Auftragsverarbeitungsvertrag
Letzte Aktualisierung: 10.09.2026
Dieser Vertrag regelt die Bearbeitung der Personendaten, die Sie uns bei der Nutzung unserer Dienste anvertrauen. Sie sind dafür verantwortlich, wir handeln als Auftragsbearbeiter. Er ergänzt unsere Vertragsbedingungen und gilt im Sinne von Art. 9 des schweizerischen Datenschutzgesetzes (DSG) und Art. 28 der Datenschutz-Grundverordnung (DSGVO).
01 · Parteien und Gegenstand
Dieser Vertrag wird geschlossen zwischen Ihnen, nachfolgend « der Kunde », als Verantwortlichem, und James Benone, Unrecon, Einzelunternehmen, Rue Hoffmann 8, 1202 Genf, Schweiz, nachfolgend « Unrecon », als Auftragsbearbeiter.
Er betrifft die Personendaten, die Unrecon im Rahmen der Erbringung von Webhosting, virtuellen privaten Servern und Gameservern für den Kunden bearbeitet. Er betrifft nicht die Daten, die der Kunde uns als Vertragspartner übermittelt — Identität, Kontaktangaben, Rechnungsstellung —, die wir als Verantwortliche bearbeiten und die unserer Datenschutzerklärung unterstehen.
02 · Laufzeit
Dieser Vertrag tritt mit der Bestellung des Dienstes in Kraft und bleibt in Kraft, solange Unrecon Daten für den Kunden bearbeitet. Er endet mit dem Hauptvertrag, vorbehaltlich der Löschpflichten nach Artikel 13 und der Vertraulichkeitspflichten, die ihn überdauern.
03 · Art und Zweck der Bearbeitung
Unrecon hostet und betreibt die Infrastruktur, auf der der Kunde seine eigenen Dienste bereitstellt. Die Vorgänge bestehen im Aufbewahren, Hosten, Weiterleiten und Bereitstellen der Daten sowie in deren Löschung auf Weisung des Kunden.
Der Kunde bestimmt allein, welche Daten er auf der Infrastruktur ablegt. Unrecon sieht sie nicht ein und kennt weder ihre Art noch ihren Inhalt, ausser soweit dies für Betrieb, Sicherheit oder die Ausführung einer Weisung zwingend nötig ist.
Die Kategorien der Daten und der betroffenen Personen hängen davon ab, wie der Kunde den Dienst nutzt. Sie können Daten seiner eigenen Nutzerinnen und Nutzer, Kundschaft, Mitarbeitenden oder Besuchenden umfassen: Identifikationsdaten, Kontaktangaben, Anmeldedaten, abgelegte Inhalte, Zugriffsprotokolle.
04 · Weisungen des Kunden
Unrecon bearbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Vertragsbedingungen und die übliche Nutzung des Dienstes gelten als Erstweisung. Jede spätere Weisung ist schriftlich an customer-service@unrecon.ch zu richten.
Unrecon informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen anwendbares Recht verstösst, und kann deren Ausführung bis zur Bestätigung aussetzen.
Verlangt eine schweizerische Rechtspflicht eine Bearbeitung ausserhalb der Weisungen des Kunden, informiert Unrecon den Kunden vor der Ausführung, sofern das Gesetz diese Information nicht untersagt.
05 · Vertraulichkeit
Jede zum Zugriff auf die Daten berechtigte Person ist vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet; diese Pflicht überdauert das Ende ihrer Mitarbeit bei Unrecon.
Die Zugriffe beschränken sich auf die Personen, die sie für den Betrieb benötigen, und werden entzogen, sobald dieser Bedarf entfällt.
06 · Technische und organisatorische Massnahmen
Unrecon setzt die folgenden Massnahmen im Sinne von Art. 32 DSGVO und Art. 8 DSG um:
Verschlüsselung der Datenträger im Ruhezustand, sodass Verlust oder Diebstahl eines Datenträgers die darauf liegenden Daten nicht offenlegt.
Zwei-Faktor-Authentifizierung für sämtliche administrativen Zugänge, einschliesslich Panel und Kundenbereich.
Protokollierung der administrativen Zugriffe auf die Infrastruktur, dreissig Tage aufbewahrt.
Verschlüsselter Transport: Die Dienste werden ausschliesslich über HTTPS bereitgestellt, wobei das TLS-Zertifikat auf dem Genfer Server liegt. Der Verkehr bleibt vom Browser der Nutzerin oder des Nutzers bis zu den Maschinen von Unrecon verschlüsselt; die Verbindung zwischen dem Anti-DDoS-Tunnel und Genf läuft über WireGuard.
Trennung der Kundenumgebungen durch Virtualisierung; jede Instanz ist von den anderen isoliert.
Der Hauptknoten in Genf wird in den Räumlichkeiten des Inhabers betrieben, die nicht öffentlich zugänglich sind und deren physischer Zugang auf den Inhaber selbst beschränkt ist. Diese Räumlichkeiten sind kein Rechenzentrum und bieten weder Stromredundanz noch badgegesteuerte Zutrittskontrolle.
Diese Liste beschreibt den Stand der Massnahmen zum oben genannten Datum. Unrecon kann sie weiterentwickeln, sofern das erreichte Schutzniveau nicht gesenkt wird.
07 · Sicherungen
Unrecon erstellt keine Sicherungen der Daten, die der Kunde auf der Infrastruktur hostet. Es obliegt dem Kunden, eigene Sicherungen einzurichten, in einer Frequenz und mit einer Aufbewahrungsdauer, die seinen Pflichten entsprechen.
