Vereinbarung zur Auftragsbearbeitung

Stand: 25.10.2026 (Entwurf, juristische Prüfung ausstehend)

Vereinbarung zur Auftragsbearbeitung
zwischen dem Kunden gemäss den Allgemeinen Geschäftsbedingungen von igs.ch (nachfolgend «Kunde», Verantwortlicher)
und Hunkeler Digital Services, Richard Hunkeler, Im Storchen 1, 8212 Neuhausen am Rheinfall, Schweiz (nachfolgend «igs.ch», Auftragsbearbeiterin)

1. Gegenstand und Dauer

Diese Vereinbarung regelt die Bearbeitung von Personendaten durch igs.ch im Auftrag des Kunden nach Art. 9 des schweizerischen Datenschutzgesetzes (DSG). Soweit die Datenschutz-Grundverordnung der EU (DSGVO) auf den Kunden anwendbar ist, gilt sie zugleich als Vertrag nach Art. 28 DSGVO.
Sie ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) von igs.ch und gilt für die Dauer des Vertrags sowie bis zur Löschung der Daten nach Ziffer 9.
Nutzt ein Partner die Plattform für eigene Kundenorganisationen, bearbeitet igs.ch die Daten als weitere Auftragsbearbeiterin des Partners. Der Partner stellt sicher, dass er igs.ch nach den Verträgen mit seinen Kundenorganisationen beiziehen darf.

2. Art und Zweck der Bearbeitung

igs.ch empfängt die DMARC-Sammelberichte (rua) zu den Domains des Kunden an der jeweiligen Berichtsadresse, holt sie per IMAP ab, liest sie ein, ordnet die sendenden Mailserver Absendern zu (Katalog bekannter Dienste, Reverse-DNS, Netzbetreiber), speichert, verdichtet, zeigt und löscht sie ausschliesslich, um dem Kunden das Absenderinventar, Prüfergebnisse und Empfehlungen für die Einführung der E-Mail-Authentisierung bereitzustellen. Zudem verwaltet igs.ch die Aufgaben zur Behebung von Fehlern, die der Kunde Benutzern seines Kontos oder Externen ohne Konto zuweist, mit Verlauf, Antworten und Dateien. Auf Verlangen des Kunden empfängt und wertet igs.ch zudem TLS-RPT-Berichte zu seinen Domains aus und stellt in den Stufen Projekt und Partner seine MTA-STS-Policy bereit.

3. Kategorien betroffener Personen und Daten

Betroffene Personen: Betreiber und Nutzer von Mailservern, die E-Mails im Namen der Domains des Kunden versenden, einschliesslich Dritter, die die Domain unberechtigt verwenden; meldende Organisationen; Externe, denen der Kunde Aufgaben zuweist (z. B. Mitarbeitende eines Informatik-Partners).
Daten je Bericht: Berichtszeitraum, meldende Organisation und Kennung des Berichts; die eingegangene Berichts-E-Mail mit Kopfzeilen und Anhang bis zu ihrer Löschung.
Daten je Berichtszeile: IP-Adresse des sendenden Mailservers, Anzahl Mails, Disposition, Ergebnisse von SPF und DKIM, Domains und Selektoren, Ausrichtung, Domain im Absenderfeld (Header-From); daraus abgeleitet Hostname (Reverse-DNS), Netzbetreiber (ASN), Zuordnung zu einem Absender und dessen Einstufung durch den Kunden; Tagesaggregate pro Absender.
Daten aus TLS-RPT-Berichten: Berichtszeitraum, meldende Organisation mit Kontaktadresse, Kennung des Berichts, Policy, Anzahl erfolgreicher und fehlgeschlagener verschlüsselter Verbindungen, Art des Fehlers, Name und IP-Adresse des empfangenden sowie, soweit gemeldet, IP-Adresse des sendenden Mailservers.
Nicht bearbeitet werden Inhalte von E-Mails, Betreffzeilen und Empfängeradressen. Forensische Berichte (ruf) werden ohne Auswertung verworfen.
Die IP-Adressen gehören überwiegend Systemen von Unternehmen und Mailanbietern; vereinzelt kann ein Personenbezug bestehen (z. B. eigener Mailserver einer selbständig erwerbenden Person). Besonders schützenswerte Personendaten sind nicht vorgesehen.
Daten zu Aufgaben: Absender, Fehlerbild, Frist, Status, Verlauf mit Antworten, internen Notizen und hochgeladenen Dateien; bei Externen E-Mail-Adresse, Name (freiwillig), Sprache und Zeitpunkte der Aufrufe des persönlichen Links; Antworten der zugewiesenen Person per E-Mail an order@igs.ch (Text ohne Zitat, Anhänge in zugelassenen Formaten).
Werden weitere Funktionen angeboten, bei denen igs.ch Personendaten im Auftrag des Kunden bearbeitet, ergänzt igs.ch diese Ziffer vorgängig nach Ziffer 11 der AGB.

