Auftragsbearbeitungsvertrag (Muster)

• Der Kunde, Verantwortlicher: [bei Vertragsschluss auszufüllen : Firma, Adresse und UID des Kunden]
• Antisy, Auftragsbearbeiter: Antisy Sàrl, Esplanade de Pont-Rouge 2, 1212 Grand-Lancy (Kanton Genf, Schweiz), Unternehmens-Identifikationsnummer (UID) CHE-240.303.672

Antisy bearbeitet im Auftrag des Kunden Daten von Besucherinnen und Besuchern der Websites, die der Kunde mit dem Produkt schützt. Der Kunde bleibt Verantwortlicher; Antisy handelt als Auftragsbearbeiter.

Menschliche Besucher von automatisierten Programmen zu unterscheiden, auf den Formularen und Logins des Kunden, für die Sicherheit seiner Website. Kein anderer Zweck, insbesondere kein Werbezweck.

Besucherinnen und Besucher der Websites des Kunden. Bearbeitete Daten:

• was das Script im Browser misst: die vom Browser angegebenen Fähigkeiten, die Sprachen und die Zeitzone des Browsers, die Grafikdarstellung und der Fingerabdruck des Geräts, Hinweise auf Automatisierung, das Verhalten der JavaScript-Engine und der Ablauf der Interaktion; der Fingerabdruck als pro Website gesalzene Hashwerte, die Interaktion als Zähler und Aggregate, ohne den Inhalt der Tastenanschläge und der Felder;
• was der Server von Antisy aus der Anfrage liest: die Reihenfolge der HTTP-Header, die IP-Adresse, der User-Agent und der Kontext der Anfrage;
• bei einem Login oder einer Registrierung die Kontokennung, die die Website übermittelt, verschlüsselt und gehasht;
• das Ergebnis der Prüfung (Ergebnis, Score, Gründe).

• Persönliche Felder im Ruhezustand verschlüsselt, mit der Möglichkeit, die Schlüssel zu vernichten.
• Messwerte des Browsers in einem verschlüsselten Umschlag gesendet.
• Datenbankrollen mit beschränkten Rechten; Datenbank auf dem Server der API installiert, der sie erreicht, ohne die Maschine zu verlassen; eine Verbindung über das Netzwerk wird nur mit geprüftem TLS angenommen.

• Zugriff auf Besucherdaten auf die Personen beschränkt, die ihn benötigen und zur Vertraulichkeit verpflichtet sind; derzeit hat nur der Geschäftsführer von Antisy Zugriff darauf.
• Administrationsprotokoll der Betriebshandlungen.
• Es hat noch kein externer Penetrationstest stattgefunden; einer ist nach dem Pilot vorgesehen.

Antisy hostet die Daten in Genf, Schweiz, bei Infomaniak; das Hosting ist seit dem 27. Oktober 2026 in Betrieb.

• Genehmigter Unterauftragsbearbeiter: Infomaniak, in Genf, Schweiz, für das Hosting der Server und der Datenbank, die Speicherung der Sicherungen und den E-Mail-Dienst für die technischen Warnungen von Antisy, die keine Besucherdaten enthalten.
• Erhalten keine Besucherdaten: GitHub (Code und Continuous Integration), PostHog (Reichweitenmessung der Website antisy.com), Hostinger (Webspace der statischen Website).
• Antisy gibt ohne vorgängige schriftliche Genehmigung des Kunden keine Besucherdaten ins Ausland bekannt, und auch nicht in einen Staat, der keinen angemessenen Schutz gewährleistet. Antisy informiert den Kunden 30 Tage vor jeder Hinzufügung oder jedem Ersatz eines Unterauftragsbearbeiters schriftlich.

Der Kunde informiert seine Besucherinnen und Besucher: Seine Datenschutzerklärung beschreibt die Bearbeitung und nennt Antisy. Mustertext zum Einfügen, vom Kunden anzupassen und prüfen zu lassen:

Schutz vor Bots. Um seine Formulare vor Bots zu schützen, nutzt [bei Vertragsschluss auszufüllen : Name der Website] die Dienste von Antisy Sàrl (Schweiz), seinem Auftragsbearbeiter. Wenn Sie ein Formular ausfüllen, sendet Ihr Browser technische Messwerte Ihres Geräts und des Ablaufs Ihrer Interaktion mit der Seite (Zähler, ohne den Inhalt Ihrer Tastenanschläge und Ihrer Felder) direkt an Antisy, zusammen mit Ihrer IP-Adresse und der Kennung Ihres Browsers. [bei Vertragsschluss auszufüllen : Name der Website] erhält diese Messwerte nicht. Sie werden einige Minuten verschlüsselt aufbewahrt, so lange, wie die Prüfung Ihrer Übermittlung dauert, und dann gelöscht [bei Vertragsschluss auszufüllen : Variante, wenn die Aufbewahrung der Messwerte für diese Website eingeschaltet ist (standardmässig ist sie ausgeschaltet): «und dann gelöscht» wird zu «und dann gelöscht, mit Ausnahme eines Teils (die Grafikdarstellung, der Grafikprozessor, das Verhalten der JavaScript-Engine und die Hinweise auf Automatisierung), der 30 Tage verschlüsselt aufbewahrt wird»]. Die IP-Adresse, die Kennung des Browsers und der Kontext der Anfrage werden nach 30 Tagen aus dem Datensatz gelöscht; die Login-Kennung und der Ausgang nach 90 Tagen; das Ergebnis der Prüfung wird höchstens 180 Tage aufbewahrt. Diese Daten dienen nicht der Werbung. Um Ihre Rechte auszuüben (Auskunft, Berichtigung, Löschung), schreiben Sie an [bei Vertragsschluss auszufüllen : Kontakt der Website].

