwäscherei und Terrorismusfinanzierung, Steuermeldungen einschliesslich FATCA und des Common Reporting Standard sowie Aufbewahrungspflichten aus den monegassischen Vorschriften für nach dem Gesetz Nr. 1.338 bewilligte Gesellschaften;
• berechtigte Interessen von SWIX MC, abgewogen gegen die Rechte und Freiheiten der betroffenen Personen: Verbesserung der Dienstleistungen, Sicherheit der Systeme und Netzwerke sowie Unternehmensführung;
• Einwilligung, sofern gesetzlich vorgeschrieben, insbesondere für bestimmte Marketingmitteilungen und für die Verwendung von Cookies, die für den Betrieb der Website nicht erforderlich sind, wie Cookies zur Reichweitenmessung, sowie für die Verarbeitung sensibler Daten, sofern diese nicht anderweitig zulässig ist; die Einwilligung kann jederzeit widerrufen werden, ohne dass die Rechtmässigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird;
• Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person; bei sensiblen Daten setzt diese Rechtsgrundlage zusätzlich voraus, dass die Person aufgrund einer Beeinträchtigung ihrer Fähigkeiten, einer körperlichen oder rechtlichen Handlungsunfähigkeit oder einer tatsächlichen Unmöglichkeit nicht in der Lage ist, rechtsgültig einzuwilligen.

7. Aufbewahrungsfristen

SWIX MC bewahrt personenbezogene Daten nur so lange auf, wie es für die Zwecke, für die sie erhoben wurden, oder zur Erfüllung der geltenden gesetzlichen, regulatorischen und vertraglichen Pflichten erforderlich ist.

Die Aufbewahrungsfristen werden verlängert, wenn eine längere gesetzliche Pflicht, ein laufendes Verwaltungsverfahren oder ein hängiger Rechtsstreit dies erfordert. Nach Ablauf der geltenden Aufbewahrungsfristen löscht SWIX MC elektronische Aufzeichnungen sicher aus aktiven Systemen und Sicherungskopien, vernichtet Papierdokumente über einen zertifizierten Dienstleister oder anonymisiert die Daten gegebenenfalls unwiderruflich.

Die Gesellschaft überprüft regelmässig die von ihr gehaltenen Daten, um sicherzustellen, dass sie richtig und relevant bleiben und nur so lange wie nötig aufbewahrt werden.

8. Rechte der betroffenen Personen

Personen, deren Daten von SWIX MC verarbeitet werden, stehen unter den gesetzlich vorgesehenen Bedingungen folgende Rechte zu:

• Auskunftsrecht: eine Bestätigung darüber zu erhalten, ob sie betreffende personenbezogene Daten verarbeitet werden, und gegebenenfalls eine Kopie dieser Daten sowie Informationen über deren Verwendung zu erhalten;
• Recht auf Berichtigung unrichtiger oder unvollständiger Daten;
• Recht auf Löschung, wenn die Daten nicht mehr erforderlich sind, die Einwilligung widerrufen wurde und keine andere Rechtsgrundlage besteht oder die Verarbeitung unrechtmässig ist; SWIX MC kann jedoch gesetzlich verpflichtet sein, bestimmte Daten aufzubewahren, insbesondere während fünf Jahren nach Beendigung der Geschäftsbeziehung aufgrund ihrer Pflichten zur Bekämpfung von Geldwäscherei und Terrorismusfinanzierung;
• Recht auf Einschränkung der Verarbeitung, solange ein Einwand oder eine Überprüfung geprüft wird;
• Recht auf Datenübertragbarkeit;
• Widerspruchsrecht aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, auch im Zusammenhang mit Direktwerbung;
• Recht auf Widerruf der Einwilligung, wenn die Verarbeitung auf einer Einwilligung beruht;
• Recht, keiner Entscheidung unterworfen zu werden, die ausschliesslich auf einer automatisierten Verarbeitung – einschliesslich Profiling – beruht und ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, vorbehaltlich der Fälle, in denen eine solche Entscheidung gesetzlich zulässig ist;
• Recht auf Beschwerde bei der zuständigen Datenschutzbehörde.

Profiling und automatisierte Entscheidungsfindung

Im Rahmen ihrer Sorgfaltspflichten stuft SWIX MC das mit jeder Geschäftsbeziehung verbundene Risiko ein und legt ein Risikoprofil und Anlageziele fest; diese Verarbeitungstätigkeiten beinhalten ein Element des Profilings.

Keine Entscheidung, die rechtliche Wirkung entfaltet oder eine Person erheblich beeinträchtigt, wird ausschliesslich auf Grundlage einer automatisierten Verarbeitung getroffen: Jede Entscheidung, eine Geschäftsbeziehung aufzunehmen, abzulehnen oder zu beenden oder sie als Beziehung mit erhöhtem Risiko einzustufen, unterliegt einer menschlichen Beurteilung.

