eam.chSwiss Exposure Management

Vereinbarung zur Auftragsbearbeitung

Version 2 · Stand November 2026

zwischen … (nachfolgend «Kunde», Verantwortlicher)
und Hunkeler Digital Services, Richard Hunkeler, Im Storchen 1, 8212 Neuhausen am Rheinfall, Schweiz (nachfolgend «eam.ch», Auftragsbearbeiterin)

1. Gegenstand und Dauer

  • Diese Vereinbarung regelt die Bearbeitung von Personendaten durch eam.ch im Auftrag des Kunden nach Art. 9 des schweizerischen Datenschutzgesetzes (DSG). Soweit die Datenschutz-Grundverordnung der EU (DSGVO) auf den Kunden anwendbar ist, gilt sie zugleich als Vertrag nach Art. 28 DSGVO.
  • Sie ergänzt die Allgemeinen Geschäftsbedingungen von eam.ch und gilt für die Dauer des Abonnements sowie bis zur Löschung der Daten nach Ziffer 9.

2. Art und Zweck der Bearbeitung

eam.ch stellt eine Plattform für das Management der Angriffsfläche, die Prüfung von Lieferanten, Tickets, Selbsttests und Berichte bereit. eam.ch speichert, ordnet, versendet und löscht die vom Kunden erfassten Daten ausschliesslich, um diese Leistungen zu erbringen.

3. Kategorien betroffener Personen und Daten

  • Benutzer des Kunden: Name, E-Mail-Adresse, Rolle, Sprache, Protokoll der Aktionen. Bei Anmeldung über SSO: Kennung beim Identitätsanbieter des Kunden und dessen Angaben zur Art der Anmeldung.
  • Ansprechpersonen von Lieferanten: Name, E-Mail-Adresse, Funktion, Einladungen, Antworten auf Fragebögen, Stellungnahmen.
  • Externe Bearbeiter von Tickets: Name, E-Mail-Adresse, Inhalte und Dateien der Tickets, Zeitpunkte der Zugriffe über persönliche Links.
  • Mitarbeitende des Kunden, die er zum Phishing-Training einlädt: E-Mail-Adresse und, falls angegeben, Vor- und Nachname. eam.ch verwendet die Angaben nur für den Versand der Einladung und speichert die Liste nicht; das Versandprotokoll mit Empfänger und Betreff wird nach 180 Tagen gelöscht. Die Teilnahme am Training selbst ist anonym.
  • Inhalte von Selbsttests und Berichten, soweit sie Personen nennen (z. B. Verantwortliche).
  • Empfänger von Berichten, die der Verantwortliche bestimmt (z. B. Mitglieder der Geschäftsleitung oder des Verwaltungsrats): Name, E-Mail-Adresse, Sprache, Zeitpunkte der Bestätigung, Erinnerung und Abmeldung sowie der Abrufe.
  • Besonders schützenswerte Personendaten sind nicht vorgesehen. Der Kunde erfasst solche Daten nur, wenn es unumgänglich ist, und nicht in Freitextfeldern oder Dateien ohne Bedarf.

4. Weisungen

  • eam.ch bearbeitet die Daten nur nach den dokumentierten Weisungen des Kunden. Als Weisung gelten diese Vereinbarung, die Einstellungen und Aktionen des Kunden auf der Plattform und schriftliche Mitteilungen der Hauptbenutzer.
  • Hält eam.ch eine Weisung für rechtswidrig, informiert sie den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
  • Eine Bearbeitung für eigene Zwecke findet nicht statt. Ausgenommen sind Daten, die eam.ch als Verantwortliche bearbeitet (Konto, Abrechnung, Sicherheit der Plattform, Nachweise erteilter Freigaben für aktive Prüfungen); dafür gilt die Datenschutzerklärung.

5. Vertraulichkeit

eam.ch verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit. Der Zugriff ist auf das für Betrieb, Unterstützung und Sicherheit Notwendige beschränkt.

