Verzeichnis der Subprozessoren

Ein Subprozessor ist ein Drittanbieter, den Guard.ch (betrieben von Zesiger.net) beizieht, um Personendaten in unserem Auftrag zu verarbeiten und so den Dienst zu erbringen. Dieses Verzeichnis nennt jeden dieser Anbieter, seine Rolle, die Kategorien der verarbeiteten Personendaten, den Ort der Verarbeitung und die Transfergarantie, auf die sich die Verarbeitung stützt.

Bei Untersuchungsinhalten handelt Guard.ch als Auftragsverarbeiter auf dokumentierte Weisung des Kunden; die Anbieter, die mit diesen Inhalten in Berührung kommen (dauerhafte Speicherung, die Browser-Knoten, die KI-Analyseanbieter), sind Subprozessoren im Sinne von Art. 28 Abs. 2 und 4 DSGVO. Bei Konto-, Abrechnungs-, Sicherheits- und Plattformdaten handelt Guard.ch als Verantwortlicher, und die entsprechenden Anbieter sind unsere Auftragsverarbeiter. Der Transparenz halber führt dieses Verzeichnis beide Kategorien im selben Format auf. Wie sich die Tätigkeiten als Auftragsverarbeiter und als Verantwortlicher aufteilen, steht in Abschnitt 6.1 der Datenschutzerklärung.

Diese Seite ist das öffentliche Verzeichnis, auf das unser Auftragsverarbeitungsvertrag verweist. Widersprechen sich dieses Verzeichnis und der Auftragsverarbeitungsvertrag in einem wesentlichen Punkt, geht für den Vertragskunden der Auftragsverarbeitungsvertrag vor.

Bevor wir einen Subprozessor aufnehmen oder ersetzen, der Personendaten unserer Kunden verarbeitet, aktualisieren wir dieses Verzeichnis mindestens dreissig (30) Tage im Voraus; so können Kunden die Änderung prüfen und ihr widersprechen, bevor sie wirksam wird. Änderungen ohne Einfluss darauf, wie Personendaten unserer Kunden verarbeitet, gespeichert oder übermittelt werden (etwa eine Umfirmierung, eine neue Adresse oder die Streichung eines Anbieters), übernehmen wir ohne Ankündigungsfrist mit der nächsten routinemässigen Aktualisierung.

Kunden und Interessenten können schriftliche Änderungsmitteilungen abonnieren: Schick dazu das Wort «subscribe» an [email protected]. Die Liste ist ausschliesslich für Mitteilungen zu Subprozessoren und Rechtsdokumenten bestimmt; abmelden kannst du dich jederzeit, indem du mit «unsubscribe» antwortest.

Alle dauerhaft gespeicherten Kundendaten (Produktionsdatenbank, Konto- und Abrechnungsdatensätze, Workspace-Assets und Backups) liegen in einer einzigen Primärregion: im Rechenzentrum von Hetzner in Helsinki, Finnland (EWR). Untersuchungsinhalte werden nirgendwo gespeichert: Sie bestehen nur im laufenden Container und werden mit ihm zerstört, und es gibt keine Replikation über mehrere Regionen. Die Edge-Knoten in Singapur, Salt Lake City und Beauharnois führen die isolierten Untersuchungs-Container aus und streamen sie per WebRTC an die Nutzer; die Arbeitsdateien des Browsers bestehen auf einem Edge-Knoten nur in der beschreibbaren Schicht des Containers, solange die Untersuchung läuft. Danach werden der Container und seine beschreibbare Schicht zerstört.

Die Edge-Knoten sind dedizierte Server, die wir bei den unten pro Standort aufgeführten Rechenzentrumsanbietern mieten. Vertragsunterlagen der Anbieter und Details zu den Transfer-Impact-Assessments erhalten Kunden auf schriftliche Anfrage an [email protected].

Cloudflare stellt das DNS für guard.ch bereit und liefert das guard.ch-Web-Frontend über sein Edge-Netzwerk aus. Backend-API-Anfragen aus dem Dashboard und alles, was eine laufende Untersuchung zeigt, beantwortet unsere eigene Origin-Infrastruktur; die Rolle von Cloudflare beschränkt sich auf DNS, die Auslieferung des Web-Frontends und Turnstile. Cloudflare Turnstile läuft auf den Formularen für Registrierung, Anmeldung, E-Mail-Code-Bestätigung, Passwort-Zurücksetzen und den Untersuchungs-Launcher und wehrt automatisierten Missbrauch ab.

