Sub-Prozessoren
Dienste, die im Auftrag von AgapeX Personendaten der FlatpeX-Kundinnen und -Kunden bearbeiten.
Version 2.0 · Stand 28. September 2026
Dieses Verzeichnis ist Anhang zum Auftragsbearbeitungsvertrag. Es führt alle Unterauftragsbearbeiter auf, die AgapeX zur Erbringung der FlatpeX-Leistungen beizieht, sowie den Ort, an dem die Daten bearbeitet werden.
Änderungen werden mindestens 30 Tage im Voraus mitgeteilt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen (AVV Ziffer 6.3).
1. Betrieb der Plattform
Diese Dienste sind für jede Nutzung von FlatpeX im Einsatz.
| Dienst | Zweck | Bearbeitungsort |
|---|---|---|
| Supabase (Supabase Inc., Vereinigte Staaten) | Datenbank, Dateispeicher und Benutzerverwaltung — der gesamte Datenbestand des Kunden | Zürich, Schweiz (Region eu-central-2). Support- und Betriebszugriffe des Anbieters können aus Drittstaaten erfolgen; abgesichert durch Standardvertragsklauseln. |
| Hetzner Online GmbH (Deutschland) | Betrieb des Anwendungsservers — verarbeitet die Daten während der Nutzung, speichert sie aber nicht dauerhaft | Nürnberg, Deutschland (EWR) |
Zwei Bearbeitungsorte
Datenbank und Dateispeicher liegen in Zürich. Der Anwendungsserver, der die Daten für die Darstellung im Browser aufbereitet, steht in Deutschland und damit im Europäischen Wirtschaftsraum. Für die Übermittlung dorthin sind keine zusätzlichen Garantien erforderlich.
2. Künstliche Intelligenz
| Dienst | Zweck | Bearbeitungsort |
|---|---|---|
| Mistral AI SAS (Frankreich) | Assistent, Vorstrukturierung von Vorgängen, Auswertungen, Texterkennung, Entwurfsvorschläge, Bildauswertung, Vektorisierung für die Dokumentensuche | Europäische Union |
Die KI-Funktionen der Plattform werden in der Europäischen Union erbracht. Ausgenommen ist der telefonische Sprachassistent: Er läuft bei ElevenLabs in den Vereinigten Staaten (Ziffer 3). An den Dienst werden nur die für die jeweilige Funktion erforderlichen Inhalte übermittelt, etwa der Text einer Meldung, ein Dokumentausschnitt oder ein Foto. Die erzeugten Vektordarstellungen für die Dokumentensuche werden in der Datenbank in Zürich gespeichert. Der Anbieter darf die übermittelten Daten nicht zum Training von Modellen verwenden.
3. Kommunikation
| Dienst | Zweck | Bearbeitungsort |
|---|---|---|
| Nylas Inc. (Vereinigte Staaten) | Anbindung des E-Mail-Postfachs des Kunden: Empfang, Synchronisation und Versand von Nachrichten. Zudem Versand von Einladungs- und Anmelde-E-Mails über das Plattform-Postfach von AgapeX | Vereinigte Staaten — Drittstaat. Der Anbieter ist nach dem Swiss-U.S. Data Privacy Framework zertifiziert, das der Bundesrat als angemessen anerkennt. |
| Google Ireland Ltd. / Google LLC (Google Workspace) | Versand der E-Mails zum Zurücksetzen des Passworts und zur Bestätigung des Kontos. Übermittelt werden E-Mail-Adresse und Bestätigungslink. | Rechenzentren von Google, auch in den Vereinigten Staaten — Drittstaat. Google LLC ist nach dem Swiss-U.S. Data Privacy Framework zertifiziert. |
| Pingen AG (Schweiz) | Physischer Briefversand einschliesslich Einschreiben — nur bei gebuchtem Briefversand | Schweiz |
| ElevenLabs Inc. | Telefonischer Sprachassistent: Gesprächsführung mit künstlicher Intelligenz, Transkription — nur bei gebuchter KI-Telefonie | Vereinigte Staaten — Drittstaat, abgesichert durch Standardvertragsklauseln. Das Sprachmodell für die Gesprächsführung bezieht ElevenLabs bei einem eigenen Unterauftragsbearbeiter, derzeit OpenAI (Vereinigte Staaten). Dorthin geht der Gesprächstext. |
| Twilio Inc. / Twilio Ireland Ltd. | Bereitstellung und Anbindung von Telefonnummern — nur bei gebuchter KI-Telefonie | Irland (Nummernbetrieb); einzelne Verwaltungsfunktionen in den Vereinigten Staaten, abgesichert durch Standardvertragsklauseln |
| Expo / 650 Industries Inc. | Zustellung von Push-Nachrichten an die mobilen Anwendungen | Vereinigte Staaten — Drittstaat. Der Anbieter ist nach dem Swiss-U.S. Data Privacy Framework zertifiziert. Übermittelt werden Gerätekennung und Nachrichteninhalt der Benachrichtigung. |
Tonaufzeichnungen
Bei gebuchter KI-Telefonie werden Transkript und Tonaufzeichnung des Gesprächs in der Datenbank in Zürich gespeichert. ElevenLabs behält keine Kopie: Nach der Übertragung zu FlatpeX wird das Gespräch dort gelöscht, bei einer Störung spätestens nach 14 Tagen. Der Kunde legt die Aufbewahrungsdauer in FlatpeX fest (90 Tage, 6 Monate oder 12 Monate; ohne Wahl 12 Monate) oder löscht von Hand; er kann jederzeit einzeln oder vollständig löschen. Auf die Aufzeichnung ist am Gesprächsbeginn hinzuweisen; dafür ist der Kunde verantwortlich.
