> ## Documentation Index
> Fetch the complete documentation index at: https://docs.there.do/llms.txt
> Use this file to discover all available pages before exploring further.

# Vereinbarung zur Auftragsverarbeitung (AVV)

> Pflichten von There als Auftragsverarbeiter der personenbezogenen Daten, die es im Auftrag seiner Kunden verarbeitet, im Sinne von Artikel 28 DSGVO.

Zuletzt aktualisiert am 23. Oktober 2026.

Diese Vereinbarung zur Auftragsverarbeitung (die «Vereinbarung») regelt die Verarbeitung personenbezogener Daten, die THERE («There») im Rahmen der Dienste im Auftrag seiner gewerblichen Kunden (der «Kunde») durchführt, gemäss Artikel 28 der Verordnung (EU) 2016/679 (die «DSGVO»).

Sie orientiert sich an den von der Europäischen Kommission angenommenen Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern (Durchführungsbeschluss (EU) 2021/915).

Die französische Fassung dieser Vereinbarung ist massgebend; diese deutsche Fassung dient nur der Information.

## Auf einen Blick

* **Rollen:** Der Kunde ist Verantwortlicher. There ist Auftragsverarbeiter und handelt ausschliesslich auf seine Weisung.
* **Hosting:** Die Datenbank und die Dateien werden in der Europäischen Union gehostet. Übermittlungen ausserhalb der EU durch einzelne Unterauftragsverarbeiter sind durch die Standardvertragsklauseln der Europäischen Kommission abgesichert.
* **KI:** Die Daten des Kunden werden nicht zum Training von KI-Modellen verwendet. Mit dem Tarif Business kann der Kunde die KI-Modelle auf Mistral AI beschränken, dessen Verarbeitung in der EU stattfindet.
* **Datenschutzverletzung:** There benachrichtigt den Kunden innerhalb von achtundvierzig (48) Stunden, nachdem es davon Kenntnis erlangt hat.
* **Unterauftragsverarbeiter:** Die Liste steht in Anhang 3. Jeder neue Unterauftragsverarbeiter wird dreissig (30) Tage im Voraus angekündigt, und der Kunde kann widersprechen.
* **Audits:** There stellt die erforderliche Dokumentation bereit und akzeptiert höchstens ein Audit pro Jahr, auf Kosten des Kunden, der es verlangt.
* **Ende der Geschäftsbeziehung:** Export der Daten innerhalb von dreissig (30) Tagen auf Anfrage, danach Löschung innerhalb von dreissig (30) Tagen, wenn der Kunde seine Organisation löscht oder dies verlangt.
* **Kontakt:** [privacy@there.do](mailto:privacy@there.do).

## Artikel 1 — Gegenstand und Geltungsbereich

1.1. Diese Vereinbarung ist fester Bestandteil der [Allgemeinen Verkaufsbedingungen](https://docs.there.do/de/legal/terms-of-sale.md) (die «AVB»), die bei der Erstellung einer Organisation akzeptiert werden. Sie gilt für jede Organisation, unabhängig davon, ob sie einen kostenlosen oder einen kostenpflichtigen Tarif nutzt, ohne dass eine gesonderte Unterschrift erforderlich ist. Die Administratoren bestehender Organisationen werden per E-Mail über ihre Veröffentlichung informiert. Ein Kunde, der dies wünscht, kann eine unterschriebene Fassung anfordern, indem er an [privacy@there.do](mailto:privacy@there.do) schreibt.

1.2. Die Vereinbarung gilt für die personenbezogenen Daten, die der Kunde und seine Nutzenden in den Diensten erfassen, importieren, aufnehmen oder teilen und die There im Auftrag des Kunden verarbeitet (die «Kundendaten»).

1.3. Die Vereinbarung gilt nicht für Daten, die There für eigene Zwecke als Verantwortlicher verarbeitet, insbesondere für die Pflege der Geschäftsbeziehung, die Rechnungsstellung, die Kundenakquise und die Reichweitenmessung seiner Websites. Diese Verarbeitungen sind in der [Datenschutzerklärung](https://docs.there.do/de/legal/privacy-policy.md) beschrieben.

1.4. Bei Widersprüchen zwischen der Vereinbarung und den AVB, den [Nutzungsbedingungen](https://docs.there.do/de/legal/terms-of-service.md) oder der Datenschutzerklärung geht die Vereinbarung in allen Fragen des Schutzes der Kundendaten vor. Für eine Übermittlung abgeschlossene Standardvertragsklauseln gehen der Vereinbarung in ihrem Anwendungsbereich vor.

