Sub-Prozessoren

Dieser Rechtstext liegt nur auf Deutsch vor; die deutsche Fassung ist verbindlich. This legal text is available in German only; the German version is the binding one.

Entwurf – juristische Prüfung ausstehend.

Diese Seite listet alle Dienstleister, die im Auftrag von CAai personenbezogene Daten oder Projekt-Inhalte verarbeiten. Sie ist Bestandteil des Auftragsverarbeitungsvertrags (DPA) und wird bei jeder Änderung versioniert. Vertragskunden werden über Sub-Prozessor-Wechsel mindestens 30 Tage im Voraus informiert.

Aktueller Google-Prüfumfang ohne KI

Das Google-Add-on ist nur für ein gesondertes Prüfkonto aktiviert und nicht für Pilotkonten geöffnet. Google Apps Script und die Seitenleiste verarbeiten die für die gewählte Aktion gelesenen Inhalte in Googles Umgebung und übertragen die ausgewählten Daten an CAai. Google sowie die Hosting- und Speicherdienste Hostpoint und Infomaniak sind an diesem nicht-KI-bezogenen Ablauf beteiligt. Der genaue Übertragungsumfang und die Speicher-/Löschregeln stehen im Google-Abschnitt der Datenschutzerklärung.

Die nachfolgend beschriebenen KI-Routen gelten für andere freigegebene Inhalte und Funktionen. Sie sind keine Empfängerliste für diesen Google-Prüfumfang: Microsoft Azure einschliesslich Speech, Mistral und Amazon Bedrock erhalten hier keine Google-Projektinhalte zur KI- oder Sprachverarbeitung. Die separate Drive-Verbindung der Web-App ist deaktiviert. Eine spätere Erweiterung ist gesondert zu prüfen und freizugeben.

Googles Leistungen für Ihr eigenes Workspace-/Drive-Konto sind von den Entwickler- und Ausführungsdiensten des CAai-Add-ons zu unterscheiden. Die im historischen Verlauf aufgeführten früheren Drive-Angaben beschreiben keinen zusätzlich aktivierten aktuellen Datenweg und keine allgemeine Rollenentscheidung für sämtliche Google-Dienste.

Hostpoint AG

Schweiz

Leistung: App-Hosting, MariaDB, Backups, E-Mail-Versand (SMTP)

Standort: Rechenzentrum in Glattfelden ZH, Schweiz (Angabe des Hosters)

Managed Server; für das genutzte Produkt liegt kein eigener Zertifikatsnachweis vor. Die Verbindung zwischen App und Datenbank im internen Netz des Hosters ist nicht verschlüsselt. Sicherungen des Hosters nach dessen Angabe bis 180 Tage. Transaktionale E-Mails (Einladungen, Benachrichtigungen) seit 2026-05-29 über Hostpoint-SMTP (ersetzt Resend Inc., USA).

Microsoft-Azure-Dienste in der Schweiz

Schweiz

Leistung: Bei freigegebenen KI-Funktionen ausserhalb des Google-Prüfumfangs: Text-KI der Route Schweiz, Einbettungen und Audio-Transkription über Azure OpenAI in der Geografie Schweiz; separate Foto-Texterkennung in Quick Tools beziehungsweise der mobilen Oberfläche über Azure AI Vision in Switzerland West und Sprachausgabe über Azure Speech in Switzerland West. Bildanalyse beim Dateiimport, in Materials und bei Firmenbildern nutzt die Bildfunktion der jeweiligen Chat-KI-Route. Rückfälle erweitern keine freigegebenen Anbieter-/Inhaltskombinationen.

Standort: Schweiz (Azure OpenAI: Geografie Schweiz; Azure AI Vision und Azure Speech: Switzerland West)

Die genannten Dienste sind unterschiedlichen Funktionen zugeordnet: Azure OpenAI für die bezeichneten Schweizer Standard-Deployments mit Verarbeitung innerhalb der Geografie Schweiz sowie Azure AI Vision und Azure Speech mit den bezeichneten Ressourcen in Switzerland West. Die regionale Zuordnung einer Ressource begründet keine einheitliche Aussage zu sämtlichen Speicher- und Fernzugriffsländern. Sicherheits- und Missbrauchskontrollen, Aufbewahrung und mögliche menschliche Einsicht sind dienstspezifisch zu beurteilen; Angaben zu Azure OpenAI gelten nicht automatisch für Vision oder Speech. Die von CAai eingesetzten Azure-Dienste sind dem Firmenvertrag des Betreibers mit Microsoft-DPA zugeordnet. Die hier beschriebenen Dienste sind im Google-Prüfumfang gesperrt. Einzelheiten zu Funktionen und den geltenden Grenzen stehen in der Datenschutzerklärung, Abschnitte KI-Funktionen und Dienstleister.

