Vertrag zur Auftragsbearbeitung.

Fassung 1.8 · Stand 17. Oktober 2026

1. Parteien und Zustandekommen

Dieser Vertrag regelt, wie wir Personendaten bearbeiten, die Sie uns im Rahmen unserer Dienstleistungen anvertrauen. Er wird zwischen Ihnen als Kundin oder Kunde und uns geschlossen:

techQ – einfache Gesellschaft nach Art. 530 ff. OR
Gesellschafter: Fabrizio Forster und Fabio Giovanelli
Bannhaldenstrasse 58a
8500 Frauenfeld
Schweiz

Datenschutz: datenschutz@techq.ch

Er wird mit der Bestellung eines Pakets Bestandteil unseres Vertragsverhältnisses und gilt, solange Sie unsere Dienstleistungen beziehen. Eine gesonderte Unterzeichnung ist dafür nicht nötig. Benötigen Sie ein unterzeichnetes Exemplar für Ihre eigene Dokumentation, stellen wir es Ihnen auf Anfrage aus.

2. Wer wofür verantwortlich ist

Sie sind verantwortliche Stelle im Sinne von Art. 5 lit. j DSG für die Inhalte Ihres Hostings, also für Website-Dateien, Datenbanken, Postfächer und deren Inhalte; für die Angaben, die Sie als Reseller in Ihrem Portal über eigene Endkunden erfassen; sowie für die Inhaber- und Kontaktangaben von Domains, die Sie für Dritte registrieren lassen.

Für diese Daten sind wir Auftragsbearbeiter im Sinne von Art. 5 lit. k DSG und bearbeiten sie nach Art. 9 DSG ausschliesslich in Ihrem Auftrag. Wir sehen sie nicht routinemässig an und verwenden sie zu keinem eigenen Zweck.

Für die Daten, die wir zur Führung Ihres eigenen Kundenkontos bearbeiten — Stammdaten, Verträge, Zahlungen, Support — sind wir selbst verantwortliche Stelle. Dafür gilt nicht dieser Vertrag, sondern unsere Datenschutzerklärung.

3. Gegenstand, Art und Dauer der Bearbeitung

Wir bearbeiten die Daten, um die vereinbarten Dienstleistungen zu erbringen: Webhosting mit Datenbanken und Postfächern, Sicherungen, Registrierung und Verwaltung von Domains sowie das Partnerportal für Reseller. Die Bearbeitung besteht im Speichern, Ausliefern, Übermitteln, Sichern, Wiederherstellen und Löschen der Daten.

Welche Kategorien von Personendaten und welche betroffenen Personen dies umfasst, bestimmen allein Sie durch das, was Sie bei uns ablegen oder erfassen. Typischerweise sind das Besucherinnen und Kunden Ihrer Website, Ihre Endkunden sowie Ihre Mitarbeitenden, mit Angaben wie Namen, Kontaktdaten, Bestell- und Nutzungsdaten sowie dem Inhalt der Nachrichten in Ihren Postfächern.

Sie dürfen bei uns auch besonders schützenswerte Personendaten nach Art. 5 lit. c DSG bearbeiten. Sie sind in diesem Fall dafür verantwortlich zu beurteilen, ob unsere Massnahmen dem Risiko Ihrer Bearbeitung genügen; wir geben Ihnen dazu auf Anfrage die nötigen Auskünfte.

Die Bearbeitung dauert so lange, wie das Vertragsverhältnis besteht, und endet mit der Löschung nach Abschnitt 12.

4. Ihre Weisungen

Wir bearbeiten die Daten nur nach Ihren Weisungen. Ihre Grundweisung ist der vereinbarte Leistungsumfang: alles, was zur Erbringung der gebuchten Dienstleistung gehört, gilt als angewiesen.

Weitere Weisungen richten Sie in Textform an datenschutz@techq.ch. Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit und dürfen ihre Ausführung bis zur Klärung aussetzen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen und bei uns Aufwand verursachen, können wir nach Aufwand verrechnen; wir kündigen dies vorgängig an.