## Artikel 2 — Begriffsbestimmungen

Die Begriffe «personenbezogene Daten», «Verarbeitung», «Verantwortlicher», «Auftragsverarbeiter», «betroffene Person», «Verletzung des Schutzes personenbezogener Daten» und «Aufsichtsbehörde» haben die Bedeutung, die ihnen die DSGVO gibt. Die übrigen grossgeschriebenen Begriffe haben die Bedeutung, die ihnen die AVB geben.

«Unterauftragsverarbeiter» bezeichnet jeden Dienstleister, den There beizieht und der Kundendaten verarbeitet.

## Artikel 3 — Rollen der Parteien

3.1. Der Kunde handelt als Verantwortlicher. There handelt als Auftragsverarbeiter.

3.2. Handelt der Kunde selbst als Auftragsverarbeiter im Auftrag eines Dritten, handelt There als Unterauftragsverarbeiter. Der Kunde garantiert in diesem Fall, dass er berechtigt ist, There beizuziehen, und dass seine Weisungen mit denen seines eigenen Verantwortlichen übereinstimmen.

## Artikel 4 — Beschreibung der Verarbeitung

Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Kategorien von Daten und die Kategorien betroffener Personen sind in Anhang 1 beschrieben.

## Artikel 5 — Weisungen des Kunden

5.1. There verarbeitet die Kundendaten ausschliesslich auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen ausserhalb der Europäischen Union, sofern keine abweichende gesetzliche Pflicht besteht. In diesem Fall teilt There dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Gesetz dies nicht verbietet.

5.2. Dokumentierte Weisungen des Kunden sind: die AVB, die Nutzungsbedingungen und diese Vereinbarung; die Konfiguration und Nutzung der Dienste durch den Kunden und seine berechtigten Nutzenden, insbesondere die Wahl der aktivierten Funktionen, KI-Modelle und Integrationen; jede andere von There akzeptierte schriftliche Weisung.

5.3. There informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder eines Mitgliedstaats verstösst. There kann die Ausführung der betreffenden Weisung dann aussetzen, bis der Kunde sie bestätigt oder ändert.

5.4. Vorbehaltlich Artikel 5.5 verarbeitet There die Kundendaten nicht für eigene Zwecke. Insbesondere verkauft There die Kundendaten nicht und verwendet sie nicht zum Training von Modellen der künstlichen Intelligenz. Seine Unterauftragsverarbeiter, die KI-Dienste erbringen, haben sich vertraglich verpflichtet, sie nicht zu diesem Zweck zu verwenden.

5.5. There verarbeitet als Verantwortlicher die Daten zur Nutzung der Dienste: Konto- und Verbindungsdaten, technische Protokolldateien, Nutzungsereignisse und den Austausch mit dem Support. Es verwendet sie, um die Dienste bereitzustellen, abzusichern, zu warten und zu verbessern, die Nutzenden zu unterstützen und Statistiken zu erstellen, wie in der Datenschutzerklärung beschrieben. Diese Verarbeitungen betreffen nicht den Inhalt der Notizen, Dokumente und Dateien des Kunden, ausser soweit dies zur Diagnose eines Vorfalls oder zur Bearbeitung einer Supportanfrage erforderlich ist.

## Artikel 6 — Pflichten des Kunden

Der Kunde:

* stellt die Rechtmässigkeit der Verarbeitungen sicher, die er There überträgt, und verfügt für jede davon über eine Rechtsgrundlage;
* informiert die betroffenen Personen, insbesondere die Personen, die bei einer Sprachnotiz aufgenommen werden (siehe [Teilnehmende informieren](https://docs.there.do/de/features/notes/informing-participants.md));
* erfasst besondere Kategorien von Daten (Artikel 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Artikel 10 DSGVO) in den Diensten nur, wenn dies unbedingt erforderlich ist, und in eigener Verantwortung;
* verwaltet die Zugänge seiner Nutzenden und die Sichtbarkeit seiner Inhalte in den Diensten.

## Artikel 7 — Vertraulichkeit

There stellt sicher, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugang zu den Kundendaten ist auf die Teammitglieder beschränkt, die ihn benötigen, um die Dienste bereitzustellen, zu warten oder abzusichern oder um eine Anfrage des Kunden zu beantworten.

