Datenschutzerklärung

---

Wichtiger Hinweis: Dieses Dokument ist eine Höflichkeitsübersetzung. Nur die englische Fassung, abrufbar unter whisperit.ai/legal/privacy, ist massgebend und hat im Falle von Abweichungen Vorrang.

---

Whisperit SA

Prilly, Schweiz

Zuletzt aktualisiert: Februar 2026

---

1. Einleitung

Diese Datenschutzerklärung erläutert, wie Whisperit SA („Whisperit", „wir", „uns" oder „unser") Personendaten erfasst, nutzt, speichert und schützt, wenn Sie unsere Website (whisperit.ai) besuchen oder unsere Softwareplattform (app.whisperit.ai, app.whisperit.ch) nutzen, zusammengefasst als „Dienste" bezeichnet.

Whisperit ist eine Multi-Agent-KI-Plattform, die für die professionelle Dokumentenverarbeitung, -analyse und Workflow-Automatisierung konzipiert ist und primär Rechtsanwälte und regulierte Branchen bedient.

Wir verarbeiten Personendaten in Übereinstimmung mit dem Bundesgesetz über den Datenschutz (DSG, in Kraft seit 1. September 2023), der EU-Datenschutz-Grundverordnung (DSGVO, Verordnung 2016/679) und geltender nationaler Datenschutzgesetzgebung.

---

2. Verantwortlicher

Der für die in dieser Datenschutzerklärung beschriebene Verarbeitung verantwortliche Verantwortliche ist:

Whisperit SA
Unlimitrust Campus
Route des Flumeaux 46
1008 Prilly, Schweiz

---

3. Erfasste Daten

3.1 Website (whisperit.ai)

Wenn Sie unsere Website besuchen, können wir folgende Daten erfassen:

• Technische Daten: IP-Adresse, Browsertyp, Betriebssystem, Gerätetyp, Bildschirmauflösung, verweisende URL, besuchte Seiten und Zeitstempel. Diese Daten werden über Server-Protokolle und Analyse-Tools erfasst.
• Kontaktformulardaten: Name, E-Mail-Adresse, Unternehmensname und der Inhalt Ihrer Nachricht, wenn Sie uns über Formulare auf der Website kontaktieren.
• Newsletter-Daten: E-Mail-Adresse, wenn Sie sich für unseren Newsletter oder Marketing-Kommunikation anmelden.
• Cookie-Daten: Siehe Abschnitt 10 (Cookies und Tracking) unten.

3.2 SaaS-Plattform (app.whisperit.ai)

Wenn Sie die Whisperit-Plattform nutzen, verarbeiten wir die folgenden Kategorien von Daten:

3.3 Daten, die wir nicht erfassen

Wir erfassen nicht vorsätzlich sensitive Personendaten (Daten, die rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gesundheitsdaten, genetische oder biometrische Daten oder Daten über Sexualleben oder sexuelle Orientierung offenbaren). Wenn Sie Dokumente mit solchen Daten auf die Plattform hochladen, sind Sie verantwortlich dafür, dass eine gültige Rechtsgrundlage für diese Verarbeitung vorliegt.

---

4. Zwecke und Rechtsgrundlagen

4.1 Website

4.2 SaaS-Plattform

4.3 Was wir mit Ihren Daten niemals tun

Ihre Daten werden niemals verwendet für:

• Training, Feinabstimmung oder Verbesserung von Künstliche-Intelligenz-Modellen — weder durch Whisperit noch durch einen unserer Unterauftragsverarbeiter
• Weiterverkauf, Vermietung oder kommerzielle Weitergabe an Dritte
• Profiling, zielgerichtete Werbung oder Direktmarketing (über opt-in-Newsletter hinaus)
• Automatisierte Entscheidungsfindung mit Rechtsfolgen
• Jeden anderen Zweck, der nicht in dieser Datenschutzerklärung oder in den geltenden Vertragsdokumenten beschrieben ist

---

5. KI-Verarbeitung und Datenbehandlung

5.1 Wie KI-Verarbeitung funktioniert

Whisperit nutzt grosse Sprachmodelle (LLMs) zur Unterstützung bei Dokumentenverarbeitung, -analyse, -entwurf, Transkription und Recherche. Wenn Sie mit dem KI-Assistenten interagieren, werden relevante Daten (Ihre Nachrichten, Dokumentenkontext und Gesprächsverlauf) an einen KI-Anbieter zur Verarbeitung gesendet.

5.2 Kein Modell-Training

Alle KI-Anbieter sind durch Verträge auf Unternehmensebene gebunden, die die Nutzung Ihrer Daten für Modell-Training, Feinabstimmung oder Algorithmus-Verbesserung vertraglich untersagen. KI-Anfragen und -Antworten werden von KI-Anbietern nicht über die Dauer des API-Aufrufs hinaus gespeichert.