Sind wir gesetzlich zur Herausgabe von Daten an eine Behörde oder ein Gericht verpflichtet, dürfen wir dieser Pflicht ohne Ihre Weisung nachkommen. Wir informieren Sie vorgängig, soweit uns dies rechtlich erlaubt ist.

5. Ihre Zusicherungen

Sie sichern uns zu, dass Sie die Daten, die Sie bei uns bearbeiten lassen, rechtmässig erheben und verwenden dürfen, dass Sie Ihre Pflichten als verantwortliche Stelle gegenüber den betroffenen Personen erfüllen und dass Ihre Weisungen an uns rechtmässig sind. Sie sorgen ausserdem dafür, dass Ihre Zugänge, Passwörter und die von Ihnen vergebenen Berechtigungen Unbefugten keinen Zugriff auf Ihre Daten eröffnen.

Machen betroffene Personen, Behörden oder andere Dritte Ansprüche gegen uns geltend, weil Sie diese Zusicherungen nicht eingehalten haben, stellen Sie uns davon frei; dazu gehören die notwendigen Kosten der Rechtsverteidigung. Wir informieren Sie unverzüglich über einen solchen Anspruch, anerkennen ihn nicht ohne Ihre Zustimmung und geben Ihnen Gelegenheit, sich an der Abwehr zu beteiligen. Soweit uns ein eigenes Verschulden trifft, entfällt die Freistellung.

6. Vertraulichkeit

Zugriff auf Ihre Daten haben nur Personen, die zur Vertraulichkeit verpflichtet sind. Bei uns sind das Fabrizio Forster und Fabio Giovanelli. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus. Ziehen wir weitere Personen bei, verpflichten wir sie vorgängig in gleicher Weise.

Technisch können wir auf Ihre Daten zugreifen — ohne diese Möglichkeit liesse sich kein Server betreiben. Wir tun dies ausschliesslich auf Ihre Bitte oder wenn der Betrieb es zwingend erfordert, etwa bei einer Störung oder einem Missbrauchsfall. Jeder solche Zugriff wird protokolliert und ist für Sie nachvollziehbar.

7. Datensicherheit

Wir treffen die technischen und organisatorischen Massnahmen, die nach Art. 8 DSG und Art. 1 bis 3 DSV erforderlich sind, um eine dem Risiko angemessene Sicherheit zu gewährleisten. Welche Massnahmen das im Einzelnen sind, beschreibt Anhang 2.

Wir dürfen diese Massnahmen weiterentwickeln, solange das Schutzniveau dabei nicht sinkt. Wesentliche Änderungen halten wir in einer neuen Fassung dieses Anhangs fest.

Müssen Sie für Ihre Bearbeitung eine Datenschutz-Folgenabschätzung durchführen (Art. 22 DSG oder eine entsprechende Pflicht nach dem für Sie geltenden Recht) oder vorgängig eine Aufsichtsbehörde konsultieren, unterstützen wir Sie dabei. Wir geben Ihnen die Auskünfte über unsere Massnahmen, unsere Unterauftragsbearbeiter und unsere Abläufe, die Sie dafür benötigen. Verlangt Ihre Anfrage erheblichen Aufwand bei uns, können wir diesen nach vorgängiger Ankündigung nach Aufwand verrechnen.

8. Unterauftragsbearbeiter

Sie erteilen uns Ihre Zustimmung, die in Anhang 1 aufgeführten Unterauftragsbearbeiter beizuziehen (Art. 9 Abs. 3 DSG). Wir verpflichten sie vertraglich auf dieselben Pflichten, die uns dieser Vertrag auferlegt, und haften für ihre Leistung wie für unsere eigene.

