Verzeichnis der Unterauftragsverarbeiter

Guard.ch (betrieben von Zesiger.net) bezieht Drittanbieter ein, um den Dienst zu erbringen. Dieses Verzeichnis nennt ihre Aufgaben, die betroffenen Datenkategorien, Verarbeitungsorte und Transfergarantien.

Bei Untersuchungsinhalten handelt Guard.ch als Auftragsverarbeiter auf Weisung des Kunden. Anbieter, die diese Inhalte verarbeiten, etwa Betreiber von Browser-Knoten und KI-Analysedienste, sind Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO. Bei Konto-, Abrechnungs-, Sicherheits- und Plattformdaten handelt Guard.ch als Verantwortlicher; die entsprechenden Anbieter verarbeiten Daten in unserem Auftrag. Der Transparenz halber führen wir beide Gruppen auf. Die Rollen beschreibt Abschnitt 6.1 der Datenschutzerklärung.

Diese Seite ist das öffentliche Verzeichnis, auf das unser Auftragsverarbeitungsvertrag verweist. Widersprechen sich dieses Verzeichnis und der Auftragsverarbeitungsvertrag in einem wesentlichen Punkt, geht für den Vertragskunden der Auftragsverarbeitungsvertrag vor.

Bevor wir einen Unterauftragsverarbeiter aufnehmen oder ersetzen, der Personendaten unserer Kunden verarbeitet, aktualisieren wir dieses Verzeichnis mindestens dreissig (30) Tage im Voraus; so können Kunden die Änderung prüfen und ihr widersprechen, bevor sie wirksam wird. Änderungen ohne Einfluss darauf, wie Personendaten unserer Kunden verarbeitet, gespeichert oder übermittelt werden (etwa eine Umfirmierung, eine neue Adresse oder die Streichung eines Anbieters), übernehmen wir ohne Ankündigungsfrist mit der nächsten routinemässigen Aktualisierung.

Kunden und Interessenten können schriftliche Änderungsmitteilungen abonnieren: Schick dazu das Wort «subscribe» an legal@guard.ch. Die Liste ist ausschliesslich für Mitteilungen zu Unterauftragsverarbeitern und Rechtsdokumenten bestimmt; abmelden kannst du dich jederzeit, indem du mit «unsubscribe» antwortest.

Änderungsmitteilungen abonnieren

Bei Hetzner in Helsinki (EWR) liegen die Produktionsdatenbank mit Konto-, Abrechnungs- und Untersuchungsdatensätzen und Workspace-Dateien; verschlüsselte Datenbank-Backups liegen bei IDrive e2 in Frankfurt (EWR). Untersuchungsinhalte werden während der laufenden Untersuchung in isolierten Browser-Containern in der EU, in Singapur, Salt Lake City oder Beauharnois verarbeitet. Die Container übertragen die Browseransicht an die Nutzer. Nach der Untersuchung werden sie samt ihren Arbeitsdateien entfernt. Nur ein Browserprofil, das ein Nutzer speichern lässt, überdauert die Untersuchung: Es liegt bei OVHcloud in der dafür gewählten Region, in Gravelines (EWR) oder in Beauharnois (Kanada).

Die Edge-Knoten sind dedizierte Server, die wir bei den unten pro Standort aufgeführten Rechenzentrumsanbietern mieten. Vertragsunterlagen der Anbieter und Details zu den Transfer-Impact-Assessments erhalten Kunden auf schriftliche Anfrage an legal@guard.ch.

• Hetzner Online GmbH

  Rolle und Zweck

  Dauerhaftes Hosting: Produktionsdatenbank, S3-kompatibler Objektspeicher für Workspace-Assets (Logos), Kontodatensätze und Abrechnungsdokumente sowie verschlüsselte Backups.

  Datenkategorien

  Alle dauerhaft gespeicherten Personendaten von Kunden: Kontodaten, Zahlungsmetadaten, Untersuchungsdatensätze (URL, Zeitstempel, Status), Logs und Backups.

  Standort

  Helsinki, Finnland (EWR). Sitz der Gesellschaft: Gunzenhausen, Deutschland.

  Datenschutz und Übermittlungen

  Die Verarbeitung erfolgt innerhalb des EWR: Die DSGVO gilt unmittelbar, und der EWR ist nach Schweizer Datenschutzrecht als angemessen anerkannt. Ein zusätzlicher Transfermechanismus ist deshalb nicht nötig. Ein Auftragsverarbeitungsvertrag mit Hetzner liegt vor.

• IDrive Inc.

  Rolle und Zweck

  S3-kompatibler Objektspeicher (IDrive e2) für verschlüsselte Backups der Produktionsdatenbank und unseres Servers für Protokolle und Überwachung.

  Datenkategorien

  Verschlüsselte Datenbank-Backups und verschlüsselte Backups der Betriebsprotokolle. Kopien gespeicherter Profile, die vor dem 2026-10-16 erstellt wurden, bewahren wir bis zum 2026-11-15 auf und löschen sie danach.

