Auftrags- und Unterauftragsverarbeiter
Drittanbieter, die Daten in unserem Auftrag verarbeiten
Version 1.2 · Zuletzt aktualisiert: 21. Juli 2026
Rechtsverbindliche Fassung
Die deutsche Fassung dieses Dokuments ist rechtlich verbindlich. Übersetzungen in andere Sprachen dienen ausschliesslich der Verständlichkeit; bei Widersprüchen oder Unstimmigkeiten ist die deutsche Fassung massgeblich.
Gemäss Art. 28 DSGVO und dem schweizerischen Datenschutzgesetz (DSG) legen wir die Drittanbieter offen, die CHW-Services GmbH zur Erbringung des preparAItor-Dienstes einsetzt. Jeder Anbieter wurde sorgfältig ausgewählt und ist durch einen Auftragsverarbeitungsvertrag gebunden, der unseren Sicherheits- und Compliance-Standards entspricht.
Diese Liste umfasst sowohl Auftragsverarbeiter (für Endnutzerinnen und -nutzer, bei denen wir Verantwortlicher sind) als auch Unterauftragsverarbeiter (für Geschäftskundinnen und -kunden mit Auftragsverarbeitungsvertrag, bei denen wir Auftragsverarbeiter sind). Die Pflichten gemäss Art. 28 DSGVO und Art. 9 DSG gelten in beiden Konstellationen analog.
Wir informieren unsere Kundinnen und Kunden über wesentliche Änderungen an dieser Liste (Hinzufügungen, Ersetzungen oder erhebliche Erweiterungen des Umfangs) mindestens 30 Tage im Voraus. Geschäftskundinnen und -kunden mit einem Auftragsverarbeitungsnachtrag (DPA) können neuen Unterauftragsverarbeitern während der Ankündigungsfrist widersprechen, indem sie sich an admin@preparaitor.ch wenden.
| Unterauftragsverarbeiter | Zweck | Datenkategorien | Standort |
|---|---|---|---|
| Google LLC (Firebase) | Authentifizierung, Datenbank (Firestore), Dateispeicherung, App Check | Kontodaten, CV-Inhalte, generierte Dokumente, Nutzungsdaten | europe-west6 (Zürich, Schweiz) |
| Google LLC (Vertex AI / Gemini) | KI-Dokumentenerstellung, Inhaltsanalyse, Web-Grounding zur Unternehmensanreicherung, Interviewtraining (einschliesslich kurzzeitiger Verarbeitung von Audiodaten bei Voice-Interview-Sessions; Sprachaufnahmen werden nicht gespeichert, lediglich verschlüsselte Transkripte). Google verwendet Kundendaten nicht zum Training seiner Modelle. | CV-Inhalte, Stellenanzeigen, Unternehmensdaten, Interview-Audio (transient) und Transkripte | europe-west3 (Frankfurt, Deutschland) |
| Google LLC (Cloud KMS) | Verwaltung von Verschlüsselungsschlüsseln für die feldbasierte Verschlüsselung sensibler Daten | Nur Verschlüsselungsschlüssel (keine personenbezogenen Daten) | europe-west6 (Zürich, Schweiz) |
| Google LLC (Cloud Run) | Erzeugung von PDF-/DOCX-Dokumenten und rechenintensive Verarbeitung | Dokumentinhalte während der Erstellung | europe-west6 (Zürich, Schweiz) |
| Google LLC (reCAPTCHA Enterprise) | Bot-Erkennung und Betrugsprävention via Firebase App Check bei jeder API-Anfrage | IP-Adresse, Geräte-Fingerabdruck, Interaktionssignale | Globale Infrastruktur — Übermittlungsgarantien: Google Cloud DPA mit SCCs |
| Stripe, Inc. | Zahlungsabwicklung, Abonnementverwaltung, Kundenportal, Webhook-Verarbeitung | Zahlungsdaten, Rechnungsadresse, Kunden-ID, Transaktionsmetadaten | Europäische Rechenzentren (primär), mit Fallback in die USA |
| Postmark (AC PM LLC, ein Unternehmen von ActiveCampaign) | Versand transaktionaler E-Mails (Kontobestätigung, Passwort-Reset, Zahlungsbenachrichtigungen, Benachrichtigungen zu fertigen Dokumenten) | E-Mail-Adresse, Anzeigename, E-Mail-Inhalt | Vereinigte Staaten — Übermittlungsgarantien: Zertifizierung unter dem EU-U.S. Data Privacy Framework, mit Standardvertragsklauseln für Übermittlungen aus dem EWR, dem Vereinigten Königreich und der Schweiz |