Wollen wir einen Unterauftragsbearbeiter hinzufügen oder auswechseln, informieren wir Sie mindestens dreissig Tage im Voraus per E-Mail an die in Ihrem Konto hinterlegte Adresse. Sie können der Änderung innert dieser Frist aus einem sachlichen, datenschutzrechtlichen Grund widersprechen. Finden wir gemeinsam keine Lösung, können Sie den betroffenen Teil des Vertragsverhältnisses auf den Zeitpunkt der Änderung kündigen; bereits im Voraus bezahlte Beträge erstatten wir anteilig zurück.

9. Bearbeitung im Ausland

Ihre Daten liegen grundsätzlich in der Schweiz: Der Server steht in Luzern, die Datenbank des Kundencenters in Zürich.

Eine Bekanntgabe ins Ausland findet nur in den in Anhang 1 genannten Fällen statt. Für die Niederlande gilt der Angemessenheitsbeschluss nach Anhang 1 DSV (Art. 16 Abs. 1 DSG). Für Singapur und die Vereinigten Staaten besteht kein solcher Beschluss; ausgenommen sind US-Organisationen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind (Art. 16 Abs. 1 DSG). Im Übrigen stützen wir uns auf Standarddatenschutzklauseln, die der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte anerkannt hat (Art. 16 Abs. 2 lit. d DSG). Eine Kopie der Klauseln erhalten Sie auf Anfrage.

10. Rechte der betroffenen Personen

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs- oder Löschungsbegehren direkt an uns, obwohl Sie dafür zuständig sind, beantworten wir es nicht selbst. Wir leiten es unverzüglich an Sie weiter und verweisen die Person an Sie.

Wir unterstützen Sie dabei, solche Begehren zu erfüllen. In erster Linie geschieht das über die Mittel, die die Dienstleistung ohnehin bietet: FTP-Zugang, Datei-Manager, Datenbankzugriff und die Verwaltungsfunktionen im Kundencenter. Verlangt Ihre Anfrage darüber hinausgehenden Aufwand bei uns, können wir diesen nach vorgängiger Ankündigung nach Aufwand verrechnen.

11. Verletzungen der Datensicherheit

Stellen wir eine Verletzung der Datensicherheit fest, die Ihre Daten betrifft, melden wir Ihnen das unverzüglich, spätestens aber achtundvierzig Stunden nach Kenntnisnahme, per E-Mail an die in Ihrem Konto hinterlegte Adresse.

Die Meldung enthält, was wir zu diesem Zeitpunkt wissen: Art des Vorfalls, betroffene Datenkategorien und ungefährer Umfang, mutmassliche Folgen sowie die Massnahmen, die wir ergriffen haben oder vorschlagen. Fehlende Angaben reichen wir nach, sobald sie vorliegen.

Die Beurteilung, ob der Vorfall dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten zu melden ist (Art. 24 DSG), und die Information der betroffenen Personen obliegen Ihnen. Wir stellen Ihnen die dafür nötigen Angaben zur Verfügung.

12. Rückgabe und Löschung

Ihre Daten können Sie während der gesamten Vertragsdauer jederzeit selbst herunterladen — über FTP, den Datei-Manager, den Datenbankexport und die Exportfunktionen im Kundencenter. Eine gesonderte Herausgabe durch uns ist dafür nicht nötig.

Nach Beendigung des Vertragsverhältnisses haben Sie die Wahl zwischen Rückgabe und Löschung. Verlangen Sie die Rückgabe, teilen Sie uns das innert dreissig Tagen nach Beendigung mit; wir stellen Ihnen die Daten dann in einem gängigen elektronischen Format zur Verfügung und löschen sie anschliessend. Erhalten wir keine solche Mitteilung, löschen wir sie ohne weitere Rückfrage.

Die Löschung erfolgt innert dreissig Tagen nach Beendigung des Vertragsverhältnisses, bei einer Rückgabe innert dreissig Tagen nach deren Abschluss. Die Sicherungen Ihrer Pakete löschen wir mit ihnen; in den Sicherungen unserer eigenen Systeme und in deren verschlüsselter Zweitkopie können Daten noch längstens sechzig Tage enthalten sein, bevor sie überschrieben werden. Ausgenommen bleiben Daten, die wir gesetzlich aufbewahren müssen; für diese gelten die Pflichten dieses Vertrags weiter, solange wir sie aufbewahren.