6. Datensicherheit

eam.ch trifft die technischen und organisatorischen Massnahmen nach Anhang 2 und passt sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht senken.

7. Unterauftragsbearbeiter

  • Der Kunde genehmigt die Unterauftragsbearbeiter nach Anhang 1.
  • eam.ch informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über den Beizug oder Ersatz eines Unterauftragsbearbeiters. Der Kunde kann innert dieser Frist aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er das Abonnement auf den Zeitpunkt der Änderung kündigen, unter anteiliger Rückerstattung bereits bezahlter Beträge.
  • eam.ch überbindet Unterauftragsbearbeitern die Pflichten dieser Vereinbarung, soweit sie für deren Leistung anwendbar sind.
  • Eine Bearbeitung ausserhalb der Schweiz erfolgt nur in Staaten mit angemessenem Datenschutz nach Anhang 1 zum Datenschutzgesetz bzw. mit geeigneten Garantien.
  • Mit Server4You (Anhang 1) besteht derzeit noch keine gesonderte Vereinbarung zur Auftragsbearbeitung nach Art. 9 DSG bzw. Art. 28 DSGVO. Die Überbindung der Pflichten nach dieser Ziffer ist für diesen Unterauftragsbearbeiter deshalb noch nicht erfüllt. eam.ch hat die damit verbundenen Risiken beurteilt und intern akzeptiert und strebt den Abschluss einer entsprechenden Vereinbarung bis zum 31.03.2027 an. eam.ch informiert den Kunden, sobald die Vereinbarung besteht.

8. Unterstützung des Kunden

  • Rechte betroffener Personen: eam.ch leitet Anfragen, die sie direkt erreichen, an den Kunden weiter und unterstützt ihn bei Auskunft, Berichtigung, Löschung und Herausgabe. Die Plattform erlaubt dem Kunden, die meisten Daten selbst zu ändern, zu löschen und als ZIP herunterzuladen.
  • Verletzungen der Datensicherheit: eam.ch meldet dem Kunden eine Verletzung, die Daten des Kunden betrifft, so rasch als möglich, in der Regel innert 48 Stunden nach Kenntnis, mit den verfügbaren Angaben zu Art, Umfang, Folgen und ergriffenen Massnahmen. Weitere Angaben werden nachgeliefert.
  • eam.ch unterstützt den Kunden angemessen bei Datenschutz-Folgenabschätzungen und bei Anfragen von Aufsichtsbehörden, soweit es um die Bearbeitung durch eam.ch geht.

9. Rückgabe und Löschung

  • Der Kunde kann seine Daten jederzeit unter «Konto → Abo und Zahlung» als ZIP herunterladen.
  • Nach dem Ende des Abonnements bzw. nach einem Unterbruch wegen Nichtbezahlung werden die Daten 90 Tage aufbewahrt und danach gelöscht. eam.ch erinnert die Hauptbenutzer vorher alle 10 Tage per E-Mail.
  • Gelöschte Daten können in Datensicherungen noch bis zu deren Ablauf vorhanden sein (Anhang 2); sie werden nicht mehr bearbeitet und nur im Fall einer Wiederherstellung wieder verfügbar.
  • Löschungen auf Begehren und das Schliessen von Konten hält eam.ch in einem Löschprotokoll fest und führt sie nach dem Zurückspielen einer Sicherung erneut aus; automatische Löschungen nach Ablauf der Fristen wiederholt die Plattform selbst. Für Löschungen einzelner Inhalte durch den Kunden führt eam.ch kein Verzeichnis (Löschjournal): Muss eine Sicherung zurückgespielt werden, können solche Inhalte wieder vorhanden sein, in der Regel höchstens die Löschungen der letzten 12 Stunden. eam.ch informiert den Kunden in diesem Fall unverzüglich, damit er die Löschung wiederholen kann.
  • Rechnungen und Nachweise, die eam.ch aufbewahren muss, bleiben während der gesetzlichen Frist erhalten.

