---

Wichtiger Hinweis: Dieses Dokument ist eine Höflichkeitsübersetzung. Nur die englische Fassung, abrufbar unter whisperit.ai/legal/data-protection/ch, ist massgebend und hat im Falle von Abweichungen Vorrang.

---

Schweizer Kunden – Enterprise-Version

Bundesgesetz über den Datenschutz (DSG)

Whisperit SA

Version vom 15.01.2026

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV") ergänzt die Allgemeinen Geschäftsbedingungen von Whisperit SA und regelt die Bearbeitung von Personendaten, die von Whisperit SA („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") im Rahmen der Nutzung der Whisperit-Software durchgeführt wird.

Dieser AVV entspricht dem revidierten Bundesgesetz über den Datenschutz (DSG, gültig seit 1. September 2023) und der Datenschutzverordnung (DPV).

Dieser Enterprise-AVV bietet verbesserte Garantien, die den Anforderungen von grossen Organisationen und regulierten Sektoren entsprechen.

1. Definitionen

Personendaten: Alle Angaben, die sich auf eine bestimmte oder bestimmbar natürliche Person beziehen.

Besonders schützenswerte Personendaten: Daten über religiöse, philosophische, politische oder gewerkschaftliche Überzeugungen oder Tätigkeiten; Daten über Gesundheit, Intimsphäre oder rassische oder ethnische Herkunft; genetische und biometrische Daten; Daten über strafrechtliche oder verwaltungsrechtliche Verfahren oder Sanktionen; Daten über Sozialhilfemassnahmen.

Bearbeitung: Jeder Vorgang im Zusammenhang mit Personendaten, unabhängig von den eingesetzten Mitteln, insbesondere Erhebung, Aufzeichnung, Speicherung, Verwendung, Änderung, Offenbarung, Archivierung, Löschung oder Vernichtung.

Verantwortlicher: Der Kunde, der über Zweck und Mittel der Bearbeitung entscheidet.

Auftragsverarbeiter: Whisperit SA, die Daten im Auftrag des Verantwortlichen bearbeitet.

Verletzung der Datensicherheit: Jede Verletzung der Sicherheit, die zum Verlust, zur Tilgung, zur Vernichtung, zur Änderung oder zur unbefugten Offenbarung von Personendaten oder zum unbefugten Zugriff darauf führt.

EDÖB: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter.

2. Gegenstand und Umfang der Bearbeitung

2.1 - Kategorien der bearbeiteten Daten

2.2 - Kategorien der betroffenen Personen

• Nutzer der Software (Arbeitnehmer, Mitarbeiter des Kunden)
• In den durch die Software bearbeiteten Dokumenten genannte Personen
• Berufliche Kontakte des Kunden

2.3 - Zweck der Bearbeitung

Die Bearbeitung wird ausschliesslich für folgende Zwecke durchgeführt:

• Bereitstellung der Whisperit-SaaS-Dienste gemäss Vertrag
• Technische Wartung, Fehlerbehebung und Incident-Lösung
• Verbesserung der Leistung und Stabilität der Software
• Kundenunterstützung und technische Hilfe
• Abrechnung und administrative Verwaltung des Vertrags
• Einhaltung der für den Auftragsverarbeiter geltenden gesetzlichen Verpflichtungen

2.4 - Absolute Ausschlüsse

Die Daten werden niemals verwendet für:

• Das Training, Fine-Tuning oder die Verbesserung von Künstliche-Intelligenz-Modellen
• Den Weiterverkauf, die Vermietung oder die kommerzielle Weitergabe an Dritte
• Profiling, gezielte Werbung oder Direktmarketing
• Verhaltensanalyse zu kommerziellen Zwecken
• Jeden Zweck, der in diesem AVV nicht ausdrücklich vorgesehen ist

2.5 - Besonders schützenswerte Personendaten

Grundsatz: Die Software ist nicht dafür ausgelegt, besonders schützenswerte Personendaten im Sinne von Art. 5 Bst. c DSG zu bearbeiten.

