igs
Kostenlos starten

Datenschutzerklärung

Stand: 25.10.2026 (Entwurf, juristische Prüfung ausstehend)

1. Verantwortlicher

Hunkeler Digital Services, Richard Hunkeler, Im Storchen 1, 8212 Neuhausen am Rheinfall, Schweiz, info@igs.ch. Datenschutz-Kontaktstelle: datenschutz@igs.ch. Diese Datenschutzerklärung richtet sich nach dem schweizerischen Datenschutzgesetz (DSG) und, soweit anwendbar, nach der Datenschutz-Grundverordnung der EU (DSGVO). Für die Personendaten in den DMARC-Sammelberichten der Domains unserer Kunden ist der jeweilige Kunde Verantwortlicher; wir bearbeiten sie in seinem Auftrag (Ziffer 5).

2. Welche Daten wir bearbeiten

3. Zwecke und Rechtsgrundlagen

Wir bearbeiten die Daten, um die Plattform bereitzustellen, Verträge abzuwickeln und abzurechnen, die Sicherheit der Plattform zu gewährleisten, Missbrauch zu verhindern, gesetzliche Pflichten zu erfüllen und mit Ihnen zu kommunizieren. Rechtsgrundlagen sind der Vertrag, unsere berechtigten Interessen und die berechtigten Interessen unserer Kunden (Schutz ihrer Domains vor Fälschung, Sicherheit des E-Mail-Verkehrs, Missbrauchsschutz, Durchsetzung von Ansprüchen) sowie gesetzliche Pflichten. E-Mails an die Adressen von igs.ch bearbeiten wir, um Anfragen, Meldungen und Begehren zu beantworten und als Nachweis zur Abwicklung von Verträgen (Vertrag, berechtigte Interessen, gesetzliche Pflichten). Berichte, die wir keinem Kunden zuordnen können, bearbeiten wir gestützt auf unser berechtigtes Interesse an einem sicheren und fehlerfreien Betrieb (Ziffer 4).

4. DMARC-Sammelberichte und DNS-Prüfungen

Herkunft: Mailanbieter erstellen nach dem Standard DMARC (RFC 7489) Sammelberichte darüber, welche Server E-Mails im Namen einer Domain an ihre Nutzer gesendet haben und ob diese die Prüfungen SPF und DKIM bestanden haben. Sie senden die Berichte an die Adresse, die der Inhaber der Domain in seinem DMARC-Eintrag angibt. Richtet ein Kunde diese Adresse auf igs.ch, gehen die Berichte an eine Berichtsadresse der Form rua+Kennung@igs.ch in einem Postfach auf unserem eigenen Server (Rechenzentrum Strasbourg, Frankreich). Wir holen sie dort über eine verschlüsselte Verbindung (IMAP über TLS) ab.

Inhalt: Die Berichte enthalten keine Inhalte von E-Mails, keine Betreffzeilen und keine Empfängeradressen. Wir speichern daraus nur die in Ziffer 2 genannten Angaben. Forensische Berichte (ruf), die Teile einzelner E-Mails enthalten können, verarbeiten wir nicht; gehen solche ein, werden sie ohne Auswertung verworfen.

Personenbezug: Die IP-Adressen gehören überwiegend Systemen von Unternehmen und Mailanbietern. Vereinzelt kann ein Personenbezug bestehen, etwa wenn eine selbständig erwerbende Person einen eigenen Mailserver betreibt oder E-Mails über einen privaten Internetanschluss versendet werden. Auch Domainnamen können Namen von Personen enthalten.

Zuordnung von Absendern: Um IP-Adressen einem Absender zuzuordnen, gleichen wir sie mit unserem Katalog bekannter Dienste ab, fragen den Hostnamen über Reverse-DNS ab und ermitteln den Netzbetreiber (ASN) über den öffentlichen, kostenlosen DNS-Dienst «IP to ASN» von Team Cymru. Bei diesen Abfragen wird nur die IP-Adresse des sendenden Mailservers übermittelt, keine Angaben über den Kunden, die Domain oder E-Mails. Reverse-DNS-Abfragen gehen an die Nameserver, die für den jeweiligen IP-Bereich zuständig sind, in der Regel an dessen Netzbetreiber.

Nicht zuordenbare Berichte: Berichte ohne Kennung, mit voneinander abweichenden Kennungen oder mit einer Domain, die nicht zur Kennung passt, werten wir nicht aus; dafür sind wir Verantwortliche. Berichte für Domains, deren Besitz noch nicht nachgewiesen ist, werten wir nicht aus und zeigen sie nicht an; wir bewahren sie höchstens 7 Tage auf, damit nach dem Nachweis keine Daten verloren gehen.

