Auftrags- und Unterauftragsverarbeiter
Drittanbieter, die Daten in unserem Auftrag verarbeiten
Version 1.5 · Zuletzt aktualisiert: 17. August 2026
Rechtsverbindliche Fassung
Die deutsche Fassung dieses Dokuments ist rechtlich verbindlich. Übersetzungen in andere Sprachen dienen ausschliesslich der Verständlichkeit; bei Widersprüchen oder Unstimmigkeiten ist die deutsche Fassung massgeblich.
Gemäss Art. 28 DSGVO und dem schweizerischen Datenschutzgesetz (DSG) legen wir die Drittanbieter offen, die CHW-Services GmbH zur Erbringung des preparAItor-Dienstes einsetzt. Jeder Anbieter wurde sorgfältig ausgewählt und ist durch einen Auftragsverarbeitungsvertrag gebunden, der unseren Sicherheits- und Compliance-Standards entspricht.
Diese Liste umfasst sowohl Auftragsverarbeiter (für Endnutzerinnen und -nutzer, bei denen wir Verantwortlicher sind) als auch Unterauftragsverarbeiter (für Geschäftskundinnen und -kunden mit Auftragsverarbeitungsvertrag, bei denen wir Auftragsverarbeiter sind). Die Pflichten gemäss Art. 28 DSGVO und Art. 9 DSG gelten in beiden Konstellationen analog.
| Unterauftragsverarbeiter | Zweck | Datenkategorien | Standort |
|---|---|---|---|
| Google LLC (Firebase) | Authentifizierung, Datenbank (Firestore), Dateispeicherung, App Check | Kontodaten, CV-Inhalte, generierte Dokumente, Nutzungsdaten | europe-west6 (Zürich, Schweiz) |
| Google LLC (Vertex AI / Gemini) | KI-Dokumentenerstellung, Inhaltsanalyse, Web-Grounding zur Unternehmensanreicherung, Interviewtraining (einschliesslich kurzzeitiger Verarbeitung von Audiodaten bei Voice-Interview-Sessions; Sprachaufnahmen werden nicht gespeichert, lediglich verschlüsselte Transkripte). Google verwendet Kundendaten nicht zum Training seiner Modelle. | CV-Inhalte, Stellenanzeigen, Unternehmensdaten, Interview-Audio (transient) und Transkripte | Europäische Union — Google Cloud EU-Multiregion (ausschliesslich Regionen in EU-Mitgliedstaaten) |
| Google LLC (Cloud KMS) | Verwaltung von Verschlüsselungsschlüsseln für die feldbasierte Verschlüsselung sensibler Daten | Nur Verschlüsselungsschlüssel (keine personenbezogenen Daten) | europe-west6 (Zürich, Schweiz) |
| Google LLC (Cloud Run) | Erzeugung von PDF-/DOCX-Dokumenten und rechenintensive Verarbeitung | Dokumentinhalte während der Erstellung | europe-west6 (Zürich, Schweiz) |
| Google LLC (reCAPTCHA Enterprise) | Bot-Erkennung und Betrugsprävention via Firebase App Check bei jeder API-Anfrage | IP-Adresse, Geräte-Fingerabdruck, Interaktionssignale | Globale Infrastruktur — Übermittlungsgarantien: Google Cloud DPA mit SCCs |
| Stripe, Inc. | Zahlungsabwicklung für einmalige Credit-Käufe, Webhook-Verarbeitung | Zahlungsdaten, Rechnungsadresse, Kunden-ID, Transaktionsmetadaten | Europäische Rechenzentren (primär), mit Fallback in die USA |
| Resend (Resend, Inc.) | Versand transaktionaler E-Mails (Kontobestätigung, Passwort-Reset, Zahlungsbenachrichtigungen, Benachrichtigungen zu fertigen Dokumenten) | E-Mail-Adresse, Anzeigename, E-Mail-Inhalt | Vereinigte Staaten — Übermittlungsgarantien: Standardvertragsklauseln für Übermittlungen aus dem EWR, dem Vereinigten Königreich und der Schweiz |
| Microsoft Corporation | OneDrive-Cloud-Synchronisation (optional, nur wenn die Nutzerin oder der Nutzer das OneDrive-Konto ausdrücklich verbindet) | Generierte Dokumente, OAuth-Tokens (verschlüsselt) | Europäische Rechenzentren (primär) |
| Google LLC (Google Drive) | Google-Drive-Cloud-Synchronisation (optional, nur wenn die Nutzerin oder der Nutzer das Google-Konto ausdrücklich verbindet) | Generierte Dokumente, OAuth-Tokens (verschlüsselt) | Region des Google Drive der Nutzenden — Übermittlungsgarantien: Google Cloud DPA mit SCCs |