10. Nachweise und Kontrollen

  • Auskunft: eam.ch stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, insbesondere die aktuellen technischen und organisatorischen Massnahmen (Anhang 2), die Liste der Unterauftragsbearbeiter (Anhang 1), eine Zusammenfassung des letzten Wiederherstellungstests der Datensicherung sowie schriftliche Antworten auf einen Fragebogen des Kunden. Die Protokolle zu seinem eigenen Konto sieht der Kunde direkt in eam.ch.
  • Prüfung: Genügen die Auskünfte nachweislich nicht, kann der Kunde die Einhaltung selbst prüfen oder durch einen Prüfer prüfen lassen; ebenso nach einer Verletzung der Datensicherheit, die Daten des Kunden betrifft, oder wenn eine Aufsichtsbehörde es verlangt. Der Prüfer muss zur Verschwiegenheit verpflichtet sein und darf kein Mitbewerber von eam.ch sein.
  • Ablauf: Eine Prüfung ist mindestens 30 Tage im Voraus schriftlich anzumelden, nach einer Verletzung der Datensicherheit 5 Arbeitstage. Sie findet höchstens einmal in 12 Monaten statt, ausser nach einer Verletzung oder auf Verlangen einer Aufsichtsbehörde, und dauert in der Regel höchstens einen Arbeitstag.
  • Form: Prüfungen erfolgen aus der Ferne (Videokonferenz, Einsicht in Unterlagen und Einstellungen). Eine Prüfung vor Ort findet nur statt, wenn die Prüfung aus der Ferne nachweislich nicht genügt, wenn eine Aufsichtsbehörde sie verlangt oder nach einer schwerwiegenden Verletzung der Datensicherheit, die Daten des Kunden betrifft. Sie wird durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer an einem von eam.ch bezeichneten Ort in der Schweiz durchgeführt; die Kosten trägt der Kunde. Für das Rechenzentrum des Hosters gelten dessen Nachweise; Begehungen des Rechenzentrums sind nicht möglich.
  • Grenzen: Die Prüfung umfasst keinen Zugang zu Daten anderer Kunden, zu Quellcode, Schlüsseln oder Zugangsdaten und keine Geschäftsgeheimnisse von eam.ch. Sicherheitstests gegen die Plattform (z. B. Penetrationstests oder Scans) sind nur mit vorgängiger schriftlicher Zustimmung von eam.ch und nach vereinbarten Regeln zulässig.
  • Kosten: Eine Auskunft ist einmal in 12 Monaten kostenlos. Für weitere Auskünfte und für Prüfungen trägt jede Partei ihre eigenen Kosten; eam.ch verrechnet ihren Aufwand mit CHF 180 pro Stunde. Ergibt eine Prüfung einen wesentlichen Verstoss von eam.ch gegen diese Vereinbarung, trägt eam.ch ihren Aufwand selbst.
  • Ergebnisse: Der Kunde stellt eam.ch das Ergebnis der Prüfung zur Verfügung. eam.ch behebt festgestellte Mängel innert angemessener Frist und teilt dem Kunden mit, was sie unternommen hat.
  • Behörden: Prüfungen durch zuständige Aufsichtsbehörden bleiben vorbehalten; die Einschränkungen dieser Ziffer gelten für sie nicht, soweit das Recht dies vorsieht.

11. Haftung und Schlussbestimmungen

  • Die Haftung richtet sich nach den Allgemeinen Geschäftsbedingungen.
  • Bei Widersprüchen geht diese Vereinbarung den Allgemeinen Geschäftsbedingungen vor, soweit es um den Schutz von Personendaten geht.
  • Es gilt schweizerisches Recht. Gerichtsstand ist Schaffhausen. Massgebend ist die deutsche Fassung.
  • Diese Vereinbarung wird elektronisch abgeschlossen, bei der Registrierung bzw. bevor der Kunde Personendaten Dritter erfasst. Abschluss, Version, Zeitpunkt, Person und IP-Adresse werden protokolliert; der Kunde erhält die Vereinbarung als PDF im Kundenbereich.