Ausnahme: Falls der Verantwortliche die Software zur Bearbeitung von Dokumenten mit besonders schützenswerten Daten einsetzt (namentlich Gesundheitsdaten im Rahmen von Akten), muss er den Auftragsverarbeiter schriftlich vorab informieren. In diesem Fall:

a) wendet der Auftragsverarbeiter verbesserte Sicherheitsmassnahmen an;

b) der Zugriff auf die Daten ist auf streng erforderliches Personal beschränkt;

c) zusätzliche Verschlüsselung kann auf Anfrage eingeführt werden;

d) der Verantwortliche übernimmt die Verantwortung für die Rechtmässigkeit der Bearbeitung.

3. Pflichten des Auftragsverarbeiters

3.1 - Dokumentierte Weisungen

Der Auftragsverarbeiter bearbeitet Personendaten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen können erteilt werden:

• Schriftlich (E-Mail, Brief)
• Über die Verwaltungsschnittstelle der Software
• Auf jede Art, die Nachweis ermöglicht

Falls der Auftragsverarbeiter der Ansicht ist, dass eine Weisung gegen das DSG oder andere gesetzliche Bestimmungen verstösst, muss er den Verantwortlichen sofort informieren. Der Auftragsverarbeiter kann die Ausführung der Weisung aussetzen, bis er eine schriftliche Bestätigung des Verantwortlichen erhält. Der Auftragsverarbeiter kann sich weigern, eine offensichtlich rechtswidrige Weisung auszuführen.

3.2 - Vertraulichkeit des Personals

Der Auftragsverarbeiter garantiert:

a) Alle an der Bearbeitung von Daten beteiligten Personen, einschliesslich Hilfspersonen und Personen, die zur Bearbeitung von Personendaten berechtigt sind, unterliegen einer vertraglichen oder gesetzlichen Geheimhaltungsverpflichtung.

b) Das Personal erhält anfängliche und laufende Schulungen zu:

• Datenschutz (DSG, DPV)
• Dem Berufsgeheimnis von Anwälten (Art. 321 Strafgesetzbuch und Art. 13 BGFA)
• Internen Sicherheitsrichtlinien
• Incident-Management

c) Der Zugriff auf Daten ist auf Personal beschränkt, dessen Funktionen dies erfordern (Need-to-Know-Prinzip).

d) Ein Verzeichnis berechtigter Personen wird geführt und ist auf Anfrage verfügbar.

3.3 - Berufsgeheimnis von Anwälten

Artikel 321 des Strafgesetzbuches und Artikel 13 BGFA: Der Auftragsverarbeiter bestätigt ausdrücklich, dass er die Position einer Hilfsperson im Sinne von Art. 321 Abs. 1 des Strafgesetzbuches und Art. 13 des Bundesgesetzes über die Freizügigkeit der Anwältinnen und Anwälte (BGFA) innehat.

Der Auftragsverarbeiter verpflichtet sich zu:

a) Strikte Einhaltung: Keine unter das Berufsgeheimnis fallende Information einer Behörde offenbaren, ohne vorherige schriftliche Zustimmung des Kunden.

b) Spezifische Schulung: Sicherstellen, dass jeder Arbeitnehmer oder Unterauftragsverarbeiter mit möglichem Zugriff auf die Daten des Kunden eine Schulung zu den Verpflichtungen aus dem Berufsgeheimnis erhält, einschliesslich:

• Natur und Umfang des Berufsgeheimnisses
• Anwendbare strafrechtliche Sanktionen (Art. 321 Strafgesetzbuch)
• Verfahren bei Zugriffsersuchen

c) Verfahren bei Behördenersuchen:

• Den Kunden sofort informieren, sofern die Mitteilung nicht gesetzlich verboten ist
• Keine Offenbarung ohne schriftliche Weisung des Kunden vornehmen
• Jedes mit dem Berufsgeheimnis unvereinbare Ersuchen anfechten
• Verfügbare Rechtsbehelfe ausschöpfen, falls der Kunde dies verlangt, wobei der Kunde die volle Kostenlast trägt

d) Ersuchen ausländischer Behörden: Jedes Ersuchen einer ausländischen Behörde ablehnen und den Kunden sofort informieren, sofern diese Mitteilung nicht gesetzlich in der Schweiz verboten ist.

e) Fortbestand der Verpflichtung: Verpflichtungen zum Berufsgeheimnis bleiben nach Beendigung des Vertrags zeitlich unbegrenzt bestehen.