Antisy unterstützt den Kunden bei der Beantwortung von Begehren um Auskunft, Berichtigung und Löschung. Nach 90 Tagen enthält ein Datensatz weder die Login-Kennung noch die Adresse: Er kann über keine der beiden mehr gefunden werden.

Wendet sich eine Person direkt an Antisy, antwortet Antisy nicht in der Sache: Antisy leitet das Begehren innerhalb von 5 Arbeitstagen an den Kunden weiter und weist die Person an, sich an den Kunden zu wenden. Auf schriftliches Verlangen des Kunden sucht, exportiert oder löscht Antisy die Daten, die sich auf einen bestimmten Versuch beziehen, innerhalb von 10 Arbeitstagen ab dem Verlangen, anhand der Ereigniskennung, die der Kunde mitteilt.

• Antisy bearbeitet die Daten nur auf dokumentierte Weisung des Kunden: diesen Vertrag, seine Einstellungen im Dashboard und seine schriftlichen Anfragen an support@antisy.com. Antisy informiert den Kunden unverzüglich, wenn Antisy der Ansicht ist, dass eine Weisung den Datenschutz verletzt.
• Das befugte Personal ist zur Vertraulichkeit verpflichtet, durch Verpflichtungserklärung oder von Gesetzes wegen; derzeit hat nur der Geschäftsführer von Antisy Zugriff auf die Besucherdaten. Diese Pflicht gilt über das Ende des Vertrags hinaus.
• Antisy sendet keine Besucherdaten an einen Dienst der künstlichen Intelligenz oder an ein Werkzeug Dritter.
• Antisy meldet dem Kunden jede Verletzung der Datensicherheit, die ihn betrifft, innerhalb von 48 Stunden nach ihrer Entdeckung.

Der Kunde oder eine von ihm beauftragte, zur Verschwiegenheit verpflichtete Prüfperson kann die Einhaltung dieses Vertrags einmal pro Jahr kontrollieren, mit einer Voranmeldung von 30 Tagen, während der Geschäftszeiten, auf Kosten des Kunden, durch Prüfung von Unterlagen und, falls dies nicht genügt, durch ein Gespräch. Die Kontrolle umfasst weder einen Penetrationstest ohne schriftliche Zustimmung noch den Zugang zum Quellcode, zu den Erkennungsregeln oder zu den Daten anderer Kunden.

Pilot: Die Daten des Kunden werden 30 Tage nach dem Ende des Pilots gelöscht, oder zuvor herausgegeben, wenn der Kunde dies vor dem Ende schriftlich verlangt. Ende eines Vertrags ausserhalb des Pilots: Auf schriftliches Verlangen innerhalb der 30 Tage nach dem Ende werden die Daten in einem lesbaren Format herausgegeben; sie werden 90 Tage nach dem Ende des Vertrags gelöscht (die Sicherungen bei deren Ablauf). Antisy bestätigt die Löschung auf Verlangen schriftlich.

Antisy nimmt Kunden mit Sitz in der Europäischen Union an. Die Daten werden bei Infomaniak in Genf bearbeitet; die Europäische Kommission anerkennt, dass die Schweiz ein angemessenes Schutzniveau bietet. Dieser Vertrag wird auf allen Stufen angeboten, auch auf der Stufe Kostenlos, und er ist so verfasst, dass er auch Artikel 28 der DSGVO entspricht, wenn der Kunde ihr unterliegt. Antisy hat keinen Vertreter in der Europäischen Union bezeichnet (DSGVO, Art. 27).

Schweizerisches Recht. Preise in CHF, ohne MWST, gemäss den Allgemeinen Geschäftsbedingungen. Die Haftung von Antisy ist auf Vorsatz und grobe Fahrlässigkeit beschränkt. Ausschliesslich zuständig sind die ordentlichen Gerichte des Kantons Genf.

[bei Vertragsschluss auszufüllen : Ort, Datum und Unterzeichnende beider Parteien]