## Artikel 8 — Sicherheit

8.1. There trifft die in Artikel 32 DSGVO vorgesehenen geeigneten technischen und organisatorischen Massnahmen, die in Anhang 2 beschrieben sind.

8.2. There überprüft, bewertet und evaluiert die Wirksamkeit dieser Massnahmen regelmässig. Es kann sie weiterentwickeln, sofern das Gesamtniveau der Sicherheit der Kundendaten nicht gesenkt wird.

## Artikel 9 — Unterauftragsverarbeiter

9.1. Der Kunde erteilt There eine allgemeine Genehmigung, Unterauftragsverarbeiter beizuziehen. Die Liste der aktuellen Unterauftragsverarbeiter steht in Anhang 3.

9.2. There informiert den Kunden über jede Hinzunahme oder jeden Austausch eines Unterauftragsverarbeiters mindestens dreissig (30) Tage im Voraus, per E-Mail an die Administratoren der Organisation und durch Aktualisierung von Anhang 3. Ist ein Austausch aus einem dringenden Grund der Sicherheit oder der Kontinuität des Dienstes erforderlich, informiert There den Kunden so bald wie möglich, und der Kunde kann ab dieser Information gemäss Artikel 9.3 widersprechen.

9.3. Der Kunde kann dieser Änderung vor Ablauf der Informationsfrist schriftlich widersprechen, aus einem objektiven und dokumentierten Grund, der die Fähigkeit des neuen Unterauftragsverarbeiters betrifft, die Datenschutzvorschriften einzuhalten. There kann dann eine Lösung vorschlagen, zum Beispiel die Kundendaten diesem Unterauftragsverarbeiter nicht anzuvertrauen oder die betreffende Funktion für die Organisation zu deaktivieren. Wird innerhalb von dreissig (30) Tagen nach dem Widerspruch keine Lösung gefunden, kann der Kunde als einzigen Rechtsbehelf sein Abonnement kündigen und die Löschung seiner Organisation gemäss Artikel 14.3 verlangen, ohne Vertragsstrafe. There erstattet ihm dann die vorausbezahlten Beträge für den verbleibenden Zeitraum. Widerspricht der Kunde nicht innerhalb der Informationsfrist, gilt die Änderung als angenommen.

9.4. There erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die mindestens denen dieser Vereinbarung entsprechen. There haftet gegenüber dem Kunden weiterhin vollumfänglich für die Erfüllung dieser Pflichten durch seine Unterauftragsverarbeiter.

9.5. Integrationen, die der Kunde selbst in den Diensten aktiviert (zum Beispiel ein E-Mail-Konto, ein Kalender oder ein Dokumentenmanagementsystem), sind keine Unterauftragsverarbeiter von There. Die an diese Dienste übermittelten Daten werden auf Weisung des Kunden übermittelt und unterliegen dem Vertrag zwischen dem Kunden und deren Anbieter.

## Artikel 10 — Übermittlungen ausserhalb der Europäischen Union

10.1. Die Anwendungsdatenbank wird in Frankfurt, Deutschland, gehostet, und die Dateien werden in der Europäischen Union gespeichert.

10.2. Einige Unterauftragsverarbeiter haben ihren Sitz ausserhalb des Europäischen Wirtschaftsraums oder können Kundendaten dort verarbeiten, auch durch Fernzugriff. Diese Übermittlungen stützen sich auf einen der folgenden Mechanismen:

* einen Angemessenheitsbeschluss der Europäischen Kommission, einschliesslich des EU-US-Datenschutzrahmens (EU-U.S. Data Privacy Framework), nur wenn der Empfänger für den betreffenden Dienst danach zertifiziert ist;
* andernfalls die von der Europäischen Kommission angenommenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), Modul 3 (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter), ergänzt um die erforderlichen zusätzlichen Massnahmen.

Der Kunde kann eine Kopie der für eine Übermittlung geltenden Garantien anfordern, indem er an [privacy@there.do](mailto:privacy@there.do) schreibt.

10.3. Ist eine Übermittlungsgarantie nicht mehr anwendbar, setzt There die betreffende Übermittlung aus, bis eine andere gültige Garantie eingerichtet ist, oder beendet die betreffende Verarbeitung. Soweit das Gesetz es erlaubt, informiert There den Kunden über jedes Ersuchen einer Behörde eines Drittlands um Zugang zu Kundendaten.