3.4 - Technische Sicherheitsmassnahmen

Der Auftragsverarbeiter setzt folgende technische Massnahmen um:

Verschlüsselung:

• Ruhende Daten: AES-256
• Daten in Transit: TLS 1.2 Minimum, TLS 1.3 standardmässig verhandelt
• Verschlüsselungsschlüssel: Sichere Verwaltung mit regelmässiger Rotation

Zugriffskontrolle:

• Multi-Faktor-Authentifizierung (MFA) obligatorisch
• Rollenbasierte Zugriffskontrolle (RBAC)
• Robuste Passwortrichtlinie (min. 12 Zeichen, Komplexität)
• Automatische Sperrung nach 5 fehlgeschlagenen Versuchen
• Sitzungen nach 30 Minuten Inaktivität abgelaufen

Infraschutz:

• Web Application Firewall (WAF)
• Intrusion Detection and Prevention System (IDS/IPS)
• DDoS-Schutz
• Netzwerksegmentierung
• Monatliche Schwachstellenscans
• Jährliche Penetrationstests

Protokollierung:

• Zugriffs- und Aktionsprotokolle gemäss dem in Abschnitt 3.4bis beschriebenen Protokollaufbewahrungsplan aufbewahrt
• Sicherheitsprotokolle gemäss dem in Abschnitt 3.4bis beschriebenen Protokollaufbewahrungsplan aufbewahrt
• Protokollintegrität garantiert (Zeitstempel, Signierung)
• Echtzeitüberwachung mit Benachrichtigungen

3.4bis - Protokollaufbewahrungsplan

Der Auftragsverarbeiter zentralisiert sicherheitsrelevante Ereignisse und speichert sie nach den oben angegebenen Fristen. Falls eine spezifische behördliche oder vertragliche Verpflichtung längere Aufbewahrung erfordert, können der Auftragsverarbeiter und der Verantwortliche schriftlich auf erweiterte Aufbewahrung einigen.

3.5 - Organisatorische Sicherheitsmassnahmen

Governance:

• Dokumentierte Informationssicherheitsrichtlinie
• Benannter Sicherheitsbeauftragter
• Sicherheitskomitee mit vierteljährlichen Überprüfungen

Zugriffsverwaltung:

• Formalisiertes Onboarding-/Offboarding-Verfahren
• Halbjährliche Überprüfung der Zugriffsrechte
• Prinzip der Minimalrechte

Incident-Management:

• Dokumentiertes Incident-Response-Verfahren
• Benanntes Incident-Response-Team
• Jährliche Verfahrenstests

Geschäftskontinuität:

• Dokumentierter Geschäftskontinuitätsplan (BCP)
• Getesteter Disaster-Recovery-Plan (DRP)
• RTO (Recovery Time Objective): 4 Stunden
• RPO (Recovery Point Objective): 1 Stunde

3.6 - Sicherungen und Wiederherstellung

• Tägliche vollständige Sicherungen
• Inkrementelle Sicherungen alle 4 Stunden
• Geografische Replikation in der Schweiz
• Monatliche dokumentierte Wiederherstellungstests
• Sicherungsaufbewahrung: 30 laufende Tage

3.7 - Unterauftragsverarbeitung

Allgemeine Genehmigung: Der Verantwortliche genehmigt, dass der Auftragsverarbeiter die auf Unterauftragsverarbeiter zum Zeitpunkt der Unterzeichnung des Vertrags aufgeführten Unterauftragsverarbeiter einsetzt.

