Auftrags­verarbeitungs­vertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (der «AVV») wird zwischen dem Kunden, der die Nutzungsbedingungen von Guard.ch akzeptiert hat (der «Kunde»), und dem Betreiber von Guard.ch geschlossen:

Auftragsverarbeiter

Zesiger.net (eingetragene Firma), Schweiz, tätig unter der Marke Guard.ch

Rechtlicher Vertreter

Janis Zesiger

Datenschutzkontakt

legal@guard.ch

Sitzadresse und Registerangaben

Wie im Impressum veröffentlicht

Dieser AVV ist integraler Bestandteil der Nutzungsbedingungen, sobald der Kunde über Guard.ch Personendaten Dritter verarbeitet. Mit der Annahme der Nutzungsbedingungen akzeptiert der Kunde diesen AVV zugleich für sich selbst und für jedes verbundene Unternehmen, das sein Konto nutzt. Der AVV kommt mit der Annahme der Nutzungsbedingungen durch den Kunden zwischen beiden Parteien zustande und wird ohne gesonderte Unterschrift wirksam.

Eine gegengezeichnete Ausfertigung kann der Kunde per E-Mail an legal@guard.ch anfordern.

Verlangt das anwendbare Datenschutzrecht zusätzliche Klauseln (etwa die EU-Standardvertragsklauseln, das vom EDÖB anerkannte Schweizer Pendant oder das UK International Data Transfer Addendum), gelten diese Klauseln durch Verweis als einbezogen und gehen jeder widersprechenden Bestimmung dieses AVV oder der Nutzungsbedingungen vor. Widersprechen sich dieser AVV und die Nutzungsbedingungen in Datenschutzfragen, geht dieser AVV vor.

Die nachfolgend definierten Begriffe haben die hier festgelegte Bedeutung. Für Begriffe ohne eigene Definition gilt die Bedeutung aus den Nutzungsbedingungen.

Anwendbares Datenschutzrecht

Das Schweizer Bundesgesetz über den Datenschutz (DSG), die Verordnung (EU) 2016/679 (DSGVO), die UK-DSGVO samt UK Data Protection Act 2018 sowie jedes weitere Datenschutzgesetz, das auf die von den Parteien im Rahmen dieses AVV vorgenommene Verarbeitung anwendbar ist.

Verantwortlicher

Die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung von Personendaten entscheidet.

Auftragsverarbeiter

Zesiger.net; verarbeitet Personendaten im Auftrag des Verantwortlichen.

Personendaten

Alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen und die der Auftragsverarbeiter im Rahmen der Erbringung des Dienstes Guard.ch im Auftrag des Verantwortlichen verarbeitet.

Verarbeitung

Jeder Umgang mit Personendaten, insbesondere Erheben, Aufzeichnen, Speichern, Abrufen, Übermitteln, Löschen oder Vernichten.

Subprozessor

Ein Dritter, den der Auftragsverarbeiter mit der Verarbeitung von Personendaten im Auftrag des Verantwortlichen betraut, darunter Hosting-Anbieter, Betreiber von Edge-Knoten und Speicheranbieter.

Betroffene Person

Die bestimmte oder bestimmbare natürliche Person, auf die sich Personendaten beziehen.

Dienst

Der Website-Untersuchungsdienst von Guard.ch: Der Verantwortliche reicht eine Ziel-URL ein, der Dienst öffnet sie in einem isolierten Remote-Browser und zeigt dem Verantwortlichen für die Dauer der Untersuchung live das Verhalten der Seite sowie die zugehörige automatisierte Analyse.

Untersuchung

Ein einzelner, zeitlich begrenzter Durchlauf des Dienstes für eine vom Verantwortlichen eingereichte Ziel-URL, wie in den Nutzungsbedingungen definiert.

Untersuchungsdaten

Die Daten, die eine Untersuchung erzeugt (Live-Ansicht, Screenshots auf Abruf, Netzwerk- und Ereignissignale, Cookies, Zertifikate, Abfragen und abgeleitete Analysen). Sie bestehen nur während der laufenden Untersuchung im Arbeitsspeicher und im Untersuchungs-Container, werden nicht dauerhaft gespeichert und mit dem Container zerstört, sobald die Untersuchung endet. Ein gespeichertes Profil gehört nicht zu den Untersuchungsdaten: Es sind die eigenen Daten des Browsers (Cookies, Anmeldungen, Verlauf, Lesezeichen, Erweiterungen, Website-Speicher und Einstellungen, ohne temporäre Caches), die ein berechtigter Nutzer für seine späteren Sitzungen behalten wollte.

