Unterauftragsverarbeiter

Was sich gegenüber der Fassung vom 6. September 2026 geändert hat

Neue Kategorie „KI-Batch-Transkription": Infomaniak Network SA verarbeitet zusätzlich zu seiner bestehenden Rolle beim E-Mail-Hosting nun auch Sitzungsaufzeichnungen (Trainee-Audio) zur nachträglichen Text-Transkription nach Abschluss einer Trainingssitzung. Die Verarbeitung erfolgt nicht in Echtzeit, ist nicht durch Nutzerinnen, Nutzer oder Organisationen auswählbar und betrifft nur Sitzungen, deren Aufzeichnung beibehalten wird. Übertragungsmechanismus: Schweizer Angemessenheitsbeschluss, derselbe bereits für die E-Mail-Rolle dieses Anbieters genutzte Mechanismus.

Dieses Dokument listet die von der versa Training GmbH eingesetzten Unterauftragsverarbeiter auf, die zur Erbringung der versa-Plattform genutzt werden. Unterauftragsverarbeiter verarbeiten Daten ausschließlich auf Grundlage unserer dokumentierten Weisungen im Rahmen geeigneter Auftragsverarbeitungsverträge.

Diese Seite ist die maßgebliche Liste der Unterauftragsverarbeiter, auf die in Anhang 3 des Auftragsverarbeitungsvertrags (AVV) verwiesen wird.

Änderungen dieser Liste werden Kundinnen und Kunden gemäß Abschnitt 9.2 des Auftragsverarbeitungsvertrags (AVV) mindestens 7 Tage im Voraus mitgeteilt.

Hinweis zur Datennutzung: Die Verwendung von Kundendaten für eigene Trainingszwecke der Anbieter ist ausgeschlossen. versa vereinbart den Ausschluss vorrangig vertraglich und setzt ihn andernfalls über die vom Anbieter bereitgestellten Kontoeinstellungen um. Ist er auf keinem dieser Wege erreichbar, ist das in dieser Liste beim betreffenden Anbieter ausgewiesen (AVV Abschnitt 9.4).

---

Infrastruktur und Plattform

Unterauftragsverarbeiter	Sitz der Einheit	Verarbeitungsort	Zweck	Verarbeitete Daten	Übertragungsmechanismus
Supabase Inc.	USA / Singapur (Datenimporteur laut SVK)	EU (AWS Frankfurt)	Datenbank, Authentifizierung, Dateispeicherung	Alle Kundendaten	EU-Verarbeitung; Standardvertragsklauseln (Module 2 & 3)
Clever Cloud SAS	Frankreich	EU (Frankreich, Region Paris)	Anwendungshosting (Container-/Compute-Laufzeit der versa-Plattform)	Alle Kundendaten (Verarbeitung im laufenden Anwendungsbetrieb)	EU-Verarbeitung (keine internationale Übermittlung)
Microsoft Corporation (Azure Container Apps)	USA	EU (West Europe, Niederlande)	Anwendungshosting (Container-/Compute-Laufzeit der versa-Plattform)	Alle Kundendaten (Verarbeitung im laufenden Anwendungsbetrieb)	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung
Upstash, Inc.	USA	EU (konfigurierbar)	Ratenbegrenzung (Redis)	IP-Adressen, Anfrage-Metadaten	DPF-zertifiziert (Angemessenheitsbeschluss)
Daily.co, Inc. (Pipecat Cloud)	USA	EU (Region „eu")	WebRTC-Transport für Echtzeit-Audio (Sitzungsraum, Audio-Routing)	Audiostreams in Transit, Sitzungsmetadaten	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung
Infomaniak Network SA	Schweiz	Schweiz	E-Mail-Hosting und -Zustellung (SMTP)	E-Mail-Adressen, Benachrichtigungsinhalte	Schweizer Angemessenheitsbeschluss
PostHog, Inc.	USA	EU (AWS Frankfurt, eu-central-1)	Produktanalyse (pseudonyme Nutzungsereignisse)	Pseudonyme Nutzungsereignisse: interne Nutzer-ID, Funktionsnutzungs-Ereignisse, technische Metadaten — keine Gesprächsinhalte, keine Namen oder E-Mail-Adressen	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung
Bugsink B.V.	Niederlande	EU (Niederlande)	Fehler- und Ereignis-Tracking (Anwendungsdiagnose)	Fehlerdiagnosedaten: Stacktraces, Fehlermeldungen, Anfrage-Pfad und technische Metadaten, IP-Adresse bei clientseitigen Ereignissen — keine gezielt erfassten Namen, E-Mail-Adressen oder Gesprächsinhalte	EU-Verarbeitung (keine internationale Übermittlung)

