Dienstleister- und Transferverzeichnis für UDKS Schweiz
Dieses Verzeichnis gehört zur Datenschutzerklärung (Ziffer 10 und 13.2) und ist Bestandteil von Anhang 3 der Vereinbarung zur Auftragsbearbeitung. Es nennt je Datenweg die juristische Person, die Aufgabe, die betroffenen Daten, die Staaten der Speicherung und des Zugriffs sowie die anwendbaren Garantien für Bekanntgaben ins Ausland. Es unterscheidet zwischen Diensten, die Auftragsdaten der Kundin bearbeiten (verschlüsselte Dokumente, Konten, Nachweise), und Diensten, die ausschliesslich eigene Daten der Anbieterin bearbeiten (Bestellung, Rechnung, Zahlung, Kommunikation). Interne Vertragsbelege, Kontonummern und personenbezogene Zugangslisten gehören nicht in dieses Verzeichnis; sie liegen bei der Anbieterin und werden Kundinnen auf Anfrage im erforderlichen Umfang gezeigt.
Inhalt: 1 Auftragsdaten · 2 Eigene Daten der Anbieterin · 3 Keine Unterauftragsbearbeiter · 4 Auslandbekanntgabe · 5 Änderungen und Stand der Nachweise.
1 Dienste, die Auftragsdaten der Kundin bearbeiten
| Kennung | Dienst und juristische Person | Aufgabe und Daten | Speicherung und Zugriff | Garantie |
|---|---|---|---|---|
| D01 | Exoscale — Akenes SA, Boulevard de Grancy 19A, 1006 Lausanne, Schweiz | Betrieb der Schweizer Produktionsinstanz von UDKS Core (verschlüsselte Dokumentinhalte, Konten, Berechtigungen, öffentliche Schlüssel, Schlüsselkapseln, Metadaten, Nachweise) sowie von Website, Bestelldienst, Kundenkonto und Leitstand; Schnappschüsse der Instanz | Zone ch-dk-2 (Zürich), Schweiz; Administration durch benannte Personen der Anbieterin aus der Schweiz; Supportzugriff des Anbieters nur auf Infrastrukturebene | Schweiz; keine Auslandbekanntgabe |
| D02 | Zusätzliche Sicherung — eigenes Speichersystem der C&W Software Labs AG | Verschlüsselte Sicherungskopien der Instanz und der Datenbanken des Bestelldienstes | Schweiz, Räumlichkeiten der Anbieterin; Zugriff nur Geschäftsleitung und benannte Betriebsperson | interne Stelle, kein Unterauftrag |
| D03 | Microsoft 365 / Exchange Online — Microsoft Ireland Operations Limited, One Microsoft Place, Dublin 18, Irland; bezogen über GoDaddy (D04) | Postfach techsupport@cundw.ch: Empfang, Speicherung, Bearbeitung und Versand von Support- und Vertragskommunikation (Absender, Empfänger, Betreff, Inhalt, Anhänge, Übermittlungsdaten); Kopie an die Supportgruppe unter cundw.io | Datenstandort des Mandanten: Europäische Union (Exchange Online, Geografie EU); Zugriff durch berechtigte Personen der Anbieterin aus der Schweiz; Produktsupport des Herstellers kann aus weiteren Staaten erfolgen, nur auf Freigabe je Fall | Microsoft Products and Services Data Protection Addendum mit EU-Standardvertragsklauseln und Schweizer Zusatz; EU-Staaten: Angemessenheit nach Anhang 1 DSV |
| D04 | GoDaddy — GoDaddy Europe Limited, 5th Floor, The Shipping Building, Old Vinyl Factory, 252–254 Blyth Road, Hayes UB3 1HA, Vereinigtes Königreich | Bezug, Abrechnung und Produktsupport des Microsoft-365-Dienstes; Administrationszugang auf den Mandanten nur auf ausdrückliche Anforderung der Anbieterin | Vereinigtes Königreich; Supportzugriff fallweise | Vereinigtes Königreich: Angemessenheit nach Anhang 1 DSV; GoDaddy Data Processing Addendum |
| D05 | Brevo — Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich | Automatisierter Versand von Dienst-E-Mails (Bestellbestätigung, Rechnung als Anhang, Anmeldecodes, Einrichtungs- und Zugangsmeldungen): Empfängeradresse, Betreff, Inhalt, Anhänge, Zustellprotokolle | Frankreich, Europäische Union; Protokolle beim Dienst begrenzt vorgehalten | Frankreich: Angemessenheit nach Anhang 1 DSV; Brevo Data Processing Agreement |
Die Supportgruppe unter cundw.io besteht aus benannten Mitarbeitenden der Anbieterin mit Postfächern im selben Microsoft-365-Mandanten (D03); externe Empfänger erhalten keine Kopien.
