Unterauftragsbearbeiter

Stand: 26. August 2026 · gemäss AGB Ziffer 8.5

Nach Art. 9 Abs. 3 des Bundesgesetzes über den Datenschutz darf die Anbieterin die Bearbeitung von Personendaten nur mit vorgängiger Genehmigung der Kundin einem Dritten übertragen. Mit der Annahme der AGB erteilt die Kundin diese Genehmigung für die nachfolgend genannten Unternehmen.

Eingesetzt

Hetzner Online GmbH — Betrieb der Server

Sitz	Industriestrasse 25, 91710 Gunzenhausen, Deutschland
Leistung	Betrieb der Server, auf denen Citrum läuft, sowie die tägliche Datensicherung nach AGB Ziffer 10
Bearbeitungsort	Rechenzentren in Deutschland und Finnland
Betroffene Daten	sämtliche in Citrum erfassten und hochgeladenen Daten
Grundlage	Für Deutschland und Finnland hat der Bundesrat einen angemessenen Datenschutz festgestellt; beide sind in Anhang 1 der Datenschutzverordnung (DSV, SR 235.11) aufgeführt. Die Bekanntgabe ins Ausland stützt sich damit auf Art. 16 Abs. 1 DSG und bedarf keiner zusätzlichen Garantien.

Cloudflare — Namensauflösung und vorgelagerter Netzzugang

Leistung	Namensauflösung (DNS) für citrum.ch und vorgelagerte Weiterleitung sämtlicher Aufrufe an den Server; dabei wird die verschlüsselte Verbindung an der Netzgrenze entgegengenommen
Bearbeitungsort	Netzknoten Zürich; das Unternehmen betreibt weltweit weitere Knoten
Betroffene Daten	sämtliche Aufrufe von citrum.ch mit den dabei übermittelten Angaben (IP-Adresse, Adresszeile, Inhalte von Formularen)
Firma	Cloudflare, Inc.
Sitz	101 Townsend Street, San Francisco, California 94107, USA
Grundlage	Cloudflare, Inc. ist unter dem Swiss–U.S. Data Privacy Framework zertifiziert; die Zertifizierung ist im amtlichen Verzeichnis des US-Handelsministeriums als aktiv eingetragen (Stand 26.08.2026, HR- und Nicht-HR-Daten). Der Bundesrat anerkennt dieses Rahmenwerk; fuer zertifizierte Unternehmen in den USA besteht damit ein angemessener Schutz nach Anhang 1 der Datenschutzverordnung (DSV, SR 235.11). Die Bekanntgabe stuetzt sich auf Art. 16 Abs. 1 DSG. Faellt die Zertifizierung dahin, greifen die Standardvertragsklauseln aus dem Datenbearbeitungsvertrag von Cloudflare (Art. 16 Abs. 2 lit. d DSG).

Wichtig zu wissen: Cloudflare nimmt die verschlüsselte Verbindung an der Netzgrenze entgegen und stellt sie zum Server neu her. Die Inhalte eines Aufrufs sind diesem Unternehmen deshalb technisch zugänglich, bevor sie Citrum erreichen. Das ist bei jedem vorgelagerten Netzdienst so und lässt sich nicht umgehen, solange er eingesetzt wird; genannt wird es hier, weil es für die Beurteilung wesentlich ist.

Stripe — Abwicklung der Kartenzahlungen

Firma	Stripe Payments Europe, Limited (Vertragspartnerin für die Schweiz); die Bearbeitung der Personendaten erfolgt durch Stripe Technology Europe, Limited
Sitz	One Building, 1 Grand Canal Street Lower, Dublin 2, Irland
Leistung	Abwicklung der Kartenzahlungen für das Abonnement nach AGB Ziffer 5.3, einschliesslich der wiederkehrenden monatlichen Belastung und der erneuten Versuche bei einer gescheiterten Belastung nach Ziffer 5.6
Bearbeitungsort	Irland
Betroffene Daten	Firmenname, Kontaktperson und E-Mail-Adresse der Kundin, Zahlungsmittel sowie Betrag, Zeitpunkt und Zustand der einzelnen Belastungen. Die Kartendaten werden ausschliesslich auf einer Seite von Stripe eingegeben; sie erreichen die Server der Anbieterin zu keinem Zeitpunkt und werden von ihr nicht gespeichert (AGB Ziffer 8).
Betroffene Daten nicht	Keinerlei in Citrum erfasste Kunden-, Lohn- oder Buchhaltungsdaten. Zu Stripe gelangen nur die Angaben zum Abonnement der Kundin selbst.
Grundlage	Für Irland hat der Bundesrat einen angemessenen Datenschutz festgestellt; es ist in Anhang 1 der Datenschutzverordnung (DSV, SR 235.11) aufgeführt. Die Bekanntgabe stützt sich damit auf Art. 16 Abs. 1 DSG und bedarf keiner zusätzlichen Garantien.

