Subprozessoren-Verzeichnis

Ein Subprozessor ist ein Drittanbieter, den Guard.ch (betrieben von Zesiger.net) beizieht, um Personendaten in unserem Auftrag zu verarbeiten und so den Dienst zu erbringen. Dieses Verzeichnis nennt jeden dieser Anbieter, seine Rolle, die Kategorien der verarbeiteten Personendaten, den Ort der Verarbeitung und die Transfergarantie, auf die sich die Verarbeitung stützt.

Bei Untersuchungsinhalten handelt Guard.ch als Auftragsverarbeiter auf dokumentierte Weisung des Kunden; die Anbieter, die mit diesen Inhalten in Berührung kommen (dauerhafte Speicherung, Edge-Knoten für Aufzeichnungen, die KI-Analyseanbieter), sind Subprozessoren im Sinne von Art. 28 Abs. 2 und 4 DSGVO. Bei Konto-, Abrechnungs-, Sicherheits- und Plattformdaten handelt Guard.ch als Verantwortlicher, und die entsprechenden Anbieter sind unsere Auftragsverarbeiter. Der Transparenz halber führt dieses Verzeichnis beide Kategorien im selben Format auf. Wie sich die Tätigkeiten als Auftragsverarbeiter und als Verantwortlicher aufteilen, steht in Abschnitt 6.1 der Datenschutzerklärung.

Diese Seite ist das öffentliche Verzeichnis, auf das unser Auftragsverarbeitungsvertrag verweist. Widersprechen sich dieses Verzeichnis und der Auftragsverarbeitungsvertrag in einem wesentlichen Punkt, geht für den Vertragskunden der Auftragsverarbeitungsvertrag vor.

Bevor wir einen Subprozessor aufnehmen oder ersetzen, der Personendaten unserer Kunden verarbeitet, aktualisieren wir dieses Verzeichnis mindestens dreissig (30) Tage im Voraus; so können Kunden die Änderung prüfen und ihr widersprechen, bevor sie wirksam wird. Änderungen ohne Einfluss darauf, wie Personendaten unserer Kunden verarbeitet, gespeichert oder übermittelt werden (etwa eine Umfirmierung, eine neue Adresse oder die Streichung eines Anbieters), übernehmen wir ohne Ankündigungsfrist mit der nächsten routinemässigen Aktualisierung.

Kunden und Interessenten können schriftliche Änderungsmitteilungen abonnieren: Schick dazu das Wort «subscribe» an [email protected]. Die Liste dient ausschliesslich Mitteilungen zu Subprozessoren und Rechtsdokumenten; abmelden kannst du dich jederzeit mit einer Antwort «unsubscribe».

Alle dauerhaft gespeicherten Kundendaten, einschliesslich Untersuchungsaufzeichnungen, Produktionsdatenbank und Backups, liegen in einer einzigen Primärregion: im Rechenzentrum von Hetzner in Helsinki, Finnland (EWR). Es gibt nirgendwo sonst eine dauerhafte Kopie einer Aufzeichnung und keine Replikation über mehrere Regionen. Die Edge-Knoten in Singapur, Salt Lake City und Beauharnois führen die isolierten Untersuchungs-Container aus und streamen sie per WebRTC an die Nutzer; Aufzeichnungsartefakte existieren auf einem Edge-Knoten nur in der beschreibbaren Schicht des Containers, für die Dauer der Untersuchung und des Uploads nach Helsinki. Danach werden der Container und seine beschreibbare Schicht zerstört.

Die Edge-Knoten sind dedizierte Server, gemietet bei den unten pro Standort aufgeführten Rechenzentrumsanbietern. Vertragsunterlagen der Anbieter und Details zu den Transfer Impact Assessments erhalten Kunden auf schriftliche Anfrage an [email protected].