  Standort

  Frankfurt, Deutschland (EWR). Sitz der Gesellschaft: Calabasas, Kalifornien, USA.

  Datenschutz und Übermittlungen

  Die Daten liegen im EWR. IDrive Inc. ist nach dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung zertifiziert (siehe offizielle DPF-Liste); als Rückfallebene wirken die EU-Standardvertragsklauseln und das vom EDÖB anerkannte Schweizer Pendant aus dem Auftragsverarbeitungszusatz von IDrive.

• OVHcloud (OVH SAS)

  Rolle und Zweck

  Betreibt einen Browser-Server in der EU, der isolierte Untersuchungs-Container ausführt und das WebRTC-Streaming bereitstellt, und speichert gespeicherte Browserprofile mit der Region Europa (Public Cloud File Storage, Gravelines). Zudem stehen dort die von uns selbst betriebenen Server für unsere Betriebsprotokolle, die Überwachung und deren Auswertung.

  Datenkategorien

  Flüchtige Untersuchungsdaten innerhalb des Untersuchungs-Containers, nur für die Dauer der Untersuchung; gespeicherte Browserprofile, die ein Nutzer behalten wollte (Cookies und Anmeldungen, Verlauf, Lesezeichen, Erweiterungen, Website-Speicher und Browsereinstellungen); Betriebsprotokolle, die IP-Adressen sowie Nutzer-, Session- und Workspace-Kennungen enthalten können (30 Tage aufbewahrt).

  Standort

  Frankreich (EWR): Gravelines für den Browser-Server und den Speicher gespeicherter Profile, Nordfrankreich für unsere Protokoll- und Überwachungsserver. Sitz der Gesellschaft: Roubaix, Frankreich.

  Datenschutz und Übermittlungen

  Die Verarbeitung erfolgt innerhalb des EWR: Die DSGVO gilt unmittelbar, und der EWR ist nach Schweizer Datenschutzrecht als angemessen anerkannt. Ein zusätzlicher Transfermechanismus ist deshalb nicht nötig. Es gelten die Auftragsverarbeitungsbedingungen von OVHcloud.

• OVHcloud (OVH Singapore PTE Ltd)

  Rolle und Zweck

  Betreibt den Edge-Knoten, der die isolierten Untersuchungs-Container ausführt und das WebRTC-Streaming für Untersuchungen aus Asien-Pazifik bereitstellt.

  Datenkategorien

  Flüchtige Untersuchungsdaten innerhalb des Untersuchungs-Containers, nur für die Dauer der Untersuchung. Zwischen zwei Untersuchungen bleibt dort nichts zurück.

  Standort

  Singapur. OVHcloud weist Singapur als Standort für dedizierte Server in Asien-Pazifik aus.

  Datenschutz und Übermittlungen

  Für Singapur besteht kein Angemessenheitsbeschluss der EU oder der Schweiz. Auftragsverarbeitungsbedingungen von OVHcloud, EU-Standardvertragsklauseln (Modul Auftragsverarbeiter zu Auftragsverarbeiter) und das vom EDÖB anerkannte Schweizer Pendant, dazu Verschlüsselung bei der Übertragung (TLS 1.3, DTLS-SRTP) für den Analysten-Stream.

• FiberState, LLC

  Rolle und Zweck

  Betreibt den Edge-Knoten, der die isolierten Untersuchungs-Container ausführt und das WebRTC-Streaming für Untersuchungen aus Nordamerika bereitstellt.

  Datenkategorien

  Flüchtige Untersuchungsdaten innerhalb des Untersuchungs-Containers, nur für die Dauer der Untersuchung. Zwischen zwei Untersuchungen bleibt dort nichts zurück.

  Standort

  Salt Lake City, Utah, USA. Von FiberState angegebene Anschrift: 106 East 13200 South, Draper, UT 84020, USA.

  Datenschutz und Übermittlungen

  FiberState ist nicht unter dem EU-US Data Privacy Framework zertifiziert. EU-Standardvertragsklauseln (Modul Auftragsverarbeiter zu Auftragsverarbeiter) und das vom EDÖB anerkannte Schweizer Pendant, ein dokumentiertes Transfer-Impact-Assessment sowie Verschlüsselung bei der Übertragung.

• OVHcloud (OVH Hebergement INC)

  Rolle und Zweck

  Betreibt den Edge-Knoten, der die isolierten Untersuchungs-Container ausführt und das WebRTC-Streaming für Untersuchungen aus Nordamerika bereitstellt, und speichert gespeicherte Browserprofile mit der Region Nordamerika (Public Cloud File Storage, Beauharnois).

  Datenkategorien

  Flüchtige Untersuchungsdaten innerhalb des Untersuchungs-Containers, nur für die Dauer der Untersuchung; gespeicherte Browserprofile mit der Region Nordamerika, die ein Nutzer behalten wollte (Cookies und Anmeldungen, Verlauf, Lesezeichen, Erweiterungen, Website-Speicher und Browsereinstellungen).