4. Weitere Funktionen
| Dienst | Zweck | Bearbeitungsort |
|---|---|---|
| Skribble AG (Schweiz) | Elektronische Signatur (AES und QES) — nur bei gebuchter Signaturfunktion. Wird der Dienst mit einem eigenen Zugang des Kunden betrieben, besteht das Vertragsverhältnis zwischen dem Kunden und Skribble. | Schweiz |
| Bundesamt für Landestopografie swisstopo (geo.admin.ch) | Adresssuche und Gebäudeidentifikation. Übermittelt wird die eingegebene Adresse, keine Personendaten. | Schweiz |
| OpenStreetMap Foundation | Kartendarstellung. Die Kartenausschnitte lädt der Browser direkt beim Dienst; dieser erhält dabei die IP-Adresse und den angezeigten Ausschnitt. | Europa |
Programmbibliotheken
Zwei Bestandteile laden eine Programmbibliothek von einem öffentlichen Auslieferungsnetz: die Anzeige von PDF-Dokumenten in der Bewohner-App (cdnjs, Cloudflare Inc., Vereinigte Staaten) und die technische Dokumentation der Programmierschnittstelle (jsDelivr). Der Anbieter erhält dabei die IP-Adresse des Geräts, aber keine Inhalte aus FlatpeX.
5. Nicht als Unterauftragsbearbeiter eingesetzt
Der Vollständigkeit halber: Die folgenden Bestandteile laufen in der eigenen Infrastruktur von AgapeX oder geben keine Personendaten an Dritte weiter.
- Umwandlung von Dokumenten in PDF — läuft in einem eigenen Container auf derselben Infrastruktur.
- Schriftarten werden von der eigenen Website ausgeliefert; beim Seitenaufruf findet kein Abruf bei Dritten statt.
- Web-Analyse, Werbenetzwerke und Fehlerüberwachung durch Dritte werden nicht eingesetzt.
- Vorschläge zu Postleitzahl und Ort in Adressformularen bezieht der Server von FlatpeX bei openplzapi.org (STÜBER SYSTEMS GmbH, Deutschland). Übermittelt wird nur die eingegebene Postleitzahl, keine Personendaten.
Ebenfalls kein Unterauftragsbearbeiter im Sinne dieses Verzeichnisses ist Calendly (Vereinigte Staaten). Der Dienst wird ausschliesslich für die Buchung von Demonstrationsterminen auf der Website eingesetzt. Dabei ist AgapeX eigenständig Verantwortliche; Einzelheiten regelt die Datenschutzerklärung.
Richtet der Kunde eine Anbindung an sein eigenes ERP- oder Buchhaltungssystem ein, übermittelt FlatpeX die dafür vorgesehenen Daten auf seine Weisung an dieses System. Empfänger ist der Kunde selbst beziehungsweise ein von ihm beauftragter Anbieter; AgapeX zieht dabei keinen eigenen Unterauftragsbearbeiter bei. Für die Bearbeitung im Zielsystem ist der Kunde verantwortlich (Ziffer 2.7 der AGB).
6. Änderungen
Dieses Verzeichnis wird bei jeder Änderung mit neuer Versionsnummer veröffentlicht. Kunden werden mindestens 30 Tage vor Wirksamwerden informiert. Anfragen zu einzelnen Diensten und Nachweise zu den Garantien für Drittstaaten sind erhältlich unter info@agapex.ch.