10.4. Mit dem Tarif Business können die Administratoren der Organisation die verwendbaren KI-Modelle auf die Modelle von Mistral AI beschränken, deren Verarbeitung in der Europäischen Union stattfindet (siehe [Zugelassene Modelle auswählen](https://docs.there.do/de/features/document/ai/space-bar.md)). Die Audiotranskription wird weiterhin von AssemblyAI über seine europäische Infrastruktur erbracht.

## Artikel 11 — Unterstützung des Kunden

11.1. Unter Berücksichtigung der Art der Verarbeitung unterstützt There den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Massnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte. Mit den Diensten kann der Kunde die meisten Kundendaten einsehen, bearbeiten, exportieren und löschen. Erhält There einen solchen Antrag direkt, leitet es ihn an den Kunden weiter, ohne selbst darauf zu antworten, sofern keine anderslautende Weisung vorliegt.

11.2. Unter Berücksichtigung der ihm zur Verfügung stehenden Informationen unterstützt There den Kunden bei der Einhaltung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde.

## Artikel 12 — Verletzung des Schutzes personenbezogener Daten

12.1. There meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, innerhalb von höchstens achtundvierzig (48) Stunden, nachdem es davon Kenntnis erlangt hat, auch wenn ihm die Verletzung von einem Unterauftragsverarbeiter gemeldet wird.

12.2. Die Meldung wird an die Administratoren der Organisation gerichtet. Sie beschreibt, soweit diese Informationen verfügbar sind: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung und zur Abmilderung ihrer Auswirkungen. Informationen, die nicht sofort verfügbar sind, werden schrittweise nachgereicht: Die erste Meldung wartet nicht auf den Abschluss der Untersuchungen.

12.3. There ergreift unverzüglich die erforderlichen Massnahmen, um die Verletzung einzudämmen und ihre Folgen zu begrenzen. Der Kunde entscheidet über Meldungen an die Aufsichtsbehörde und Benachrichtigungen der betroffenen Personen; There nimmt sie nur auf Weisung oder aufgrund einer gesetzlichen Pflicht an seiner Stelle vor. Die Meldung stellt kein Anerkenntnis einer Haftung dar.

## Artikel 13 — Dokumentation und Audits

13.1. There stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten nach Artikel 28 DSGVO nachzuweisen: diese Vereinbarung und ihre Anhänge, die Seite [Sicherheit und Datenschutz](https://docs.there.do/de/account/security-and-privacy.md) und die Antworten auf angemessene Sicherheitsfragebögen des Kunden.

13.2. Reichen diese Informationen nicht aus, kann der Kunde ein Audit, einschliesslich einer Inspektion, selbst durchführen oder durch eine unabhängige Prüfstelle durchführen lassen, die nicht im Wettbewerb mit There steht und zur Verschwiegenheit verpflichtet ist. Das Audit:

* ist auf einmal pro Zeitraum von zwölf (12) Monaten beschränkt, ausser bei einer Datenschutzverletzung, die Kundendaten betrifft, oder auf Ersuchen einer Aufsichtsbehörde;
* wird mit einer Frist von mindestens dreissig (30) Tagen und einem im Voraus festgelegten Umfang angekündigt;
* findet vorzugsweise aus der Ferne und während der Geschäftszeiten statt, ohne die Dienste zu stören oder Zugang zu den Daten anderer Kunden zu gewähren;
* erfolgt auf Kosten des Kunden, der es verlangt, einschliesslich der vom Team von There aufgewendeten Zeit, auf der Grundlage eines vorherigen Kostenvoranschlags.

13.3. Der Kunde übergibt There eine Kopie des Auditberichts, der eine vertrauliche Information darstellt.

13.4. There stellt die in diesem Artikel vorgesehenen Informationen der zuständigen Aufsichtsbehörde auf deren Anfrage zur Verfügung.

## Artikel 14 — Dauer, Rückgabe und Löschung der Daten

14.1. Die Vereinbarung gilt, solange There Kundendaten verarbeitet, unabhängig davon, ob die Organisation einen kostenlosen oder einen kostenpflichtigen Tarif nutzt. Die Kündigung eines kostenpflichtigen Abonnements führt gemäss den AVB nicht zur Löschung der Organisation oder ihrer Inhalte.