Der Auftragsverarbeiter verarbeitet Personendaten im Auftrag des Verantwortlichen ausschliesslich, um den Dienst zu erbringen und die dokumentierten Weisungen des Verantwortlichen umzusetzen. Die ausführliche Beschreibung der Verarbeitung steht in Anhang I; nachfolgend die Zusammenfassung.

Für die Verarbeitung von Untersuchungsinhalten und Workspace-Artefakten ist der Kunde Verantwortlicher und Zesiger.net Auftragsverarbeiter. Der Kunde bestimmt, welche URLs untersucht werden und wer Zugriff auf den Workspace hat.

In einzelnen, begrenzten Bereichen legt jede Partei Zwecke und Mittel selbst fest; dort handeln beide Parteien als eigenständige Verantwortliche. Im Einklang mit Abschnitt 6.1 der Datenschutzerklärung gehören dazu: Abrechnungs- und Steuerunterlagen; das Erkennen und Verhindern von Missbrauch des Dienstes; die Absicherung der Plattform und Infrastruktur des Auftragsverarbeiters; gesetzliche Buchführungs- und Dokumentationspflichten des Auftragsverarbeiters; die Erfüllung rechtlicher Pflichten, die den Auftragsverarbeiter treffen (etwa eine verbindliche Anordnung einer Schweizer Behörde); sowie der Betrieb der eigenen Marketing-Website des Auftragsverarbeiters. Untersuchungsinhalte nutzt der Auftragsverarbeiter für keinen weiteren eigenen Zweck und nicht zum Trainieren von Modellen.

Der Kunde sichert zu, dass er nach dem anwendbaren Datenschutzrecht über eine gültige Rechtsgrundlage verfügt, wenn er den Auftragsverarbeiter anweist, die von ihm eingereichten URLs und Inhalte zu untersuchen; dazu gehören, wo rechtlich erforderlich, auch Transparenzhinweise an die betroffenen Personen, deren Daten auf den untersuchten Seiten erscheinen. Was eine Untersuchung beobachtet, einschliesslich der Grenzen der eingebauten Minimierung, beschreibt Abschnitt 4.3 der Datenschutzerklärung; diese Beschreibung ist Teil der dokumentierten Weisung des Verantwortlichen.

Der Dienst bietet keine Linkfreigabe an. Untersuchungsinhalte sind während der laufenden Untersuchung nur für das Konto sichtbar, das sie gestartet hat; Guard.ch legt sie im Auftrag des Kunden nicht gegenüber Dritten offen.

In Bezug auf die Personendaten des Verantwortlichen verpflichtet sich der Auftragsverarbeiter zu Folgendem.

5.1 Dokumentierte Weisungen

Der Auftragsverarbeiter verarbeitet Personendaten nur auf dokumentierte Weisung des Verantwortlichen, auch was Übermittlungen in ein Drittland betrifft, es sei denn, Unionsrecht, das Recht eines Mitgliedstaats, Schweizer Recht oder anderes Recht, dem der Auftragsverarbeiter unterliegt, verpflichtet ihn zu etwas anderem. In diesem Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Pflicht, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Die Weisungen des Verantwortlichen ergeben sich aus diesem AVV, den Nutzungsbedingungen, dem in der Datenschutzerklärung dokumentierten Beobachtungsverhalten und der vom Verantwortlichen im Produkt gewählten Konfiguration (Workspace-Einstellungen, Planwahl, Zugriffskontrollen). Hält der Auftragsverarbeiter eine Weisung für einen Verstoss gegen das anwendbare Datenschutzrecht, informiert er den Verantwortlichen unverzüglich.

5.2 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der Personendaten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass jede Person nur auf das zugreifen kann, was sie für ihre Aufgabe braucht.