| Microsoft Corporation | OneDrive-Cloud-Synchronisation (optional, nur wenn die Nutzerin oder der Nutzer das OneDrive-Konto ausdrücklich verbindet) | Generierte Dokumente, OAuth-Tokens (verschlüsselt) | Europäische Rechenzentren (primär) |
| Google LLC (Google Drive) | Google-Drive-Cloud-Synchronisation (optional, nur wenn die Nutzerin oder der Nutzer das Google-Konto ausdrücklich verbindet) | Generierte Dokumente, OAuth-Tokens (verschlüsselt) | Region des Google Drive der Nutzenden — Übermittlungsgarantien: Google Cloud DPA mit SCCs |
| Cloudflare, Inc. | Cookielose, aggregierte Besuchsmessung ausschliesslich auf unserer öffentlichen Marketing-Website (preparaitor.ch) — Seitenaufrufe, verweisende Websites und ungefähres Land. Verwendet keine Analyse-Cookies und keine dauerhaften clientseitigen Kennungen; führt kein Fingerprinting und keine website-übergreifende Verfolgung durch. Wird von der Anwendung unter app.preparaitor.ch nicht geladen. | Zur Bearbeitung der Anfrage erforderliche technische Informationen, einschliesslich IP-Adresse; Seitenadresse, verweisende Website, ungefähres Land, Browser- und Gerätetyp | Vereinigte Staaten — Übermittlungsgarantien: Zertifizierungen von Cloudflare unter dem Data Privacy Framework, ersatzweise Standardvertragsklauseln |
Garantien für Datenübermittlungen
- • Standardvertragsklauseln (SCCs) mit allen Anbietern, sofern anwendbar
- • Auftragsverarbeitungsverträge (DPAs) mit jedem Anbieter
- • Verschlüsselung während der Übertragung (HTTPS/TLS) und bei der Speicherung
- • Feldbasierte Verschlüsselung via Google Cloud KMS für sensible personenbezogene Daten
- • Datenlokalisierung in europäischen Rechenzentren, soweit technisch umsetzbar
- • Regelmässige Sicherheits- und Compliance-Audits
- • Transfer Impact Assessment (TIA) für alle grenzüberschreitenden Datenflüsse gemäss Schrems-II-Anforderungen
- • Keine cookiebasierte oder website-übergreifend verfolgende Analyse im Einsatz (kein Google Analytics, keine Error-Tracking-SDKs, keine Marketing-Pixel). Die einzige eingesetzte Messung ist eine cookielose, aggregierte Besuchszählung auf unserer öffentlichen Marketing-Website, die keine Analyse-Cookies und keine dauerhaften clientseitigen Kennungen verwendet und Besucherinnen und Besucher weder identifiziert noch mittels Fingerprinting erfasst
- • Einhaltung des Schweizer DSG und der EU-DSGVO
Änderungsverlauf
- 21. Juli 2026—Version 1.2 — Brevo SAS wurde als Anbieter für transaktionale E-Mails durch Postmark (AC PM LLC) ersetzt; der E-Mail-Versand erfolgt nun in den Vereinigten Staaten statt in der Europäischen Union. Cloudflare, Inc. als Auftragsverarbeiter für die cookielose, aggregierte Besuchsmessung auf unserer öffentlichen Marketing-Website ergänzt. Die Aussage zu den Übermittlungsgarantien wurde entsprechend angepasst: Wir geben nicht mehr an, dass kein Analysedienst eingesetzt wird, sondern bestätigen, dass keine cookiebasierte oder website-übergreifend verfolgende Analyse zum Einsatz kommt.
- 26. April 2026—Version 1.1 — Klarstellung der Rollen Verantwortlicher vs. Auftragsverarbeiter. Hinweis ergänzt, dass Audiodaten bei Voice-Interviews nur kurzzeitig durch Vertex AI verarbeitet und nicht gespeichert werden. Ausdrückliche Aussage ergänzt, dass keine Analyse- oder Telemetriedienste eingesetzt werden.
- 10. April 2026—Version 1.0 — Erstveröffentlichung.
Für Fragen zu unseren Auftrags- und Unterauftragsverarbeitern, zur Anforderung eines DPA oder zum Widerspruch gegen Änderungen kontaktieren Sie uns bitte unter admin@preparaitor.ch.
Siehe auch: Datenschutzrichtlinie · Nutzungsbedingungen