Unterauftragsverarbeiter
Was sich gegenüber der Fassung vom 8. September 2026 geändert hat
Hinzugekommen sind OVH GmbH (OVHcloud AI Endpoints, EU) für Einbettungen und die nachträgliche Transkription von Sitzungsaufzeichnungen, Melious AI GmbH (Deutschland) für KI-Auswertung und Einbettungen mit in der EU betriebenen offenen Modellen, Soniox Inc. (EU-Region) für die Transkription hochgeladener Gesprächsaufnahmen in der Anrufanalyse, Hetzner Online GmbH (Deutschland) für das Hosting der von versa selbst betriebenen Fehlerverfolgung und Produktanalyse und Scaleway SAS (Frankreich) für den Versand der Plattform-E-Mails. Infomaniak bleibt bis zum Abschluss der E-Mail-Umstellung gelistet, übernimmt aber keine Transkription mehr.
Entfernt sind PostHog, Inc. (Produktanalyse), Bugsink B.V. (Fehlerverfolgung) und Microsoft Azure Container Apps (Anwendungshosting). Der Hinweis zu xAI Corp. (Grok) entfällt.
Neu gelistet ist OpenAI Ireland Ltd. (GPT-Live) als KI-Echtzeit-Gesprächsanbieter. Er ist nicht standardmäßig verfügbar und nur in Arbeitsbereichen aktiv, in denen er freigeschaltet ist; die Verarbeitung erfolgt in den USA auf Grundlage von Standardvertragsklauseln, ohne Nutzung für Training. Ergänzt sind außerdem die Spracheingabe (Diktat) bei Microsoft Azure und die EU-Multiregion bei Gemini Live.
Diese Liste nennt die Unterauftragsverarbeiter, mit denen die versa Training GmbH die versa-Plattform betreibt. Sie verarbeiten Daten nur nach unseren dokumentierten Weisungen und auf Grundlage von Auftragsverarbeitungsverträgen.
Diese Seite ist die maßgebliche Liste der Unterauftragsverarbeiter, auf die in Anhang 3 des Auftragsverarbeitungsvertrags (AVV) verwiesen wird.
Änderungen dieser Liste werden Kundinnen und Kunden gemäß Abschnitt 9.2 des Auftragsverarbeitungsvertrags (AVV) mindestens 7 Tage im Voraus mitgeteilt.
Hinweis zur Datennutzung: versa schließt aus, dass Anbieter Kundendaten für ihr eigenes Training nutzen: im Vertrag oder, wo das nicht geht, über die Kontoeinstellungen des Anbieters. Ist beides nicht möglich, steht das beim betreffenden Anbieter in dieser Liste (AVV Abschnitt 9.4).
Infrastruktur und Plattform
| Unterauftragsverarbeiter | Sitz der Einheit | Verarbeitungsort | Zweck | Verarbeitete Daten | Übertragungsmechanismus |
|---|---|---|---|---|---|
| Supabase Inc. | USA / Singapur (Datenimporteur laut SVK) | EU (AWS Frankfurt) | Datenbank, Authentifizierung, Dateispeicherung | Alle Kundendaten | EU-Verarbeitung; Standardvertragsklauseln (Module 2 & 3) |
| Clever Cloud SAS | Frankreich | EU (Frankreich, Region Paris) | Anwendungshosting (Container-/Compute-Laufzeit der versa-Plattform) | Alle Kundendaten (Verarbeitung im laufenden Anwendungsbetrieb) | EU-Verarbeitung (keine internationale Übermittlung) |
| Upstash, Inc. | USA | EU (konfigurierbar) | Ratenbegrenzung (Redis) | IP-Adressen, Anfrage-Metadaten | DPF-zertifiziert (Angemessenheitsbeschluss) |
| Daily.co, Inc. (Pipecat Cloud) | USA | EU (Region „eu") | WebRTC-Transport für Echtzeit-Audio (Sitzungsraum, Audio-Routing) | Audiostreams in Transit, Sitzungsmetadaten | DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung |
| Infomaniak Network SA | Schweiz | Schweiz | E-Mail-Hosting und -Zustellung (SMTP); Versand der Plattform-E-Mails bis zur Umstellung auf Scaleway | E-Mail-Adressen, Benachrichtigungsinhalte | Schweizer Angemessenheitsbeschluss |
| Scaleway SAS | Frankreich | EU (Frankreich) | Versand der Plattform-E-Mails (Transactional Email); löst Infomaniak dafür ab, die Umstellung läuft | E-Mail-Adressen, Benachrichtigungsinhalte | EU-Verarbeitung (keine internationale Übermittlung) |
| Hetzner Online GmbH | Deutschland | EU (Deutschland, Rechenzentren Nürnberg und Falkenstein) | Server für die Fehlerverfolgung und Produktanalyse, die versa selbst betreibt; die Daten gehen an keinen externen Analyse- oder Fehlerverfolgungsanbieter | Fehlerdiagnosedaten: Stacktraces, Fehlermeldungen, Anwendungsprotokolle, Anfrage-Pfad und technische Metadaten, IP-Adresse bei clientseitigen Ereignissen; Nutzungsereignisse: interne Nutzer-ID, Funktionsnutzungs-Ereignisse, Seitenpfade, IP-Adresse, Browserkennung, technische Metadaten, keine gezielt erfassten Namen, E-Mail-Adressen oder Gesprächsinhalte | EU-Verarbeitung (keine internationale Übermittlung) |
KI-Reasoning-Anbieter
Diese Anbieter verarbeiten Text (Eingabeaufforderungen, Transkripte, Dokumentinhalte) für KI-Auswertung, Szenarienerstellung, Coaching-Feedback und die Suche in Wissensdateien. Sie erhalten kein Audio; Ein- und Ausgabe sind nur Text.