Cloudflare stellt das DNS für guard.ch und liefert das guard.ch-Web-Frontend über sein Edge-Netzwerk aus. Backend-API-Anfragen aus dem Dashboard beantwortet unsere eigene Origin-Infrastruktur, und Aufzeichnungsinhalte (Aufnahmen und Replay-Artefakte) kommen vom Origin in Helsinki; die Rolle von Cloudflare beschränkt sich auf DNS, die Auslieferung des Web-Frontends und Turnstile. Cloudflare Turnstile läuft auf den Formularen für Registrierung, Anmeldung, E-Mail-Code-Bestätigung, Passwort-Zurücksetzen und den Untersuchungs-Launcher und wehrt automatisierten Missbrauch ab.

Guard.ch unterstützt Passkeys, die Anmeldung mit E-Mail und Passwort sowie die föderierte Anmeldung mit Google oder Microsoft. Die föderierten Anbieter erhalten nur dann Daten, wenn du diese Anmeldemethode aktiv wählst; meldest du dich mit Passkey oder mit E-Mail und Passwort an, fliessen keine Daten an die unten genannten Anbieter. Als Identitätsanbieter verarbeiten Google und Microsoft das Anmeldeereignis zusätzlich nach ihren eigenen Bedingungen, als eigenständige Verantwortliche für ihre jeweiligen Identitätsdienste; der Transparenz halber sind sie hier aufgeführt.

Stripe wickelt die Zahlungen für Guard.ch-Abonnements ab. Vertragspartnerin von Guard.ch ist Stripe Payments Europe, Ltd.; an der Verarbeitung können auch Stripe, Inc. und weitere Gesellschaften der Stripe-Gruppe unter dem Auftragsverarbeitungsvertrag von Stripe beteiligt sein. Guard.ch erhält und speichert nie vollständige Kartennummern: Die Zahlungsmethode wird bei Stripe tokenisiert, und in unseren Abrechnungsdaten landen nur das Token, die Kartenmarke und die letzten vier Ziffern. Für bestimmte Tätigkeiten, etwa die Betrugsüberwachung und die eigene regulatorische Compliance, handelt Stripe als eigenständiger Verantwortlicher, wie in der eigenen Datenschutzdokumentation von Stripe beschrieben.

Ausgehende Transaktions-E-Mails (Bestätigungscodes fürs Konto, Einmal-Anmeldecodes, Kontaktformular-Bestätigungen und ähnliche Konto- und Dienstmitteilungen) gehen von [email protected] aus, der gemeinsamen Transaktionsadresse der Plattform aus browser.lol und guard.ch, über das SMTP-Relay von Google Workspace. Aufzeichnungsinhalte stecken nie in Transaktions-E-Mails.

Guard.ch nutzt Analysedienste Dritter für eng umrissene Zwecke: Inferenz grosser Sprachmodelle für die KI-Analyse- und Zusammenfassungsfunktionen einer Untersuchung, Reputationsabfragen für Hostnamen als Signal für das automatisierte Urteil und Anomalie-Erkennung auf aggregierten Betriebslogs. Von diesen Anbietern erhält nur OpenRouter (zusammen mit dem Inferenzanbieter, an den eine Anfrage geleitet wird) von Nutzern eingereichte Untersuchungsinhalte. Google Web Risk sieht ausschliesslich die geprüften Hostnamen, und OpenAI erhält nur aggregierte Betriebstelemetrie und nie Aufzeichnungsinhalte.

Die Anreicherung in einer Untersuchung (IP-Geolokation, ASN-Daten, Netzwerk-Metadaten, Bedrohungs- und Tracker-Klassifizierungen, Domain-Popularität) entsteht aus Referenzdatensätzen, die wir lizenzieren oder aus öffentlichen Quellen beziehen, nach Zeitplan herunterladen und in unserer eigenen Datenbank abfragen. Diese Anbieter liefern uns Daten; sie erhalten und verarbeiten keine Personendaten unserer Kunden und sind deshalb keine Subprozessoren. Derzeit sind das MaxMind (GeoLite2 City und ASN), PeeringDB (über CAIDA-Snapshots), abuse.ch (Feodo Tracker, ThreatFox, URLhaus) und die Tranco-Liste.