14.2. Der Kunde kann seine Daten jederzeit abrufen: für einen Teil davon direkt in den Diensten oder durch einen vollständigen Export, den There auf Anfrage an [hello@there.do](mailto:hello@there.do) innerhalb von dreissig (30) Tagen erstellt.

14.3. Der Kunde verlangt die Löschung seiner Daten, indem er seine Organisation in den Einstellungen der Dienste löscht oder einen schriftlichen Antrag an [privacy@there.do](mailto:privacy@there.do) richtet. There löscht die Kundendaten dann innerhalb von dreissig (30) Tagen. Bei einem schriftlichen Antrag bestätigt There die Löschung per E-Mail. Kopien in Sicherungen werden im Zuge von deren Rotation gelöscht, spätestens fünfunddreissig (35) Tage nach der Löschung. Bis dahin bleiben sie durch diese Vereinbarung geschützt und dienen nur einer allfälligen Wiederherstellung. Bringt eine Wiederherstellung gelöschte Daten zurück, löscht There sie erneut.

14.4. Kundendaten, die There nach dem Recht der Union oder eines Mitgliedstaats aufbewahren muss, werden nur für die erforderliche Dauer aufbewahrt und anschliessend gelöscht.

14.5. There leitet die Löschanweisungen an seine Unterauftragsverarbeiter weiter. Einige technische Kopien bleiben dort für eine begrenzte Dauer bestehen, die in Anhang 3 angegeben ist: Protokolle des Gateways zu den KI-Modellen (7 Tage), Aufbewahrung durch die Anbieter der KI-Modelle zur Erkennung von Missbrauch (bis zu 30 Tage, 55 Tage bei Google). Auf Anfrage teilt There dem Kunden mit, welche Restkopien bestehen und wann sie ablaufen.

14.6. Die Pflichten aus dieser Vereinbarung gelten fort, solange There Kundendaten besitzt.

## Artikel 15 — Haftung

Abweichend von den AVB ist die Gesamthaftung von There aus dieser Vereinbarung, für alle schadensbegründenden Ereignisse zusammen, auf den höheren der folgenden Beträge begrenzt: (i) die Beträge exkl. Steuern, die der Kunde in den zwölf (12) Monaten vor dem ersten schadensbegründenden Ereignis tatsächlich für die Dienste bezahlt hat, und (ii) eintausend (1000) Euro. Die übrigen Haftungsbestimmungen der AVB gelten, insbesondere der Ausschluss indirekter Schäden. Diese Beschränkungen gelten nicht bei grober Fahrlässigkeit oder Vorsatz und nicht, soweit das Gesetz sie verbietet. Diese Beschränkungen schränken weder die Rechte der betroffenen Personen, insbesondere nach Artikel 82 DSGVO, noch die Pflichten aus den für eine Übermittlung abgeschlossenen Standardvertragsklauseln ein.

## Artikel 16 — Änderung der Vereinbarung

There kann diese Vereinbarung ändern, um Entwicklungen der Rechtsvorschriften, der Dienste oder seiner Unterauftragsverarbeiter Rechnung zu tragen, ohne das Schutzniveau der Kundendaten zu senken. Wesentliche Änderungen werden den Administratoren der Organisation mindestens dreissig (30) Tage vor ihrem Inkrafttreten mitgeteilt. Wechsel von Unterauftragsverarbeitern folgen dem Verfahren nach Artikel 9.

## Artikel 17 — Anwendbares Recht und Kontakt

17.1. Diese Vereinbarung unterliegt französischem Recht. Streitigkeiten werden den in den AVB bezeichneten Gerichten vorgelegt.

17.2. Bei Fragen zu dieser Vereinbarung oder zum Schutz der Kundendaten wenden Sie sich an die Ansprechstelle für Datenschutz von There: [privacy@there.do](mailto:privacy@there.do) oder THERE, 231 rue Saint-Honoré, 75001 Paris, Frankreich.

