Data Processing Agreement Auftragsverarbeitungsvertrag

Last updated: 24.03.2026 Zuletzt aktualisiert: 24.03.2026

1. Scope & Legal Framework

This Data Processing Agreement (“DPA”) supplements the Terms of Service and applies whenever FormPing processes personal data on behalf of the user (the “Controller”). It is entered into in accordance with Article 28 of the EU General Data Protection Regulation (GDPR/DSGVO) and the Swiss Federal Act on Data Protection (DSG/nDSG).

By using FormPing, the Controller accepts this DPA. It takes effect upon account registration and remains in force for the duration of the service relationship.

2. Roles

  • Controller (Data Controller / Verantwortlicher): You, the FormPing account holder. You determine the purposes and means of processing the personal data collected through your forms.
  • Processor (Data Processor / Auftragsverarbeiter): FormPing, operated by Jonathan Schmid, c/o Dalistovision Group GmbH, Arsenalstrasse 40, 6010 Kriens, Schweiz, [email protected]. FormPing processes data solely on your behalf and according to your instructions.

3. Subject & Purpose of Processing

FormPing processes personal data for the following purpose:

  • Receiving, encrypting, storing, and displaying contact form submissions submitted through the Controller’s websites or applications.
  • Delivering notifications about new submissions to the Controller (push, email, webhook).

4. Categories of Data Subjects

Individuals who submit data through the Controller’s contact forms (“form submitters”).

5. Types of Personal Data Processed

Data Type Description Storage
Form field data Name, email, message, custom fields — as defined by the Controller’s form configuration Encrypted at rest (AES-256-GCM)
Sender IP address IP of the form submitter Stored in plaintext for bot protection
Submission timestamp Date and time of form submission Stored in plaintext

6. Sub-Processors

The Controller grants general authorization for the use of the following sub-processors. FormPing will inform the Controller of any changes to sub-processors at least 30 days in advance.

Sub-Processor Purpose Location
Cloudflare, Inc. Application hosting (Workers, Pages), database (D1), key-value store (KV), CDN, DDoS protection USA (global edge network)
Google LLC / Firebase Push notification delivery via Firebase Cloud Messaging (FCM) for Android and iOS USA
Polar.sh Payment processing and subscription management USA
Resend, Inc. Transactional email delivery (verification, password reset, subscription notifications) USA
Browser Push Services Web push notification delivery via VAPID protocol (Mozilla, Google, Apple push services) Varies by browser vendor

7. Technical Measures

FormPing implements the following technical measures to protect personal data:

  • Encryption at rest: All form submission field data is encrypted with AES-256-GCM using a server-managed master encryption key. TOTP secrets for 2FA are likewise encrypted.
  • Password hashing: User passwords are hashed with PBKDF2-SHA256 using unique salts. Recovery codes are hashed with PBKDF2-SHA256.
  • Encryption in transit: All client-server communication uses HTTPS/TLS.
  • Rate limiting: IP-based rate limiting via Cloudflare KV with automatic expiration to prevent abuse.
  • Bot protection: Honeypot fields and submission time checks to prevent automated form abuse.
  • Disposable email blocking: Registration from known disposable email providers is rejected to prevent abuse.
  • Account locking: Accounts are temporarily locked after repeated failed login attempts.
  • Token hashing: Refresh tokens are stored as SHA-256 hashes.

8. Organizational Measures

  • Form submission data cannot be accessed in plaintext without the MASTER_ENCRYPTION_KEY environment variable, which is stored securely in Cloudflare Workers secrets.
  • Automated deletion of expired form tokens and their associated data via scheduled cron jobs.
  • Cascading deletion of all user data upon account deletion — no orphaned data remains.
  • Email verification is required before accounts become fully functional, preventing unauthorized use.

9. Data Deletion

Upon termination of the service relationship (account deletion), all personal data processed on behalf of the Controller is permanently deleted via cascading deletion. This includes:

  • All form submissions (encrypted messages)
  • All form token configurations
  • Webhook configurations
  • Push notification registrations

Additionally, expired form tokens and their associated submissions are automatically cleaned up by a scheduled process (cron job).

The Controller may initiate account deletion at any time through the dashboard. Deletion is immediate and irreversible.

