Das revDSG und ein Bot-Schutz: wer verantwortlich ist, wer Auftragsbearbeiter
Mit Antisy bleibt Ihre Website die Verantwortliche für die Daten ihrer Besucher, und Antisy handelt als Auftragsbearbeiter im Sinne des Schweizer Datenschutzgesetzes (DSG, Art. 9), vertraglich geregelt. Diese Seite sagt, wer was tut, welche Daten bearbeitet und wie lange sie aufbewahrt werden.
Stand: .
Um welches Gesetz geht es?
«revDSG» ist der gebräuchliche Name des Bundesgesetzes über den Datenschutz vom 25. September 2020, in der Systematischen Rechtssammlung DSG abgekürzt (SR 235.1). Es ist am 1. September 2023 in Kraft getreten (Art. 74). Es bezweckt den Schutz der Persönlichkeit und der Grundrechte von natürlichen Personen, über die Personendaten bearbeitet werden (Art. 1).
Diese Seite beschreibt die Rollenteilung, die das Gesetz vorsieht, so wie Antisy sie umsetzt. Sie ist keine Rechtsberatung: Sie sagt nicht, dass Ihre Website oder Antisy das Gesetz einhält, und sie ersetzt weder Ihre eigene Datenschutzerklärung noch den Auftragsbearbeitungsvertrag. Für Ihren Fall wenden Sie sich an die Person, die Sie rechtlich berät.
Wer ist Verantwortlicher, wer Auftragsbearbeiter?
Das Gesetz definiert den Verantwortlichen als private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet (Art. 5 Bst. j). Der Auftragsbearbeiter ist eine private Person oder ein Bundesorgan, die oder das im Auftrag des Verantwortlichen Personendaten bearbeitet (Art. 5 Bst. k).
Für die Besucher Ihrer Formulare geht Antisy von folgender Einordnung aus. Ihre Website entscheidet, ihre Formulare zu schützen, und wie: Sie ist der Verantwortliche. Antisy bearbeitet die Daten dieser Besucher in ihrem Auftrag, für einen einzigen Zweck, menschliche Besucher von automatisierten Programmen zu unterscheiden, für die Sicherheit der Website: Antisy ist der Auftragsbearbeiter. Diese Daten dienen nie der Werbung.
Siehe: Glossar: Auftragsbearbeiter
Was verlangt das Gesetz von einem Auftragsbearbeiter?
Die Regeln für die Bearbeitung durch Auftragsbearbeiter, in den Worten des Gesetzes oder so nah wie möglich daran:
- Die Bearbeitung von Personendaten kann vertraglich oder durch die Gesetzgebung einem Auftragsbearbeiter übertragen werden, wenn zwei Bedingungen erfüllt sind: wenn die Daten so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und wenn keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet (Art. 9 Abs. 1).
- Der Verantwortliche muss sich vergewissern, dass der Auftragsbearbeiter in der Lage ist, die Datensicherheit zu gewährleisten (Art. 9 Abs. 2).
- Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen (Art. 9 Abs. 3).
- Der Verantwortliche und der Auftragsbearbeiter gewährleisten durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit (Art. 8 Abs. 1).
- Der Auftragsbearbeiter meldet dem Verantwortlichen so rasch als möglich eine Verletzung der Datensicherheit (Art. 24 Abs. 3).
Was sieht der Vertrag von Antisy vor?
Der Auftragsbearbeitungsvertrag von Antisy wird in allen Stufen angeboten, auch in der Stufe Kostenlos. Die Datenschutzerklärung und der Auftragsbearbeitungsvertrag von Antisy sind veröffentlicht (auf Französisch). Das Vertragsmuster sieht insbesondere vor:
- Antisy bearbeitet die Daten nur auf dokumentierte Weisung Ihrer Website: den Vertrag, ihre Einstellungen im Dashboard und ihre schriftlichen Anfragen.