DNS-Prüfungen: Wir fragen täglich und auf Verlangen die öffentlichen DNS-Einträge der Domains der Kunden ab (SPF, DKIM, DMARC, MTA-STS, TLS-RPT, DNSSEC) und rufen die MTA-STS-Policy unter https://mta-sts.<Domain>/.well-known/mta-sts.txt ab. Dabei übermitteln wir keine Personendaten; die abgefragten Systeme sehen nur die IP-Adresse unseres Servers. Öffentliche Einträge können vereinzelt Personendaten enthalten (z. B. eine Kontaktadresse); wir speichern sie nur als Teil des Prüfergebnisses.

TLS-RPT-Berichte: Nach dem Standard TLS-RPT (RFC 8460) melden Mailanbieter, ob sie E-Mails verschlüsselt an die Mailserver einer Domain zustellen konnten. Setzt ein Kunde im DNS den Eintrag _smtp._tls mit der Adresse tls+Kennung@igs.ch, gehen diese Berichte in dasselbe Postfach wie die Sammelberichte und werden gleich behandelt (Abholung, Zuordnung über die Kennung, Prüfung der Signatur, Löschung der E-Mails nach 7 Tagen). Sie enthalten keine Inhalte, Betreffzeilen oder Adressen von E-Mails, sondern die Anzahl der Verbindungen, Fehlerarten sowie Namen und IP-Adressen von Mailservern. Wir bearbeiten sie im Auftrag des Kunden (Ziffer 5).

Gehostetes MTA-STS (Stufen Projekt und Partner): Auf Wunsch des Kunden stellen wir seine MTA-STS-Policy unter https://mta-sts.<Domain>/.well-known/mta-sts.txt bereit; der Kunde richtet dazu den Namen mta-sts.<Domain> per DNS (CNAME) auf unseren Server. Die Policy ist, wie es der Standard vorsieht, öffentlich abrufbar; sie enthält nur Modus, Gültigkeit und die Namen der Mailserver der Domain. Für die Namen mta-sts.<Domain> beziehen wir ein gemeinsames Zertifikat bei Let's Encrypt (Internet Security Research Group, USA) und übermitteln dabei nur diese Namen. Nach dem Verfahren Certificate Transparency werden alle Namen eines Zertifikats in öffentlich einsehbaren Protokollen veröffentlicht; zudem sieht jeder, der das Zertifikat abruft, die Namen aller Domains mit gehostetem MTA-STS. Dass eine Domain igs.ch für MTA-STS nutzt, ist deshalb öffentlich erkennbar. Abrufe der Policy werten wir nicht aus; die IP-Adressen der abrufenden Mailserver erscheinen nur in den Zugriffsprotokollen des Webservers.

Betroffene Personen: Betreiber von Mailservern, die ihre Rechte bezüglich der Berichtsdaten geltend machen wollen, wenden sich an den Kunden, dessen Domain betroffen ist. Wenden sie sich an uns, leiten wir das Begehren an die betroffenen Kunden weiter.

5. Auftragsbearbeitung für Kunden

Die Personendaten in den Sammelberichten der Domains eines Kunden bearbeiten wir im Auftrag dieses Kunden. Verantwortlich ist der Kunde; betroffene Personen wenden sich für ihre Rechte an ihn. Wir unterstützen ihn dabei. Ebenso bearbeiten wir im Auftrag des Kunden die Angaben zu Externen, denen er eine Aufgabe zuweist (z. B. Mitarbeitende seines Informatik-Partners); Externe wenden sich für ihre Rechte an diesen Kunden. Dazu gehören Antworten der zugewiesenen Person per E-Mail an order@igs.ch, die wir in den Verlauf der Aufgabe übernehmen. Die Einzelheiten regelt die Vereinbarung zur Auftragsbearbeitung. Sie ist Bestandteil der AGB, wird mit diesen bei der Registrierung angenommen und ist auf igs.ch veröffentlicht.

6. Cookies und Webanalyse

Wir verwenden nur technisch notwendige Cookies. Wir setzen kein Tracking, keine Webanalyse, keine Werbung und keine Inhalte von Drittanbietern ein; auch die Schriften liefern wir von unserem eigenen Server aus. Alle Cookies gelten nur für igs.ch.

