Datenschutzerklärung

Browser.lol (der "Dienst") wird von Zesiger.net ("wir", "uns" oder "unser") betrieben. Der Schutz deiner personenbezogenen Daten und deiner Privatsphäre ist uns wichtig. Diese Datenschutzerklärung ("Erklärung") beschreibt, wie wir deine Daten erheben, nutzen, weitergeben und schützen, wenn du unsere Website https://browser.lol besuchst, unsere Dienste nutzt oder anderweitig mit uns interagierst. Ausserdem erfährst du, welche Datenschutzrechte du hast und wie du sie ausüben kannst.

Wir verarbeiten personenbezogene Daten im Einklang mit dem schweizerischen Bundesgesetz über den Datenschutz (DSG, revidierte Fassung seit 1. September 2023 in Kraft), der EU-Datenschutz-Grundverordnung (DSGVO), soweit sie auf uns anwendbar ist, der UK-DSGVO und anderen anwendbaren Datenschutzgesetzen. Wir richten den Dienst nach den Grundsätzen Privacy by Design und Privacy by Default aus: Bei gewöhnlichen Sessions auf Browser.lol prüfen wir Seiteninhalte nicht routinemässig. Wenn du ein gespeichertes Browserprofil nutzt, bewahren wir Browserdaten wie Cookies und Verlauf auf, damit du es später wieder verwenden kannst. Guard.ch bietet auf derselben Plattform eine optionale Live-Analyse an; deren Verarbeitung erläutert die Datenschutzerklärung von Guard.ch. Wir beschränken die gespeicherten Daten auf das, was für die hier beschriebenen Zwecke erforderlich ist.

Diese Erklärung beschreibt unsere derzeitige Praxis. Angaben zu Zielen oder Absichten sind keine Garantien, sofern ein verbindliches Dokument nichts anderes festlegt.

Nach dem schweizerischen DSG benötigt die Bearbeitung von Personendaten durch private Stellen nicht für jeden Vorgang eine spezifische Rechtsgrundlage; sie muss den Bearbeitungsgrundsätzen der Artikel 6 und 8 DSG entsprechen, und eine Beeinträchtigung der Interessen betroffener Personen muss gerechtfertigt sein (Art. 31 DSG). Soweit die DSGVO oder die UK-DSGVO anwendbar ist, stützen wir uns auf die folgenden Rechtsgrundlagen nach Artikel 6 Absatz 1:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Erstellung und Betrieb deines Kontos, Bereitstellung von Sessions und des integrierten Mail-Dienstes sowie Support.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Buchführung und steuerliche Aufzeichnungspflichten (Art. 957 ff. OR) sowie die Beantwortung rechtmässiger Behördenanfragen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Absicherung der Plattform, Verhinderung von Betrug und Missbrauch, Durchsetzung unserer Bedingungen, Verteidigung gegen Rechtsansprüche, Messung und Verbesserung des Dienstes sowie Finanzierung des kostenlosen Plans durch Werbung auf unserer Website. Wenn wir uns auf berechtigte Interessen stützen, wägen wir sie gegen deine Interessen und Grundrechte ab.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Nur dort, wo wir sie für einen bestimmten Zweck einholen. Wir stützen keine Verarbeitung, die für den Betrieb des Dienstes erforderlich ist, auf eine Einwilligung.

Für die Nutzung von Browser.lol verlangen wir keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Sensible Informationen, die du in einer Session eingibst oder in einem gespeicherten Profil behältst, werden wie in Abschnitt 3.3 beschrieben behandelt.

5.1. Automatisierte Missbrauchserkennung und Entscheidungsfindung

Wir setzen automatisierte Systeme zur Erkennung von Plattformmissbrauch ein, etwa die Anwendung von Zugriffsbeschränkungen, IP-Reputationsprüfungen und die automatisierte Analyse von Ressourcen- und Datenverkehrsmustern. Ein automatisiertes System kann den Zugriff vorübergehend blockieren (zum Beispiel eine Registrierung oder den Start einer Session verweigern), wenn das System besonders verdächtige Aktivitäten erkennt. Wenn dich eine solche Entscheidung erheblich beeinträchtigt, hast du das Recht, das Eingreifen einer Person zu erwirken, deinen Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 DSGVO; Art. 21 DSG): Kontaktiere [email protected], und wir überprüfen die Entscheidung manuell. Über diese Sicherheitsmassnahmen hinaus führen wir keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung durch, und wir verwenden kein Profiling für Werbeentscheidungen über dich.

