Übersicht der Kategorien von Sub-Processors gemäss DSGVO Art. 28 Abs. 2 und 3 sowie revDSG Art. 9 Abs. 3 · Stand: 2026-10-02
Für den Betrieb der Plattform setzt die Anbieterin Sub-Processors ein. Diese Seite führt die Kategorien der aktuellen Unter-Auftragsverarbeiter mit Zweck, Datenarten, Ort der Bearbeitung und Vertragsgrundlage. Die namentliche Liste der Sub-Processors ist Bestandteil des Auftragsbearbeitungsvertrags. Die Seite wird bei Änderungen aktualisiert; Kunden können gemäss AGB Ziff. 15 begründete Einwände innert 30 Tagen erheben.
| Kategorie | Zweck | Daten | Ort | Vertragsgrundlage |
|---|---|---|---|---|
| Rechenzentrum, Anwendung und Dateiablage | Betrieb der Anwendung (Rechenleistung) und Datei-Speicher, Redaktion von Personendaten vor der Ablage im unveränderbaren Prüfprotokoll | Operative Daten der Plattform, abgelegte Dateien, Audit-Logs | Schweiz | Auftragsverarbeitungsvertrag (DPA) mit dem Anbieter, gültig |
| Schlüsselverwahrung | Schlüsselverwaltung (Schlüsselhoheit liegt bei der Anbieterin) | Schlüsselmaterial | Schweiz | Auftragsverarbeitungsvertrag (DPA) mit dem Anbieter, gültig |
| Datenbank | Datenbank-Hosting | Operative Daten, feldverschlüsselte Angaben, Audit-Trails | Schweiz | Auftragsverarbeitungsvertrag (DPA) mit dem Anbieter |
| KI-Rechenleistung | KI-Auswertung von Dokumenten | Dokumente, die zur KI-Auswertung übergeben werden | EU | Auftragsverarbeitungsvertrag (DPA) mit dem Anbieter, gültig |
| E-Mail-Versand | Transaktionaler Mail-Versand | System-Benachrichtigungen, Login-Mails, Reports | EU | Auftragsverarbeitungsvertrag (DPA) mit dem Anbieter |
| Netzwerkschutz | Schutz vor Angriffen inklusive Formular-Schutz (Login, Registrierung, Kontaktformulare) | Verbindungsdaten, Inhalte nur flüchtig im Arbeitsspeicher | Nächstgelegener Netzknoten, für die Schweiz in der Regel Zürich oder Genf | Auftragsverarbeitungsvertrag (DPA) mit dem Anbieter |
| Anbindung an das E-Mail- und Kalendersystem des Kunden | Nur soweit der Kunde die Anbindung nutzt: Ausstellung und Prüfung der Anmelde-Token für das Outlook-Add-in. Bei vom Kunden eingeschalteter Integration zusätzlich Kalender- und Mail-Abgleich mit dem Arbeitsplatz des Kunden (Microsoft 365). Für den Inhalt einer Mail, die der Berater im Add-in öffnet, ist der Anbieter des Kundensystems nicht Unter-Auftragsverarbeiter der Anbieterin: dieser Inhalt liegt im Mandanten des Kunden bei Microsoft 365, für den der Kunde seinen eigenen Vertrag mit dem Anbieter hat | Anmelde-Token; bei eingeschalteter Integration Termine, Nachrichten und deren Anhänge | Anmeldedienst des Kundensystems, global erreichbar; den Datenraum bestimmt der Mandant des Kunden. Für den Abgleich der Datenraum der Umgebung, die der Kunde bei Microsoft 365 betreibt | Datenschutz-Zusatz des Anbieters (Data Protection Addendum); Vertragspartei und Ablage werden erfasst |
Operative Daten der Plattform (Datenbank, Dateispeicher, Audit-Logs) werden in der Schweiz gespeichert. Die KI-Rechenleistung wird in Rechenzentren in der EU erbracht; die Kategorie ist in der obigen Tabelle aufgeführt. Der Mail-Versand läuft über einen Anbieter in der EU. Der Netzwerkschutz arbeitet am nächstgelegenen Netzknoten, für die Schweiz in der Regel Zürich oder Genf; er verarbeitet Verbindungsdaten, Inhalte nur flüchtig im Arbeitsspeicher. Für allgemeine Markt- und News-Recherchen nutzt die Plattform eine Internet-Suche. Kunden- und Dokumentdaten gehen dabei nicht an die Suche. Der Kalender- und Mail-Abgleich mit Microsoft 365 läuft nur, wenn der Kunde die Integration einschaltet. Die Verarbeitung findet dann in der Arbeitsplatz-Umgebung statt, die der Kunde selbst betreibt; deren Datenraum bestimmt er mit seiner eigenen Konfiguration. Für das Outlook-Add-in stellt der Anmeldedienst des Kundensystems die Anmelde-Token aus; der Inhalt einer im Add-in geöffneten Mail verbleibt im Mandanten des Kunden bei Microsoft 365, bis der Berater die Ablage in der Plattform selbst auslöst. Für etwaige Transfers in Drittstaaten gelten die Standardvertragsklauseln (SCC) der Europäischen Kommission.
Mit jedem Sub-Processor der oben gelisteten Kategorien besteht ein Auftragsverarbeitungsvertrag. Die DPAs sind im internen Compliance-Archiv abgelegt und werden Kunden auf Anfrage zur Einsicht bereitgestellt, soweit dies vertraglich oder gesetzlich erforderlich ist.
Die Anbieterin informiert Kunden über geplante Wechsel oder Ergänzungen der Sub-Processor-Liste. Einwände sind gemäss AGB Ziff. 15 innert 30 Tagen schriftlich an security [at] sothura [dot] com zu richten. Bei berechtigten datenschutz- oder sicherheitsrelevanten Einwänden steht dem Kunden ein Sonderkündigungsrecht zu, sofern keine gleichwertige Alternative angeboten werden kann.
SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Kanton Solothurn. Eingetragen im Handelsregister des Kantons Solothurn, UID CHE-429.131.582. Die Geschäftsführung liegt bei Silvio Siegenthaler und Michel Di Vito, Zeichnungsberechtigung Kollektivunterschrift zu zweien. Die vollständige Anbieterkennzeichnung steht im Impressum.