Für den Betrieb von aurenote setzen wir die folgenden sorgfältig ausgewählten Dienstleister ein. Den Stand des Auftragsbearbeitungsvertrags nennt die letzte Spalte. Einige Anbieter bearbeiten Daten nicht in unserem Auftrag, sondern als eigene Verantwortliche, etwa bei der Anmeldung mit Microsoft, Apple oder Google; auch das steht in der letzten Spalte. Diese Liste wird aktualisiert, sobald sich etwas ändert - aktive Kunden werden vorab informiert.
Infrastruktur & Hosting
| Anbieter | Zweck | Sitz / Verarbeitungsort | Datentransfer-Grundlage | AVV-Status |
|---|
| Infomaniak Network SA | Hosting der Anwendung, der PostgreSQL-Datenbank und der Aufnahmen sowie die tägliche verschlüsselte Sicherung (Swiss Backup) | Schweiz (Hosting in Genf) | Keine Übermittlung ins Ausland (Verarbeitung in der Schweiz) | Aktiv |
KI-Verarbeitung
| Anbieter | Zweck | Sitz / Verarbeitungsort | Datentransfer-Grundlage | AVV-Status |
|---|
| Anthropic Ireland, Limited | KI-Verarbeitung von Transkripten und Notizen zu Zusammenfassungen, Action Items und Antworten in «Frag deine Notizen» | USA | Standardvertragsklauseln (SCC) mit Schweizer Zusatz; Nutzung über die API zu den kommerziellen Bedingungen von Anthropic, nach denen nicht auf Kundendaten trainiert wird | Aktiv |
Audio & Meeting-Bot
| Anbieter | Zweck | Sitz / Verarbeitungsort | Datentransfer-Grundlage | AVV-Status |
|---|
| Recall.ai (Hyperdoc Inc.) | Meeting-Bot, der Online-Meetings beitritt (Teams, Meet, Zoom, Webex), die Aufnahme ankündigt und das Meeting aufzeichnet. Tonspur und Transkript holen wir danach zu uns in die Schweiz und löschen die Aufnahme bei Recall, spätestens nach 7 Tagen. | USA (Region us-east-1) | Standardvertragsklauseln (SCC) | Aktiv |
| AssemblyAI, Inc. | Sprach-zu-Text-Transkription mit Sprechererkennung (Universal-2). Hochgeladene Dateien und Aufnahmen aus Browser und App laufen über den EU-Standort (Dublin); diese Daten werden nicht zum Training verwendet und nach einem Tag gelöscht. Meetings mit dem Bot gelangen über Recall.ai zu AssemblyAI. | EU (Dublin) / USA | Standardvertragsklauseln (SCC) | Aktiv |
Kommunikation
| Anbieter | Zweck | Sitz / Verarbeitungsort | Datentransfer-Grundlage | AVV-Status |
|---|
| Resend (Plus Five Five, Inc.) | Versand der E-Mails des Dienstes (Zugangsdaten, Bestätigungen, Passwort-Reset, Einladungen, der Hinweis auf eine fertige Zusammenfassung mit einem Auszug daraus und Zusammenfassungen, die du verschickst) | USA (Ost) / EU verfügbar | Standardvertragsklauseln (SCC) | Aktiv |
Push-Mitteilungen der App (optional)
| Anbieter | Zweck | Sitz / Verarbeitungsort | Datentransfer-Grundlage | AVV-Status |
|---|
| Google LLC (Firebase Cloud Messaging) | Zustellung der Push-Mitteilungen an die App (iOS und Android). Eine Mitteilung enthält einen kurzen Hinweis, Anzahlen, Uhrzeiten, den Text fälliger Aufgaben, Titel von Meetings, Notizen und Terminen und den Namen, wer etwas mit dir geteilt hat, aber nie Transkript oder Zusammenfassung. | USA | Standardvertragsklauseln (SCC) mit Schweizer Zusatz gemäss den Firebase-Datenverarbeitungsbedingungen; nur wenn du in der App Mitteilungen erlaubst | Aktiv |
| Apple Inc. (Apple Push Notification service) | Zustellung der Push-Mitteilungen auf iPhones: Firebase reicht die Mitteilung an Apple weiter | USA | Apple Developer Program License Agreement; nur bei iPhones mit erlaubten Mitteilungen | Kein AVV angeboten (es gilt der Entwicklervertrag) |
Anmeldung & Kalender (optional)
| Anbieter | Zweck | Sitz / Verarbeitungsort | Datentransfer-Grundlage | AVV-Status |
|---|
| Microsoft Ireland Operations Limited | Anmeldung mit einem Microsoft-Geschäftskonto (OAuth) sowie Microsoft-Graph-API für die optionale Outlook/Teams-Kalender-Verbindung (lesend, auf Wunsch auch Termine eintragen) | Irland / weltweit | Microsoft bearbeitet diese Daten als eigener Verantwortlicher nach seiner Datenschutzerklärung; nur wenn du dich mit Microsoft anmeldest oder deinen Kalender verbindest | Eigener Verantwortlicher (kein AVV nötig) |
| Google Ireland Limited | Anmeldung mit Google (auf Wunsch) sowie OAuth-Anmeldung und Google Calendar API (lesend, auf Wunsch auch Termine eintragen) für die optionale Kalender-Verbindung | Irland / USA | Google bearbeitet diese Daten als eigener Verantwortlicher (Google Controller-Controller Data Protection Terms, mit Standardvertragsklauseln und Schweizer Zusatz); nur wenn du dich mit Google anmeldest oder deinen Kalender verbindest | Eigener Verantwortlicher (kein AVV nötig) |
| Apple Distribution International Ltd. (Sign in with Apple) | Anmeldung mit deiner Apple-ID; beim Löschen deines Kontos widerrufen wir die Verbindung bei Apple | Irland | Apple bearbeitet diese Daten als eigener Verantwortlicher nach seiner Datenschutzerklärung; nur wenn du dich mit Apple anmeldest | Eigener Verantwortlicher (kein AVV nötig) |
Zahlungsabwicklung
| Anbieter | Zweck | Sitz / Verarbeitungsort | Datentransfer-Grundlage | AVV-Status |
|---|
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (Kreditkarte und weitere Zahlungsarten), Abo-Verwaltung und Rechnungen für Käufe über die Kasse auf aurenote.ch. Für Betrugsprävention und die Prüfung auf Geldwäscherei ist Stripe eigener Verantwortlicher. | Irland / Schweiz | EU/CH (PCI-DSS Level 1 zertifiziert); Stripe Data Transfers Addendum mit Standardvertragsklauseln und Schweizer Zusatz | Aktiv |
| Apple Distribution International Ltd. (App Store) | Abos und Stundenpakete, die du in der iPhone-App kaufst: Apple wickelt die Zahlung ab und meldet uns Kauf, Verlängerung, Kündigung und Rückerstattung | Irland | Apple bearbeitet diese Daten als eigener Verantwortlicher nach seiner Datenschutzerklärung; nur bei Käufen in der iPhone-App | Eigener Verantwortlicher (kein AVV nötig) |
Änderungen
Bei Wechseln, Hinzufügen oder Entfernen eines Sub-Prozessors informieren wir alle Kundinnen und Kunden mindestens 30 Tage im Voraus per E-Mail. Bei berechtigtem Einspruch hast du das Recht, den Vertrag ausserordentlich zu kündigen.
aurenote