  Standort

  Beauharnois, Québec, Kanada. OVHcloud weist Beauharnois als Standort für dedizierte Server in Nordamerika aus.

  Datenschutz und Übermittlungen

  Der kanadische Privatsektor (PIPEDA) ist von der Europäischen Kommission (Entscheidung 2002/2/EG) und von der Schweiz als angemessen anerkannt. Zusätzlich gelten die Auftragsverarbeitungsbedingungen von OVHcloud, die EU-Standardvertragsklauseln und das Schweizer Pendant.

Cloudflare stellt das DNS für guard.ch bereit und liefert das guard.ch-Web-Frontend über sein Edge-Netzwerk aus. Unsere eigene Serverinfrastruktur beantwortet die Backend-API-Anfragen aus dem Dashboard und stellt die Inhalte laufender Untersuchungen bereit. Die Rolle von Cloudflare beschränkt sich auf DNS, die Auslieferung des Web-Frontends und Turnstile. Cloudflare Turnstile schützt die Formulare zur Registrierung, Anmeldung, Bestätigung des E-Mail-Codes und zum Zurücksetzen des Passworts, den Start einer Untersuchung und die Kontaktformulare vor automatisiertem Missbrauch.

• Cloudflare, Inc. (DNS und Auslieferung des Frontends)

  Rolle und Zweck

  Autoritatives DNS für guard.ch und Auslieferung des guard.ch-Web-Frontends (Marketing-Site und Dashboard-Anwendung) über das Edge-Netzwerk von Cloudflare, einschliesslich TLS-Terminierung für diese Zugriffe.

  Datenkategorien

  IP-Adresse, User-Agent und Anfrage-Metadaten der Besucher bei Zugriffen auf das guard.ch-Frontend. Backend-API-Anfragen und Untersuchungsinhalte verarbeitet ausschliesslich unsere eigene Origin-Infrastruktur an den in diesem Verzeichnis genannten Hosting-Standorten; die Rolle von Cloudflare beschränkt sich auf DNS, die Auslieferung des Web-Frontends und Turnstile.

  Standort

  Sitz der Gesellschaft: San Francisco, Kalifornien, USA. Weltweites Anycast-Netzwerk.

  Datenschutz und Übermittlungen

  Zertifiziert unter dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung (siehe offizielle DPF-Liste); als Rückfallebene wirken die im Auftragsverarbeitungsvertrag mit Cloudflare vereinbarten EU-Standardvertragsklauseln und das vom EDÖB anerkannte Schweizer Pendant.

• BunnyWay d.o.o. (bunny.net, DNS für den API-Hostnamen)

  Rolle und Zweck

  Autoritatives DNS für api.guard.ch (aufgelöst über api.browser.lol). Jede Anfrage wird mit einem nahe gelegenen, verfügbaren Browser-Server beantwortet (Geo-DNS); Zustandsprüfungen nehmen nicht erreichbare Server aus den Antworten.

  Datenkategorien

  IP-Adresse des anfragenden DNS-Resolvers, sofern der Resolver sie mitsendet ein gekürzter Teil der IP-Adresse der Nutzerin oder des Nutzers (EDNS Client Subnet), der abgefragte Hostname und der Zeitpunkt der Anfrage. Bunny DNS sieht weder API-Anfragen noch Untersuchungsinhalte oder Kontodaten.

  Standort

  Sitz der Gesellschaft: Ljubljana, Slowenien (EWR). Weltweites Anycast-DNS-Netzwerk.

  Datenschutz und Übermittlungen

  Anbieter im EWR; die DSGVO gilt unmittelbar, und nach Schweizer Datenschutzrecht gilt der EWR als angemessen, daher ist kein zusätzlicher Übermittlungsmechanismus erforderlich. Es gilt der Auftragsverarbeitungsvertrag von bunny.net.

• Cloudflare, Inc. (Turnstile)

  Rolle und Zweck

  Bot-Challenges auf den Formularen zur Registrierung, Anmeldung, Bestätigung des E-Mail-Codes und zum Zurücksetzen des Passworts, beim Start einer Untersuchung (/start) und auf den Kontaktformularen.

  Datenkategorien

  IP-Adresse, User-Agent und Interaktionssignale für die Dauer der Challenge, dazu ein Site-Token pro Anfrage. Keine Kontoinhalte und keine Untersuchungsinhalte.

  Standort

  Sitz der Gesellschaft: San Francisco, Kalifornien, USA. Weltweites Anycast-Netzwerk.

  Datenschutz und Übermittlungen

  Zertifiziert unter dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung (siehe offizielle DPF-Liste); als Rückfallebene wirken die EU-Standardvertragsklauseln und das vom EDÖB anerkannte Schweizer Pendant.