5.3 Datenspeicherungs-Tiers

Whisperit bietet drei konfigurierbare Datenspeicherungs-Tiers — Nur Schweiz, EU und Global — die bestimmen, wo Ihre Daten von KI-Anbietern verarbeitet werden. Ihr Tier ist in Ihrem Vertrag angegeben. Unabhängig von Ihrem Tier werden alle persistenten Daten (Dokumente, Gespräche, Transkripte) ausschliesslich in der Schweiz gespeichert.

Vollständige Details zu den beteiligten Anbietern pro Tier finden Sie in unserer Unterauftragsverarbeiter-Liste.

5.4 Deep Research-Funktion

Die Plattform umfasst eine Deep Research-Funktion, die die OpenAI API (Vereinigte Staaten) für fortgeschrittene internetgestützte Recherche nutzt. Nur Ihre Rechercheanfrage wird an OpenAI übermittelt; keine Kundendokumente oder deren Inhalte werden gesendet. Die Datenutzungsrichtlinie von OpenAI besagt, dass API-Daten nicht für Modell-Training verwendet werden.

Deep Research ist auf freiwilliger Basis über alle Tiers verfügbar. Die Nutzung liegt in Ihrem Ermessen. Für Benutzer, die dem Berufsgeheimnis unterliegen, erfordert die Nutzung dieser Funktion eine Bestätigung, dass Rechercheanfragen durch US-Infrastruktur transit.

---

6. Datenspeicherung und Sicherheit

6.1 Datenspeicherort

Alle persistenten Kundendaten — einschliesslich Dokumente, Gespräche, Transkripte und Benutzerdatensätze — werden ausschliesslich in der Schweiz gespeichert, unabhängig vom ausgewählten Datenspeicherungs-Tier.

Unsere primären Infrastruktur-Anbieter sind:

• Infomaniak Network SA (Genf, Schweiz): PostgreSQL-Datenbank und Frontend-Hosting
• Microsoft Azure (Schweiz Nord, Zürich): Berechnung, Speicher, Dokumentenverarbeitung und KI-Dienste

6.2 Sicherheitsmassnahmen

Wir implementieren geeignete technische und organisatorische Massnahmen zum Schutz Ihrer Daten, einschliesslich:

• Verschlüsselung bei Transit: TLS 1.2 Minimum, TLS 1.3 standardmässig ausgehandelt. TLS 1.0 und 1.1 sind deaktiviert.
• Verschlüsselung im Ruhezustand: AES-256 für alle persistente Speicherung.
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle (RBAC), obligatorische Multi-Faktor-Authentifizierung (MFA) für Personal und das Prinzip der geringsten Berechtigung.
• Mandant-Isolation: PostgreSQL Row-Level Security (RLS) Richtlinien erzwingen strikte Datentrennung zwischen Client-Mandanten auf Datenbankmaschinen-Ebene.
• Netzwerksicherheit: Web Application Firewall (WAF), Netzwerk-Segmentierung, private Endpunkte und DDoS-Schutz.
• Überwachung: Fehlerüberwachung (Sentry, EU), Infrastruktur-Protokollierung (Azure Monitor) und Authentifizierungs-Ereignis-Protokollierung (Zitadel, selbstgehostet, Schweiz).
• Backups: Täglich vollständige Backups mit inkrementellen Backups alle 4 Stunden, geografisch innerhalb der Schweiz repliziert. Monatliche Wiederherstellungstests.
• Schwachstellen-Management: Monatliche Schwachstelle-Scans, jährliche Penetrationstests durch unabhängige Dritte, kontinuierliche Code-Überprüfung (SAST/DAST).

6.3 Incident Response

Wir verfügen über ein dokumentiertes Incident-Response-Verfahren. Im Falle einer Verletzung der Datensicherheit benachrichtigen wir betroffene Clients innerhalb von 24 Stunden bei kritischen Verstössen (Datenabfluss, Ransomware) oder innerhalb von 48 Stunden bei anderen Verstössen und kooperieren mit allen anwendbaren behördlichen Meldepflichten.

---

7. Datenweitergabe und Unterauftragsverarbeiter

7.1 Unterauftragsverarbeiter

Wir beauftragen Drittanbieter als Unterauftragsverarbeiter, um unsere Dienste bereitzustellen. Diese sind in drei Kategorien organisiert:

• Daten-Hosting & Infrastruktur: Anbieter, die Kundendaten hosten oder speichern (Microsoft Azure, Infomaniak — beide in der Schweiz ansässig).
• KI-Verarbeitung: Anbieter, die Daten über KI-Modelle auf vorübergehender Basis verarbeiten, ohne Aufbewahrung und ohne Modell-Training (Swisscom, Infomaniak, Requesty, OpenRouter, OpenAI, Azure OpenAI).
• Betriebliche und Überwachung: Anbieter, die für Debugging, Fehlerüberwachung, E-Mail-Zustellung und Analytik verwendet werden. Diese verarbeiten keine privilegierten Kundendokumentinhalte, ausser für LangSmith (LLM-Tracing), das LLM-Aufforderungen und -Antworten zu Debugging-Zwecken verarbeitet und auf Anfrage deaktiviert werden kann.