5.2. Datenaufbewahrung und Löschung

Wir bewahren deine personenbezogenen Daten nur so lange auf, wie es zur Erfüllung der Zwecke, für die sie erhoben wurden, erforderlich ist, einschliesslich der Erfüllung gesetzlicher, buchhalterischer oder Berichtspflichten, oder so lange, wie es für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

5.3. Datensicherheit

Wir haben technische und organisatorische Sicherheitsmassnahmen (TOMs) getroffen, die dem Risiko angemessen sind, um deine personenbezogenen Daten vor versehentlicher oder unrechtmässiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen. Dazu gehören:

• Verschlüsselung bei der Übertragung: TLS (Mindestversion 1.2, bevorzugt TLS 1.3) für Verbindungen zu unserer Website und API; WebRTC-Medienströme sind zusätzlich mit DTLS-SRTP geschützt.
• Verschlüsselung im Ruhezustand: Verschlüsselung auf Blockebene auf unserem primären Speicher in Helsinki; Passwörter werden als bcrypt-Hash gespeichert.
• Isolation: Jede Session läuft in einem isolierten Container mit eigenem Dateisystem und eigenen Netzwerk-Namespaces. Der laufende Container wird nach Session-Ende entfernt; bei gespeicherten Browserprofilen bleiben ausgewählte Browserdaten getrennt davon erhalten.
• Zugriffskontrolle: Rollenbasierter Zugriff nach dem Prinzip der geringsten Berechtigung; administrativer Zugriff ist beschränkt und wird protokolliert.
• Betrieb: Protokollierung und Überwachung relevanter Systemereignisse, regelmässig geübte Backup- und Wiederherstellungsverfahren sowie ein dokumentierter Incident-Response-Prozess.

Zu unserem Zertifizierungsstatus: Wir sind nicht nach ISO/IEC 27001 zertifiziert, wir verfügen über keinen SOC-2-Bericht und beanspruchen keine Zertifizierung oder externe Prüfung, die wir nicht haben. Keine Übertragungs- oder Speichermethode ist zu 100 % sicher, und wir können keine absolute Sicherheit garantieren. Im Falle einer Datenschutzverletzung folgen wir dem in Abschnitt 10 beschriebenen Prozess.

5.4. Privacy by Design

• Datenminimierung: Wir erheben und verarbeiten nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten. Inhalte gewöhnlicher temporärer Sessions speichern wir nicht als Session-Aufzeichnung. Wenn du ein gespeichertes Browserprofil nutzt, bleiben dessen Browserdaten erhalten.
• Zweckbindung: Personenbezogene Daten werden nur für die festgelegten, eindeutigen und legitimen Zwecke verarbeitet, für die sie erhoben wurden.
• Speicherbegrenzung: Daten werden nur so lange aufbewahrt, wie in Abschnitt 5.2 aufgeführt.
• Kein Data-Mining: Wir verwenden Inhalte von Sessions oder Mails weder für Werbung noch zum Trainieren von Modellen. Optionale Mail-Zusammenfassungen und die Live-Analyse von Guard.ch sind in Abschnitt 3 beziehungsweise in der Datenschutzerklärung von Guard.ch beschrieben.