Guard.ch unterstützt Passkeys, die Anmeldung mit E-Mail und Passwort sowie die föderierte Anmeldung mit Google oder Microsoft. Die föderierten Anbieter erhalten nur dann Daten, wenn du diese Anmeldemethode aktiv wählst; meldest du dich mit Passkey oder mit E-Mail und Passwort an, fliessen keine Daten an die unten genannten Anbieter. Google und Microsoft verarbeiten das Anmeldeereignis als Identitätsanbieter zusätzlich nach ihren eigenen Bedingungen und gelten dabei als eigenständige Verantwortliche für ihre jeweiligen Identitätsdienste; der Transparenz halber sind sie hier aufgeführt.

• Google LLC (Anmeldung mit Google)

  Rolle und Zweck

  OAuth-2.0-Identitätsbestätigung, wenn jemand die Anmeldung mit Google wählt. Google liefert die verifizierte E-Mail-Adresse, den Namen und die URL des Profilbilds zurück; damit legt Guard.ch das Konto an oder erkennt ein bestehendes Konto wieder.

  Datenkategorien

  OAuth-Kennungen und die genannten Basis-Profilfelder. Daten fliessen nur, wenn diese Anmeldemethode aktiv gewählt wird.

  Standort

  Mountain View, Kalifornien, USA.

  Datenschutz und Übermittlungen

  Zertifiziert unter dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung (siehe offizielle DPF-Liste); als Rückfallebene wirken die EU-Standardvertragsklauseln und das vom EDÖB anerkannte Schweizer Pendant.

• Microsoft Corporation (Anmeldung mit Microsoft)

  Rolle und Zweck

  OAuth-2.0-/OpenID-Connect-Identitätsbestätigung über Microsoft Entra ID, wenn jemand die Anmeldung mit Microsoft wählt. Microsoft gibt dabei die verifizierte E-Mail-Adresse, den Anzeigenamen und die Tenant-Kennung zurück.

  Datenkategorien

  OAuth- und SSO-Kennungen und die genannten Basis-Profilfelder. Daten fliessen nur, wenn diese Anmeldemethode aktiv gewählt wird.

  Standort

  Redmond, Washington, USA.

  Datenschutz und Übermittlungen

  Zertifiziert nach dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung (siehe offizielle DPF-Liste); als Rückfallebene wirkt das Microsoft Products and Services Data Protection Addendum mit EU-Standardvertragsklauseln und dem vom EDÖB anerkannten Schweizer Pendant.

Stripe wickelt sämtliche Zahlungen für Guard.ch-Abonnements ab. Vertragspartnerin von Guard.ch ist Stripe Payments Europe, Ltd.; an der Verarbeitung können auch Stripe, Inc. und weitere Gesellschaften der Stripe-Gruppe unter dem Auftragsverarbeitungsvertrag von Stripe beteiligt sein. Guard.ch erhält und speichert nie vollständige Kartennummern: Die Zahlungsmethode wird bei Stripe tokenisiert, und in unseren Abrechnungsdaten landen nur das Token, die Kartenmarke und die letzten vier Ziffern. Für bestimmte Tätigkeiten, etwa Betrugsüberwachung und eigene regulatorische Compliance, handelt Stripe als eigenständige Verantwortliche, wie in der eigenen Datenschutzdokumentation beschrieben.

• Stripe Payments Europe, Ltd.

  Rolle und Zweck

  Zahlungsabwicklung für Guard.ch-Abonnements: Checkout, Abonnementsabrechnung, Rechnungen, Rückerstattungen und die Bearbeitung von Zahlungsstreitigkeiten. Stripe Payments Europe, Ltd. ist die Vertragspartnerin von Guard.ch.

  Datenkategorien

  Rechnungsname und -adresse, E-Mail-Adresse, Token der Zahlungsmethode und Transaktionsdaten. Kartennummern bleiben im PCI-DSS-Bereich von Stripe; Guard.ch erhält und speichert die Kartennummer nie.

  Standort

  Dublin, Irland (EWR).

  Datenschutz und Übermittlungen

  Verarbeitung innerhalb des EWR im Anwendungsbereich der DSGVO. Auftragsverarbeitungsvertrag mit Stripe liegt vor.

• Stripe, Inc.

  Rolle und Zweck

  Stripe verarbeitet Daten innerhalb der Unternehmensgruppe auch in den USA. Das betrifft etwa die Abrechnung für Kunden ausserhalb des EWR, des Vereinigten Königreichs und der Schweiz sowie die Infrastruktur zur Zahlungsabwicklung, Risikobewertung und Betrugsprävention.

  Datenkategorien

  Dieselben Abrechnungs- und Transaktionsdaten wie oben, soweit Stripe sie über seine US-Infrastruktur leitet.

  Standort

  South San Francisco, Kalifornien, USA.

  Datenschutz und Übermittlungen

  Zertifiziert nach dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung (siehe offizielle DPF-Liste); als Rückfallebene wirken die EU-Standardvertragsklauseln und das vom EDÖB anerkannte Schweizer Pendant aus dem Auftragsverarbeitungsvertrag mit Stripe.