Infomaniak SA

Schweiz

Leistung: LibreOffice-Konvertierung (PPTX→PNG), Datei-Objektspeicher (S3) sowie Hosting der self-hosted Fehlerüberwachung (Bugsink)

Standort: Genf / Zürich, Schweiz

Souveräne Schweizer Cloud (Infomaniak Public Cloud). LibreOffice-Render-Sidecar und Bugsink laufen auf einer Infomaniak-VM in der Schweiz; der Datei-Objektspeicher (S3, vormals Cloudflare R2) liegt seit 2026-05-29 in der Infomaniak Public Cloud Object Storage (CH). Bugsink ohne User-Inhalte, ohne Performance-/Phone-Home-Telemetrie.

Dienste für freigegebene KI-Funktionen und zusätzliche Text-KI-Routen

Welche Dienste beteiligt sind, hängt von der konkret genutzten Funktion und der freigegebenen Route ab. Gemeinsame KI-Hilfsdienste können unabhängig von der Text-KI-Route eingesetzt werden. Für den oben beschriebenen Google-Prüfumfang gelten die gesonderten Einschränkungen ohne KI; die folgenden KI-Dienste sind dafür nicht eingeschaltet.

Zusätzlich in der Route „Europa“

Mistral AI SAS

EUnur Route „Europa“ · aktiv

KI-Textverarbeitung in der Route „Europa“ (Briefing-Analyse, Argumente, Storyline, Folientexte, Notizen)

Standort: Sitz Paris (Frankreich); Verarbeitung am EU-Endpunkt in Rechenzentren in EU und EFTA

Modellanbieter mit europäischem Mutterhaus. Die Rechenzentren betreiben laut Mistrals Liste der Unterauftragsverarbeiter (eingesehen 2026-09-21) Microsoft (Schweden, Norwegen), Google (Niederlande, Belgien), CoreWeave (EWR) — Unternehmen mit US-Mutterhaus — sowie Mistral Compute (Frankreich). Kein Training mit unseren Inhalten (in unserem Konto abgeschaltet); keine Aufbewahrung über die Bearbeitung der Anfrage hinaus (Zero Data Retention, von Mistral am 2026-09-21 für unser Konto bewilligt). Auftragsverarbeitungsvertrag nach französischem Recht. Nur nach Freigabe durch den Betreiber und Wahl der Route durch das Konto. Auf caai.online eingerichtet seit 2026-09-21.

Zusätzlich in der Route „Spitzenmodelle“

Microsoft Azure OpenAI (EU-Datenzone)

EUnur Route „Spitzenmodelle“ · aktiv

KI-Textverarbeitung in der Route „Spitzenmodelle“ mit OpenAI-Modellen der neuesten Generation (Analyse, Argumente, Storyline, Folientexte)

Standort: Ressource in West Europe (Niederlande); Verarbeitung in der EU-Datenzone (Rechenzentren in EU- und EFTA-Staaten)

Anbieter mit US-Muttergesellschaft (Microsoft); Modellhersteller OpenAI (USA) erhält keinen Zugriff auf die Inhalte. Deployment-Typ „Data Zone Standard“ (gemessen 2026-09-21). Keine Nutzung zum Training. Microsoft prüft Anfragen automatisch auf Missbrauch; auffällige Anfragen können stichprobenweise in Europa gespeichert und von befugten Microsoft-Mitarbeitern im EWR geprüft werden. Microsoft Products and Services Data Protection Addendum mit Standardvertragsklauseln. Nur nach Wahl der Route durch das Konto.

Amazon Web Services (Amazon Bedrock)

EUnur Route „Spitzenmodelle“ · aktiv

KI-Verarbeitung in der Route „Spitzenmodelle“ mit Claude-Modellen von Anthropic (Quellen-Check, Erzeugung von Visualisierungen)

Standort: Aufruf in Zürich; Verarbeitung in Zürich oder einer von sechs EU-Regionen (Frankfurt, Stockholm, Mailand, Spanien, Irland, Paris)

Anbieter mit US-Muttergesellschaft (Amazon); Modellhersteller Anthropic (USA) erhält keinen Zugriff auf die Inhalte. Keine Nutzung zum Training. Keine Speicherung von Ein- und Ausgaben — für unser Konto technisch erzwungen (Aufbewahrung „none“, gesetzt 2026-09-21). AWS Data Processing Addendum mit Schweizer Zusatz (DSG, EDÖB) und Standardvertragsklauseln. Nur nach Wahl der Route durch das Konto.

