Auftragsverarbeitungsvertrag

Letzte Aktualisierung: 11. August 2026

Zwischen dem Business Kunden, nachfolgend Verantwortlicher genannt, und der Solid Technologies AG, handelnd als Mono, nachfolgend Auftragsverarbeiter genannt.

1. Gegenstand der Vereinbarung Der Auftragsverarbeiter erbringt für den Verantwortlichen Dienstleistungen im Bereich der Künstlichen Intelligenz über die Mono Plattform. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

2. Kategorien betroffener Personen und Art der Daten Die Verarbeitung umfasst Textdaten, Dokumente und Eingaben, die der Verantwortliche in die Mono Plattform überträgt. Davon betroffen sind Mitarbeitende, Kunden und Geschäftspartner des Verantwortlichen. Mit Ausnahme des nachstehend beschriebenen begrenzten Falls sind besondere Kategorien personenbezogener Daten ausdrücklich von der Verarbeitung ausgeschlossen. Insbesondere dürfen Gesundheitsdaten oder medizinische Daten über Dritte nicht in Mono eingegeben werden, es sei denn, sie wurden zuvor irreversibel anonymisiert. Auch eigene Gesundheitsdaten der nutzenden Person bleiben besonders schützenswerte Personendaten und erfordern eine besondere Behandlung. Sie dürfen nur eingegeben werden, wenn der Verantwortliche eine gültige Rechtsgrundlage geschaffen und alle zusätzlichen Anforderungen für solche Daten erfüllt hat, einschliesslich der Einholung einer ausdrücklichen Einwilligung, soweit diese erforderlich ist.

3. Nutzung für Trainingszwecke Eingaben und generierte Ausgaben des Verantwortlichen werden nicht für das Training, die Verbesserung oder die Feinabstimmung der eingesetzten KI Modelle verwendet, es sei denn, eine autorisierte nutzende Person stimmt einer möglichen Trainingsnutzung gemäss Ziffer 4 ausdrücklich zu. Soweit die Trainingsnutzung ausgeschlossen werden kann, stellt der Auftragsverarbeiter dies durch vertragliche API Vereinbarungen oder Einstellungen beim Anbieter sicher.

4. Ort der Datenverarbeitung Die physische Speicherung und das Hosting der Kundendaten erfolgen ausschliesslich auf Servern in Frankfurt, Deutschland. Für die Generierung der Antworten werden Daten temporär an externe KI Schnittstellen übermittelt. Einige Modell Anbieter können Anfrage und Antwortdaten sowie zugehörige Metadaten bis zu 30 Tage lang in Protokollen zur Sicherheits und Missbrauchsüberwachung speichern, bevor sie gelöscht werden. Falls ein ausgewählter Anbieter übermittelte Daten für das Training verwenden kann, insbesondere wenn sich diese Nutzung nicht vertraglich ausschliessen lässt, weist die Mono Benutzeroberfläche vor der Übermittlung klar darauf hin. Die autorisierte nutzende Person muss der Fortsetzung ausdrücklich zustimmen; ohne diese Zustimmung werden die Daten nicht an diesen Anbieter gesendet.

5. Unterauftragsverarbeiter Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter für die Bereitstellung der KI Modelle zu:

• Google
• OpenAI
• Anthropic
• OpenRouter

Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern.

6. Internationale Datentransfers Sofern bei der Nutzung der Unterauftragsverarbeiter ein Datentransfer in die USA stattfindet, stützt sich der Auftragsverarbeiter bei zertifizierten Unternehmen auf die Angemessenheitsbeschlüsse der Schweiz und der EU. Dies erfolgt konkret auf Basis des Swiss US Data Privacy Framework sowie des EU US Data Privacy Framework. Für Anbieter ohne diese Zertifizierung, wie Anthropic und OpenRouter, schliesst der Auftragsverarbeiter die Standardvertragsklauseln der Europäischen Kommission als Rechtsgrundlage für den sicheren Datentransfer ab.

7. Technische und organisatorische Massnahmen Der Auftragsverarbeiter gewährleistet die Sicherheit der Daten durch strenge technische Massnahmen. Alle Daten werden sowohl bei der Übertragung als auch bei der Speicherung auf den Festplatten vollständig verschlüsselt. Der Zugriff auf die Produktionsdatenbank unterliegt restriktiven Zugangskontrollen und ist ausschliesslich auf den Geschäftsführer Jonas Kamber beschränkt. Es haben keine weiteren Mitarbeitenden oder externe Dienstleister Zugriff auf die Daten des Verantwortlichen.

8. Löschung der Daten Gelöschte Chatverläufe oder Accountdaten werden nach Zweckerfüllung aus den aktiven Systemen entfernt. Der Auftragsverarbeiter garantiert, dass sämtliche gelöschten Daten nach einer Frist von maximal 30 Tagen endgültig und unwiderruflich aus allen Backups und Archiven vernichtet werden.