5.3 Sicherheit der Verarbeitung (Art. 32 DSGVO; Art. 8 DSG)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Massnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Anhang II fasst diese Massnahmen zusammen; im Detail sind sie in der Sicherheitserklärung beschrieben. Der Auftragsverarbeiter überprüft und bewertet ihre Wirksamkeit laufend und entwickelt sie mit der Bedrohungslage und dem Stand der Technik weiter, ohne das Gesamtschutzniveau während einer Abonnementslaufzeit wesentlich abzusenken.

5.4 Unterstützung bei Betroffenenanfragen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Massnahmen bei der Beantwortung von Anträgen auf Ausübung der Betroffenenrechte nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) sowie entsprechender Anträge nach DSG und UK-DSGVO. Wendet sich eine betroffene Person wegen Untersuchungsinhalten direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und antwortet nicht in der Sache, ausser er verarbeitet dieselben Daten nach Abschnitt 4 als eigenständiger Verantwortlicher.

5.5 Unterstützung bei Sicherheit, DSFA und Konsultationspflichten (Art. 32 bis 36 DSGVO)

Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, die Pflichten aus den Artikeln 32 bis 36 DSGVO einzuhalten, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen. Dazu gehören die Mithilfe bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörden sowie die in Abschnitt 9 beschriebene Unterstützung bei Datenschutzverletzungen.

5.6 Rückgabe oder Löschung bei Ende der Verarbeitungsleistungen

Endet die Erbringung der mit der Verarbeitung verbundenen Dienstleistungen, löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche Personendaten oder gibt sie dem Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht Unionsrecht, das Recht eines Mitgliedstaats, Schweizer Recht oder anderes anwendbares Recht ihre Speicherung verlangt. Die Standardlöschung erfolgt automatisch: Untersuchungsdaten bestehen nur, solange die Untersuchung läuft, und werden mit dem Untersuchungs-Container zerstört, sobald sie endet; Untersuchungseinträge und Workspace-Metadaten werden im Einklang mit Ziffer 14 der Nutzungsbedingungen gelöscht. Ein gespeichertes Profil bleibt erhalten, bis sein Nutzer es löscht oder das Konto des Nutzers gelöscht wird. Ein gespeichertes Profil, das dreissig (30) Tage lang nicht genutzt wird, wird gelöscht; ein angeheftetes bleibt erhalten, solange es ins Profillimit des Plans passt. Ist das Limit erreicht, ersetzt ein neues gespeichertes Profil das am längsten nicht genutzte, nicht angeheftete Profil des Nutzers. Nach einem Wechsel in einen kleineren Plan oder dem Ende des Abonnements lassen sich gespeicherte Profile über dem Limit nicht mehr starten, verlieren ihre Anheftung und werden dreissig (30) Tage nach ihrer letzten Nutzung gelöscht. Der Verantwortliche kann schriftlich eine frühere Löschung verlangen. Verschlüsselte Backups der Konto- und Workspace-Daten werden spätestens fünfunddreissig (35) Tage nach der ersten Löschung ebenfalls entfernt. Unterlagen, die der Auftragsverarbeiter aufgrund gesetzlicher Aufbewahrungspflichten behalten muss (etwa Schweizer Buchführungsunterlagen nach Art. 958f OR), bewahrt er nur für die gesetzliche Dauer auf.

5.7 Nachweis der Einhaltung

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht und unterstützt Audits durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, nach Massgabe von Abschnitt 10.

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung, für die Verarbeitung von Personendaten Subprozessoren beizuziehen. Die aktuelle Liste der genehmigten Subprozessoren, je Anbieter mit Rolle, Standort und Transfergarantie, wird im Verzeichnis der Subprozessoren geführt und ist Teil dieses AVV (Anhang III).