Änderungsverfahren:

a) Der Auftragsverarbeiter muss den Verantwortlichen schriftlich mindestens 30 Tage vor dem Hinzufügen, dem Austausch oder dem Entfernen eines Unterauftragsverarbeiters benachrichtigen;

b) Die Mitteilung muss folgende Angaben enthalten:

• Identität und Ort des Unterauftragsverarbeiters
• Art der betroffenen Bearbeitung
• Datenschutzgarantien
• Begründung für die Inanspruchnahme

c) Der Verantwortliche hat 15 Geschäftstage Zeit, um einen begründeten Einspruch einzureichen;

d) Im Falle eines Einspruchs:

• Die Parteien konsultieren sich in gutem Glauben
• Falls keine Einigung erreicht wird, kann der Verantwortliche den betroffenen Teil des Vertrags ohne Entgelt kündigen

Verpflichtungen für Unterauftragsverarbeiter:

• Verpflichtungen äquivalent zu denen dieses AVV
• Audit-Recht des Verantwortlichen
• Haftung des Auftragsverarbeiters für die Handlungen seiner Unterauftragsverarbeiter

3.8 - Datenspeicherort

Hosting in der Schweiz: Die Client-Inhaltsdaten des Verantwortlichen (Dokumente, Gespräche, Transkripte, Nutzerdaten) werden ausschliesslich auf Servern gehostet, die sich physisch in der Schweiz befinden.

Diese Garantie deckt ab:

• Produktionsdaten
• Sicherungen
• Anwendungsebenen-Logs und Metadaten

Ausnahme bei operativen Diensten: Bestimmte operative Dienste, die privilegierte Client-Dokumentinhalte nicht bearbeiten, können ausserhalb der Schweiz gehostet werden:

• Fehlerüberwachung (Sentry, EU - Deutschland): bearbeitet nur Anwendungsfehlerlogs, keine Client-Dokumentinhalte
• LLM-Observabilität und Tracing (LangSmith, EU - Deutschland): bearbeitet LLM-Anfragen und -Antworten zum Debuggen und zur Qualitätssicherung. Konfigurierbar pro Mandant; kann auf schriftliche Anfrage deaktiviert werden (siehe Abschnitt 3.8bis)
• Transaktions-E-Mails (Loops, USA): bearbeitet E-Mail-Adressen und Benachrichtigungsinhalte nur
• Produktanalyse (Mixpanel, USA): bearbeitet anonymisierte Nutzungsstatistiken, keine Client-Inhalte

Auf schriftliche Anfrage an privacy@whisperit.ai kann der Kunde die Deaktivierung eines operativen Dienstes anfordern, der eine nicht-Schweizer Verarbeitung beinhaltet, mit dem Verständnis, dass gewisse technische Unterstützung und Diagnosefähigkeiten reduziert werden können.

Ausnahme für KI-Dienste: Die Bearbeitung durch KI-APIs kann einen vorübergehenden Transit ausserhalb der Schweiz beinhalten. In diesem Fall:

• Keine Daten werden vom KI-Anbieter über die Sitzung hinaus gespeichert
• Vertragliche Garantien verbieten jegliche Verwendung zum Training
• Der Kunde kann die Deaktivierung von KI-Funktionen anfordern, die einen Transit ausserhalb der Schweiz beinhalten

3.8bis - Deep Research Feature (Verarbeitung in den Vereinigten Staaten)

Die Software enthält eine Deep Research-Funktion, die die OpenAI-API (Vereinigte Staaten) für erweiterte internetgestützte Recherche nutzt. Nur die Recherche-Anfrage des Benutzers wird an OpenAI übermittelt; keine Client-Dokumente oder deren Inhalte werden gesendet. Die Datenschutzrichtlinie von OpenAI besagt, dass API-Daten nicht zum Trainieren von Modellen verwendet werden.