Vorgesehen, noch nicht eingesetzt

Die folgenden Leistungen sind in den AGB vorgesehen, aber noch nicht in Betrieb. Sobald ein Unternehmen dafür beigezogen wird, erscheint es hier namentlich — und die Kundinnen werden nach Ziffer 8.6 mindestens 30 Tage im Voraus darüber unterrichtet.

Betreiberin der Postfächer	Betrieb der Postfächer der Domain citrum.ch, unter einer eigenen Adresse. Zurzeit ist kein Postfach fuer citrum.ch in Betrieb – an citrum.ch gerichtete Nachrichten werden nicht entgegengenommen. Die MX-Einträge der Domain zeigen technisch noch auf mx01/mx02.tophost.ch – ein Überbleibsel aus der Zeit, als citrum.ch über die frühere Einrichtung des Domaininhabers lief. Zwischen der Anbieterin und diesem Unternehmen besteht kein Vertragsverhältnis; es erbringt für Citrum keine Leistung und erhält keine Daten aus dem Dienst. Die Einträge werden mit der Einrichtung des Postfachs bereinigt. Sobald ein Postfach eingerichtet wird, erscheint die betreibende Firma hier namentlich, mindestens 30 Tage im Voraus nach Ziffer 8.6.
Versanddienstleister	Versand der Systemnachrichten per E-Mail, etwa der Bestätigungen nach den Ziffern 3.3 und 14.2.

Betreiberin der Postfächer

Betrieb der Postfächer der Domain citrum.ch, unter einer eigenen Adresse. Zurzeit ist kein Postfach fuer citrum.ch in Betrieb – an citrum.ch gerichtete Nachrichten werden nicht entgegengenommen. Die MX-Einträge der Domain zeigen technisch noch auf mx01/mx02.tophost.ch – ein Überbleibsel aus der Zeit, als citrum.ch über die frühere Einrichtung des Domaininhabers lief. Zwischen der Anbieterin und diesem Unternehmen besteht kein Vertragsverhältnis; es erbringt für Citrum keine Leistung und erhält keine Daten aus dem Dienst. Die Einträge werden mit der Einrichtung des Postfachs bereinigt. Sobald ein Postfach eingerichtet wird, erscheint die betreibende Firma hier namentlich, mindestens 30 Tage im Voraus nach Ziffer 8.6.

Versanddienstleister

Versand der Systemnachrichten per E-Mail, etwa der Bestätigungen nach den Ziffern 3.3 und 14.2.

Keine weitere Weitergabe

Über die hier genannten Unternehmen hinaus werden die Daten der Kundinnen nicht an Dritte weitergegeben. Sie werden weder verkauft noch vermietet noch für Werbung ausgewertet. Vorbehalten bleiben allein Fälle, in denen die Anbieterin gesetzlich oder behördlich zur Herausgabe verpflichtet ist; in diesem Fall informiert sie die Kundin, soweit dies zulässig ist (AGB Ziffer 8.3).

Änderungen

Ein Wechsel oder das Hinzukommen eines Unterauftragsbearbeiters wird mindestens 30 Tage im Voraus mitgeteilt. Die Kundin kann innert dieser Frist widersprechen; der Widerspruch gilt als Kündigung auf den Zeitpunkt der Änderung. Widerspricht sie nicht, gilt die Genehmigung nach Art. 9 Abs. 3 DSG als erteilt (AGB Ziffer 8.6).

Änderungsgeschichte

Datum	Änderung
25.08.2026	Erste Fassung: Hetzner Online GmbH (Server), Cloudflare (Namensauflösung), Betreiberin der Postfächer
25.08.2026	Stripe Payments Europe, Limited aufgenommen — Abwicklung der Kartenzahlungen
26.08.2026	Cloudflare, Inc. namentlich eingetragen; Grundlage der Bekanntgabe in die USA geklärt (Swiss–U.S. Data Privacy Framework)
26.08.2026	Postfach-Betreiberin von «eingesetzt» zu «vorgesehen» verschoben: es ist kein Postfach in Betrieb

Diese Liste wird auf Verlangen zugestellt: [email protected]