Will der Auftragsverarbeiter einen Subprozessor, der Personendaten des Verantwortlichen verarbeitet, hinzufügen oder ersetzen, kündigt er die Änderung mindestens dreissig (30) Tage vor dem Wirksamwerden an: durch Aktualisierung der Subprozessoren-Seite und, sofern der Verantwortliche die dort beschriebenen Änderungsmitteilungen abonniert hat, per E-Mail. Änderungen ohne Auswirkung darauf, wie Personendaten verarbeitet, gespeichert oder übermittelt werden (etwa die Umfirmierung eines Anbieters, eine Adressänderung oder die Streichung eines Anbieters), können ohne Ankündigungsfrist mit der nächsten routinemässigen Aktualisierung des Verzeichnisses nachgeführt werden. Der Verantwortliche kann aus nachvollziehbaren Datenschutzgründen innert vierzehn (14) Tagen nach der Mitteilung schriftlich an legal@guard.ch Widerspruch erheben. Geht ein fristgerechter Widerspruch ein, suchen die Parteien nach Treu und Glauben eine praktikable Alternative. Lässt sich vernünftigerweise keine Alternative vereinbaren, kann der Verantwortliche den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen und erhält für die ungenutzte Laufzeit eine anteilige Rückerstattung; dies ist sein einziger Rechtsbehelf.

Der Auftragsverarbeiter verpflichtet jeden Subprozessor durch schriftlichen Vertrag auf Datenschutzpflichten, die inhaltlich keinen geringeren Schutz bieten als dieser AVV, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Massnahmen. Gegenüber dem Verantwortlichen haftet der Auftragsverarbeiter vollumfänglich dafür, dass jeder Subprozessor seine Pflichten erfüllt.

Der Auftragsverarbeiter hat seinen Sitz in der Schweiz, der sowohl die Europäische Kommission als auch das Vereinigte Königreich ein angemessenes Datenschutzniveau attestieren. Konto- und Workspace-Daten, Abrechnungsunterlagen, Untersuchungseinträge (URL, Zeitstempel, Status), die Produktionsdatenbank sowie Workspace-Logos im Objektspeicher liegen im Hetzner-Rechenzentrum in Helsinki, Finnland (EU/EWR). Verschlüsselte Backups der Produktionsdatenbank liegen im Objektspeicher der IDrive Inc. in Frankfurt, Deutschland (EU/EWR). Gespeicherte Profile liegen in der Region, die beim Erstellen gewählt wurde: bei der OVH SAS in Gravelines, Frankreich (EU/EWR), oder bei der OVH Hébergement Inc. in Beauharnois, Kanada, das die Europäische Kommission und die Schweiz als angemessen anerkennen. Von Untersuchungsdaten existiert nirgendwo eine dauerhafte Kopie: Sie bestehen nur im Untersuchungs-Container, solange die Untersuchung läuft.

Knoten in der Europäischen Union (Hetzner und OVHcloud) sowie an Standorten in Singapur, Salt Lake City (USA) und Beauharnois (Kanada) betreiben den Untersuchungs-Container und rendern die Seite. Die Untersuchungsdaten bestehen nur im Arbeitsspeicher und im Container, solange die Untersuchung läuft, und werden über eine verschlüsselte Verbindung an den Nutzer des Verantwortlichen gestreamt. Sie werden nicht dauerhaft hochgeladen, ausser dem gespeicherten Profil, das ein Nutzer behalten wollte; es wird während der Sitzung in den Speicher seiner Region geschrieben, und auf dem Knoten bleibt keine Kopie davon zurück. Nach der Untersuchung werden der Container und seine beschreibbare Schicht mitsamt den darin enthaltenen Daten entfernt; zwischen zwei Untersuchungen verbleiben auf einem Knoten keine Untersuchungsdaten. Flüchtige Untersuchungsdaten können daher für die begrenzte Lebensdauer des Untersuchungs-Containers ausserhalb des EWR und der Schweiz verarbeitet werden.

Übermittlungen von Personendaten ausserhalb des EWR, der Schweiz und des Vereinigten Königreichs sind wie folgt abgesichert, analog zu Abschnitt 9 der Datenschutzerklärung:

• Kanada (Beauharnois): der Angemessenheitsbeschluss der Europäischen Kommission für den kanadischen Privatsektor unter PIPEDA, nach Schweizer Recht gleichwertig anerkannt; ergänzend bestehen die EU-Standardvertragsklauseln (Modul 3, Auftragsverarbeiter zu Auftragsverarbeiter) und das vom EDÖB anerkannte Schweizer Pendant.
• Singapur und USA (Edge-Knoten): die EU-Standardvertragsklauseln (Modul 3) und das vom EDÖB anerkannte Schweizer Pendant, dazu Transportverschlüsselung für den Live-Stream zwischen Knoten und Analyst.
• Subprozessoren mit Sitz in den USA: Ist der einzelne Anbieter unter dem EU-US Data Privacy Framework samt Schweizer Erweiterung zertifiziert, wie je Anbieter im Verzeichnis der Subprozessoren ausgewiesen, dient diese Zertifizierung als primärer Transfermechanismus, und die EU-Standardvertragsklauseln kommen subsidiär zur Anwendung. Für alle übrigen US-Übermittlungen gelten die EU-Standardvertragsklauseln und das vom EDÖB anerkannte Schweizer Pendant.
• Vereinigtes Königreich: Soweit die UK-DSGVO auf eine Übermittlung anwendbar ist, stützt sich der Auftragsverarbeiter auf die UK-Angemessenheitsregelungen für die Schweiz und den EWR und bei Weiterübermittlungen auf die unter der UK-DSGVO anerkannten Garantien (einschliesslich, soweit abgeschlossen, des International Data Transfer Addendum der ICO zu den EU-Standardvertragsklauseln).

Für die beschriebenen Übermittlungen führt der Auftragsverarbeiter Transfer-Impact-Assessments durch und stellt dem Verantwortlichen auf schriftliche Anfrage an legal@guard.ch eine Kopie der einschlägigen Transfer-Impact-Assessments und Klauseln zur Verfügung.

Der Dienst stellt Self-Service-Werkzeuge bereit, mit denen der Verantwortliche live verfolgen kann, was eine Untersuchung beobachtet, sie jederzeit beenden und Untersuchungseinträge sowie Workspace-Artefakte löschen kann. Innerhalb der Untersuchungsdaten lässt sich nachträglich nichts schwärzen oder bearbeiten: Sie werden mit dem Untersuchungs-Container zerstört, sobald die Untersuchung endet, und es bleibt allein der Untersuchungseintrag (URL, Zeitstempel, Status), den der Verantwortliche löschen kann. Gespeicherte Profile können die Nutzer jederzeit selbst löschen, solange ihr Plan sie enthält; sonst löscht der Support sie auf Anfrage. Der Verantwortliche muss Betroffenenanfragen mit den verfügbaren Werkzeugen innerhalb der gesetzlichen Frist beantworten.

Kann der Verantwortliche eine Anfrage nicht über die Self-Service-Werkzeuge erledigen, unterstützt ihn der Auftragsverarbeiter auf schriftliche Anfrage an legal@guard.ch. Diese Standardunterstützung ist im Abonnementspreis enthalten. Bei offensichtlich unbegründeten, exzessiven oder sich wiederholenden Anfragen kann der Auftragsverarbeiter einen angemessenen Kostenersatz verlangen, soweit Art. 12 Abs. 5 DSGVO oder die entsprechende Bestimmung des sonst anwendbaren Datenschutzrechts dies zulässt.

Sobald der Auftragsverarbeiter Kenntnis von einer Verletzung des Schutzes von Personendaten erhält, die Personendaten des Verantwortlichen betrifft, benachrichtigt er ihn unverzüglich, spätestens aber innert achtundvierzig (48) Stunden nach Bekanntwerden; das entspricht der Zusage in Abschnitt 17 der Datenschutzerklärung. Die Benachrichtigung geht an die im Konto des Verantwortlichen hinterlegte E-Mail-Adresse.

Die Benachrichtigung enthält, soweit zum Zeitpunkt der Meldung bekannt:

• Eine Beschreibung der Art der Verletzung, nach Möglichkeit mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze.
• Die wahrscheinlichen Folgen der Verletzung.
• Die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung, gegebenenfalls einschliesslich Massnahmen zur Abmilderung möglicher nachteiliger Auswirkungen.
• Den Datenschutzkontakt des Auftragsverarbeiters für Rückfragen.

Liegen nicht alle Informationen gleichzeitig vor, dürfen sie ohne unangemessene weitere Verzögerung schrittweise nachgereicht werden. Der Auftragsverarbeiter arbeitet mit dem Verantwortlichen zusammen und liefert weitere Informationen, sobald sie verfügbar sind, damit der Verantwortliche seine eigenen Pflichten erfüllen kann:

• Nach Art. 33 DSGVO muss der Verantwortliche die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden ab Kenntnis benachrichtigen, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für natürliche Personen.
• Nach Art. 34 DSGVO muss er die betroffenen Personen informieren, wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat.
• Nach Art. 24 DSG muss ein Verantwortlicher, der Schweizer Recht untersteht, den EDÖB so rasch als möglich benachrichtigen, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt.