Wir versenden Transaktions-E-Mails über das SMTP-Relay von Google Workspace. Als Absenderadresse dient noreply@browser.lol, die gemeinsame Adresse von browser.lol und Guard.ch für diese Mitteilungen. Dazu gehören Bestätigungscodes fürs Konto, Einmalcodes für die Anmeldung, Bestätigungen von Kontaktanfragen und ähnliche Konto- und Dienstmitteilungen. Aufzeichnungsinhalte aus Untersuchungen sind nie Bestandteil von Transaktions-E-Mails. Auch unser Support-Postfach, das eine Kopie der Kontaktformular-Nachrichten und unserer Antworten enthält, liegt bei Google Workspace.

• Google Ireland Limited (Google Workspace, Gmail)

  Rolle und Zweck

  Ausgehende Transaktions-E-Mails: Bestätigungscodes fürs Konto, Einmalcodes für die Anmeldung, Kontaktformular-Bestätigungen und ähnliche Konto- und Dienstmitteilungen, versendet von noreply@browser.lol (der gemeinsamen Transaktionsadresse der Plattformen browser.lol und guard.ch) über das SMTP-Relay von Google Workspace. Zahlungsbelege und Rechnungen verschickt Stripe, nicht dieses Relay. Google Workspace beherbergt ausserdem unser Support-Postfach, das eine Kopie der über die Kontaktformulare gesendeten Nachrichten und unserer Antworten enthält.

  Datenkategorien

  Empfängeradresse und Inhalt der Transaktionsnachricht.

  Standort

  Dublin, Irland (EWR). E-Mail-Daten können von Google LLC in den USA verarbeitet werden.

  Datenschutz und Übermittlungen

  Google Workspace Data Processing Amendment. Für die Verarbeitung durch Google LLC in den USA: Zertifizierung nach dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung (siehe offizielle DPF-Liste), mit den EU-Standardvertragsklauseln und dem vom EDÖB anerkannten Schweizer Pendant als Rückfallebene.

Für die Analyse nutzt Guard.ch ausgewählte Dienste Dritter: OpenRouter für Modellanfragen, Tavily für Websuchen sowie Google Web Risk für Abfragen zu Hostnamen und Seitenadressen sowie WhoisJSON für Abfragen zu Domains. OpenRouter leitet Modellanfragen an den jeweils gewählten Anbieter weiter; Guard.ch hat mit diesen Modellanbietern keinen direkten Vertrag. An die KI-Funktion übermittelte Untersuchungsinhalte erhält OpenRouter. Tavily erhält Suchanfragen mit dem untersuchten Domainnamen; Google Web Risk erhält Hostnamen und Seitenadressen ohne Query, WhoisJSON nur den Domainnamen. Die Einzelheiten stehen in den Einträgen unten. Davon getrennt lässt unser Support-System Kontaktformular-Nachrichten von Sprachmodellen auf Spam prüfen, zusammenfassen, übersetzen und Antworten darauf entwerfen; der letzte Eintrag unten beschreibt das.

• OpenRouter, Inc. (LLM-Routing)

  Rolle und Zweck

  Inferenz grosser Sprachmodelle für sämtliche KI-Funktionen: die automatisierte Einschätzung einer Untersuchung sowie die Anomalie-Erkennung in aggregierten Betriebslogs. OpenRouter ist die einzige Stelle, an die wir Modellanfragen schicken. Von dort geht jede Anfrage an den Modellanbieter, der für die jeweilige Aufgabe ausgewählt ist; diese Anbieter sind damit von OpenRouter beigezogene Unterauftragsverarbeiter und keine Vertragspartner von Guard.ch.

  Die Websuche hinter der Analyse ist die separat aufgeführte Abfrage bei Tavily und keine Suchfunktion des Modellanbieters.

  OpenRouter führt im Rahmen seines Auftragsverarbeitungsvertrags ein eigenes Verzeichnis der Unterauftragsverarbeiter, veröffentlicht es aber nur über ein zugangsbeschränktes Trust-Portal, weshalb es hier nicht wiedergegeben werden kann. OpenRouter kündigt Änderungen den Abonnenten seiner eigenen Änderungsmitteilungen 30 Tage im Voraus an. Für Modellanbieter gilt diese Vorankündigung ausdrücklich nicht.

  Datenkategorien

  Für die Analyse einer Untersuchung: aus der Untersuchung abgeleitete Inhalte, die an die KI-Funktion gehen (etwa extrahierter Seitentext, Signale aus der Untersuchung sowie die beteiligten Prompts und Antworten).

  Für die Anomalie-Erkennung im Betrieb: ausschliesslich aggregierte Logzeilen und pseudonyme Kennungen, nie Untersuchungsinhalte. Zugangsdaten werden nicht übermittelt.