10. Audit Rights

The Controller has the right to verify compliance with this DPA. Upon written request to [email protected], FormPing will provide relevant information about the technical and organizational measures in place. FormPing may charge reasonable costs for audits that go beyond providing written information.

11. International Data Transfers

Some sub-processors are located in the United States. International data transfers are conducted on the basis of:

  • EU Standard Contractual Clauses (SCCs) as maintained by the respective sub-processors.
  • The Swiss-U.S. Data Privacy Framework and adequacy decisions, where applicable.

FormPing ensures that all sub-processors maintain appropriate data protection commitments.

12. Duration

This DPA is effective from the date of account registration and remains in force for the duration of the service agreement. It terminates automatically upon deletion of the Controller’s account and completion of all data deletion obligations.

13. Governing Law & Jurisdiction

This DPA is governed by Swiss law and, where applicable, the GDPR. The exclusive place of jurisdiction is Luzern, Switzerland.

1. Geltungsbereich & Rechtsrahmen

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt die Allgemeinen Geschäftsbedingungen und gilt, wenn FormPing personenbezogene Daten im Auftrag des Nutzers (des „Verantwortlichen“) verarbeitet. Er wird gemäss Artikel 28 der EU-Datenschutz-Grundverordnung (DSGVO) und dem Schweizer Bundesgesetz über den Datenschutz (DSG/nDSG) geschlossen.

Mit der Nutzung von FormPing akzeptiert der Verantwortliche diesen AVV. Er tritt mit der Kontoregistrierung in Kraft und gilt für die Dauer des Dienstverhältnisses.

2. Rollen

  • Verantwortlicher (Data Controller): Sie, der FormPing-Kontoinhaber. Sie bestimmen die Zwecke und Mittel der Verarbeitung der über Ihre Formulare erhobenen personenbezogenen Daten.
  • Auftragsverarbeiter (Data Processor): FormPing, betrieben von Jonathan Schmid, c/o Dalistovision Group GmbH, Arsenalstrasse 40, 6010 Kriens, Schweiz, [email protected]. FormPing verarbeitet Daten ausschliesslich in Ihrem Auftrag und nach Ihren Weisungen.

3. Gegenstand & Zweck der Verarbeitung

FormPing verarbeitet personenbezogene Daten zu folgendem Zweck:

  • Empfang, Verschlüsselung, Speicherung und Anzeige von Kontaktformular-Eingaben, die über die Websites oder Anwendungen des Verantwortlichen eingereicht werden.
  • Zustellung von Benachrichtigungen über neue Eingaben an den Verantwortlichen (Push, E-Mail, Webhook).

4. Kategorien betroffener Personen

Personen, die Daten über die Kontaktformulare des Verantwortlichen einreichen („Formular-Absender“).

5. Art der verarbeiteten personenbezogenen Daten

Datentyp Beschreibung Speicherung
Formularfelddaten Name, E-Mail, Nachricht, benutzerdefinierte Felder — gemäss der Formularkonfiguration des Verantwortlichen Verschlüsselt gespeichert (AES-256-GCM)
IP-Adresse des Absenders IP des Formular-Absenders Im Klartext gespeichert für Bot-Schutz
Zeitstempel der Einreichung Datum und Uhrzeit der Formular-Einreichung Im Klartext gespeichert

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter. FormPing informiert den Verantwortlichen mindestens 30 Tage im Voraus über Änderungen bei Unterauftragsverarbeitern.

Unterauftragsverarbeiter Zweck Standort
Cloudflare, Inc. Anwendungs-Hosting (Workers, Pages), Datenbank (D1), Key-Value-Speicher (KV), CDN, DDoS-Schutz USA (globales Edge-Netzwerk)
Google LLC / Firebase Push-Benachrichtigungszustellung via Firebase Cloud Messaging (FCM) für Android und iOS USA
Polar.sh Zahlungsabwicklung und Abonnementverwaltung USA
Resend, Inc. Transaktionale E-Mail-Zustellung (Verifizierung, Passwort-Reset, Abonnement-Benachrichtigungen) USA
Browser-Push-Dienste Web-Push-Benachrichtigungszustellung via VAPID-Protokoll (Mozilla, Google, Apple Push-Dienste) Je nach Browser-Anbieter

7. Technische Massnahmen

FormPing setzt folgende technische Massnahmen zum Schutz personenbezogener Daten um:

  • Verschlüsselung im Ruhezustand: Alle Formularfeld-Daten werden mit AES-256-GCM unter Verwendung eines serververwalteten Master-Verschlüsselungsschlüssels verschlüsselt. TOTP-Geheimnisse für 2FA sind ebenso verschlüsselt.
  • Passwort-Hashing: Benutzerpasswörter werden mit PBKDF2-SHA256 unter Verwendung individueller Salts gehasht. Wiederherstellungscodes werden mit PBKDF2-SHA256 gehasht.
  • Verschlüsselung bei Übertragung: Jegliche Client-Server-Kommunikation nutzt HTTPS/TLS.
  • Rate-Limiting: IP-basiertes Rate-Limiting via Cloudflare KV mit automatischem Ablauf zur Missbrauchsprävention.
  • Bot-Schutz: Honeypot-Felder und Zeitprüfungen bei Einreichung zur Verhinderung automatisierten Formular-Missbrauchs.
  • Wegwerf-E-Mail-Sperre: Registrierungen von bekannten Wegwerf-E-Mail-Anbietern werden abgelehnt, um Missbrauch zu verhindern.
  • Kontosperrung: Konten werden nach wiederholten fehlgeschlagenen Login-Versuchen vorübergehend gesperrt.
  • Token-Hashing: Refresh-Tokens werden als SHA-256-Hashes gespeichert.

8. Organisatorische Massnahmen

  • Auf Formular-Eingaben kann ohne die Umgebungsvariable MASTER_ENCRYPTION_KEY nicht im Klartext zugegriffen werden. Dieser Schlüssel wird sicher in Cloudflare Workers Secrets gespeichert.
  • Automatische Löschung abgelaufener Formular-Tokens und deren zugehöriger Daten durch geplante Cron-Jobs.
  • Kaskadierendes Löschen aller Nutzerdaten bei Kontolöschung — keine verwaisten Daten verbleiben.
  • E-Mail-Verifizierung ist erforderlich, bevor Konten voll funktionsfähig werden, um unbefugte Nutzung zu verhindern.

9. Datenlöschung

Bei Beendigung des Dienstverhältnisses (Kontolöschung) werden alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten durch kaskadierendes Löschen dauerhaft gelöscht. Dies umfasst:

  • Alle Formular-Eingaben (verschlüsselte Nachrichten)
  • Alle Formular-Token-Konfigurationen
  • Webhook-Konfigurationen
  • Push-Benachrichtigungs-Registrierungen

Zusätzlich werden abgelaufene Formular-Tokens und deren zugehörige Eingaben automatisch durch einen geplanten Prozess (Cron-Job) bereinigt.

Der Verantwortliche kann die Kontolöschung jederzeit über das Dashboard veranlassen. Die Löschung erfolgt sofort und ist unwiderruflich.

10. Prüfrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen. Auf schriftliche Anfrage an [email protected] stellt FormPing relevante Informationen über die getroffenen technischen und organisatorischen Massnahmen zur Verfügung. FormPing kann angemessene Kosten für Prüfungen erheben, die über die Bereitstellung schriftlicher Informationen hinausgehen.

11. Internationale Datenübermittlung

Einige Unterauftragsverarbeiter befinden sich in den Vereinigten Staaten. Internationale Datenübermittlungen erfolgen auf Grundlage von:

  • EU-Standardvertragsklauseln (SCCs), wie sie von den jeweiligen Unterauftragsverarbeitern aufrechterhalten werden.
  • Dem Swiss-U.S. Data Privacy Framework und Angemessenheitsbeschlüssen, soweit anwendbar.

FormPing stellt sicher, dass alle Unterauftragsverarbeiter angemessene Datenschutzverpflichtungen aufrechterhalten.

12. Laufzeit

Dieser AVV gilt ab dem Datum der Kontoregistrierung und bleibt für die Dauer des Dienstverhältnisses in Kraft. Er endet automatisch mit der Löschung des Kontos des Verantwortlichen und dem Abschluss aller Datenlöschungsverpflichtungen.

13. Anwendbares Recht & Gerichtsstand

Dieser AVV unterliegt Schweizer Recht und, soweit anwendbar, der DSGVO. Ausschliesslicher Gerichtsstand ist Luzern, Schweiz.