Die Pflicht des Auftragsverarbeiters aus diesem AVV beschränkt sich auf die Benachrichtigung des Verantwortlichen. Aufsichtsbehörden oder betroffene Personen benachrichtigt er nicht im Namen des Verantwortlichen, es sei denn, dieser weist ihn schriftlich ausdrücklich dazu an oder das auf den Auftragsverarbeiter anwendbare Recht verlangt es.

Bei Audit- und Informationsanfragen geht der Auftragsverarbeiter in folgenden Schritten vor. Erstens stellt er seine schriftliche Sicherheitsdokumentation bereit: die öffentliche Sicherheitserklärung, Anhang II dieses AVV, das Verzeichnis der Subprozessoren und auf Anfrage weitere Architektur- und Kontrollbeschreibungen. Zweitens beantwortet er angemessene schriftliche Sicherheitsfragebögen des Verantwortlichen kostenlos, höchstens einmal alle zwölf (12) Monate, es sei denn, eine Datenschutzverletzung, die den Verantwortlichen betrifft, oder eine verbindliche Anordnung einer zuständigen Aufsichtsbehörde macht eine weitere Beantwortung notwendig.

Der Auftragsverarbeiter verfügt derzeit weder über einen SOC-2-Report noch über ein ISO/IEC-27001-Zertifikat noch über den Bericht eines abgeschlossenen externen Penetrationstests; Audit-Anfragen lassen sich nicht durch Verweis auf solche Dokumente erfüllen. Der aktuelle Zertifizierungsstand wird in der Sicherheitserklärung vollständig offengelegt. Erlangt der Auftragsverarbeiter künftig eine einschlägige Bestätigung eines Dritten, kann er sie zur Erfüllung einer Audit-Anfrage anbieten, soweit sie deren Umfang abdeckt.

Reichen die genannten schriftlichen Informationen für den Nachweis der Einhaltung nicht aus, oder verlangen das anwendbare Datenschutzrecht oder eine zuständige Aufsichtsbehörde ein Audit, darf der Verantwortliche (oder ein von ihm beauftragter unabhängiger Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist) die Einhaltung dieses AVV unter folgenden Bedingungen prüfen: höchstens einmal alle zwölf (12) Monate, ausser eine Datenschutzverletzung, die den Verantwortlichen betrifft, oder eine verbindliche Anordnung einer zuständigen Aufsichtsbehörde gibt dazu Anlass; mit schriftlicher Ankündigung von mindestens dreissig (30) Tagen; während der üblichen Geschäftszeiten; aus der Ferne, soweit dies vernünftigerweise möglich ist; beschränkt auf die Verarbeitung nach diesem AVV; ohne Zugriff auf Daten anderer Kunden oder auf Informationen, welche die Sicherheit des Dienstes gefährden würden; und nur, sofern der Prüfer eine angemessene Vertraulichkeitsvereinbarung unterzeichnet. Jede Partei trägt ihre eigenen Kosten; dauert ein Audit länger als einen Werktag, vergütet der Verantwortliche dem Auftragsverarbeiter zusätzlich dessen angemessenen Zeitaufwand und erstattet dessen Auslagen, ausser das Audit deckt einen wesentlichen Verstoss des Auftragsverarbeiters gegen diesen AVV auf; in diesem Fall trägt der Auftragsverarbeiter seine eigenen Kosten und erstattet dem Verantwortlichen dessen angemessene Audit-Kosten.

Die Haftung jeder Partei aus diesem AVV richtet sich nach den Haftungsbeschränkungen der Nutzungsbedingungen. Die Gesamthaftung des Auftragsverarbeiters aus diesem AVV und den Nutzungsbedingungen zusammen ist gemäss Ziffer 19 der Nutzungsbedingungen begrenzt. Dieser AVV beschränkt oder schliesst keine Haftung aus, die sich nach dem anwendbaren Datenschutzrecht nicht beschränken oder ausschliessen lässt, einschliesslich der Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO.

Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen betroffener Personen oder von Aufsichtsbehörden frei, soweit diese Ansprüche auf Weisungen oder Inhalten des Verantwortlichen beruhen, etwa auf URLs, deren Untersuchung der Verantwortliche unter Verstoss gegen das anwendbare Datenschutzrecht in Auftrag gegeben hat. Der Auftragsverarbeiter stellt den Verantwortlichen von Ansprüchen frei, soweit sie auf einer Verletzung seiner Pflichten aus diesem AVV beruhen. Ist der Verantwortliche Konsument, gelten diese Freistellungen nur so weit, wie das zwingende Recht an seinem gewöhnlichen Aufenthaltsort dies zulässt.

Dieser AVV tritt am oben angegebenen Datum in Kraft oder, falls später, an dem Tag, an dem der Verantwortliche die Nutzungsbedingungen erstmals akzeptiert. Er gilt, solange der Auftragsverarbeiter Personendaten im Auftrag des Verantwortlichen verarbeitet.

Mit der Beendigung des Abonnements stellt der Auftragsverarbeiter die Verarbeitung von Personendaten im Auftrag des Verantwortlichen ein (ausgenommen die gesetzlichen Aufbewahrungspflichten nach Abschnitt 5.6) und löscht die Daten nach Wahl des Verantwortlichen oder gibt sie zurück. Bestimmungen, die ihrer Natur nach über die Beendigung hinaus gelten sollen (Vertraulichkeit, Haftung, anwendbares Recht), bleiben in Kraft.

Dieser AVV untersteht dem materiellen Recht der Schweiz unter Ausschluss der Kollisionsregeln. Gerichtsstand für sämtliche Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Schmiedrued, Schweiz, vorbehaltlich zwingender Gerichtsstände nach dem anwendbaren Datenschutzrecht, insbesondere des Rechts betroffener Personen, an ihrem gewöhnlichen Aufenthaltsort zu klagen.

Bei Datenschutzfragen oder zur Ausübung von Rechten aus diesem AVV steht legal@guard.ch zur Verfügung.

Dieser Anhang beschreibt die Verarbeitung von Personendaten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt. Gelten für eine Übermittlung im Rahmen dieses AVV die EU-Standardvertragsklauseln, dient dieser Anhang als die nach deren Anhang I erforderliche Beschreibung der Verarbeitung.

Die technischen und organisatorischen Massnahmen sind in der Sicherheitserklärung beschrieben. Die folgende Zusammenfassung gibt den aktuellen Stand wieder.