- Der zugelassene Unterauftragsbearbeiter ist Infomaniak, in Genf, Schweiz (Hosting und Sicherungen); jede Hinzunahme oder jeder Ersatz eines Unterauftragsbearbeiters wird 30 Tage im Voraus schriftlich angekündigt.
- Antisy unterstützt Ihre Website bei der Beantwortung von Auskunfts-, Berichtigungs- und Löschbegehren; wendet sich eine Person direkt an Antisy, leitet Antisy das Begehren an Ihre Website weiter.
- Antisy meldet Ihrer Website jede Verletzung der Datensicherheit, die sie betrifft, innerhalb von 48 Stunden nach ihrer Entdeckung.
Siehe: Muster des Auftragsbearbeitungsvertrags · Datensicherheit bei Antisy
Welche Daten bearbeitet Antisy für Ihre Website?
Im Browser misst das Script die vom Browser angegebenen Fähigkeiten, die Sprachen und die Zeitzone des Browsers, die Grafikdarstellung und der Fingerabdruck des Geräts, Hinweise auf Automatisierung, das Verhalten der JavaScript-Engine und der Ablauf der Interaktion. Der Server von Antisy liest die Reihenfolge der HTTP-Header, die IP-Adresse, der User-Agent und der Kontext der Anfrage. Nie das gezeichnete Bild, den Namen der Grafikkarte oder den Inhalt der Tastenanschläge und der Felder.
Bei einem Login oder einer Registrierung behält Antisy auch die Kontokennung, die Ihre Website übermittelt, verschlüsselt und gehasht.
Diese Daten umfassen Personendaten. Ihre Website erhält die Messwerte des Browsers nicht: Sie erhält ein Token, dann ein Ergebnis. Die Daten dienen der Sicherheit Ihrer Website, nie der Werbung.
Siehe: Dokumentation: erfasste Daten und Privatsphäre · Startseite: was das Script misst, und wie lange
Wie lange werden die Daten aufbewahrt?
Die vom Browser gesendeten Messwerte werden einige Minuten aufbewahrt, so lange, wie die Prüfung der Übermittlung dauert; ein Teil davon 30 Tage, wenn ihre Aufbewahrung für die Website eingeschaltet ist, was standardmässig nicht der Fall ist. IP-Adresse, User-Agent und Kontext der Anfrage werden nach 30 Tagen gelöscht, die Login-Kennung nach 90 Tagen, und der ganze Datensatz wird nach höchstens 180 Tagen entfernt.
Diese Fristen wendet Antisy an.
Die Tabelle verfolgt jede Angabe vom Versuch bis zu ihrer Löschung:
| Frist | Was geschieht |
|---|---|
| Einige Minuten | Vom Browser für ein Token gesendete Messwerte: einige Minuten verschlüsselt aufbewahrt, so lange, wie die Prüfung der Übermittlung dauert, dann gelöscht. Ist die Aufbewahrung für die Website eingeschaltet (standardmässig ist sie ausgeschaltet), werden einige davon 30 Tage verschlüsselt aufbewahrt: die gemessene Grafikdarstellung, die Klasse und zwei Hashwerte des Grafikprozessors, das Verhalten der JavaScript-Engine und die Hinweise auf Automatisierung; weder die vom Browser angegebenen Fähigkeiten noch seine Sprachen und seine Zeitzone, noch der Gesamtfingerabdruck des Geräts, noch der Ablauf der Interaktion. |
| 30 Tage | IP-Adresse, User-Agent, Kontext der Anfrage (akzeptierte Sprache, Namen der vorhandenen Header, Host des Referrers, Pfad, Methode; Merkmale der Verbindung: TLS- und HTTP-Versionen, ausgehandeltes Protokoll, Vorhandensein von Client Hints, Hashwert der Header-Reihenfolge; und, wenn die Website sie weitergibt, Ausfülldauer des Formulars und Rang des Versuchs in der Sitzung) und von der Website gewählte Ereigniskennung, verschlüsselt, solange sie aufbewahrt werden; Hashwert der Reihenfolge der HTTP-Header, im Ruhezustand verschlüsselt (ihre Namen, nie ihre Werte); Ergebnisse der Token-Prüfung: alle aus dem Datensatz gelöscht. Darüber hinaus wird weder ein Präfix noch ein Hashwert der IP-Adresse aufbewahrt. Die Ereigniskennung hat zudem, getrennt davon, einen blinden Index (einen Hashwert mit Schlüssel), der nur dazu dient, die Wiederholung desselben Versuchs zu erkennen: Er wird nach 25 Stunden gelöscht. |
| 90 Tage | Login-Kennung (verschlüsselt und gehasht), Ausgang des Versuchs, von der Website gemeldete Ausgänge: gelöscht. |
| 180 Tage maximal | Was bleibt (Ergebnis, Score, Gründe, Browserfamilie, Ereignistyp, Zeitstempel): Der Datensatz wird gelöscht. |
Diese Fristen wendet Antisy an. Nach 90 Tagen trägt ein Datensatz weder die Login-Kennung noch die Adresse: Er lässt sich über keine der beiden mehr wiederfinden. Siehe auch den Auftragsbearbeitungsvertrag.