Die vollständige, aktualisierte Liste der Unterauftragsverarbeiter ist verfügbar unter: Unterauftragsverarbeiter-Liste

7.2 Kein Verkauf von Daten

Wir verkaufen, vermieten oder teilen Ihre Personendaten nicht mit Dritten für deren eigene Zwecke. Unterauftragsverarbeiter verarbeiten Daten ausschliesslich nach unseren Anweisungen und unter vertraglichen Verpflichtungen, die dieser Datenschutzerklärung gleichwertig sind.

7.3 Rechtliche Offenlegung

Wir können Personendaten offenlegen, wenn dies vom Gesetz, Gerichtsbeschluss oder einer verbindlichen Anforderung einer zuständigen Behörde verlangt wird. In solchen Fällen beschränken wir die Offenlegung auf das absolute Minimum und informieren Sie, soweit rechtlich zulässig, vor einer Offenlegung.

---

8. Internationale Datenübertragungen

8.1 Primäre Speicherung

Alle persistenten Kundendaten werden in der Schweiz gespeichert. Die Schweiz wird von der Europäischen Kommission als ein Land, das ein angemessenes Datenschutzniveaus bietet, anerkannt.

8.2 Übertragungen in die EU/EWR

Bestimmte Dienste beinhalten Datenverarbeitung innerhalb der EU/EWR (z.B. LLM-Inferenz über Requesty, Audio-Transkription über Azure Schweden, Fehlerüberwachung über Sentry Deutschland, LLM-Tracing über LangSmith Deutschland). Die Schweiz erkennt EU-Mitgliedstaaten unter dem DSG als ein angemessenes Datenschutzniveaus an. Microsoft Azure arbeitet innerhalb der EU Data Boundary für alle EU/EFTA-Regionen.

8.3 Übertragungen in die Vereinigten Staaten

Bestimmte operative Dienste (Loops, Mixpanel) und freiwillige Funktionen (Deep Research über OpenAI) beinhalten Datenverarbeitung in den Vereinigten Staaten. Für diese Übertragungen verlassen wir uns auf:

• Standardvertragsklauseln (SVKs) wie von der Europäischen Kommission genehmigt (Durchführungsbeschluss 2021/914) und von der FDPIC anerkannt.
• Datenverarbeitungsvereinbarungen (DVAs) mit jedem US-basierten Unterauftragsverarbeiter.
• Wo anwendbar, das Schweiz-U.S. Data Privacy Framework.

Schweizer Clients, die dem Berufsgeheimnis unterliegen, können die Deaktivierung eines operativen Dienstes, der nicht-schweizerische Verarbeitung beinhaltet (einschliesslich LangSmith, Sentry, Loops und Mixpanel), durch schriftliche Anfrage an privacy@whisperit.ai verlangen. In diesem Fall können bestimmte technische Support- und Diagnose-Funktionen reduziert sein.

---

9. Datenspeicherung

9.1 Plattformdaten

9.2 Website-Daten

9.3 Nach Vertragsbeendigung

Nach Vertragsbeendigung haben Sie 90 Tage Zeit, um Datenvergabe in Standardformaten (JSON, CSV, PDF oder ursprüngliches natives Format) zu beantragen. Nach dieser Restitutionsperiode werden alle Daten aus allen Systemen innerhalb von 30 weiteren Tagen sicher gelöscht. Ein Vernichtungszertifikat ist auf Anfrage verfügbar.

---

10. Cookies und Tracking

10.1 Website-Cookies

Unsere Website (whisperit.ai) nutzt die folgenden Cookie-Kategorien:

10.2 SaaS-Plattform-Cookies

Die Whisperit-Plattform (app.whisperit.ai) nutzt nur unverzichtbar notwendige Cookies für Authentifizierung, Session-Verwaltung und Sicherheit. Keine Drittanbieter-Werbe- oder Marketing-Cookies werden auf der Plattform verwendet.

10.3 Ihre Entscheidungen

Sie können Cookie-Einstellungen über Ihre Browser-Einstellungen verwalten. Das Deaktivieren von unverzichtbar notwendigen Cookies kann die Funktionalität der Dienste beeinflussen. Wir verwenden keine Drittanbieter-Werbe-Cookies auf einem unserer Dienste.