| Unterauftragsverarbeiter | Sitz der Einheit | Verarbeitungsort | Zweck | Verarbeitete Daten | Übertragungsmechanismus |
|---|---|---|---|---|---|
| Google LLC (Vertex AI) | USA | EU | KI-Auswertung, Szenarienerstellung | Texteingaben, Transkripte (Text ein / Text aus) | DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung |
| Microsoft Corporation (Azure) | USA | EU (Sweden Central) | KI-Auswertung, Szenarienerstellung | Texteingaben, Transkripte (Text ein / Text aus) | DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung |
| Jina AI GmbH | Deutschland | EU (Deutschland) | Webinhalt-Extraktion (Szenario-Editor) | URLs, extrahierte Webinhalte | EU-Verarbeitung (keine internationale Übermittlung) |
| European Search Perspective (Staan) | Frankreich | EU (OVHcloud) | Websuche für den KI-Assistenten im Szenario-Editor | KI-generierte Suchanfragen (aus dem Editor-Gespräch abgeleitet, max. 400 Zeichen), Sprachraum-Parameter | EU-Verarbeitung (keine internationale Übermittlung) |
| Mistral AI SAS | Frankreich | EU (Frankreich) | Texterkennung (OCR) und Bildbeschreibung hochgeladener Dokumente, KI-Auswertung, KI-Assistent im Szenario-Editor | Inhalte hochgeladener Dokumente und Bilder, Texteingaben, Transkripte (Text ein / Text aus) | EU-Verarbeitung (keine internationale Übermittlung) |
| OVH GmbH (OVHcloud AI Endpoints) | Deutschland | EU | Einbettungen (Vektorisierung) hochgeladener Wissensdateien und von Suchanfragen für die Suche in Wissensdateien | Textabschnitte hochgeladener Wissensdateien, Suchanfragen (Text ein / Vektoren aus) | EU-Verarbeitung (keine internationale Übermittlung) |
| Melious AI GmbH | Deutschland | EU (Rechenzentren von Anbietern in EU-Mitgliedstaaten) | KI-Auswertung und Szenarienerstellung mit offenen Modellen, Einbettungen | Texteingaben, Transkripte, Textabschnitte hochgeladener Wissensdateien (Text ein / Text aus) | EU-Verarbeitung (keine internationale Übermittlung) |
KI-Batch-Transkription
Nach einer Trainingssitzung erstellen wir aus der gespeicherten Aufzeichnung ein Text-Transkript, unabhängig vom gewählten Echtzeit-Anbieter. Das gilt nur für Sitzungen, deren Aufzeichnung gespeichert bleibt; andere Sitzungen erreichen diesen Anbieter nicht. Die Transkription läuft nicht in Echtzeit, und der Anbieter ist nicht wählbar. Transkribiert wird nur die Mikrofonspur der Trainierenden, nicht die Stimme der KI.
Für die Anrufanalyse transkribiert Soniox die Audioaufnahmen realer Gespräche, die Nutzerinnen und Nutzer hochladen. Hochgeladene Transkripte gehen nicht an Soniox.
| Unterauftragsverarbeiter | Sitz der Einheit | Verarbeitungsort | Zweck | Verarbeitete Daten | Übertragungsmechanismus |
|---|---|---|---|---|---|
| OVH GmbH (OVHcloud AI Endpoints) | Deutschland | EU | Nachträgliche Batch-Transkription von Sitzungsaufzeichnungen (Sprache-zu-Text) | Audioaufzeichnungen (Trainee-Sprache), erzeugte Transkripte | EU-Verarbeitung (keine internationale Übermittlung) |
| Soniox Inc. | USA | EU (EU-Region) | Transkription hochgeladener Gesprächsaufnahmen für die Anrufanalyse (Sprache-zu-Text) | Audioaufnahmen realer Gespräche (Stimmen aller Gesprächsbeteiligten), erzeugte Transkripte | EU-Verarbeitung; Standardvertragsklauseln (Module 2 und 3, im AVV enthalten) |
KI-Echtzeit-Gesprächsanbieter
Organisationen und Nutzerinnen und Nutzer wählen für jede Trainingssitzung den KI-Echtzeit-Gesprächsanbieter. Die Wahl bestimmt, welcher Unterauftragsverarbeiter die Audio- und Gesprächsdaten dieser Sitzung erhält.