Anwendungshosting: versa kann die Plattform bei einem der beiden gelisteten Anwendungshoster betreiben. Beide verarbeiten ausschließlich in der EU.

KI-Reasoning-Anbieter

Diese Anbieter verarbeiten Textdaten (Eingabeaufforderungen, Transkripte) für die KI-Auswertung, Szenarienerstellung und Coaching-Feedback. An diese Dienste werden keine Audiodaten übermittelt – Eingabe und Ausgabe erfolgen ausschließlich als Text.

Unterauftragsverarbeiter	Sitz der Einheit	Verarbeitungsort	Zweck	Verarbeitete Daten	Übertragungsmechanismus
Google LLC (Vertex AI)	USA	EU	KI-Auswertung, Szenarienerstellung	Texteingaben, Transkripte (Text ein / Text aus)	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung
Microsoft Corporation (Azure)	USA	EU (Sweden Central)	KI-Auswertung, Szenarienerstellung	Texteingaben, Transkripte (Text ein / Text aus)	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung
Jina AI GmbH	Deutschland	EU (Deutschland)	Webinhalt-Extraktion (Szenario-Editor)	URLs, extrahierte Webinhalte	EU-Verarbeitung (keine internationale Übermittlung)
European Search Perspective (Staan)	Frankreich	EU (OVHcloud)	Websuche für den KI-Assistenten im Szenario-Editor	KI-generierte Suchanfragen (aus dem Editor-Gespräch abgeleitet, max. 400 Zeichen), Sprachraum-Parameter	EU-Verarbeitung (keine internationale Übermittlung)
Mistral AI SAS	Frankreich	EU (Frankreich)	Texterkennung (OCR) hochgeladener Dokumente, Einbettungen, KI-Auswertung	Inhalte hochgeladener Dokumente, Texteingaben, Transkripte (Text ein / Text aus)	EU-Verarbeitung (keine internationale Übermittlung)

KI-Batch-Transkription

Nach Abschluss einer Trainingssitzung wird die serverseitig gespeicherte Audioaufzeichnung – sofern die Sitzung eine Aufzeichnung behält (retain_recording) – für eine nachträgliche Text-Transkription verwendet, unabhängig vom für das Echtzeit-Gespräch gewählten Anbieter. Diese Verarbeitung erfolgt nicht in Echtzeit und ist nicht durch Nutzerinnen, Nutzer oder Organisationen auswählbar. Sitzungen ohne Aufzeichnungs- Beibehaltung erreichen diesen Anbieter nicht.

Unterauftragsverarbeiter	Sitz der Einheit	Verarbeitungsort	Zweck	Verarbeitete Daten	Übertragungsmechanismus
Infomaniak Network SA	Schweiz	Schweiz	Nachträgliche Batch-Transkription von Sitzungsaufzeichnungen (Sprache-zu-Text)	Audioaufzeichnungen (Trainee-Sprache), erzeugte Transkripte	Schweizer Angemessenheitsbeschluss

KI-Echtzeit-Gesprächsanbieter

Die versa-Plattform ermöglicht es Organisationen und Nutzerinnen und Nutzern, für jede Trainingssitzung den zu verwendenden KI-Echtzeit- Gesprächsanbieter auszuwählen. Die Wahl des Anbieters bestimmt, welcher Unterauftragsverarbeiter Audio- und Gesprächsdaten für diese Sitzung erhält.

Die Zuständigkeit des Anbieters und der Übertragungsmechanismus werden in der Plattformoberfläche angezeigt. Organisationen konfigurieren die Anbieterverfügbarkeit entsprechend ihren eigenen Datenschutzanforderungen.