4. Weisungen

igs.ch bearbeitet die Daten nur nach den dokumentierten Weisungen des Kunden. Als Weisung gelten diese Vereinbarung, die Einstellungen und Aktionen des Kunden auf der Plattform (z. B. Erfassen und Entfernen von Domains, Einstufung von Absendern, Zuweisen und Schliessen von Aufgaben) und schriftliche Mitteilungen der Hauptbenutzer.
Hält igs.ch eine Weisung für rechtswidrig, informiert sie den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
Eine Bearbeitung für eigene Zwecke findet nicht statt. Ausgenommen sind Daten, die igs.ch als Verantwortliche bearbeitet (Konto und Benutzer, Abrechnung, Sicherheit der Plattform, Berichte, die keinem Kunden zugeordnet werden können); dafür gilt die Datenschutzerklärung.

5. Vertraulichkeit

igs.ch verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit. Der Zugriff ist auf das für Betrieb, Unterstützung und Sicherheit Notwendige beschränkt.

6. Datensicherheit

igs.ch trifft die technischen und organisatorischen Massnahmen nach Anhang 2 und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht senken.

7. Unterauftragsbearbeiter

Der Kunde genehmigt die Unterauftragsbearbeiter nach Anhang 1.
igs.ch informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über den Beizug oder Ersatz eines Unterauftragsbearbeiters. Der Kunde kann innert dieser Frist aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er das Abonnement auf den Zeitpunkt der Änderung kündigen, unter anteiliger Rückerstattung bereits bezahlter Beträge, bzw. ein Konto der Stufe Gratis schliessen.
igs.ch überbindet Unterauftragsbearbeitern die Pflichten dieser Vereinbarung, soweit sie für deren Leistung anwendbar sind.
Eine Bearbeitung ausserhalb der Schweiz erfolgt nur in Staaten mit angemessenem Datenschutz nach Anhang 1 der Datenschutzverordnung bzw. mit geeigneten Garantien. Vorbehalten bleiben die Abfragen öffentlicher Verzeichnisdienste nach Anhang 1, bei denen nur die IP-Adresse eines sendenden Mailservers übermittelt wird.

8. Unterstützung des Kunden

Rechte betroffener Personen: igs.ch leitet Anfragen, die sie direkt erreichen, an den Kunden weiter und unterstützt ihn bei Auskunft, Berichtigung, Löschung und Herausgabe. Der Kunde kann Domains und die zugehörigen Berichtsdaten auf der Plattform selbst löschen und seine Daten herunterladen.
Verletzungen der Datensicherheit: igs.ch meldet dem Kunden eine Verletzung, die Daten des Kunden betrifft, so rasch als möglich, in der Regel innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang, Folgen und ergriffenen Massnahmen. Weitere Angaben werden nachgeliefert.
igs.ch unterstützt den Kunden angemessen bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden, soweit es um die Bearbeitung durch igs.ch geht.