Sollte eine solche Entscheidung dennoch in einem der gesetzlich zulässigen Fälle ausschliesslich automatisiert getroffen werden, würde die betroffene Person darüber sowie über die zugrunde liegende Logik, die Tragweite und die angestrebten Auswirkungen der Verarbeitung informiert und hätte das Recht, das Eingreifen einer Person zu erwirken, ihren Standpunkt darzulegen und die Entscheidung anzufechten.

9. Ausübung Ihrer Rechte

Anfragen können per Post, elektronisch oder persönlich an die Ansprechperson für Datenschutz unter den in Abschnitt 15 genannten Kontaktdaten gerichtet werden.

SWIX MC überprüft die Identität der antragstellenden Person und kann bei begründeten Zweifeln zusätzliche Nachweise verlangen, einschliesslich einer Kopie eines amtlichen Ausweises mit der Unterschrift des Inhabers, sofern die Umstände dies erfordern.

SWIX MC informiert die betroffene Person innerhalb eines Monats nach Eingang schriftlich über die auf ihre Anfrage hin ergriffenen Massnahmen. Bei komplexen oder mehreren Anfragen kann diese Frist um zwei Monate verlängert werden, sofern die betroffene Person innerhalb eines Monats über die Gründe der Verlängerung informiert wird.

Wird die Gesellschaft auf die Anfrage hin nicht tätig, informiert sie die betroffene Person spätestens innerhalb derselben Frist über die Möglichkeit, Beschwerde bei der APDP einzulegen oder Klage beim erstinstanzlichen Gericht (Tribunal de première instance) zu erheben.

Die Informationen werden unentgeltlich zur Verfügung gestellt. Ist eine Anfrage offenkundig unbegründet oder missbräuchlich, insbesondere wegen ihres wiederholten Charakters, kann die Gesellschaft ein angemessenes Entgelt verlangen oder sich weigern, tätig zu werden, sofern sie den offenkundig unbegründeten oder exzessiven Charakter der Anfrage nachweist.

10. Datenübermittlungen ausserhalb Monacos

Angesichts des internationalen Charakters des Kundenstamms und der Tätigkeiten von SWIX MC können personenbezogene Daten ausserhalb des Fürstentums übermittelt, gespeichert und verarbeitet werden. Solche Übermittlungen erfolgen nur, wenn sie für die Erbringung der Dienstleistungen, die Erfüllung gesetzlicher Pflichten oder den Betrieb der Systeme der Gesellschaft erforderlich sind.

10.1 Übermittlungen in die Schweiz

SWIX MC verwendet das Portfoliomanagementsystem Infront zur Verwaltung der Portfolios ihrer Kunden und der zugehörigen Informationen. Die Server von Infront befinden sich in der Schweiz, ebenso wie die täglichen Cloud-Sicherungen.

Die Website der Gesellschaft wird von der WeDoIT Group Sagl, Via Gola di Lago, CH-6950 Tesserete, Schweiz, gehostet. In der Schweiz ansässige Dienstleister unterliegen dem schweizerischen Bundesgesetz über den Datenschutz, das Pflichten in Bezug auf Vertraulichkeit, Sicherheit und die Wahrung der Rechte der betroffenen Personen vorsieht.

Eine Übermittlung ausserhalb des Fürstentums kann ohne vorherige Formalitäten erfolgen, wenn das Empfängerland auf der Liste der Länder, Gebiete und internationalen Organisationen aufgeführt ist, die als Staaten mit angemessenem Schutzniveau anerkannt sind. Diese Liste wird nach Anhörung der APDP durch Ministerialerlass festgelegt und im Journal de Monaco sowie auf der Website der Behörde veröffentlicht.

10.2 Übermittlungen in andere Rechtsordnungen

Daten können auch in andere Länder übermittelt werden, in denen die Dienstleister, Depotstellen, Gegenparteien oder professionellen Berater der Gesellschaft tätig sind, darunter Italien, das Vereinigte Königreich und Frankreich.

10.3 Garantien für Rechtsordnungen ohne angemessenes Schutzniveau

Besteht kein angemessenes Schutzniveau, erfolgt eine Übermittlung nur, wenn geeignete Garantien vorhanden sind, etwa in Form von Standardvertragsklauseln, verbindlichen internen Datenschutzvorschriften oder eines anderen rechtlich bindenden und durchsetzbaren Instruments, das den Datenschutz und das Recht auf einen wirksamen Rechtsbehelf gewährleistet.

10.4 Interne Governance

Jede Übermittlung ausserhalb des Fürstentums unterliegt dem internen Genehmigungsverfahren der Gesellschaft für Datenübermittlungen, in dem die Rechtsgrundlage der Übermittlung, die angewandten Sicherheitsmassnahmen und die Konformität des Empfängers geprüft werden.

10.5 Empfänger und Auftragsverarbeiter

Daten können an vom Kunden bestimmte Depotbanken und Broker, an Regulierungs- und Aufsichtsbehörden, an zur Vertraulichkeit verpflichtete Berater und Revisoren sowie an andere Auftragsverarbeiter, insbesondere im Zusammenhang mit IT-Dienstleistungen oder Kontrolltätigkeiten, weitergegeben werden.