Auf Wunsch bestätigen wir Ihnen die Löschung in Textform.

13. Nachweis und Überprüfung

Wir weisen Ihnen auf Anfrage in Textform nach, dass wir die Pflichten aus diesem Vertrag einhalten, und beantworten Ihre Fragen zu unseren Massnahmen.

Genügt Ihnen das nicht, können Sie einmal jährlich und zusätzlich bei einem konkreten Anlass eine Überprüfung verlangen. Sie kündigen diese mindestens dreissig Tage im Voraus an, sie findet während der üblichen Geschäftszeiten statt, darf den Betrieb nicht stören und muss die Geheimhaltungspflichten gegenüber unseren übrigen Kundinnen und Kunden wahren. Ein Zutritt zum Rechenzentrum richtet sich nach den Vorgaben von Flow Swiss AG. Den eigenen Aufwand tragen beide Seiten selbst; verursacht die Überprüfung bei uns erheblichen Aufwand, können wir diesen nach vorgängiger Ankündigung nach Aufwand verrechnen.

14. Schlussbestimmungen

Widersprechen sich dieser Vertrag und unsere Allgemeinen Geschäftsbedingungen, geht dieser Vertrag vor, soweit es um die Bearbeitung von Personendaten in Ihrem Auftrag geht. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen.

Wir passen diesen Vertrag an, wenn sich unsere Abläufe, unsere Unterauftragsbearbeiter oder die Rechtslage ändern. Die jeweils gültige Fassung finden Sie unter techq.ch/avv. Über wesentliche Änderungen informieren wir Sie mindestens dreissig Tage im Voraus per E-Mail an die in Ihrem Konto hinterlegte Adresse.

Sie können einer wesentlichen Änderung innert dieser Frist aus einem sachlichen, datenschutzrechtlichen Grund widersprechen. Finden wir gemeinsam keine Lösung, können Sie den betroffenen Teil des Vertragsverhältnisses auf den Zeitpunkt der Änderung kündigen; bereits im Voraus bezahlte Beträge erstatten wir anteilig zurück. Anpassungen, die wir zwingend vornehmen müssen, um geltendes Recht einzuhalten, gelten ohne Widerspruchsmöglichkeit; auch über diese informieren wir Sie vorgängig.

Es gilt Schweizer Recht. Gerichtsstand ist Frauenfeld, soweit nicht zwingende Bestimmungen etwas anderes vorsehen.

Anhang 1 — Unterauftragsbearbeiter

Wir setzen die folgenden Unterauftragsbearbeiter ein. Angegeben ist jeweils, wofür sie beigezogen werden und wo die Daten liegen.

Flow Swiss AG, Baar, Schweiz. Betreibt das Rechenzentrum in Luzern und die Serverinfrastruktur. Betroffen sind sämtliche Inhalte Ihres Hostings, Ihre Datenbanken, Postfächer und Sicherungen. Ort der Bearbeitung: Luzern, Schweiz.

METANET AG, Zürich, Schweiz. Zweiter Nameserver: hält eine Kopie der DNS-Zonen Ihrer Domains. Ort der Bearbeitung: Schweiz.

Supabase Pte. Ltd., Singapur. Stellt Datenbank, Anmeldung und Serverfunktionen des Kundencenters und des Partnerportals bereit; darin liegen unter anderem die Angaben, die Sie als Reseller über Ihre Endkunden erfassen. Ort der Speicherung: Zürich. Bei Betrieb und Support lässt sich ein Zugriff aus Singapur und aus den Vereinigten Staaten nicht ausschliessen.