Diese Funktion ist auf allen Datenresidenz-Tiers optional verfügbar. Für Clients, die dem Berufsgeheimnis unterliegen, erfordert die Nutzung dieser Funktion eine ausdrückliche schriftliche Bestätigung, dass Recherche-Anfragen durch US-Infrastruktur geleitet werden. Der Kunde kann diese Funktion nach seinem Ermessen nutzen oder nicht nutzen.

4. Rechte der betroffenen Personen

4.1 - Erweiterte Unterstützung

Der Auftragsverarbeiter hilft dem Verantwortlichen, auf Anträge von betroffenen Personen zu antworten, die ihre Rechte ausüben:

4.2 - Verfahren

a) Der Verantwortliche übermittelt das Ersuchen schriftlich an den Auftragsverarbeiter;

b) Der Auftragsverarbeiter bestätigt den Erhalt innerhalb von 24 Stunden;

c) Der Auftragsverarbeiter führt das Ersuchen innerhalb der angegebenen Fristen aus;

d) Der Auftragsverarbeiter bestätigt die Ausführung schriftlich, ggf. mit Löschzertifikat.

4.3 - Direkte Anträge

Falls eine betroffene Person einen Antrag direkt an den Auftragsverarbeiter richtet:

a) informiert der Auftragsverarbeiter den Verantwortlichen innerhalb von 48 Stunden;

b) antwortet der Auftragsverarbeiter nicht direkt, sofern nicht vom Verantwortlichen instruiert;

c) leitet der Auftragsverarbeiter die Person ggf. an den Verantwortlichen weiter.

5. Benachrichtigung bei Verletzungen der Datensicherheit

5.1 - Benachrichtigungsfrist

Im Falle einer Verletzung der Datensicherheit benachrichtigt der Auftragsverarbeiter den Verantwortlichen:

• Kritische Verletzungen (Datenabfluss, Ransomware): Innerhalb von 24 Stunden
• Andere Verletzungen: Innerhalb von 48 Stunden

Die Frist läuft ab dem Zeitpunkt, in dem der Auftragsverarbeiter von der Verletzung erfährt.

5.2 - Inhalt der Erstbenachrichtigung

Die Erstbenachrichtigung muss mindestens folgende Angaben enthalten:

a) Datum und Uhrzeit der Entdeckung der Verletzung;

b) Art der Verletzung (Vertraulichkeit, Integrität, Verfügbarkeit);

c) Kategorien betroffener Daten;

d) Geschätzte Anzahl betroffener Personen;

e) Geschätzte Anzahl betroffener Datensätze;

f) Beschreibung wahrscheinlicher Folgen;

g) Sofort getroffene Massnahmen;

h) Kontaktstellendetails.

5.3 - Ergänzende Benachrichtigung

Innerhalb von 72 Stunden nach der Erstbenachrichtigung stellt der Auftragsverarbeiter bereit:

a) Detaillierte Analyse der Verletzungsursache;

b) Genauer zeitlicher Ablauf;

c) Liste betroffener Systeme und Daten;

d) Auswirkungsbewertung;

e) Durchgeführte Korrekturmassnahmen;

f) Empfehlungen für den Verantwortlichen.

5.4 - Zusammenarbeit

Der Auftragsverarbeiter:

a) arbeitet vollständig mit dem Verantwortlichen für jegliche Benachrichtigung an den EDÖB zusammen;

b) stellt die für die Benachrichtigung betroffener Personen erforderlichen Informationen bereit;

c) nimmt an Krisensitzungen teil, falls angefordert;

d) setzt die vereinbarten Korrekturmassnahmen um.

5.5 - Dokumentation

Der Auftragsverarbeiter führt ein Verzeichnis der Verletzungen, das folgende Angaben enthält:

• Beschreibung der Verletzung
• Betroffene Daten und Personen
• Getroffene Massnahmen
• Benachrichtigungsentscheidungen

Dieses Verzeichnis ist dem Verantwortlichen auf Anfrage verfügbar.

6. Audit und Kontrolle

6.1 - Audit-Recht

Der Verantwortliche hat ein jährliches Audit-Recht, um die Einhaltung der Verpflichtungen dieses AVV durch den Auftragsverarbeiter zu überprüfen.