| Cloudflare, Inc. | Cookielose, aggregierte Besuchsmessung ausschliesslich auf unserer öffentlichen Marketing-Website (preparaitor.ch) — Seitenaufrufe, verweisende Websites und ungefähres Land. Verwendet keine Analyse-Cookies und keine dauerhaften clientseitigen Kennungen; führt kein Fingerprinting und keine website-übergreifende Verfolgung durch. Wird von der Anwendung unter app.preparaitor.ch nicht geladen. | Zur Bearbeitung der Anfrage erforderliche technische Informationen, einschliesslich IP-Adresse; Seitenadresse, verweisende Website, ungefähres Land, Browser- und Gerätetyp | Vereinigte Staaten — Übermittlungsgarantien: Zertifizierungen von Cloudflare unter dem Data Privacy Framework, ersatzweise Standardvertragsklauseln |
| PostHog, Inc. | Cookielose, aggregierte Produktmessung innerhalb der Anwendung (app.preparaitor.ch) – wie viele Personen welchen Schritt erreichen, auf welchem Gerätetyp und aus welcher Kampagne. Setzt keine Cookies, schreibt nichts in den Browser-Speicher und hält keine dauerhafte Kennung vor; keine Sitzungsaufzeichnung, kein Profiling, keine website-übergreifende Verfolgung. Die Zählung beruht auf einem nicht umkehrbaren Hash, der auf den Servern von PostHog mit einem täglich wechselnden und danach gelöschten Geheimnis berechnet wird. Nie mit einem Konto verknüpft: Es werden weder Name, E-Mail-Adresse, Nutzerkennung noch Lebenslauf- oder Stelleninhalte übermittelt. In den Einstellungen abschaltbar. | Zur Bearbeitung der Anfrage erforderliche technische Informationen, einschliesslich IP-Adresse (nach Berechnung des Tages-Hashs verworfen, nicht gespeichert); Seitenadresse, verweisende Website, Browser, Betriebssystem, Gerätetyp und Bildschirmgrösse; Oberflächensprache; Kampagnenparameter; Bezeichnung des erreichten Produktschritts | Europäische Union (Frankfurt) – gehostet auf PostHog Cloud EU. PostHog, Inc. ist ein US-Unternehmen; Übermittlungsgarantien: Standardvertragsklauseln im Rahmen des Auftragsverarbeitungsvertrags |
| Google LLC (Google Ads) | Messung des Werbeerfolgs. Betrifft ausschliesslich Besucherinnen und Besucher, die über den Klick auf eine unserer Google-Anzeigen zu uns gelangen. Google hängt eine Klick-Kennung an die Landing-Adresse an; wird danach ein Konto erstellt, speichern wir diese Kennung und melden Google später zurück, dass eine Registrierung und in der Folge eine erste Dokumentenerstellung stattgefunden hat. Die Meldung erfolgt Server zu Server: Es kommen keine Werbe-Pixel, keine Tags und keine Cookies zum Einsatz, und es wird nichts auf dem Gerät gespeichert oder ausgelesen. | Google-Werbe-Klick-Kennung (GCLID/GBRAID/WBRAID) und Kampagnenparameter sowie das Eintreten, der Zeitpunkt und der zugeordnete Wert eines Konversionsereignisses. Name, E-Mail-Adresse, Lebenslauf, Stellendaten oder Kontoinhalte werden nicht übermittelt. | Vereinigte Staaten — Übermittlungsgarantien: Google LLC ist unter dem EU-US Data Privacy Framework sowie dessen Schweizer und britischer Erweiterung zertifiziert, ersatzweise Standardvertragsklauseln |
Garantien für Datenübermittlungen
- • Standardvertragsklauseln (SCCs) mit allen Anbietern, sofern anwendbar
- • Auftragsverarbeitungsverträge (DPAs) mit jedem Anbieter
- • Verschlüsselung während der Übertragung (HTTPS/TLS) und bei der Speicherung
- • Feldbasierte Verschlüsselung via Google Cloud KMS für sensible personenbezogene Daten
- • Datenlokalisierung in europäischen Rechenzentren, soweit technisch umsetzbar
- • Regelmässige Sicherheits- und Compliance-Audits
- • Transfer Impact Assessment (TIA) für alle grenzüberschreitenden Datenflüsse gemäss Schrems-II-Anforderungen