7. Speicherort und Weitergabe

Die Plattform, die Datenbank, das Postfach für die Sammelberichte und der E-Mail-Versand laufen auf einem dedizierten Server von Hunkeler Digital Services, den die Server4You GmbH (Hanau, Deutschland) in einem Rechenzentrum in Strasbourg (Frankreich) bereitstellt; die Systemadministration besorgen wir selbst. Rechnungen und Gutschriften (mit Rechnungsadresse, E-Mail-Adresse, Beträgen und Zahlungsstand) übernehmen wir in unser eigenes Buchhaltungsprogramm cash.simples.ch; es wird von Hunkeler Digital Services ebenfalls auf einem Server der Server4You GmbH in Strasbourg betrieben. Frankreich und Deutschland gelten nach dem Datenschutzgesetz als Staaten mit angemessenem Datenschutz. Mit Server4You besteht derzeit noch keine gesonderte Vereinbarung zur Auftragsbearbeitung nach Art. 9 DSG. Wir haben die damit verbundenen Risiken beurteilt und intern akzeptiert. Wir streben den Abschluss einer entsprechenden Vereinbarung bis zum 31.03.2027 an. Verschlüsselte Sicherungskopien werden zusätzlich auf einem getrennten eigenen Rechner in der Schweiz aufbewahrt.

Empfänger bzw. Kategorien von Empfängern:

Darüber hinaus geben wir Daten nicht an Dritte weiter. Den Katalog bekannter Dienste pflegen wir selbst.

8. Aufbewahrung

9. Datensicherheit

Wir schützen die Daten mit technischen und organisatorischen Massnahmen, insbesondere mit verschlüsselter Übertragung (HTTPS, IMAP über TLS), einer strengen Content-Security-Policy, Ablage von Dateien ausserhalb des Webverzeichnisses, Protokollierung und Rechtekonzept. Für die Anmeldung verlangen wir neben dem Passwort zwingend einen zweiten Faktor (Code aus einer Authenticator-App). Ausnahme: Auf einem Gerät, das Sie als vertrauenswürdig markiert haben, entfällt der Code während der gewählten Laufzeit (höchstens 90 Tage). Passwörter und Wiederherstellungscodes speichern wir nur als Hash, die Schlüssel des zweiten Faktors verschlüsselt. Jede Domain erhält eine eigene, nicht erratbare Berichtsadresse; Berichte werden nur ausgewertet, wenn die Domain im Bericht zur Berichtsadresse passt. Beim Einlesen der Berichte schützen wir uns mit Grössen- und Entpacklimiten und einem Parser ohne externe Entitäten vor manipulierten Dateien. Links für Externe sind zufällig, befristet und widerrufbar, werden nur als Hash bzw. verschlüsselt gespeichert und zeigen nur die eine Aufgabe; hochgeladene Dateien lassen wir nur in zugelassenen Formaten zu und liefern sie nur als Download aus. Berichts-E-Mails prüfen wir auf eine gültige Signatur (DKIM) der meldenden Organisation; nur so authentisierte Berichte zählen für Empfehlungen. Datenbank und Dateien werden mindestens alle 12 Stunden verschlüsselt gesichert. Die Einzelheiten stehen in Anhang 2 der Vereinbarung zur Auftragsbearbeitung.

10. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Herausgabe bzw. Übertragung Ihrer Daten sowie auf Widerspruch und Widerruf einer Einwilligung.

Sie können Auskunft über die Personendaten verlangen, die wir über Sie bearbeiten. Die Auskunft umfasst die gesetzlich vorgesehenen Informationen, insbesondere Bearbeitungszwecke, bearbeitete Personendaten, Empfänger beziehungsweise Empfängerkategorien, Aufbewahrungsdauer und, soweit vorgesehen, die Herkunft der Daten.

Einen Teil der Auskunft können Sie über die Plattform automatisiert anfordern. Soweit der automatische Auszug nicht sämtliche auskunftspflichtigen Angaben enthält, können Sie eine ergänzende Auskunft über unsere Datenschutz-Kontaktstelle verlangen. Wir prüfen das Begehren und erteilen die Auskunft im gesetzlich vorgeschriebenen Umfang und innerhalb der gesetzlichen Fristen. Gesetzlich zulässige Einschränkungen bleiben vorbehalten.

Sie können sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren; in der EU bei der zuständigen Aufsichtsbehörde.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder das Recht ändert. Es gilt die jeweils auf igs.ch veröffentlichte Fassung.