Guard.ch unterstützt Passkeys, die Anmeldung mit E-Mail und Passwort sowie die föderierte Anmeldung mit Google oder Microsoft. Die föderierten Anbieter erhalten nur dann Daten, wenn du diese Anmeldemethode aktiv wählst; meldest du dich mit Passkey oder mit E-Mail und Passwort an, fliessen keine Daten an die unten genannten Anbieter. Google und Microsoft verarbeiten das Anmeldeereignis als Identitätsanbieter zusätzlich nach ihren eigenen Bedingungen und gelten dabei als eigenständige Verantwortliche für ihre jeweiligen Identitätsdienste; der Transparenz halber sind sie hier aufgeführt.

Stripe wickelt sämtliche Zahlungen für Guard.ch-Abonnements ab. Vertragspartnerin von Guard.ch ist Stripe Payments Europe, Ltd.; an der Verarbeitung können auch Stripe, Inc. und weitere Gesellschaften der Stripe-Gruppe unter dem Auftragsverarbeitungsvertrag von Stripe beteiligt sein. Guard.ch erhält und speichert nie vollständige Kartennummern: Die Zahlungsmethode wird bei Stripe tokenisiert, und in unseren Abrechnungsdaten landen nur das Token, die Kartenmarke und die letzten vier Ziffern. Für bestimmte Tätigkeiten, etwa Betrugsüberwachung und eigene regulatorische Compliance, handelt Stripe als eigenständige Verantwortliche, wie in der eigenen Datenschutzdokumentation beschrieben.

Ausgehende Transaktions-E-Mails (Bestätigungscodes fürs Konto, Einmal-Anmeldecodes, Kontaktformular-Bestätigungen und ähnliche Konto- und Dienstmitteilungen) gehen von [email protected] aus, der gemeinsamen Transaktionsadresse der Plattformen browser.lol und guard.ch, über das SMTP-Relay von Google Workspace. Aufzeichnungsinhalte aus Untersuchungen sind nie Bestandteil von Transaktions-E-Mails.

Guard.ch nutzt Analysedienste Dritter für eng umrissene Zwecke: Inferenz grosser Sprachmodelle für die KI-Analyse- und Zusammenfassungsfunktionen einer Untersuchung, eine Websuche, mit der das Modell den untersuchten Host gegen das offene Web abgleicht, Abfragen zu Hostnamen und Domains als Signal für die automatisierte Einschätzung und Anomalie-Erkennung in aggregierten Betriebslogs. Sämtliche Modellinferenz läuft über einen einzigen Anbieter, OpenRouter, Inc., der jede Anfrage an den für die Aufgabe gewählten Modellanbieter weiterleitet; mit diesen Anbietern hat Guard.ch keinen eigenen Vertrag, sie sind von OpenRouter beigezogene Subprozessoren. Von den unten aufgeführten Anbietern erhalten nur OpenRouter und Serper von Nutzern eingereichte Untersuchungsinhalte: OpenRouter die Inhalte, die an die KI-Funktion gehen, und Serper die Suchanfragen des Modells, die den untersuchten Domainnamen enthalten. Google Web Risk und WhoisJSON sehen nur einen Hostnamen oder Domainnamen. PostHog liefert die First-Party-Produktanalyse für Website und Dashboard von guard.ch (Nutzungsereignisse, Session-Aufzeichnungen der Oberfläche und Fehlerberichte) und erhält keine Aufzeichnungsinhalte aus Untersuchungen.

Die Anreicherung in einer Untersuchung (IP-Geolokation, ASN-Daten, Netzwerk-Metadaten, Bedrohungs- und Tracker-Klassifizierungen, Domain-Popularität) entsteht aus Referenzdatensätzen, die wir lizenzieren oder aus öffentlichen Quellen beziehen, nach einem festen Zeitplan herunterladen und in unserer eigenen Datenbank abfragen. Diese Anbieter liefern uns Daten; sie erhalten und verarbeiten keine Personendaten unserer Kunden und sind deshalb keine Subprozessoren. Derzeit sind das MaxMind (GeoLite2 City und ASN), PeeringDB (über CAIDA-Snapshots), abuse.ch (Feodo Tracker, ThreatFox, URLhaus) und die Tranco-Liste.