• Verschlüsselung. Mindestens TLS 1.2, bevorzugt TLS 1.3 für den gesamten HTTP-Verkehr; wo WebRTC zum Einsatz kommt, sind die Medienströme des Remote-Browsers zusätzlich mit DTLS-SRTP geschützt; Live-Stream und Analysesignale laufen über verschlüsselte Verbindungen, und interne Aufrufe zwischen Edge-Ebene und Backend sind mit einem Shared-Secret-Header authentifiziert. Die Speichervolumes in Helsinki sind auf Blockebene verschlüsselt; Datenbank-Backups werden verschlüsselt, bevor sie in den Objektspeicher in Frankfurt hochgeladen werden. Gespeicherte Profile liegen auf einem Dateispeicher in ihrer Region, den nur die Browser-Knoten dieser Region über ein privates Netzwerk erreichen. Zugangsdaten der Konten werden mit bcrypt gehasht.
• Isolation und Vertraulichkeit. Jede Untersuchung läuft in einem eigenen Container mit frischer Dateisystem-Schicht und getrennten Prozess- und Netzwerk-Namespaces; Container können weder die Dateisysteme noch die Prozesse anderer Container sehen. Am Ende der Untersuchung wird der Container zerstört und seine beschreibbare Schicht verworfen; zwischen zwei Untersuchungen verbleiben keine Untersuchungsdaten auf einem Knoten. Jedes gespeicherte Profil ist ein eigenes Dateisystem mit fester Grössenbeschränkung und wird nur in eine Sitzung des Nutzers eingebunden, der es gespeichert hat, und immer nur in eine Sitzung gleichzeitig. Eine laufende Untersuchung ist an den Workspace gebunden, der sie gestartet hat; Zugriffe über Workspace-Grenzen hinweg weist das Backend ab (Default Deny).
• Zugriffskontrolle. Eigene Zugangsdaten pro Konto mit Passkey-Unterstützung (WebAuthn); rollenbasierte Zugriffskontrolle und OIDC Single Sign-on bei den Abonnements, die diese Funktionen umfassen; opake, serverseitig widerrufbare Session-Token, gebunden an den ausstellenden Workspace. Der interne Produktionszugriff ist nach dem Least-Privilege-Prinzip auf den kleinstmöglichen Personenkreis beschränkt; sensible Operationen werden in einem Append-only-Audit-Log festgehalten.
• Netzwerksegmentierung. Browser-Container halten keine Speicher-Zugangsdaten; jeder Lesezugriff auf Workspace-Daten läuft über das Backend, das zuvor die Workspace-Mitgliedschaft prüft; der einzige ausgehende Netzwerkzugang des Remote-Browsers ist das öffentliche Internet.
• Verfügbarkeit und Wiederherstellung. Laufende Überwachung von Backend, Proxy, Edge-Flotte und Speicherebene mit Alarmierung des Bereitschaftsdienstes; ein dokumentierter Incident-Response-Prozess; verschlüsselte Backups, die innerhalb von fünfunddreissig (35) Tagen nach der Primärlöschung entfernt werden.
• Schwachstellenmanagement. Abhängigkeiten mit festgelegten Versionen und überwachten Sicherheitsmeldungen; zügiges Patchen kritischer CVEs auf Komponenten, die aus dem Internet erreichbar sind; regelmässiger Neuaufbau der Browser-Images auf Basis der jeweils neuesten stabilen Upstream-Version. Einen externen Penetrationstest hat der Auftragsverarbeiter noch nicht abgeschlossen; einer ist für 2026 geplant, und es wird keine Zertifizierung oder Bestätigung (SOC 2, ISO/IEC 27001) beansprucht (siehe Abschnitt 10).
• Eingebaute Datenminimierung. Maskierung von Passwortfeldern, Zeichenlimits pro Feld und Payload, Ausschluss binärer Antwortinhalte, automatisches Ende jeder Untersuchung ohne bestehende Verbindung und mit Ablauf ihrer maximalen Laufzeit sowie Zerstörung aller Untersuchungsdaten mit ihrem Container am Ende der Untersuchung. Eine automatisierte Schwärzung von Inhalten ausserhalb von Passwortfeldern oder eine Eingrenzung dessen, was eine Untersuchung beobachtet, bietet die Pipeline derzeit nicht; diese Grenzen sind in Abschnitt 4.3 der Datenschutzerklärung offengelegt.
• Governance. Dokumentierter Datenschutzkontakt (legal@guard.ch), interne Eskalation bei Vorfällen und ein öffentliches Verzeichnis der Subprozessoren mit Änderungsmitteilung.
• Physische Sicherheit. Die dauerhafte Speicherung erfolgt in den Rechenzentren der im Verzeichnis der Subprozessoren aufgeführten Hosting-Anbieter, die physische Zutrittskontrollen im Rahmen eigener auditierter Programme betreiben; der Auftragsverarbeiter stützt sich auf diese Kontrollen der Anbieter und betreibt keine eigenen Rechenzentren.

Der vollständige Massnahmenkatalog und der aktuelle Zertifizierungsstand sind in der Sicherheitserklärung veröffentlicht. Der Auftragsverarbeiter aktualisiert diese Angaben bei wesentlichen Änderungen der Kontrollen.

Die aktuelle Liste der genehmigten Subprozessoren, mit Namen der juristischen Einheit, Land der Verarbeitung, Umfang der Verarbeitung und anwendbarem Transfermechanismus, ist im Verzeichnis der Subprozessoren veröffentlicht und Teil dieses AVV.

Jeder Subprozessor, der zum Zeitpunkt der Annahme dieses AVV auf jener Seite aufgeführt ist, gilt als vom Verantwortlichen genehmigt. Spätere Ergänzungen oder Ersetzungen werden nach Abschnitt 6 angekündigt.