Anthropic PBC, Vereinigte Staaten. Stellt die Sprachmodelle für unseren Assistenten Quin bereit. Beigezogen wird der Dienst nur, soweit Sie oder Ihre Mitarbeitenden Quin im Kundencenter tatsächlich nutzen; übermittelt werden dabei Ihre Frage und die Angaben zu Ihrem eigenen Konto. Ort der Bearbeitung: Vereinigte Staaten.

Hosting Concepts B.V. (Openprovider), Niederlande. Registriert und verwaltet Domains. Betroffen sind Domainnamen sowie Inhaber- und Kontaktangaben, die je nach Endung an die zuständige Registrierungsstelle weitergegeben werden. Ort der Bearbeitung: Niederlande.

Internet Security Research Group (Let's Encrypt), Vereinigte Staaten. Stellt die TLS-Zertifikate für Ihre Domains aus. Übermittelt werden ausschliesslich Domainnamen; diese erscheinen dabei in öffentlichen Transparenzprotokollen. Ort der Bearbeitung: Vereinigte Staaten.

Nicht als Unterauftragsbearbeiter gilt Stripe: Zahlungen betreffen Ihr eigenes Vertragsverhältnis mit uns, bei dem wir selbst verantwortliche Stelle sind.

Anhang 2 — Technische und organisatorische Massnahmen

Zugriff und Berechtigungen. Verwaltungszugänge sind auf die in Abschnitt 6 genannten Personen beschränkt. Für Reseller- und Verwaltungsaufgaben sind Zwei-Faktor-Anmeldung und Passkeys zwingend. Zugriffsregeln in der Datenbank stellen sicher, dass jede Abfrage nur die Daten des jeweils eigenen Kontos liefert. Der SSH-Zugang ist für Hosting-Kunden deaktiviert. Der Datenbank-Fernzugriff gehört zum Leistungsumfang der Pakete; er ist nur mit den Zugangsdaten der jeweiligen Datenbank möglich. Nach wiederholten Fehlversuchen sperrt das System den Zugang automatisch.

Übertragung. Sämtliche Übertragungswege sind verschlüsselt: HTTPS mit HSTS für Web und Kundencenter, TLS für den Mailverkehr, FTP ausschliesslich über TLS. Cookies werden nur über HTTPS übertragen und gehen bei fremd ausgelösten Anfragen nicht mit.

Speicherung. Passwörter werden ausschliesslich als Hashwert gespeichert, nie im Klartext. Sicherungen sind verschlüsselt abgelegt.

Verfügbarkeit und Wiederherstellung. Jedes Paket wird einmal wöchentlich automatisch gesichert; die neue Sicherung ersetzt die vorige. Mit dem Zusatzdienst Backup Plus sichern wir zusätzlich nach Ihren Sicherungsaufträgen — was, wie oft und wie lange, höchstens 30 Tages-, 12 Wochen- und 12 Monatsstände —, und Sie können eigene Sicherungen anlegen; die Aufträge, die Sie im Kundencenter festlegen, gehören zu Ihrer Grundweisung (Ziffer 4). Wiederherstellen können Sie selbst, wahlweise neben den bestehenden Daten oder an ihrer Stelle. Die Sicherungen liegen verschlüsselt auf unserem Server in Luzern, eine verschlüsselte Zweitkopie an einem zweiten, von uns selbst betriebenen Standort in der Schweiz; die Schlüssel liegen getrennt davon. Jede Nacht prüfen wir alle Sicherungen auf Unversehrtheit. Der Betrieb wird laufend überwacht.

Nachvollziehbarkeit. Anmeldungen, fehlgeschlagene Anmeldeversuche und administrative Zugriffe auf ein Kundenkonto werden protokolliert. Die Protokolle bewahren wir neunzig Tage auf.

Organisation. Die zugriffsberechtigten Personen sind auf Vertraulichkeit verpflichtet. Datenschutzanfragen laufen zentral über datenschutz@techq.ch. Bei Änderungen an Abläufen oder Dienstleistern prüfen wir die Auswirkungen auf den Datenschutz, bevor wir sie umsetzen.

Als PDF herunterladen