9. Rückgabe und Löschung

Der Kunde kann seine Daten jederzeit im Kundenbereich herunterladen.
Während des Vertrags löscht igs.ch die Daten nach folgenden Fristen: Berichts-E-Mails im Postfach nach 7 Tagen; Berichte für Domains ohne Nachweis des Besitzes nach höchstens 7 Tagen; einzelne Berichtszeilen in der Stufe Gratis nach 30 Tagen, in den Stufen Projekt und Partner nach 13 Monaten; danach bleiben nur Tagesaggregate pro Absender, solange die Domain im Konto erfasst ist; Aufgaben mit Verlauf, Dateien und den Angaben der Externen 24 Monate nach ihrem Abschluss; Links für Externe sind höchstens 30 Tage gültig. Entfernt der Kunde eine Domain, löscht igs.ch die zugehörigen Berichtsdaten und Aufgaben.
Nach dem Ende des Abonnements bzw. nach einem Unterbruch wegen Nichtbezahlung werden die Daten 90 Tage aufbewahrt und danach gelöscht, soweit sie nicht im Umfang der Stufe Gratis weitergeführt werden (Ziffer 6 der AGB). igs.ch erinnert die Hauptbenutzer vorher alle 10 Tage per E-Mail. Schliesst der Kunde sein Konto, werden die Daten sofort gelöscht.
Gelöschte Daten können in Datensicherungen noch bis zu deren Ablauf vorhanden sein (Anhang 2); sie werden nicht mehr bearbeitet und nur im Fall einer Wiederherstellung wieder verfügbar.
Löschungen auf Begehren und das Schliessen von Konten hält igs.ch in einem Löschprotokoll fest und führt sie nach dem Zurückspielen einer Sicherung erneut aus; automatische Löschungen nach Ablauf der Fristen wiederholt die Plattform selbst. Für Löschungen einzelner Inhalte durch den Kunden führt igs.ch kein Verzeichnis (Löschjournal): Muss eine Sicherung zurückgespielt werden, können solche Inhalte wieder vorhanden sein, in der Regel höchstens die Löschungen der letzten 12 Stunden. igs.ch informiert den Kunden in diesem Fall unverzüglich, damit er die Löschung wiederholen kann.
Rechnungen und Nachweise, die igs.ch aufbewahren muss, bleiben während der gesetzlichen Frist erhalten.

10. Nachweise und Kontrollen

Auskunft: igs.ch stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, insbesondere die aktuellen technischen und organisatorischen Massnahmen (Anhang 2), die Liste der Unterauftragsbearbeiter (Anhang 1), eine Zusammenfassung des letzten Wiederherstellungstests der Datensicherung sowie schriftliche Antworten auf einen Fragebogen des Kunden. Das Aktionsprotokoll seines eigenen Kontos sieht der Kunde direkt in igs.ch.
Prüfung: Genügen die Auskünfte nachweislich nicht, kann der Kunde die Einhaltung selbst prüfen oder durch einen Prüfer prüfen lassen; ebenso nach einer Verletzung der Datensicherheit, die Daten des Kunden betrifft, oder wenn eine Aufsichtsbehörde es verlangt. Der Prüfer muss zur Verschwiegenheit verpflichtet sein und darf kein Mitbewerber von igs.ch sein.
Ablauf: Eine Prüfung ist mindestens 30 Tage im Voraus schriftlich anzumelden, nach einer Verletzung der Datensicherheit 5 Arbeitstage. Sie findet höchstens einmal in 12 Monaten statt, ausser nach einer Verletzung oder auf Verlangen einer Aufsichtsbehörde, und dauert in der Regel höchstens einen Arbeitstag.
Form: Prüfungen erfolgen aus der Ferne (Videokonferenz, Einsicht in Unterlagen und Einstellungen). Eine Prüfung vor Ort findet nur statt, wenn die Prüfung aus der Ferne nachweislich nicht genügt, wenn eine Aufsichtsbehörde sie verlangt oder nach einer schwerwiegenden Verletzung der Datensicherheit, die Daten des Kunden betrifft. Sie wird durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer an einem von igs.ch bezeichneten Ort in der Schweiz durchgeführt; die Kosten trägt der Kunde. Für das Rechenzentrum des Hosters gelten dessen Nachweise; Begehungen des Rechenzentrums sind nicht möglich.
Grenzen: Die Prüfung umfasst keinen Zugang zu Daten anderer Kunden, zu Quellcode, Schlüsseln oder Zugangsdaten und keine Geschäftsgeheimnisse von igs.ch. Sicherheitstests gegen die Plattform (z. B. Penetrationstests oder Scans) sind nur mit vorgängiger schriftlicher Zustimmung von igs.ch und nach vereinbarten Regeln zulässig.
Kosten: Eine Auskunft ist einmal in 12 Monaten kostenlos. Für weitere Auskünfte und für Prüfungen trägt jede Partei ihre eigenen Kosten; igs.ch verrechnet ihren Aufwand mit CHF 180 pro Stunde. Ergibt eine Prüfung einen wesentlichen Verstoss von igs.ch gegen diese Vereinbarung, trägt igs.ch ihren Aufwand selbst.
Ergebnisse: Der Kunde stellt igs.ch das Ergebnis der Prüfung zur Verfügung. igs.ch behebt festgestellte Mängel innert angemessener Frist und teilt dem Kunden mit, was sie unternommen hat.
Behörden: Prüfungen durch zuständige Aufsichtsbehörden bleiben vorbehalten; die Einschränkungen dieser Ziffer gelten für sie nicht, soweit das Recht dies vorsieht.

11. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach den AGB.
Bei Widersprüchen geht diese Vereinbarung den AGB vor, soweit es um den Schutz von Personendaten geht.
Es gilt schweizerisches Recht. Gerichtsstand ist Schaffhausen. Massgebend ist die deutsche Fassung.
Diese Vereinbarung ist Bestandteil der AGB und wird mit deren Annahme bei der Registrierung elektronisch abgeschlossen; eine gesonderte Zustimmung ist nicht erforderlich. Version der AGB, Zeitpunkt, Person und IP-Adresse werden protokolliert. Änderungen erfolgen nach Ziffer 11 der AGB. Die jeweils gültige Fassung ist auf igs.ch veröffentlicht.

Anhang 1: Unterauftragsbearbeiter

Server4You GmbH, Hanau (Deutschland): Bereitstellung des dedizierten Servers von igs.ch (Plattform, Datenbank, Dateien, Postfach für die Sammelberichte, E-Mail-Versand) in einem Rechenzentrum in Strasbourg (Frankreich); die Systemadministration besorgt igs.ch selbst. Frankreich und Deutschland gelten als Staaten mit angemessenem Datenschutz. Eine gesonderte Vereinbarung zur Auftragsbearbeitung mit Server4You besteht noch nicht; igs.ch strebt den Abschluss bis zum 31.03.2027 an. Verschlüsselte Sicherungen liegen zusätzlich auf einem getrennten eigenen Rechner in der Schweiz.
Abfrage öffentlicher Verzeichnisdienste (keine Unterauftragsbearbeiter im engeren Sinn, offengelegt zur Transparenz): Team Cymru, Inc. (USA), Dienst «IP to ASN», abgefragt per DNS, um den Netzbetreiber (ASN) eines sendenden Mailservers zu ermitteln; Reverse-DNS-Abfragen an die Nameserver, die für den jeweiligen IP-Bereich zuständig sind. Übermittelt wird jeweils nur die IP-Adresse des sendenden Mailservers, ohne Angaben zum Kunden, zur Domain oder zu E-Mails.
Let's Encrypt (Internet Security Research Group, USA; kein Unterauftragsbearbeiter im engeren Sinn, offengelegt zur Transparenz): Ausstellung des Zertifikats für die Namen mta-sts.<Domain> bei gehostetem MTA-STS. Übermittelt werden nur diese Namen; sie werden nach dem Verfahren Certificate Transparency öffentlich protokolliert.
Nicht als Unterauftragsbearbeiter gelten Dienste, die igs.ch als Verantwortliche nutzt, z. B. das Buchhaltungsprogramm cash.simples.ch (Server der Server4You GmbH, Rechenzentrum Strasbourg) und der Zahlungsdienst Revolut für Kartenzahlungen.
E-Mails an externe Empfänger werden über deren eigene Mailanbieter zugestellt.