Änderungs-Historie

  • 2026-10-26: Einordnung, keine neuen Dienste: Der aktuelle Google-Prüfumfang ohne KI steht als eigener Abschnitt vor der Liste; die Google-Drive-Verbindung der Web-App ist deaktiviert. Die Microsoft-Dienste sind nach Funktion getrennt beschrieben statt pauschal für alle Routen. Die folgenden Einträge beschreiben frühere Stände; der Eintrag vom 2026-10-06 zur Google-Drive-Verbindung beschreibt keinen aktuell aktivierten Datenweg.
  • 2026-10-22: Berichtigung von Angaben, keine neuen Dienste: Hostpoint mit dem vom Hoster genannten Rechenzentrum (Glattfelden ZH) statt Glattbrugg und ohne Zertifikatsangaben, für die kein Nachweis zum genutzten Produkt vorliegt; die Verbindung zwischen App und Datenbank ist im Netz des Hosters nicht verschlüsselt. Bei Microsoft Azure ist die Dauer einer Speicherung zur Missbrauchserkennung für das Konto von CAai nicht bestätigt.
  • 2026-10-06: Optionale Verbindung zu Google Drive (Dateien holen, Präsentationen ablegen, Diagrammdaten in einer Google-Tabelle) — nicht als Sub-Prozessor geführt: Die Nutzerin oder der Nutzer verbindet das eigene Google-Konto, die Übertragung läuft direkt zwischen Browser und Google, der CAai-Server tauscht keine Daten mit Google aus und speichert kein Zugriffstoken. Für diese Daten gelten Googles Bedingungen gegenüber dem Nutzer (Google Ireland Limited). Aktueller Umfang, Rollen und Grenzen der Google-Verbindungen: Datenschutzerklärung, Abschnitt 6. Die damalige Beschreibung ist keine heutige Freigabe für den Pilot oder für KI mit Google-Inhalten.
  • 2026-09-22: DeepL SE aus der Liste entfernt: Übersetzungen von Projekt-Inhalten laufen seit CR-1206-11 über die Text-KI der gewählten KI-Route (Vorgabe: Microsoft Azure OpenAI in der Schweiz; Route „Europa“: Mistral AI; Route „Spitzenmodelle“: Microsoft Azure OpenAI EU-Datenzone) — kein zusätzlicher Anbieter. Auf der Vorgabe-Route verarbeitet damit kein Dienst mehr ausserhalb der Schweiz.
  • 2026-09-21: Die Liste nennt die Dienste je KI-Route statt je Lizenz: Mistral AI SAS (Route „Europa“, aktiv seit 2026-09-21), Microsoft Azure OpenAI EU-Datenzone und Amazon Web Services / Amazon Bedrock (Route „Spitzenmodelle“, aktiv). Entfernt, weil nie angeschlossen: Anthropic über Google Cloud Vertex AI, OpenAI EU-Endpunkt. Berichtigung zu DeepL SE: DeepL setzt seit 2026 Amazon Web Services und Microsoft als Unterauftragsverarbeiter ein und verarbeitet Übersetzungsinhalte an Standorten weltweit (EWR, Grossbritannien, USA und weitere Staaten) statt wie bisher ausgewiesen nur in der EU. Berichtigung zu Microsoft Azure OpenAI: Auffällige Anfragen können zur Missbrauchserkennung stichprobenweise gespeichert werden (Speicherort Schweiz); die frühere Angabe „nicht über den Anfrage-Zeitraum hinaus gespeichert“ war zu weit gefasst.
  • 2026-06-30: KI-Verarbeitung (LLM-Analyse/Generierung, Embeddings, Audio-Transkription, OCR) läuft über Microsoft Azure OpenAI in der Region Switzerland North (Zürich, Schweiz). Infomaniak SA verbleibt im aktiven Datenpfad für Datei-Objektspeicher, LibreOffice-Konvertierung und Bugsink-Fehlerüberwachung (CH). Übersetzungen von Projekt-Inhalten laufen zur Laufzeit über DeepL SE (EU). Aktiver Datenpfad: Hostpoint AG (CH), Microsoft Azure OpenAI (CH), Infomaniak SA (CH), DeepL SE (EU).
  • 2026-05-30: Abschluss der Souveränitäts-Migration. Der OpenAI-Zugang (USA) wurde in der App vollständig deaktiviert (kein Fallback-Datenpfad mehr). Der Aspose-Konvertierungsdienst (Australien) wurde durch native, Aspose-freie Generierung ersetzt und aus dem aktiven Datenpfad entfernt. Im aktiven Datenpfad verbleiben nur noch Hostpoint AG (CH), Infomaniak SA (CH) und DeepL SE (EU, Build-Zeit, keine Personendaten).
  • 2026-05-29: Verlagerung in die Schweiz: KI-Verarbeitung von OpenAI Inc. (USA) auf Infomaniak SA (Genf) umgestellt; Fehlerüberwachung von Sentry Inc. (USA) auf self-hosted Bugsink (Infomaniak/Genf); E-Mail-Versand von Resend Inc. (USA) auf Hostpoint-SMTP (Schweiz); LibreOffice-Render-Sidecar von Hetzner (Deutschland) auf eine Infomaniak-VM (Schweiz); Datei-Objektspeicher von Cloudflare R2 (USA) auf die Infomaniak Public Cloud Object Storage (Schweiz). Der Cloudflare-Bucket bleibt bis 2026-06-12 als Rollback-Backup.
  • 2026-05-24: Erste publizierte Version. Hetzner und Aspose neu aufgeführt (vorher nur intern bekannt). Sentry mit Opt-out-Hinweis. DeepL als Build-Zeit-Dienstleister ergänzt.

Kontakt

Fragen zu Sub-Prozessoren oder zum Auftragsverarbeitungsvertrag:info@caai.online

Stand: 2026-10-26. Siehe auch Datenschutzerklärung und Trust-Center.