Unterauftragnehmer (Sub-Processors)
Letzte Aktualisierung: 31. August 2026
rednea setzt zur Erbringung ihres KI-Telefonassistenten-Dienstes die folgenden Unterauftragsbearbeiter ein. Mit den eingesetzten Unterauftragsbearbeitern bestehen Auftragsverarbeitungsverträge; die Nachweise werden derzeit vervollständigt und archiviert.
Aktuelle Unterauftragsbearbeiter
| Unternehmen | Zweck | Standort Datenverarbeitung | Firmensitz | Garantien | ||||
|---|---|---|---|---|---|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung, Speicherung sämtlicher Gesprächsinhalte und Aufnahmen | Schweiz (Infrastruktur Infomaniak Network SA, Genf) | USA | DPA, SCC | ||||
| Telnyx LLC | Telefonie, SIP-Trunking, Anrufzustellung, SMS | Global | USA | Swiss-U.S. DPF (zertifiziert)¹, DPA | ||||
| Google LLC | Echtzeit-Sprachverarbeitung im Gespräch; Gesprächszusammenfassungen; Wissensbasis (Antworten und Embeddings) | Global | USA | Swiss-U.S. DPF (zertifiziert)¹, DPA | ||||
| Google Cloud³ | Betrieb der Voice-Bridge (Cloud Run), Betriebsprotokolle, Secret Manager | Zürich (`europe-west6`) | siehe Fussnote | DPA | ||||
| Vercel Inc. | Web-Hosting; KI-Gateway für Gesprächszusammenfassungen | Global | USA | Swiss-U.S. DPF (zertifiziert)¹, DPA | ||||
| OpenAI Inc. | Gesprächszusammenfassung (Variante «Pro»), via Vercel AI Gateway | Global | USA | SCC, DPA | ||||
| Resend (Plus Five Five, Inc.) | Versand der Zusammenfassungs-E-Mails (enthalten Anrufername, Rückrufnummer, Anliegen), Authentifizierungs- und Einladungsmails | EU (`eu-west-1`) | USA | DPA, SCC | ||||
| ElevenLabs Inc.² | Text-to-Speech (TTS), Speech-to-Text (STT) | EU | UK | Angemessenheitsbeschluss UK (Bundesrat) | KI-Sprachmodell (LLM) | Global | USA | — (nicht eingesetzt) |
Integrationen auf Weisung des Kunden
Diese Anbieter erhalten Termindaten, weil der Kunde sie in seiner Konfiguration hinterlegt hat. Vertragspartner ist der Kunde; rednea handelt auf dessen Weisung.
| Anbieter | Zweck | Standort |
|---|---|---|
| Cal.com | Terminbuchung im Kalender des Kunden | Anbieterseitig |
| eTermin | Terminbuchung im System des Kunden | Anbieterseitig (Schweiz/EU) |
¹ *Zertifizierung unter dem Swiss-U.S. Data Privacy Framework, verifiziert am 18. August 2026 auf dataprivacyframework.gov. DPF-zertifizierte Unternehmen verfügen über ein vom Bundesrat anerkanntes angemessenes Datenschutzniveau (Art. 16 Abs. 1 DSG). Für nicht zertifizierte Anbieter sind EU-Standardvertragsklauseln (SCC) vereinbart (Art. 16 Abs. 2 DSG).*
² *Dieser Anbieter wird derzeit nicht eingesetzt. Die Zeile steht hier, weil ein Einsatz für den genannten Zweck vorbereitet ist; vor einer Aufnahme in den Datenpfad informieren wir gemäss den Bestimmungen unten.*
³ *Die Cloud-Infrastruktur ist von den KI-Modellen zu unterscheiden: Der Betrieb der Voice-Bridge erfolgt in der Google-Cloud-Region Zürich (`europe-west6`), die KI-Modelle laufen über Google LLC (USA). Die genaue Vertragspartei für die Cloud-Infrastruktur wird derzeit anhand der Vertragsunterlagen bestätigt und hier nachgetragen.*
Hinweise
Speicherung ausschliesslich in der Schweiz: Alle dauerhaft gespeicherten Daten (Kundendaten, Transkriptionen, Gesprächszusammenfassungen, Aufnahmen, Metadaten) werden ausschliesslich in der Schweiz bei Supabase auf Infrastruktur der Infomaniak Network SA (Genf) gehostet — konform mit DSG und DSGVO.
Transiente Verarbeitung: Telnyx, Google, OpenAI und Vercel verarbeiten Daten ausschliesslich transient — das heisst, Daten werden in Echtzeit verarbeitet und nicht dauerhaft gespeichert. Die Garantien für Bekanntgaben ins Ausland sind je Anbieter in der Tabelle ausgewiesen (Swiss-U.S. DPF bzw. SCC). Daten werden nicht für das Training von KI-Modellen verwendet.
Belege:
- Swiss-U.S. DPF-Zertifizierungen (Google LLC, Vercel Inc., Telnyx): dataprivacyframework.gov/list
- Google — keine Nutzung von Eingaben/Ausgaben zur Produktverbesserung im bezahlten Dienst: ai.google.dev/gemini-api/terms
- Vercel AI Gateway — Ausschluss von Prompt-Training: vercel.com/docs/ai-gateway/security-and-compliance/disallow-prompt-training
- OpenAI API — keine Nutzung von API-Daten für Modelltraining: openai.com/enterprise-privacy
- Supabase — Hosting-Infrastruktur: supabase.com/security
Swiss-U.S. Data Privacy Framework (DPF): Am 14. August 2024 hat der Bundesrat das Swiss-U.S. Data Privacy Framework anerkannt (in Kraft seit 15. September 2024). US-Unternehmen, die unter dem DPF zertifiziert sind, verfügen über ein angemessenes Datenschutzniveau. Der Zertifizierungsstatus kann unter dataprivacyframework.gov geprüft werden. Ergänzend werden mit allen US-Anbietern DPAs und — wo als Rückfallposition empfohlen — EU-Standardvertragsklauseln vereinbart.
Änderungen an dieser Liste: Wir informieren unsere Kunden mindestens 30 Tage im Voraus über Änderungen. Kunden können der Beauftragung neuer Unterauftragsbearbeiter gemäss den Bestimmungen des DPA widersprechen.
Kontakt
Bei Fragen zu unseren Unterauftragsbearbeitern: datenschutz@fonea.ch