Wir geben personenbezogene Daten nur dann an externe Dienstleister (Auftragsverarbeiter) weiter, wenn dies für die Erbringung des Dienstes erforderlich ist. Diese Anbieter sind vertraglich verpflichtet, deine Daten zu schützen, und dürfen sie nur für die Zwecke verwenden, für die wir sie ihnen offenlegen. Wir verkaufen deine personenbezogenen Daten nicht. Die vollständige, aktuelle Übersicht unserer Anbieter (einschliesslich ihrer Rollen, Standorte und Übermittlungsgarantien) ist in unserer Liste der Unterauftragsverarbeiter veröffentlicht; die wichtigsten sind:

• Hetzner Online GmbH: Hosting der primären Datenbank und verschlüsselter Backups in Helsinki, Finnland, sowie der Anhänge des integrierten Mail-Dienstes in Nürnberg, Deutschland (beides im EWR).
• IDrive Inc.: Objektspeicher IDrive e2 für gespeicherte Browserprofile in Frankfurt, Deutschland (EWR).
• OVH SAS (OVHcloud): Rechenkapazität für Sessions und Arbeitskopien gespeicherter Browserprofile in Gravelines, Frankreich (EWR).
• OVHcloud und FiberState, LLC: Edge-Rechenkapazität für Sessions ausserhalb Europas; laufende Container werden nach Session-Ende entfernt, eine Arbeitskopie eines gespeicherten Browserprofils kann jedoch auf dem Server verbleiben, auf dem es zuletzt genutzt wurde.
• Cloudflare, Inc.: DNS, Auslieferung des Web-Frontends, Bot-Schutz (Turnstile) und Routing eingehender E-Mails für den integrierten Mail-Dienst.
• BunnyWay d.o.o. (bunny.net): Autoritatives DNS für unsere API-Hostnamen, das jede Abfrage an einen nahe gelegenen Browser-Server weiterleitet (EWR).
• Google: "Sign in with Google" (OAuth), das Google-Workspace-SMTP-Relay für den Versand von Transaktions-E-Mails von [email protected], Google-Web-Risk-Hostnamenprüfungen sowie Google Analytics 4 auf unserer Website.
• Microsoft Corporation: "Sign in with Microsoft" / Entra-ID-Single-Sign-on für Organisationen, die es aktivieren.
• OpenRouter, Inc.: KI-Gateway für optionale Mail-Zusammenfassungen (Weiterleitung an den konfigurierten Modellanbieter, derzeit Google Gemini). Über diesen Kanal werden Mail-Inhalte optional durch KI verarbeitet.
• OpenAI OpCo, LLC: automatisierte Anomalieerkennung über aggregierte serverseitige Betriebsprotokolle. Browser.lol sendet an diese Anomalieerkennung weder Browser- noch Mail-Inhalte. Guard.ch bietet auf derselben Plattform eine optionale Live-Analyse an; dessen Datenschutzerklärung beschreibt eine allfällige KI-Verarbeitung dieser Analyse.
• Axiom, Inc.: serverseitige Protokollaggregation; Protokollereignisse können IP-Adressen und Nutzer-/Session-Kennungen enthalten.
• Reoon: Verifizierung der E-Mail-Adresse bei der Registrierung.
• Mollie B.V.: Abwicklung der Zahlungen für Browser.lol-Abos in Amsterdam, Niederlande (EWR), wie in Abschnitt 3.1 beschrieben.
• Playwire LLC - Werbung auf der kostenlosen, werbefinanzierten Stufe des Dienstes; die bezahlten Pläne sind werbefrei (siehe Abschnitt 7.2).

Wir können deine personenbezogenen Daten ausserdem weitergeben, wenn dies durch Gesetz, Verordnung, ein rechtliches Verfahren (z. B. einen Gerichtsbeschluss) oder eine behördliche Anordnung verlangt wird, oder wenn wir nach Treu und Glauben davon ausgehen, dass die Offenlegung erforderlich ist, um unsere Rechte zu schützen, deine Sicherheit oder die Sicherheit anderer zu schützen oder Betrug zu untersuchen. Bei einer Fusion, Übernahme oder Veräusserung unseres gesamten Vermögens oder eines Teils davon können deine personenbezogenen Daten als Teil dieser Transaktion übertragen werden, vorbehaltlich dieser Erklärung und einer Benachrichtigung, soweit gesetzlich vorgeschrieben.