6.2 - Audit-Verfahren

Audit-Anfrage:

• Schriftliche Anfrage 30 Kalendertage im Voraus
• Audit-Umfang wird gemeinsam definiert
• Unabhängiger Auditor unter Geheimhaltungsverpflichtung

Durchführung:

• Während Geschäftszeiten (9:00–17:00, Geschäftstage)
• Maximale Dauer: 3 Tage
• Zugang zu relevanten Räumen, Systemen und Dokumentation
• Möglichkeit von Gesprächen mit designiertem Personal

Einschränkungen:

• Keine wesentliche Störung des Betriebs
• Schutz der Geschäftsgeheimnisse des Auftragsverarbeiters
• Kein Zugriff auf Daten anderer Kunden
• Kein Zugriff auf proprietären Quellcode

6.3 - Audit-Bericht

• Der Auditor reicht seinen Bericht beiden Parteien ein
• Der Auftragsverarbeiter hat 30 Tage zur Gegenäusserung
• Ein Abhilfemassnahmenplan wird für Nichtkonformitäten erstellt
• Ein Folgeaudit kann für kritische Nichtkonformitäten angefordert werden

6.4 - Kosten

• Auditor-Gebühren: vom Verantwortlichen getragen
• Auftragsverarbeiter-Personalzeit: inbegriffen (max. 16 Stunden/Jahr)
• Darüber hinaus: berechnet zum vereinbarten Stundenhonorar

6.5 - Zertifizierungen und Berichte

Zusätzlich zum oder als Alternative zum Vor-Ort-Audit stellt der Auftragsverarbeiter zur Verfügung:

• SOC 2 Type II Berichte (angestrebt: 2027)
• ISO 27001 Zertifikat (angestrebt: 2027)
• Penetrationstestberichte (redigierte Version)
• Jährliche Compliance-Erklärung, unterzeichnet durch die Geschäftsleitung

7. Unterstützung bei gesetzlichen Verpflichtungen

7.1 - Datenschutz-Folgenabschätzung (DSFA)

Der Auftragsverarbeiter hilft dem Verantwortlichen bei der Durchführung von Datenschutz-Folgenabschätzungen:

a) Bereitstellung erforderlicher technischer Informationen;

b) Beschreibung der Sicherheitsmassnahmen;

c) Bewertung der mit der Bearbeitung verbundenen Risiken;

d) Empfehlungen für Schutzmassnahmen.

Unterstützung wird innerhalb von 15 Geschäftstagen nach der Anfrage bereitgestellt.

7.2 - Verzeichnis der Bearbeitungstätigkeiten

Der Auftragsverarbeiter führt gemäss Art. 12 DSG ein Verzeichnis der Bearbeitungstätigkeiten, das folgende Angaben enthält:

• Identität des Auftragsverarbeiters und des Verantwortlichen
• Kategorien der durchgeführten Bearbeitung
• Übermittlungen in Drittländer
• Sicherheitsmassnahmen

Ein Auszug aus dem Verzeichnis ist auf Anfrage verfügbar.

7.3 - Zusammenarbeit mit Behörden

Im Falle eines Ersuchens des EDÖB:

a) benachrichtigt der Auftragsverarbeiter sofort den Verantwortlichen (sofern nicht gesetzlich verboten);

b) konsultieren die Parteien die zu erteildende Antwort;

c) offenbart der Auftragsverarbeiter nur das Notwendigste;

d) wird der Verantwortliche über die Entwicklung informiert.

8. Dauer und Ende der Bearbeitung

8.1 - Dauer

Dieser AVV tritt am Datum der Unterzeichnung des Hauptvertrags in Kraft und bleibt für seine gesamte Dauer in Kraft.

8.2 - Datenzurückgabe

Am Ende des Vertrags hat der Verantwortliche 90 Tage Zeit, um die Zurückgabe seiner Daten zu beantragen.