  Prompt- und Antwortinhalte werden standardmässig nicht aufbewahrt. Beide optionalen Einstellungen zur Protokollierung von Inhalten sind für unser Konto ausgeschaltet. OpenRouter bewahrt Metadaten der Anfragen wie Token-Zahlen und Latenz auf, jedoch keine Prompt- und Antwortinhalte. Die vertragliche Frist für die Löschung auf Verlangen beträgt 30 Werktage, einschliesslich Backups.

  Standort

  USA (OpenRouter, Inc., 169 Madison Avenue, New York, NY 10016) sowie weitere Länder ausserhalb des EWR und des Vereinigten Königreichs, in denen die angesteuerten Modellanbieter tätig sind. Das EU-Routing von OpenRouter ist eine Option der Enterprise-Stufe, die Guard.ch nicht nutzt; diese Verarbeitung findet also nicht in der EU statt.

  Datenschutz und Übermittlungen

  Der veröffentlichte Auftragsverarbeitungsvertrag von OpenRouter (Stand 5. Mai 2026), der mit der Nutzung des Dienstes automatisch gilt.

  OpenRouter ist nicht nach dem EU-US Data Privacy Framework zertifiziert, geprüft anhand der offiziellen Teilnehmerliste des Frameworks; die Übermittlung stützt sich daher allein auf die Standardvertragsklauseln: Modul 2 (Verantwortlicher an Auftragsverarbeiter, Beschluss 2021/914) nach Ziffer 13 dieses Vertrags, das britische Addendum für internationale Datentransfers für Übermittlungen ins Vereinigte Königreich und für die Schweiz dieselben Klauseln mit dem EDÖB als zuständiger Aufsichtsbehörde.

  OpenRouter erklärt, Eingaben und Ausgaben nicht für Modelltraining zu verwenden, und verfügt über einen SOC-2-Typ-2-Bericht, der über ein eigenes Zugangsverfahren erhältlich ist.

• Von OpenRouter angesteuerte Modellanbieter (derzeit Modelle von OpenAI und Google)

  Rolle und Zweck

  Die grossen Sprachmodelle, die unsere Anfragen am Ende beantworten. Guard.ch wählt pro Aufgabe ein Modell über die Konfiguration und kann diese Wahl ohne Änderung am Dienst anpassen. Die Vertragsbeziehung zum jeweiligen Modellanbieter besteht über OpenRouter, nicht direkt mit Guard.ch. Hier aufgeführt, damit transparent ist, wo die KI-Verarbeitung letztlich stattfindet, und nicht, weil Guard.ch diesen Anbietern direkt Daten übermittelt.

  Datenkategorien

  Dieselben Inhalte, die OpenRouter für die jeweilige Aufgabe erhält, wie im Eintrag oben beschrieben: aus der Untersuchung abgeleitete Inhalte für die Analysefunktionen, aggregierte Logzeilen für die Anomalie-Erkennung.

  Standort

  Ergibt sich aus dem Routing von OpenRouter und nicht aus einer Wahl von Guard.ch. Das EU-Routing von OpenRouter ist eine Option der Enterprise-Stufe, die Guard.ch nicht nutzt; die Verarbeitung findet daher ausserhalb des EWR und des Vereinigten Königreichs statt.

  Datenschutz und Übermittlungen

  Die Übermittlungen stützen sich auf die Standardvertragsklauseln im Auftragsverarbeitungsvertrag von OpenRouter; Guard.ch hat mit diesen Anbietern keinen eigenen Vertrag. Deren eigene Zertifizierungen sind hier nicht die Grundlage, und sie sind auch nicht einheitlich: Google LLC ist nach dem EU-US Data Privacy Framework samt Schweiz-US-Erweiterung zertifiziert, OpenAI ist nicht im Data Privacy Framework verzeichnet. Ob eine weitergeleitete Anfrage für Modelltraining verwendet werden darf, hängt vom Anbieter ab, und OpenRouter lässt Training durch Modellanbieter standardmässig zu; Guard.ch hat diese Nutzung in den Kontoeinstellungen ausgeschlossen. Bei einzelnen Anfragen übermitteln wir keine zusätzlichen Vorgaben zur Trainingsnutzung.

• Tavily (Websuche)

  Rolle und Zweck

  Die Websuche hinter der KI-Analyse. Wenn das Modell Informationen zum untersuchten Host im Web benötigt, sendet Guard.ch eine Suchanfrage an Tavily. Tavily führt die Suche aus und liefert die passenden Seiten mit ihren relevantesten Textstellen zurück. Das Modell erreicht selbst nie eine Suchmaschine, und der Browser einer Untersuchung nimmt zu keinem Suchanbieter Kontakt auf.

  Datenkategorien

  Die Suchanfragen der KI-Analyse: die Anfragen, die das Modell formuliert, und für die Stimmungsanalyse zwei feste Anfragen. Jede Anfrage ist eine kurze Stichwortsuche mit dem untersuchten Domainnamen oder Hostnamen. Seiteninhalte, Aufzeichnungsinhalte und Kontodaten werden nicht übermittelt.