Die Plattform zeigt zu jedem Anbieter den Sitz und den Übertragungsmechanismus. Organisationen legen fest, welche Anbieter verfügbar sind, passend zu ihren eigenen Datenschutzanforderungen.
Alle standardmäßig verfügbaren Anbieter verarbeiten Daten in der EU. OpenAI (GPT-Live) verarbeitet in den USA und ist nur in Arbeitsbereichen aktiv, in denen es freigeschaltet ist.
| Unterauftragsverarbeiter | Sitz der Einheit | Verarbeitungsort | Zweck | Verarbeitete Daten | Übertragungsmechanismus |
|---|---|---|---|---|---|
| Daily.co, Inc. (Pipecat Cloud) | USA | EU (Region „eu") | Orchestrierung von KI-Echtzeit-Gesprächen (Agentenlaufzeit, Vermittlung zwischen Audio und ausgewähltem KI-Modell) | Audiostreams, Systeminstruktionen, Szenariokonfiguration | DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung |
| Microsoft Corporation (Azure) | USA | EU (Sweden Central) | KI-Echtzeit-Gespräch; Spracheingabe (Diktat) im KI-Assistenten und Mikrofontest | Audiostreams, Transkripte | DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung |
| Google LLC (Vertex AI / Gemini) | USA | EU (Europe West; EU-Multiregion bei Gemini 3.8 Live) | KI-Echtzeit-Gespräch | Audiostreams, Transkripte | DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung |
| OpenAI Ireland Ltd. (GPT-Live) | Irland | USA (Weiterübermittlung an OpenAI OpCo, LLC) | KI-Echtzeit-Gespräch, nur in Arbeitsbereichen, in denen es freigeschaltet ist | Audiostreams, Transkripte | Standardvertragsklauseln (OpenAI-AVV); keine Nutzung für Training |
Erläuterung der Übertragungsmechanismen
- DPF-zertifiziert (Angemessenheitsbeschluss): Der Unterauftragsverarbeiter ist nach dem EU-US-Datenschutzrahmen (Data Privacy Framework) zertifiziert. Die Europäische Kommission hat dafür ein angemessenes Schutzniveau festgestellt (Durchführungsbeschluss 2023/1795). Zusätzliche Schutzmaßnahmen sind nicht nötig.
- Standardvertragsklauseln: Klauseln nach Durchführungsbeschluss (EU) 2021/914 der Kommission, für Unterauftragsverarbeiter ohne DPF-Zertifizierung. versa erstellt für diese Übermittlungen Transfer-Folgenabschätzungen (TFA).
- EU-Verarbeitung: Die Daten werden im Europäischen Wirtschaftsraum verarbeitet; es gibt keine internationale Datenübermittlung.
- Schweizer Angemessenheit: Die Schweiz hat einen Angemessenheitsbeschluss der Europäischen Kommission erhalten.
Unterunterauftragsverarbeiter
Informationen zu Unterunterauftragsverarbeitern unserer Unterauftragsverarbeiter finden Sie hier:
- Microsoft Azure: Microsoft-Auftragsverarbeitungsvertrag
- Supabase: Supabase-Auftragsverarbeitungsvertrag
- Google Cloud: Google Cloud-Auftragsverarbeitungsvertrag
- Daily.co (Pipecat Cloud): Daily.co-Auftragsverarbeitungsvertrag
- Clever Cloud: Clever-Cloud-Auftragsverarbeitungsvertrag
- OVHcloud: OVHcloud-Auftragsverarbeitungsvertrag; Unterauftragsverarbeiter: OVHcloud-Unterauftragsverarbeiter
- Melious: Melious-Auftragsverarbeitungsvertrag mit Liste der Unterauftragsverarbeiter
- Scaleway: Auftragsverarbeitungsvertrag über die Scaleway-Konsole
- Soniox: Auftragsverarbeitungsvertrag und Unterauftragsverarbeiter über die Soniox Console; Informationen zur EU-Region: soniox.com/europe
- Mistral AI: Mistral-AI-Auftragsverarbeitungsvertrag — Unterauftragsverarbeiter: mistral.ai/terms#subprocessors
Fragen? Kontaktieren Sie uns unter privacy@versa.training