---

11. Ihre Rechte

11.1 Unter dem Bundesgesetz über den Datenschutz (DSG)

Sie haben das Recht auf:

• Zugang: Anfrage von Informationen darüber, ob und wie wir Ihre Personendaten verarbeiten, und Erhalt einer Kopie dieser Daten.
• Berichtigung: Anforderung der Korrektur ungenaue Personendaten.
• Löschung: Anforderung der Löschung Ihrer Personendaten, vorbehaltlich gesetzlicher Aufbewahrungsverpflichtungen.
• Einschränkung: Anforderung der Einschränkung der Verarbeitung in bestimmten Umständen.
• Datenportabilität: Erhalt Ihrer Personendaten in strukturiertem, häufig verwendetem, maschinenlesbarem Format.
• Widerspruch: Widerspruch gegen die Verarbeitung Ihrer Personendaten auf Grundlage Ihrer besonderen Situation.

11.2 Unter der DSGVO (für EU/EWR-Bewohner)

Zusätzlich zu den oben genannten Rechten haben Sie das Recht auf:

• Benachrichtigung der Empfänger (Art. 19 DSGVO): Benachrichtigung über jede Berichtigung, Löschung oder Einschränkung, die den Empfänger Ihrer Daten mitgeteilt wird.
• Recht nicht der Gegenstand von automatisierter Entscheidungsfindung zu sein (Art. 22 DSGVO): Wir führen keine automatisierte Entscheidungsfindung mit Rechtsfolgen durch.
• Beschwerde einreichen: Sie können eine Beschwerde bei einer Aufsichtsbehörde in dem EU-Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsorts oder des Orts der angenommenen Verletzung einreichen.

11.3 Wie Sie Ihre Rechte geltend machen

Um Ihre Rechte geltend zu machen, kontaktieren Sie uns unter: privacy@whisperit.ai

Wir bestätigen Ihre Anfrage innerhalb von 24 Stunden. Die Antwortfristen hängen von der Art der geltend gemachten Rechte ab, wie in der geltenden Datenverarbeitungsvereinbarung angegeben (normalerweise 3 bis 10 Werktage). Auf jeden Fall werden wir innerhalb von spätestens 30 Tagen antworten. Falls wir zusätzliche Zeit benötigen, werden wir Sie über den Grund und die erwartete Zeitspanne informieren.

Sie können auch unseren Datenschutzbeauftragten unter kontaktieren: dpo@whisperit.ai

---

12. Berufsgeheimnis

Whisperit erkennt die Berufsgeheimnis-Verpflichtungen von Schweizer Rechtsanwälten unter Artikel 321 des Schweizer Strafgesetzbuchs und Artikel 13 des Bundesgesetzes über die Freizügigkeit der Anwältinnen und Anwälte (BGFA) an. Im Zusammenhang mit der Beziehung zu Clients, die diesen Verpflichtungen unterliegen, nimmt Whisperit die Position eines Hilfsperson im Sinne von Art. 321 Abs. 1 des Schweizer Strafgesetzbuchs und Art. 13 BGFA ein.

Alle Mitarbeiter und Unterauftragsverarbeiter, die potenziellen Zugriff auf Client-Daten haben, erhalten Training zu den sich aus dem Berufsgeheimnis ergebenden Verpflichtungen. Verpflichtungen zum Berufsgeheimnis überdauern das Ende des Vertragsverhältnisses ohne zeitliche Begrenzung.

Für Clients, die dem Berufsgeheimnis unterliegen, empfehlen wir das Nur Schweiz-Datenspeicherungs-Tier, das KI-Verarbeitung auf die Schweiz einschränkt, ohne automatisches Fallback auf alternative Jurisdiktionen.

---

13. Datenschutz für Kinder

Unsere Dienste sind für berufliche Nutzung konzipiert und sind nicht auf Personen unter 16 Jahren ausgerichtet. Wir erfassen nicht vorsätzlich Personendaten von Kindern. Falls Sie glauben, dass ein Kind uns mit Personendaten versorgt hat, kontaktieren Sie uns unter privacy@whisperit.ai, damit wir angemessene Massnahmen ergreifen können.

---

14. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen in unseren Praktiken, Technologie, gesetzlichen Anforderungen oder anderen Faktoren widerzuspiegeln. Wir werden Sie über wesentliche Änderungen benachrichtigen, indem wir die aktualisierte Richtlinie auf unserer Website veröffentlichen und für Plattformbenutzer mindestens 30 Tage vor dem Inkrafttreten der Änderungen eine E-Mail-Benachrichtigung versenden.

Das Datum „Zuletzt aktualisiert" oben auf dieser Seite zeigt, wann diese Datenschutzerklärung zuletzt überarbeitet wurde.

---

15. Kontakt

Whisperit SA
Unlimitrust Campus
Route des Flumeaux 46
1008 Prilly, Schweiz

---