  Standort

  AlphaAI Technologies Inc. (Tavily), New York, USA. Der Anbieter verarbeitet Daten in den USA, auch über Dienstleister mit Sitz in den USA.

  Datenschutz und Übermittlungen

  Die Datenschutzerklärung des Anbieters (Stand 24. November 2025) nennt für Enterprise-Abonnements die Standardvertragsklauseln mit seinen Dienstleistern; für andere Konten hält sie fest, dass die Daten direkt in den USA erhoben werden. Zudem kann der Anbieter Teile der Suchanfragen zur Verbesserung seines Dienstes verwenden; dagegen ist unter der DSGVO ein Widerspruch möglich.

• Google LLC (Web Risk)

  Rolle und Zweck

  Reputationsabfrage: Die während einer Untersuchung aufgelösten Hostnamen und die Adresse jeder Seite, die die Untersuchung zeigt, werden mit den Web-Risk-Bedrohungslisten von Google abgeglichen, als eines der Signale für die automatisierte Einschätzung.

  Datenkategorien

  Die geprüften Hostnamen einer Untersuchung und die Adressen der Seiten, die sie zeigt, gekürzt auf Origin und Pfad. Nie ein Query-String oder Fragment, keine Kontodaten und keine weiteren Untersuchungsinhalte. Die Antwort zu einer Seitenadresse halten wir nur kurz im Arbeitsspeicher und speichern sie nicht.

  Standort

  Mountain View, Kalifornien, USA.

  Datenschutz und Übermittlungen

  Zertifiziert nach dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung (siehe offizielle DPF-Liste); als Rückfallebene wirken die EU-Standardvertragsklauseln und das vom EDÖB anerkannte Schweizer Pendant.

• WhoisJSON (WHOIS-Abfrage)

  Rolle und Zweck

  Kommerzielle WHOIS-API für Domainabfragen, wenn die öffentlichen RDAP- und Registry-Quellen kein verwertbares Ergebnis liefern: In diesem Fall übermitteln wir denselben registrierbaren Domainnamen der untersuchten URL an WhoisJSON.

  Datenkategorien

  Ausschliesslich der registrierbare Domainname der untersuchten URL. Keine Pfade oder Query-Strings, keine Kontodaten, keine Untersuchungsinhalte. Der Anbieter gibt an, Antworten standardmässig drei Stunden zwischenzuspeichern.

  Standort

  Es gilt französisches Recht, ausschliesslicher Gerichtsstand ist Paris. Einen Verarbeitungsort nennt der Anbieter öffentlich nicht.

  Datenschutz und Übermittlungen

  Vom Anbieter öffentlich nicht angegeben.

• Sprachmodelle für die Support-Triage und Antwortentwürfe (Cloudflare, Inc. Workers AI; OpenRouter, Inc.)

  Rolle und Zweck

  Spam-Prüfung, Zusammenfassung und bei Bedarf Übersetzung der Nachrichten aus den Kontaktformularen sowie Entwürfe unserer Antworten durch unser Support-System. Cloudflare Workers AI übernimmt die Spam-Prüfung; OpenRouter leitet Anfragen für Zusammenfassung, Übersetzung und Entwürfe an den eingestellten Modellanbieter weiter (derzeit Anthropic). Jede Nachricht liest ein Mensch, und jede Antwort prüft und verschickt ein Mensch.

  Datenkategorien

  Text und Betreff einer Kontaktnachricht, ihr Thema und Signale zur Anfrage: ob die Sicherheitsprüfung bestanden wurde, ob die Absenderin oder der Absender angemeldet war und wie viele Nachrichten am selben Tag vom selben Absender kamen. Für einen Antwortentwurf zusätzlich öffentliche Informationen zu unseren Produkten. Keine Untersuchungsinhalte.

  Standort

  Globales Netzwerk von Cloudflare (Sitz: San Francisco, Kalifornien, USA); USA (OpenRouter, Inc.) sowie die Standorte des weitergeleiteten Modellanbieters.

  Datenschutz und Übermittlungen

  Anfragen gehen nur an Anbieter und Routen, die so eingerichtet sind, dass sie Prompts und Antworten weder speichern noch fürs Training verwenden (Zero Data Retention). Cloudflare ist unter dem EU-US Data Privacy Framework und der Swiss-US-Erweiterung zertifiziert; für OpenRouter, das nicht zertifiziert ist, gelten die Standardvertragsklauseln seines Auftragsverarbeitungsvertrags, für die Schweiz mit dem EDÖB als zuständiger Aufsichtsbehörde.

Für zusätzliche Informationen zu einer Untersuchung (IP-Geolokation, ASN-Daten, Netzwerk-Metadaten, Bedrohungs- und Tracker-Klassifizierungen, Domain-Popularität) nutzen wir Referenzdatensätze, die wir lizenzieren oder aus öffentlichen Quellen beziehen, nach einem festen Zeitplan herunterladen und in unserer eigenen Datenbank abfragen. Diese Anbieter liefern uns Daten; sie erhalten und verarbeiten keine Personendaten unserer Kunden und sind deshalb keine Unterauftragsverarbeiter. Derzeit sind das MaxMind (GeoLite2 City und ASN), PeeringDB (über CAIDA-Snapshots), abuse.ch (Feodo Tracker, ThreatFox, URLhaus) und die Tranco-Liste.