Alle standardmäßig verfügbaren Anbieter verarbeiten Daten innerhalb der EU (siehe Hinweis zu xAI unten für den einzigen Anbieter außerhalb der Standardkonfiguration).

Unterauftragsverarbeiter	Sitz der Einheit	Verarbeitungsort	Zweck	Verarbeitete Daten	Übertragungsmechanismus
Daily.co, Inc. (Pipecat Cloud)	USA	EU (Region „eu")	Orchestrierung von KI-Echtzeit-Gesprächen (Agentenlaufzeit, Vermittlung zwischen Audio und ausgewähltem KI-Modell)	Audiostreams, Systeminstruktionen, Szenariokonfiguration	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung
Microsoft Corporation (Azure)	USA	EU (Sweden Central)	KI-Echtzeit-Gespräch	Audiostreams, Transkripte	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung
Google LLC (Vertex AI / Gemini)	USA	EU (Europe West)	KI-Echtzeit-Gespräch	Audiostreams, Transkripte	DPF-zertifiziert (Angemessenheitsbeschluss); EU-Verarbeitung

Hinweis zu xAI: xAI Corp. (Grok) ist kein standardmäßig verfügbarer Anbieter und deshalb nicht in obiger Tabelle gelistet - neue Arbeitsbereiche haben ihn nicht freigeschaltet. xAI wird nur hinzugefügt, wenn ein Kunde dies ausdrücklich anfordert und im Auftragsformular vereinbart; ohne eine solche Vereinbarung erhält xAI keine Daten. Wird xAI vereinbart, verarbeitet es in den USA (KI-Echtzeit-Gespräch; Audiostreams, Transkripte) auf Grundlage von Standardvertragsklauseln (nicht DPF-zertifiziert); eine Transfer-Folgenabschätzung liegt vor und wird auf Anfrage übermittelt. Bei xAI ist zudem der Ausschluss der Trainingsnutzung weder vertraglich noch über Kontoeinstellungen erreichbar - xAI beansprucht in seinen Nutzungsbedingungen das Recht, de-identifizierte, aus der Nutzung abgeleitete Daten für eigene Modellverbesserung zu verwenden.

---

Erläuterung der Übertragungsmechanismen

• DPF-zertifiziert (Angemessenheitsbeschluss): Der Unterauftragsverarbeiter ist im Rahmen des EU-US-Datenschutzrahmens (Data Privacy Framework) zertifiziert. Die Europäische Kommission hat festgestellt, dass dieser ein angemessenes Schutzniveau bietet (Durchführungsbeschluss 2023/1795). Zusätzliche Schutzmaßnahmen sind nicht erforderlich.
• Standardvertragsklauseln: Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission. Sie werden für Unterauftragsverarbeiter verwendet, die nicht im Rahmen des DPF zertifiziert sind. versa führt für diese Übermittlungen Transfer-Folgenabschätzungen (TFA) durch.
• EU-Verarbeitung: Die Daten werden innerhalb des Europäischen Wirtschaftsraums verarbeitet. Es erfolgt keine internationale Datenübermittlung.
• Schweizer Angemessenheit: Die Schweiz hat einen Angemessenheitsbeschluss der Europäischen Kommission erhalten.

Unterunterauftragsverarbeiter

Informationen zu Unterunterauftragsverarbeitern unserer Unterauftragsverarbeiter finden Sie hier:

• Microsoft Azure: Microsoft-Auftragsverarbeitungsvertrag
• Supabase: Supabase-Auftragsverarbeitungsvertrag
• PostHog: PostHog-Auftragsverarbeitungsvertrag — Unterauftragsverarbeiter: posthog.com/subprocessors
• Google Cloud: Google Cloud-Auftragsverarbeitungsvertrag
• Daily.co (Pipecat Cloud): Daily.co-Auftragsverarbeitungsvertrag
• Clever Cloud: Clever-Cloud-Auftragsverarbeitungsvertrag
• Bugsink: Bugsink-Auftragsverarbeitungsvertrag — Unterauftragsverarbeiter: Hetzner (EU-Hosting)
• Mistral AI: Mistral-AI-Auftragsverarbeitungsvertrag — Unterauftragsverarbeiter: mistral.ai/terms#subprocessors

---

Fragen? Kontaktieren Sie uns unter privacy@versa.training