- • Keine cookiebasierte oder website-übergreifend verfolgende Analyse im Einsatz (kein Google Analytics, keine Error-Tracking-SDKs, keine Marketing-Pixel und keine Werbe-Tags). Es bestehen drei Formen der Messung, von denen keine etwas auf dem Gerät der Besucherinnen und Besucher speichert oder ausliest: eine cookielose, aggregierte Besuchszählung auf unserer öffentlichen Marketing-Website, die niemanden identifiziert oder mittels Fingerprinting erfasst; eine cookielose, aggregierte Produktmessung innerhalb der Anwendung, die keine dauerhafte Kennung vorhält, nie mit einem Konto verknüpft wird und in den Einstellungen abschaltbar ist; sowie eine serverseitige Messung des Werbeerfolgs, die eine Registrierung anhand der von Google selbst in die Landing-Adresse gesetzten Klick-Kennung an Google Ads zurückmeldet – und zwar nur für Besucherinnen und Besucher, die über eine unserer Anzeigen gekommen sind
- • Einhaltung des Schweizer DSG und der EU-DSGVO
Änderungsverlauf
- 17. August 2026—Version 1.5 — PostHog, Inc. wurde als Auftragsverarbeiter für die cookielose, aggregierte Produktmessung innerhalb der Anwendung ergänzt; gehostet in der Europäischen Union. Die Aussage, dass innerhalb der Anwendung keine Analyse stattfindet, wurde entsprechend angepasst; wir bestätigen weiterhin, dass keine cookiebasierte, profilgestützte oder website-übergreifend verfolgende Analyse zum Einsatz kommt, dass zu Messzwecken nichts auf Ihrem Gerät gespeichert oder ausgelesen wird und dass die Messung in den Einstellungen abschaltbar ist.
- 31. Juli 2026—Version 1.4 — Google LLC (Google Ads) wurde als Empfänger für die Messung des Werbeerfolgs ergänzt. Gelangt eine Besucherin oder ein Besucher über den Klick auf eine unserer Google-Anzeigen zu uns, wird die von Google in die Landing-Adresse gesetzte Klick-Kennung zum daraus entstehenden Konto gespeichert und an Google zurückgemeldet, um die Registrierung zu erfassen. Es werden weder Werbe-Pixel noch Tags oder Cookies eingeführt, und es wird nichts auf dem Gerät gespeichert oder ausgelesen; die Meldung erfolgt Server zu Server und enthält weder Name, E-Mail-Adresse, Lebenslauf, Stellendaten noch Kontoinhalte. Die Aussage zu den Übermittlungsgarantien wurde entsprechend angepasst.
- 27. Juli 2026—Version 1.3 — Postmark (AC PM LLC) wurde als Anbieter für transaktionale E-Mails durch Resend, Inc. ersetzt. Der E-Mail-Versand erfolgt weiterhin in den Vereinigten Staaten; die Kategorien der verarbeiteten Daten bleiben unverändert. Resend, Inc. ist unter dem EU-US Data Privacy Framework und dessen UK-Erweiterung zertifiziert; Übermittlungen aus der Schweiz und dem EWR sind zusätzlich durch Standardvertragsklauseln abgesichert.
- 21. Juli 2026—Version 1.2 — Brevo SAS wurde als Anbieter für transaktionale E-Mails durch Postmark (AC PM LLC) ersetzt; der E-Mail-Versand erfolgt nun in den Vereinigten Staaten statt in der Europäischen Union. Cloudflare, Inc. als Auftragsverarbeiter für die cookielose, aggregierte Besuchsmessung auf unserer öffentlichen Marketing-Website ergänzt. Die Aussage zu den Übermittlungsgarantien wurde entsprechend angepasst: Wir geben nicht mehr an, dass kein Analysedienst eingesetzt wird, sondern bestätigen, dass keine cookiebasierte oder website-übergreifend verfolgende Analyse zum Einsatz kommt.
- 26. April 2026—Version 1.1 — Klarstellung der Rollen Verantwortlicher vs. Auftragsverarbeiter. Hinweis ergänzt, dass Audiodaten bei Voice-Interviews nur kurzzeitig durch Vertex AI verarbeitet und nicht gespeichert werden. Ausdrückliche Aussage ergänzt, dass keine Analyse- oder Telemetriedienste eingesetzt werden.
- 10. April 2026—Version 1.0 — Erstveröffentlichung.
Für Fragen zu unseren Auftrags- und Unterauftragsverarbeitern, zur Anforderung eines DPA oder zum Widerspruch gegen Änderungen kontaktieren Sie uns bitte unter admin@preparaitor.ch.
Siehe auch: Datenschutzrichtlinie · Nutzungsbedingungen