Verfügbare Zurückgabeformate:

• JSON (JavaScript Object Notation)
• CSV (Tabellendaten)
• PDF (Dokumente)
• Ursprüngliches Nativeformat (falls verfügbar)

Bereitgestellte Dokumentation:

• Schema der exportierten Daten
• Feldverzeichnis
• Importanleitung

8.3 - Sichere Löschung

Am Ende der Zurückgabefrist oder auf frühes Ersuchen des Verantwortlichen:

a) führt der Auftragsverarbeiter die sichere Löschung aller Daten durch;

b) die Löschung umfasst:

• Produktionsdaten
• Sicherungen (innerhalb der folgenden 30 Tage)
• Protokolle, die Personendaten enthalten
• Daten, die von Unterauftragsverarbeitern gehalten werden

c) Vernichtungszertifikat: Der Auftragsverarbeiter stellt ein Zertifikat aus, das bestätigt:

• Löschdatum
• Umfang der gelöschten Daten
• Verwendete Löschmethode
• Bestätigung der Benachrichtigung von Unterauftragsverarbeitern

8.4 - Fortbestand von Verpflichtungen

Die folgenden Verpflichtungen bleiben nach Beendigung des Vertrags bestehen:

• Vertraulichkeit und Berufsgeheimnis: ohne zeitliche Beschränkung
• Aufbewahrung von Sicherheitsprotokollen: 1 Jahr nach der Löschung
• Verfügbarkeit für Nachvertrag-Audit: 1 Jahr

9. Internationale Übermittlungen

9.1 - Grundsatz

Client-Inhaltsdaten werden ausschliesslich in der Schweiz gehostet. Keine Übermittlung in ein Land, das kein angemessenes Schutzniveau bietet, erfolgt ohne angemessene Garantien.

9.2 - Länder mit angemessenem Schutz

Die Schweiz anerkennt die vom Bundesrat aufgelisteten Länder (Anlage 1 DPV) als angemessen, namentlich die Mitgliedstaaten des EWR.

9.3 - Garantien für KI-Anbieter

Für KI-Dienste, die Datenübermittlung beinhalten:

a) Ephemere Bearbeitung: Keine Aufbewahrung über die Bearbeitungssitzung hinaus;

b) Vertragliche Garantien:

• Standardvertragsklauseln, falls zutreffend
• Verbot der Verwendung zum Training
• Gleichwertiges Sicherheitsengagement

c) Risikobewertung: Der Auftragsverarbeiter führt für jeden KI-Anbieter eine dokumentierte Risikobewertung durch

9.4 - Deaktivierungsoption

Der Verantwortliche kann die Deaktivierung von Funktionalitäten anfordern, die Datenübermittlung ausserhalb der Schweiz beinhalten. In diesem Fall können bestimmte KI-Funktionalitäten eingeschränkt sein.

10. Spezifische Garantien für Künstliche Intelligenz

10.1 - Kein Training

Der Auftragsverarbeiter garantiert, dass die Daten des Verantwortlichen niemals verwendet werden für:

• Das Training von KI-Modellen
• Das Fine-Tuning bestehender Modelle
• Die Verbesserung von Algorithmen
• Die Bildung von Trainingsdatensätzen

Diese Garantie gilt für den Auftragsverarbeiter und alle seine KI-Anbieter.

10.2 - Transparenz

Der Auftragsverarbeiter aktualisiert laufend:

a) Die Liste der in der Software verwendeten KI-Modelle;

b) Den Bearbeitungsort für jedes Modell;

c) Die Garantien, die von jedem Anbieter erhalten wurden.

Diese Informationen sind auf Unterauftragsverarbeiter verfügbar.