Folglich liegt die Fähigkeit, die Verfügbarkeit der Daten nach einem Zwischenfall wiederherzustellen, im Sinne von Art. 32 Abs. 1 Bst. c DSGVO beim Kunden. Unrecon stellt den Dienst wieder her, nicht die Daten.
Der Kunde wird eingeladen, dies in seiner Risikoanalyse zu berücksichtigen: Der Hauptknoten verfügt über keine Ausweichmöglichkeit an einem zweiten Standort.
08 · Unterauftragsbearbeiter
Der Kunde ermächtigt Unrecon, die folgenden Unterauftragsbearbeiter einzusetzen:
Artaun Hosting, eingetragener Verein nach französischem Recht (SIREN 104 908 496, RNA W523005685), 1 rue des Aziaux, 52410 Eurville-Bienville, Frankreich — Weiterleitung und Anti-DDoS-Filterung des gesamten Verkehrs zu den Diensten des Kunden. Da das TLS-Zertifikat auf dem Genfer Server liegt, hat dieser Anbieter nur Zugriff auf die IP-Adressen, Ports und das Volumen des weitergeleiteten Verkehrs, niemals auf dessen Inhalt.
Qoriz Hosting, im Rechenzentrum Equinix PA5 in Aubervilliers, Frankreich — Infrastruktur, auf der Artaun Hosting den Tunnel betreibt. Unrecon unterhält zu diesem Anbieter keine direkte Vertragsbeziehung.
Contabo GmbH, Welfenstraße 22, 81541 München, Deutschland, deren Maschine in Lauterbourg, Frankreich, von der Contabo France SAS betrieben wird — Hosting des Code-Repositorys von Unrecon. Diese Maschine liegt nicht im Pfad des Kundenverkehrs, und es liegen dort keine Betriebsdaten seiner Dienste; der dort aufbewahrte Quellcode kann jedoch beiläufig solche enthalten, weshalb dies hier offengelegt wird.
Jeder Unterauftragsbearbeiter ist durch einen Vertrag gebunden, der Datenschutzpflichten auferlegt, die denen dieses Vertrags gleichwertig sind. Unrecon haftet für deren Verfehlungen wie für eigene.
Unrecon informiert den Kunden mindestens dreissig Tage im Voraus über die Hinzufügung oder Ersetzung eines Unterauftragsbearbeiters. Der Kunde kann innert dieser Frist aus Datenschutzgründen widersprechen; findet sich keine annehmbare Lösung, steht ihm ein ausserordentliches Kündigungsrecht ohne Kosten zu.
09 · Rechte der betroffenen Personen
Unrecon unterstützt den Kunden, soweit möglich und unter Berücksichtigung der Art der Bearbeitung, bei der Beantwortung von Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit.
Wendet sich eine betroffene Person direkt an Unrecon, wird ihr Begehren unverzüglich an den Kunden weitergeleitet und nicht selbst beantwortet, sofern nichts anderes angewiesen wird.
10 · Sicherheitsverletzungen
Unrecon informiert den Kunden unverzüglich über jede Verletzung der Sicherheit seiner Daten, spätestens jedoch achtundvierzig Stunden nach Kenntnisnahme.
Die Meldung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen. Unrecon unterstützt den Kunden bei dessen eigenen Meldepflichten im Sinne von Art. 24 DSG sowie Art. 33 und 34 DSGVO.
11 · Unterstützung und Folgenabschätzung
Unrecon stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten dieses Vertrags erforderlich sind, und unterstützt ihn unter Berücksichtigung der ihm vorliegenden Informationen bei der Durchführung einer Datenschutz-Folgenabschätzung sowie bei einer allfälligen vorgängigen Konsultation der Aufsichtsbehörde.
12 · Überprüfung
Der Kunde kann die Einhaltung dieses Vertrags überprüfen, indem er Unrecon einen schriftlichen Fragebogen oder ein Dokumentationsbegehren zustellt. Unrecon antwortet innert dreissig Tagen und stellt die aktuelle Beschreibung seiner technischen und organisatorischen Massnahmen zur Verfügung.
Da der Hauptknoten in den privaten Räumlichkeiten des Inhabers betrieben wird, ist kein Besuch vor Ort vorgesehen. Verlangt eine zuständige Aufsichtsbehörde eine Inspektion, unterzieht sich Unrecon dieser und informiert den Kunden.
13 · Vertragsende
Nach Ende des Hauptvertrags hat der Kunde dreissig Tage Zeit, seine Daten zu beziehen. Nach Ablauf dieser Frist löscht Unrecon sämtliche Daten des Kunden aus seiner Infrastruktur.
Bei Kündigung wegen schwerer Verletzung der in den Allgemeinen Geschäftsbedingungen vorgesehenen Pflichten zur zulässigen Nutzung kann diese Frist auf sieben Tage verkürzt werden oder entfallen, wenn die Aufbewahrung der Daten selbst rechtswidrig ist.
Unrecon bewahrt über diese Frist hinaus keine Kopie auf, vorbehaltlich der Daten, die eine gesetzliche Aufbewahrungspflicht verlangt und die bis zu ihrer Löschung den Vertraulichkeitspflichten dieses Vertrags unterstehen.
14 · Anwendbares Recht und Gerichtsstand
Dieser Vertrag untersteht schweizerischem Recht. Gerichtsstand ist Genf, vorbehaltlich der zwingenden gesetzlichen Gerichtsstände.
Bei Widersprüchen zwischen diesem Vertrag und den allgemeinen Vertragsbedingungen geht dieser Vertrag in allen Fragen der Bearbeitung von Personendaten vor.