Anhang 2: Technische und organisatorische Massnahmen

Zugang: Anmeldung mit Passwort (nur als Hash gespeichert) und zwingendem zweitem Faktor (Code einer Authenticator-App, Schlüssel verschlüsselt gespeichert); Ausnahme: vertrauenswürdige Geräte nur auf Wunsch und höchstens 90 Tage; Abmeldung nach Inaktivität; Wiederherstellungscodes nur als Hash; Begrenzung von Anmeldeversuchen.
Berechtigungen: Mandantentrennung auf jeder Abfrage; Rollen Hauptbenutzer, Bearbeiter und Leser; Einladung weiterer Benutzer nur durch Hauptbenutzer; Externe sehen über einen zufälligen, befristeten und widerrufbaren Link (nur als Hash gespeichert) ausschliesslich die zugewiesene Aufgabe, ohne interne Notizen.
Empfang der Berichte: eigene, zufällige und nicht erratbare Berichtsadresse pro Domain; Auswertung nur, wenn die Kennung in allen Kopfzeilen übereinstimmt und die Domain im Bericht zur Kennung passt, sonst Ablage als fehlerhaft und Vermerk im Systemprotokoll; Auswertung nur für Domains mit nachgewiesenem Besitz; Abholung per IMAP ausschliesslich über TLS; Zugangsdaten des Postfachs ausserhalb des Webverzeichnisses; Prüfung der DKIM-Signatur der Berichts-E-Mail, nicht authentisierte Berichte werden gekennzeichnet und zählen nicht für Empfehlungen.
Einlesen der Berichte: XML-Parser mit deaktivierten externen Entitäten (Schutz vor XXE); nur zugelassene Dateitypen (XML, GZIP, ZIP); Grössenlimiten je Anhang und für die entpackte Grösse (Schutz vor Zip-Bomben); Erkennung doppelter Berichte; forensische Berichte werden verworfen.
Datensparsamkeit: keine Inhalte von E-Mails, keine Betreffzeilen und keine Empfängeradressen; Löschung der Berichts-E-Mails nach 7 Tagen; begrenzte Aufbewahrung der Berichtszeilen, danach nur Tagesaggregate (Ziffer 9); an externe Verzeichnisdienste nur die IP-Adresse des Mailservers.
Übertragung: ausschliesslich verschlüsselt (HTTPS); strenge Content-Security-Policy ohne Inhalte von Drittanbietern; Schriften vom eigenen Server; kein Tracking.
Speicherung: Dateien ausserhalb des Webverzeichnisses; hochgeladene Dateien zu Aufgaben nur in zugelassenen Formaten (am Inhalt geprüft), mit Grössengrenze und Auslieferung nur als Download; Schlüssel des zweiten Faktors verschlüsselt.
Protokollierung: wichtige Aktionen mit Zeitpunkt und Person (E-Mail-Adresse bleibt nach dem Löschen eines Logins erhalten); Zugriffe auf Schnittstellen (Abholung der Berichte, Exporte) in einer getrennten Datenbank mit Hash-Kette, die nachträgliche Änderungen erkennbar macht (6 Monate); Systemprotokoll für verworfene Berichte.
Datensicherung: verschlüsselte Sicherung von Datenbank und Dateien mindestens alle 12 Stunden mit Kopie auf einem getrennten eigenen Rechner in der Schweiz; Ziel für Datenverlust höchstens 12 Stunden, Wiederanlauf innert eines Arbeitstages; Aufbewahrung der Sicherungen höchstens 6 Monate; Löschprotokoll für Begehren und Kontoschliessungen, kein Löschjournal für einzelne Inhalte (Ziffer 9).
Betrieb: Updates von Betriebssystem und Software; Überwachung des Systemstatus (Postfach, Abholung, DNS-Einträge von igs.ch, unverarbeitete Berichte) und der Sicherungen mit Alarmierung; Begrenzung des E-Mail-Versands.
Organisation: Vertraulichkeitsverpflichtung, Zugriff auf Kundendaten nur bei Bedarf für Betrieb und Unterstützung, regelmässige Überprüfung dieser Massnahmen.