10.3 - Enterprise-API-Verträge

Alle KI-Anbieter sind an Vereinbarungen auf Enterprise-Ebene gebunden, einschliesslich:

• Ausdrücklicher Ausschluss des Trainings auf Client-Daten
• Zusage zur Nicht-Aufbewahrung
• Audit-Recht
• Benachrichtigung bei Richtlinienänderungen

10.4 - Änderung der Anbieterrichtlinie

Im Falle einer Änderung der Nutzungsbedingungen eines KI-Anbieters, die mit den Garantien dieses AVV unvereinbar ist:

a) stellt der Auftragsverarbeiter sofort die Nutzung dieses Anbieters ein;

b) wird der Verantwortliche innerhalb von 48 Stunden informiert;

c) wird ein alternativer Anbieter innerhalb von 30 Tagen eingeführt;

d) kann der Verantwortliche im Falle von Nichterfüllung den Vertrag ohne Entgelt kündigen, mit dem Verständnis, dass alle am Kündigungsdatum vom Verantwortlichen dem Auftragsverarbeiter geschuldeten Beträge weiterhin fällig sind.

11. Haftung

11.1 - Haftung des Auftragsverarbeiters

Der Auftragsverarbeiter haftet für Schäden, die durch eine Bearbeitung verursacht werden, die nicht diesem AVV oder den Weisungen des Verantwortlichen entspricht (im Rahmen des Abschnitts 3.1).

11.2 - Einschränkung

Die Haftung des Auftragsverarbeiters aus diesem AVV unterliegt den in den Allgemeinen Geschäftsbedingungen vorgesehenen Einschränkungen, ausser bei:

• Vorsätzlicher oder grober Fahrlässigkeit
• Verletzung des Berufsgeheimnisses (Art. 321 Strafgesetzbuch)
• Verletzung wesentlicher Sicherheitsverpflichtungen

11.3 - Schadloshaltung

Der Auftragsverarbeiter hält den Verantwortlichen schadlos gegen jegliche Geldbusse oder administrative Sanktion, die unmittelbar aus einer Verletzung dieses AVV durch den Auftragsverarbeiter resultiert, innerhalb der vertraglichen Haftungsgrenzen.

12. Schlussbestimmungen

12.1 - Rangfolge der Dokumente

Im Falle eines Konflikts:

1. Dieser AVV geht den Allgemeinen Geschäftsbedingungen in Datenschutzangelegenheiten vor
2. Die Anlagen ergänzen den Körper des AVV
3. Die spezifischen Weisungen des Verantwortlichen ergänzen den AVV

12.2 - Änderungen

Jegliche Änderung dieses AVV erfordert Schriftform und Unterzeichnung durch beide Parteien.

12.3 - Anwendbares Recht

Dieser AVV unterliegt Schweizer Recht.

12.4 - Gerichtsstand

Jede Streitigkeit im Zusammenhang mit diesem AVV wird den Gerichten von Prilly, Schweiz unterworfen.

12.5 - Salvatorische Klausel

Falls eine Bestimmung dieses AVV ungültig ist, bleiben die übrigen Bestimmungen gültig. Die Parteien einigen sich darauf, die ungültige Bestimmung durch eine gültige Bestimmung zu ersetzen, die der ursprünglichen Absicht am nächsten kommt.

Anlage A: Detaillierte technische und organisatorische Massnahmen

A.1 - Physische Sicherheit von Rechenzentren

A.2 - Logische Sicherheit

A.3 - Organisatorische Sicherheit

A.4 - Schwachstellenverwaltung

A.5 - Kontinuität und Wiederherstellung

Anlage B: Unterauftragsverarbeiter-Liste

Siehe: Unterauftragsverarbeiter

Die Liste umfasst für jeden Unterauftragsverarbeiter:

• Unternehmensname und Adresse
• Bearbeitungsort
• Art der Dienste
• Datenschutzgarantien
• Datum des Hinzufügens zur Liste

Anlage C: Kontaktstellen

Datenschutz:

• E-Mail: dpo@whisperit.ai
• Adresse: Whisperit SA, Prilly, Schweiz

Sicherheitsvorfälle:

• E-Mail: security@whisperit.ai
• Telefon: +41 21 539 46 60 (24/7-Notfalleinsatzleitung)

Unterstützung:

• E-Mail: support@whisperit.ai
• Portal: Support

---

Whisperit SA — Prilly, Schweiz