Bei den folgenden Abfragen wird ein Domainname oder Hostname an Dienste ausserhalb unserer Infrastruktur übermittelt. Google Web Risk (das zusätzlich Seitenadressen ohne Query erhält) und WhoisJSON sind oben bereits aufgeführt; hier erklären wir, wie die Abfragen während einer Untersuchung ablaufen:

• Öffentliche WHOIS- und RDAP-Verzeichnisse erhalten den untersuchten Domainnamen. Die Anfrage geht an die zuständige Registry oder den Registrar und gegebenenfalls an einen öffentlichen RDAP-Umleiter.
• Wenn öffentliche Verzeichnisse kein brauchbares Ergebnis liefern, fragen wir die oben aufgeführte kommerzielle WHOIS-API mit demselben Domainnamen ab.
• Öffentliche DNS-Resolver erhalten den untersuchten Hostnamen. Wir vergleichen Antworten filternder und ungefilterter Resolver; jeder Betreiber verarbeitet die Anfrage nach seinen eigenen Bedingungen.

Guard.ch wird aus der Schweiz betrieben. Die Schweiz ist von der Europäischen Kommission und nach den britischen Angemessenheitsregelungen als angemessen anerkannt; Personendaten können darum ohne zusätzliche Transfergarantien zwischen dem EWR, dem Vereinigten Königreich und unserem Schweizer Standort fliessen. Dauerhaft gespeicherte Kundendaten bleiben im EWR (Hetzner, Helsinki; IDrive e2, Frankfurt; OVHcloud, Gravelines), ausser gespeicherten Browserprofilen mit der Region Nordamerika, die die OVH Hébergement Inc. gestützt auf den Angemessenheitsbeschluss für Kanada in Beauharnois, Kanada, speichert; ausserhalb des EWR und der Schweiz werden Daten nur vorübergehend auf den Edge-Knoten sowie durch die oben aufgeführten Anbieterdienste verarbeitet.

Bei US-Anbietern mit Zertifizierung unter dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung, wie in diesem Verzeichnis pro Anbieter anhand der offiziellen DPF-Liste ausgewiesen, ist diese Zertifizierung der primäre Transfermechanismus; die EU-Standardvertragsklauseln wirken als Rückfallebene. Für alle übrigen Übermittlungen ausserhalb des EWR, der Schweiz und des Vereinigten Königreichs bilden die EU-Standardvertragsklauseln (2021/914) und das vom EDÖB anerkannte Schweizer Pendant den Basismechanismus, ergänzt um den Angemessenheitsbeschluss der Europäischen Kommission für den kanadischen Privatsektor (PIPEDA) für den Edge-Standort Beauharnois. Soweit die UK-DSGVO auf eine Weiterübermittlung anwendbar ist, kommt wo nötig das UK International Data Transfer Addendum zu den EU-Standardvertragsklauseln zum Einsatz. Als Schweizer Rechtseinheit kann Guard.ch selbst nicht nach dem Data Privacy Framework zertifiziert werden.

Für die Zielländer ausserhalb des EWR führen wir Transfer-Impact-Assessments durch und stellen Kunden auf schriftliche Anfrage an legal@guard.ch eine Kopie zur Verfügung (wo nötig geschwärzt). Die massgebliche Beschreibung unserer Transferpraxis ist Abschnitt 9 der Datenschutzerklärung.

Kunden können dem Beizug eines neuen oder ersetzenden Unterauftragsverarbeiters aus nachvollziehbaren Datenschutzgründen widersprechen (zum Beispiel bei einer dokumentierten Unvereinbarkeit mit dem eigenen regulatorischen Rahmen). Der Widerspruch muss schriftlich an legal@guard.ch gehen, innert vierzehn (14) Tagen nach der Änderungsmitteilung und in jedem Fall bevor die angekündigte Änderung wirksam wird.

Nach Eingang bemühen wir uns nach Treu und Glauben gemeinsam mit dem Kunden um eine praktikable Alternative. Lässt sich vor dem Wirksamwerden der Änderung vernünftigerweise keine Alternative vereinbaren, kann der Kunde den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen und erhält für die ungenutzte Laufzeit eine anteilige Rückerstattung vorausbezahlter Gebühren, im Einklang mit den Nutzungsbedingungen und dem Auftragsverarbeitungsvertrag.

Fragen zum Verzeichnis, Anfragen nach Vertragsunterlagen, Anmeldungen zu Änderungsmitteilungen und Widersprüche schickst du an legal@guard.ch. Die Postadresse von Zesiger.net steht im Impressum.

Änderungsmitteilungen abonnieren