Wo werden die Daten gehostet?
Das Hosting erfolgt bei Infomaniak, in Genf, Schweiz. Es ist seit dem 27. Oktober 2026 in Betrieb.
Was muss Ihre Website tun?
- Ihre Besucher informieren. Das Gesetz verlangt vom Verantwortlichen, die betroffene Person über die Beschaffung von Personendaten zu informieren und ihr mindestens die Identität und die Kontaktdaten des Verantwortlichen, den Bearbeitungszweck und gegebenenfalls die Empfängerinnen und Empfänger oder die Kategorien von Empfängerinnen und Empfängern mitzuteilen (Art. 19 Abs. 1 und 2).
- Die Bearbeitung in Ihrer eigenen Datenschutzerklärung beschreiben und darin Antisy nennen. Der Auftragsbearbeitungsvertrag enthält einen Mustertext zum Anpassen.
- Die Begehren Ihrer Besucher beantworten (Auskunft, Berichtigung, Löschung): Sie richten sich zuerst an Ihre Website, den Verantwortlichen.
Wo steht Antisy?
Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion.
Siehe: Der Pilot · Auf die Warteliste
Häufige Fragen zum DSG
Ist Antisy Verantwortlicher oder Auftragsbearbeiter?
Für die Besucher Ihrer Formulare ist Ihre Website der Verantwortliche und Antisy der Auftragsbearbeiter (DSG Art. 5 Bst. j und k). Artikel 9 des Gesetzes legt die Bedingungen der Bearbeitung durch Auftragsbearbeiter fest: Ein Vertrag oder die Gesetzgebung sieht sie vor, und der Auftragsbearbeiter bearbeitet nur, was der Verantwortliche selbst bearbeiten dürfte.
Braucht es einen Vertrag mit Antisy?
Das Gesetz verlangt, dass die Bearbeitung vertraglich oder durch die Gesetzgebung übertragen wird (DSG Art. 9 Abs. 1). Antisy bietet ein Muster des Auftragsbearbeitungsvertrags an, in allen Stufen. Der Zugang zum Produkt erfolgt heute über eine Warteliste.
Muss ich meine Besucher über den Einsatz von Antisy informieren?
Ja: Das ist eine Pflicht des Verantwortlichen, also Ihrer Website (DSG Art. 19). Ihre Datenschutzerklärung beschreibt die Bearbeitung und nennt Antisy. Der Auftragsbearbeitungsvertrag enthält einen Mustertext zum Anpassen.
Wo sind die Daten meiner Besucher?
Das Hosting erfolgt bei Infomaniak, in Genf, Schweiz. Es ist seit dem 27. Oktober 2026 in Betrieb.
Quellen
Die zitierten Artikel sind die des Bundesgesetzes über den Datenschutz, im auf Fedlex veröffentlichten deutschen Wortlaut, einer Amtssprache des Bundes.