Jeder Auftragsverarbeiter handelt nach schriftlicher Weisung von SWIX MC auf Grundlage eines Auftragsverarbeitungsvertrags, der den Anforderungen des Gesetzes Nr. 1.565 entspricht, und wird vorab hinsichtlich seines Datenschutzniveaus und der Sicherheit seiner Informationssysteme beurteilt.

11. Sicherheitsmassnahmen

SWIX MC setzt eine Reihe organisatorischer, technischer und physischer Massnahmen um, die personenbezogene Daten vor unbeabsichtigter oder unrechtmässiger Vernichtung, Verlust, Veränderung, Offenlegung oder unbefugtem Zugriff schützen sollen.

• Organisatorische Massnahmen: klar definierte Rollen und Verantwortlichkeiten im Datenschutz, Schulung der Mitarbeitenden, nach dem Need-to-know-Prinzip beschränkte und regelmässig überprüfte Zugriffsrechte sowie interne Richtlinien zur Nutzung von E-Mail, mobilen Geräten und Remote-Arbeit.
• Technische Massnahmen: sicheres Hosting, Verschlüsselung gespeicherter und übertragener Daten, verstärkte Zugangsauthentifizierung, Überwachung von Sicherheitsereignissen und Aktualisierung der Systeme.
• Physische Massnahmen: zugangskontrollierte Räumlichkeiten, sichere Aufbewahrung von Papierdokumenten und vertrauliche Vernichtung von Dokumenten.

Einzelheiten zu diesen Massnahmen sowie Beschreibungen der umgesetzten technischen Schutzvorkehrungen sind in den internen Sicherheitsverfahren der Gesellschaft festgelegt und können den zuständigen Behörden und Kunden auf Anfrage offengelegt werden.

12. Datenschutzverletzungen

SWIX MC verfügt über einen Plan zur Reaktion auf Vorfälle, um jede vermutete Datenschutzverletzung unverzüglich zu untersuchen und zu behandeln.

Jede Verletzung wird der APDP unter den im Gesetz Nr. 1.565 festgelegten Bedingungen und Fristen gemeldet und den betroffenen Personen mitgeteilt, wenn sie voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten zur Folge hat.

13. Cookies und Tracker

Ein Cookie ist eine Datei, die beim Besuch der Website auf dem Gerät des Nutzers gespeichert wird. Cookies, die für den Betrieb und die Sicherheit der Website unbedingt erforderlich sind, werden ohne vorherige Einwilligung gesetzt.

Alle anderen Tracker, insbesondere solche zur Reichweitenmessung, werden erst gesetzt, nachdem die Einwilligung über das beim ersten Besuch angezeigte Banner eingeholt wurde. Nutzer können ihre Präferenzen jederzeit akzeptieren, ablehnen oder anpassen.

Bestimmte Tools zur Reichweitenmessung bringen eine Übermittlung von Daten in Länder ohne angemessenes Schutzniveau mit sich; solche Tracker werden nur mit ausdrücklicher Einwilligung aktiviert.

Die Einwilligung kann jederzeit über den Link «Meine Cookies verwalten» in der Fusszeile der Website oder über die Browsereinstellungen widerrufen werden. Nachweise der Einwilligung werden höchstens sechs (6) Monate aufbewahrt.

14. Änderungen dieser Richtlinie

SWIX MC kann diese Richtlinie aktualisieren, um Änderungen ihrer Praktiken, ihrer gesetzlichen Pflichten oder der von ihr eingesetzten Technologien Rechnung zu tragen. Bei einer wesentlichen Änderung:

• veröffentlicht die Gesellschaft die aktualisierte Fassung auf ihrer Website;
• gibt sie das Datum der letzten Überarbeitung an;
• informiert sie gegebenenfalls die Kunden per E-Mail, über eine sichere Nachricht oder einen anderen vereinbarten Kommunikationskanal.

Massgeblich ist die auf der Website veröffentlichte Fassung. Diese Richtlinie wird mindestens einmal jährlich sowie bei jeder wesentlichen Änderung der Verarbeitungstätigkeiten, der Dienstleister oder des regulatorischen Rahmens überprüft.

Letzte Aktualisierung: 01.09.2026

15. Kontaktdaten und Aufsichtsbehörde

Bei Fragen, Anliegen oder Anfragen zu dieser Richtlinie:

Per Post:
SWIX MONACO S.A.M.
Zuhanden der Ansprechperson für Datenschutz
Villa le Dôme
4/6 rue des Lilas
98000 Monaco
Fürstentum Monaco

Per E-Mail:
dataprotection-swixmonaco@swixfo.com

Per Telefon:
+377 92 00 32 90

Aufsichtsbehörde:
Autorité de Protection des Données Personnelles (APDP)
Le Concorde, 4. Stock
11 rue du Gabian
98000 Monaco
www.apdp.mc

Kunden mit Sitz ausserhalb Monacos können die Kontaktdaten der in ihrer Rechtsordnung zuständigen Aufsichtsbehörde auf Anfrage erhalten.