Nach dem schweizerischen DSG sowie, soweit anwendbar, nach der DSGVO (für Personen in der EU oder im EWR) und der UK-DSGVO stehen dir in Bezug auf deine personenbezogenen Daten folgende Rechte zu:

Unser Dienst richtet sich nicht an Personen unter 16 Jahren (oder einer höheren Altersgrenze, soweit das anwendbare lokale Recht eine solche vorsieht). Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn du erziehungsberechtigt bist und glaubst, dass dein Kind uns personenbezogene Daten übermittelt hat, kontaktiere uns bitte über die Angaben in Abschnitt 2. Wenn wir feststellen, dass wir personenbezogene Daten eines Kindes unter 16 Jahren ohne nachweisbare elterliche Einwilligung erhoben haben, ergreifen wir umgehend Massnahmen, um diese Informationen zu löschen.

Wir haben Verfahren eingerichtet, um Datenschutzverletzungen zu erkennen, zu untersuchen und darauf zu reagieren. Ist eine Datenschutzverletzung voraussichtlich mit einem Risiko für die Rechte und Freiheiten natürlicher Personen verbunden, melden wir sie der zuständigen Aufsichtsbehörde unverzüglich und, soweit möglich, spätestens 72 Stunden nach Bekanntwerden (Art. 33 DSGVO); erfolgt die Meldung später, fügen wir eine Begründung für die Verzögerung bei. Nach schweizerischem Recht melden wir dem EDÖB so rasch als möglich Verletzungen, die voraussichtlich zu einem hohen Risiko für die betroffenen Personen führen (Art. 24 DSG).

Unser Dienst kann Links zu anderen Websites enthalten, die nicht von uns betrieben werden, und du kannst in einer Session Websites besuchen. Wenn du eine Website Dritter besuchst, gilt für die Daten, die diese Website von dir erhebt, deren eigene Datenschutzerklärung. Wir haben keine Kontrolle über und übernehmen keine Verantwortung für die Inhalte, Datenschutzerklärungen oder Praktiken von Websites oder Diensten Dritter. Websites, die du in einer Session besuchst, sehen die IP-Adresse und Umgebung der Session statt die deines eigenen Geräts; alle Daten, die du ihnen aktiv übermittelst (etwa durch Anmeldung bei deinen Konten), unterliegen jedoch deren Bedingungen und Richtlinien.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken, der Technologie, der rechtlichen Anforderungen oder anderer Faktoren Rechnung zu tragen. Wir veröffentlichen alle Änderungen auf dieser Seite und aktualisieren das Datum "Zuletzt aktualisiert". Bitte sieh dir diese Datenschutzerklärung regelmässig an.

Änderungsbenachrichtigung: Bei bedeutenden Änderungen, die deine Rechte oder den Umgang mit deinen personenbezogenen Daten wesentlich betreffen, informieren wir deutlich sichtbar (z. B. mit mindestens 30 Tagen Vorlauf per E-Mail an registrierte Nutzer und/oder durch einen klaren Hinweis im Dienst), bevor die Änderungen wirksam werden. Bei weniger bedeutenden Änderungen genügt die Aktualisierung des Datums "Zuletzt aktualisiert" und die Veröffentlichung der überarbeiteten Erklärung. Erfordert eine Änderung nach anwendbarem Recht deine Einwilligung, holen wir sie ein.

Zuletzt aktualisiert: 1. Oktober 2026

Diese Datenschutzerklärung und alle Streitigkeiten, die sich aus ihr ergeben oder damit zusammenhängen, unterliegen schweizerischem Recht, unter Ausschluss seiner Kollisionsnormen, und werden nach diesem ausgelegt.

Für alle Streitigkeiten aus oder im Zusammenhang mit dieser Datenschutzerklärung, die nicht gütlich beigelegt werden können, sind die zuständigen Gerichte an unserem Sitz in Schmiedrued, Schweiz, zuständig. Zwingende Datenschutzrechte und Gerichtsstandsregeln des Landes, in dem du deinen gewöhnlichen Aufenthalt hast, bleiben hiervon unberührt, ebenso dein Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen, wie in Abschnitt 8 beschrieben.