Zwei Abfragen verlassen unsere Infrastruktur, während eine Untersuchung läuft: whois/RDAP-Abfragen zur registrierbaren Domain der untersuchten URL, gerichtet an die öffentlichen Verzeichnisdienste der zuständigen Registry oder des Registrars, sowie die oben im Analyse-Abschnitt aufgeführte Google-Web-Risk-Abfrage. Die whois/RDAP-Abfragen geben nur den untersuchten Domainnamen an öffentliche Verzeichnis-Infrastruktur weiter und sind keine Auftragsverarbeitung unter einem Vertrag mit Guard.ch.

Guard.ch wird aus der Schweiz betrieben. Die Schweiz ist von der Europäischen Kommission und unter den britischen Angemessenheitsregeln als angemessen anerkannt; Personendaten können sich darum ohne zusätzliche Transfergarantien zwischen dem EWR, dem Vereinigten Königreich und unserem Schweizer Standort bewegen. Dauerhaft gespeicherte Kundendaten bleiben im EWR (Hetzner, Helsinki); nur die flüchtige Verarbeitung an den Edge-Knoten und die oben aufgeführten spezifischen Anbieterdienste bedeuten Verarbeitung ausserhalb des EWR und der Schweiz.

Bei US-Anbietern mit Zertifizierung unter dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung, wie in diesem Verzeichnis pro Anbieter anhand der offiziellen DPF-Liste ausgewiesen, ist diese Zertifizierung der primäre Transfermechanismus; die EU-Standardvertragsklauseln wirken als Rückfallebene. Für alle übrigen Übermittlungen ausserhalb des EWR, der Schweiz und des Vereinigten Königreichs bilden die EU-Standardvertragsklauseln (2021/914) und das vom EDÖB anerkannte Schweizer Pendant den Basismechanismus, ergänzt um den Angemessenheitsbeschluss der Europäischen Kommission für den kanadischen Privatsektor (PIPEDA) für den Edge-Standort Beauharnois. Soweit die UK-DSGVO auf eine Weiterübermittlung anwendbar ist, kommt wo nötig das UK International Data Transfer Addendum zu den EU-Standardvertragsklauseln zum Einsatz. Guard.ch selbst ist eine Schweizer Rechtseinheit, ist nicht unter dem Data Privacy Framework zertifiziert und kann es auch nicht sein; wir behaupten nichts anderes.

Für die Ziele ausserhalb des EWR führen wir Transfer Impact Assessments und stellen Kunden auf schriftliche Anfrage an [email protected] eine Kopie zur Verfügung (wo nötig geschwärzt). Die massgebliche Beschreibung unserer Transferpraxis ist Abschnitt 9 der Datenschutzerklärung.

Kunden können dem Beizug eines neuen oder ersetzenden Subprozessors aus nachvollziehbaren Datenschutzgründen widersprechen (zum Beispiel bei einer dokumentierten Unvereinbarkeit mit dem eigenen regulatorischen Rahmen). Der Widerspruch muss schriftlich an [email protected] gehen, innert vierzehn (14) Tagen nach der Änderungsmitteilung und in jedem Fall bevor die angekündigte Änderung wirksam wird.

Nach Eingang suchen wir mit dem Kunden nach Treu und Glauben eine praktikable Alternative. Lässt sich vor dem Wirksamwerden der Änderung vernünftigerweise keine Alternative vereinbaren, kann der Kunde den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen und erhält für die ungenutzte Laufzeit eine anteilige Rückerstattung vorausbezahlter Gebühren, im Einklang mit den Nutzungsbedingungen und dem Auftragsverarbeitungsvertrag.

Fragen zu diesem Verzeichnis, Anfragen zu den zugrunde liegenden Auftragsverarbeitungsverträgen oder Transfer Impact Assessments, Abonnements der Änderungsmitteilungen und Widersprüche gehen alle an [email protected]. Per Post erreichst du Zesiger.net an der im Impressum publizierten Adresse.