2 Dienste, die ausschliesslich eigene Daten der Anbieterin bearbeiten
| Kennung | Dienst und juristische Person | Aufgabe und Daten | Speicherung und Zugriff | Garantie |
|---|---|---|---|---|
| D06 | Stripe — Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland | Kartenzahlungen und Kartenabonnemente der Kundinnen der Anbieterin: Kontakt- und Rechnungsangaben, Bestellreferenz, Beträge, Zahlungsstatus, Zahlungsmittel (die vollständige Kartennummer sieht nur Stripe). Stripe handelt für die Zahlungsabwicklung, Betrugsprävention und eigene gesetzliche Pflichten teils als eigenständig Verantwortliche. Dokumentinhalte, Konten oder Nachweise aus UDKS werden nicht an Stripe übermittelt | Irland, Europäische Union; für einzelne Dienste Stripe, Inc., USA, und weitere Konzerngesellschaften gemäss Stripe-Unterdienstleisterliste | Irland: Angemessenheit; USA und weitere Staaten: Stripe Data Processing Agreement mit Standardvertragsklauseln und Schweizer Zusatz (Stripe Data Transfer Addendum) |
| D07 | UptimeRobot — UptimeRobot s. r. o., Tschechische Republik | Verfügbarkeitsmessung der öffentlichen Adressen udks.cundw.ch und udks.ch im Fünfminutentakt; verarbeitet werden nur Antwortzeiten und Statuscodes der öffentlichen Statusendpunkte, keine Personendaten von Kundinnen; Alarmempfänger sind Mitarbeitende der Anbieterin | Infrastruktur des Dienstes bei Hetzner, Amazon Web Services, DigitalOcean und Cloudflare (Europäische Union und USA) | keine Bekanntgabe von Kundendaten; Vertrag der Anbieterin |
| D08 | GitHub — GitHub, Inc., USA | Quellcodeverwaltung der Anbieterin; enthält keine Kunden-, Bestell- oder Dokumentdaten | USA | keine Bekanntgabe von Personendaten der Kundinnen |
3 Was nicht als Unterauftrag gilt
Die Schweizerische Post bei Briefversand (Get-started-Brief auf Wunsch), die Banken im Zahlungsverkehr bei Überweisungen sowie Behörden und beigezogene Berufsgeheimnisträger handeln in eigener Verantwortung. Die Anbieterin setzt keine Analysedienste, Werbenetzwerke oder IP-Geolokalisierung auf der Website ein.
4 Bekanntgabe ins Ausland
Auftragsdaten der Kundin (Dokumente, Konten, Nachweise) verbleiben in der Schweiz (D01, D02). Ins Ausland gelangen Support- und Vertragskommunikation (D03, D04, D05) und Zahlungsdaten (D06). Für Staaten mit angemessenem Datenschutz nach Anhang 1 der Datenschutzverordnung (Europäische Union, Vereinigtes Königreich) ist keine zusätzliche Garantie erforderlich; für die USA stützt sich die Bekanntgabe an Stripe auf die vereinbarten Standardvertragsklauseln mit Schweizer Zusatz. Eine Kopie der jeweils anwendbaren Garantien erhalten Kundinnen auf Anfrage unter Schutz berechtigter Geheimhaltungsinteressen.
5 Änderungen und Stand der Nachweise
Neue oder ersetzende Dienstleister für Auftragsdaten kündigt die Anbieterin nach Ziffer 4.3 der AVV mindestens 30 Kalendertage vorher an. Dieses Verzeichnis trägt eine eigene Fassung; die mit einer Bestellung bereitgestellte Fassung bleibt archiviert.
Stand der Nachweise am 26.10.2026: Die Nutzung der genannten Dienste ist bestätigt. Für jeden Dienst führt die Anbieterin in ihrem internen Erfassungsbogen Vertragspartei, angenommene Auftragsbearbeitungsvereinbarung mit Datum und den ausgewiesenen Datenstandort; diese Belege sind Voraussetzung für die Aufnahme in dieses Verzeichnis und werden bei jeder neuen Fassung überprüft. Die frühere Umgebung in Frankfurt am Main ist abgeschaltet; die Löschbestätigung des früheren Anbieters wird nach Eingang in der nächsten Fassung vermerkt.