Anhang 1: Unterauftragsbearbeiter

  • Server4You GmbH, Hanau (Deutschland): Hosting des Servers von eam.ch (Plattform, Datenbank, Dateien, E-Mail-Versand, Postfächer, Scanner). Rechenzentrum in Strasbourg (Frankreich). Frankreich und Deutschland gelten als Staaten mit angemessenem Datenschutz. Eine gesonderte Vereinbarung zur Auftragsbearbeitung mit Server4You besteht derzeit noch nicht (Ziffer 7).
  • Nicht als Unterauftragsbearbeiter gelten Dienste, die eam.ch als Verantwortliche nutzt, z. B. der Zahlungsdienst Revolut für Kartenzahlungen und das UID-Register des Bundes.
  • E-Mails an externe Empfänger werden über deren eigene Mailanbieter zugestellt.

Anhang 2: Technische und organisatorische Massnahmen

  • Zugang: Anmeldung mit Passwort (nur als Hash gespeichert) und zweitem Faktor (Code einer Authenticator-App, Schlüssel verschlüsselt gespeichert); Ausnahmen: vertrauenswürdige Geräte nur auf Wunsch und höchstens 90 Tage, bei Single Sign-on nach der Einstellung des Kunden (siehe nächster Punkt); Abmeldung nach Inaktivität; Wiederherstellungscodes nur als Hash.
  • Single Sign-on (auf Wunsch des Kunden): nur für nachgewiesene Domains; SAML-Assertions nur signiert (RSA-SHA256) mit festgehaltenem Zertifikat des Anbieters, OpenID Connect nur mit RS256, PKCE und nonce; jede Anmeldung nur einmal verwendbar; Nachweis eines zweiten Faktors durch den Anbieter oder zusätzlicher Code von eam.ch, ausser der Kunde verzichtet ausdrücklich darauf; Notzugang bei SSO-Pflicht.
  • Berechtigungen: Mandantentrennung auf jeder Abfrage; Rollen Hauptbenutzer, Bearbeiter und Leser; Externe sehen nur das ihnen zugewiesene Ticket über einen persönlichen, befristeten Link.
  • Übertragung: ausschliesslich verschlüsselt (HTTPS); strenge Content-Security-Policy ohne Inhalte von Drittanbietern.
  • Speicherung: hochgeladene Dateien, Berichte und Austauschdaten ausserhalb des Webverzeichnisses; besonders heikle Dateien (z. B. hinterlegte Vereinbarungen) zusätzlich verschlüsselt.
  • Protokollierung: wichtige Aktionen mit Zeitpunkt und Person (E-Mail-Adresse bleibt nach dem Löschen eines Logins erhalten); Zugriffe auf Schnittstellen in einer getrennten Datenbank mit Hash-Kette (6 Monate); Zugriffe Externer über Links; Prüfsummen für Berichte.
  • Datensicherung: verschlüsselte Sicherung von Datenbank und Dateien mindestens alle 12 Stunden mit Kopie auf einem getrennten eigenen Rechner in der Schweiz; Ziel für Datenverlust höchstens 12 Stunden, Wiederanlauf innert eines Arbeitstages; Aufbewahrung der Sicherungen höchstens 6 Monate; Überwachung von Server und Sicherungen mit Alarmierung; Löschprotokoll für Begehren und Kontoschliessungen, kein Löschjournal für einzelne Inhalte (Ziffer 9).
  • Betrieb: Updates von Betriebssystem und Software, getrennte Absender-IP für Prüfungen, Notabschaltung der Prüfungen, Begrenzung von Anmeldeversuchen.
  • Organisation: Vertraulichkeitsverpflichtung, Zugriff auf Kundendaten nur bei Bedarf für Betrieb und Unterstützung, regelmässige Überprüfung dieser Massnahmen.