Über die oben aufgeführten Analyseanbieter hinaus verlassen drei Arten von Nachschlage-Abfragen unsere Infrastruktur, während eine Untersuchung läuft: WHOIS/RDAP-Abfragen zur registrierbaren Domain der untersuchten URL, die Abfrage bei Google Web Risk und DNS-Auflösungen des untersuchten Hostnamens. Die WHOIS/RDAP-Abfragen gehen zuerst an öffentliche Verzeichnisinfrastruktur, an die zuständige Registry oder den Registrar und an den öffentlichen RDAP-Umleiter, über den sich diese ermitteln lässt; dorthin geht nur der untersuchte Domainname, und eine Auftragsverarbeitung im Rahmen eines Vertrags mit Guard.ch ist das nicht. Liefern diese öffentlichen Quellen nichts Brauchbares, geht derselbe Domainname an die kommerzielle WHOIS-API, die oben im Analyse-Abschnitt aufgeführt ist; das ist Auftragsverarbeitung und dort offengelegt. Die DNS-Auflösungen gehen an eine Reihe öffentlicher Resolver von Drittanbietern, filternde neben ungefilterten, denn ob ein Resolver für einen Hostnamen überhaupt noch antwortet, ist selbst das Signal; jeder Betreiber erhält dabei nur den aufgelösten Hostnamen, und zwar nach seinen eigenen öffentlichen Bedingungen und nicht aufgrund eines Vertrags mit Guard.ch.

Guard.ch wird aus der Schweiz betrieben. Die Schweiz ist von der Europäischen Kommission und nach den britischen Angemessenheitsregelungen als angemessen anerkannt; Personendaten können darum ohne zusätzliche Transfergarantien zwischen dem EWR, dem Vereinigten Königreich und unserem Schweizer Standort fliessen. Dauerhaft gespeicherte Kundendaten bleiben im EWR (Hetzner, Helsinki); nur die flüchtige Verarbeitung an den Edge-Knoten und die oben aufgeführten spezifischen Anbieterdienste bedeuten Verarbeitung ausserhalb des EWR und der Schweiz.

Bei US-Anbietern mit Zertifizierung unter dem EU-US Data Privacy Framework und der Schweiz-US-Erweiterung, wie in diesem Verzeichnis pro Anbieter anhand der offiziellen DPF-Liste ausgewiesen, ist diese Zertifizierung der primäre Transfermechanismus; die EU-Standardvertragsklauseln wirken als Rückfallebene. Für alle übrigen Übermittlungen ausserhalb des EWR, der Schweiz und des Vereinigten Königreichs bilden die EU-Standardvertragsklauseln (2021/914) und das vom EDÖB anerkannte Schweizer Pendant den Basismechanismus, ergänzt um den Angemessenheitsbeschluss der Europäischen Kommission für den kanadischen Privatsektor (PIPEDA) für den Edge-Standort Beauharnois. Soweit die UK-DSGVO auf eine Weiterübermittlung anwendbar ist, kommt wo nötig das UK International Data Transfer Addendum zu den EU-Standardvertragsklauseln zum Einsatz. Guard.ch selbst ist eine Schweizer Rechtseinheit, ist nicht unter dem Data Privacy Framework zertifiziert und kann es auch nicht sein; wir behaupten nichts anderes.

Für die Zielländer ausserhalb des EWR führen wir Transfer-Impact-Assessments durch und stellen Kunden auf schriftliche Anfrage an [email protected] eine Kopie zur Verfügung (wo nötig geschwärzt). Die massgebliche Beschreibung unserer Transferpraxis ist Abschnitt 9 der Datenschutzerklärung.

Kunden können dem Beizug eines neuen oder ersetzenden Subprozessors aus nachvollziehbaren Datenschutzgründen widersprechen (zum Beispiel bei einer dokumentierten Unvereinbarkeit mit dem eigenen regulatorischen Rahmen). Der Widerspruch muss schriftlich an [email protected] gehen, innert vierzehn (14) Tagen nach der Änderungsmitteilung und in jedem Fall bevor die angekündigte Änderung wirksam wird.

Nach Eingang bemühen wir uns nach Treu und Glauben gemeinsam mit dem Kunden um eine praktikable Alternative. Lässt sich vor dem Wirksamwerden der Änderung vernünftigerweise keine Alternative vereinbaren, kann der Kunde den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen und erhält für die ungenutzte Laufzeit eine anteilige Rückerstattung vorausbezahlter Gebühren, im Einklang mit den Nutzungsbedingungen und dem Auftragsverarbeitungsvertrag.

Fragen zu diesem Verzeichnis, Anfragen zu den zugrunde liegenden Auftragsverarbeitungsverträgen oder Transfer-Impact-Assessments, Anmeldungen zu den Änderungsmitteilungen und Widersprüche gehen alle an [email protected]. Per Post erreichst du Zesiger.net an der im Impressum publizierten Adresse.