## Anhang 1 — Beschreibung der Verarbeitung

| Element | Beschreibung |
| - | - |
| Gegenstand | Bereitstellung der Dienste von There: Notizen auf der Baustelle, Verfassen und Verteilen von Dokumenten und Protokollen, Zusammenarbeit innerhalb einer Organisation. |
| Art der Vorgänge | Erhebung, Erfassung, Hosting, Synchronisierung zwischen Geräten, Organisation, Indexierung für die Suche, Audiotranskription (Sprachnotizen und Spracheingabe in Echtzeit), KI-Erstellung von Inhalten auf Anfrage, Konvertierung von Dateien, Erstellung von PDFs, Teilen, Export, Benachrichtigung und Löschung. |
| Zweck | Bereitstellung, Wartung, Absicherung und Support der Dienste für den Kunden. |
| Dauer | Während der gesamten Nutzung der Dienste durch den Kunden, danach bis zur Löschung gemäss Artikel 14. |
| Betroffene Personen | Nutzende des Kunden (Angestellte, Mitarbeitende, Gäste); Empfänger geteilter Dokumente; in den Inhalten des Kunden erwähnte, fotografierte oder aufgenommene Personen (zum Beispiel an der Baustelle Beteiligte, Kunden des Kunden, Sitzungsteilnehmende). |
| Kategorien von Daten | Identifikations- und Kontaktdaten (Name, Vorname, E-Mail-Adresse, Telefonnummer, Funktion, Unternehmen); Verbindungs- und Nutzungsdaten (Kennungen, technische Protokolldateien, IP-Adresse); Inhalte (Notizen, Dokumente, Fotos, Videos, Dateien, Audioaufnahmen und Transkriptionen, an There übermittelte E-Mails und WhatsApp-Nachrichten, Aufgaben, Anwesenheiten, importierte Kalendertermine). |
| Sensible Daten | Die Dienste erfordern keine. Der Kunde kann solche Daten jedoch in eigener Verantwortung erfassen (Artikel 6). Die Audioaufnahmen werden nicht zur Identifizierung von Personen verwendet. |
| Ort der Verarbeitung | Europäische Union für die Datenbank und die Dateien; für die Unterauftragsverarbeiter siehe Anhang 3. |

## Anhang 2 — Technische und organisatorische Massnahmen

| Bereich | Massnahmen |
| - | - |
| Hosting | Datenbank bei Neon in Frankfurt (Deutschland) gehostet; Dateien auf Cloudflare R2 in der Europäischen Union gespeichert; Ausführung der Anwendung auf der Infrastruktur von Cloudflare, in Europa angesiedelt. |
| Verschlüsselung | Verschlüsselte Übertragung (HTTPS/TLS); ruhende Daten von den Hosting-Anbietern verschlüsselt. |
| Zugangskontrolle | Authentifizierung über Clerk; Trennung der Daten nach Organisation; Rollen (Administrator, Mitglied, Gast); Sichtbarkeit für jede Notiz einzeln einstellbar; Multi-Faktor-Authentifizierung für die Administrationskonten von There vorgeschrieben; Zugang des Teams von There auf die Personen beschränkt, die ihn benötigen, und bei ihrem Ausscheiden entzogen. |
| Schutz des Dienstes | Netzwerk- und Bot-Schutz von Cloudflare; Prüfung der Signatur eingehender Webhooks; Anwendungsgeheimnisse zentral in einem Secrets-Manager verwaltet. |
| Sicherung und Kontinuität | Minutengenaue Wiederherstellung über die letzten 7 Tage; tägliche Sicherungen 30 Tage aufbewahrt, wöchentliche 5 Wochen, monatliche 1 Monat; RTO von 48 Stunden und RPO von 24 Stunden. |
| Überwachung | Fehlerverfolgung (Sentry, in der EU gehostet); öffentliche Statusseite [status.there.do](https://status.there.do/). |
| Tests und Bewertung | KI-gestützte Sicherheitsaudits des Codes und der Infrastruktur (Webanwendung und Integrationen, danach Berechtigungen und Trennung zwischen Organisationen) mit Nachverfolgung der Korrekturen; automatisierte Tests; laufend ausgelieferte Korrekturen. |
| Schwachstellen | Überwachung der Abhängigkeiten (Dependabot) und regelmässige Aktualisierungen. |
| Umgang mit Vorfällen | Verfahren zur Behandlung von Vorfällen und zur Meldung von Datenschutzverletzungen (Artikel 12). |
| Unterauftragsverarbeiter | Datenschutzverträge mit jedem Unterauftragsverarbeiter; Verpflichtung der KI-Anbieter, ihre Modelle nicht mit den übermittelten Daten zu trainieren. |
| Personal | Verpflichtung zur Vertraulichkeit der Personen mit Zugang zu Kundendaten. |

## Anhang 3 — Unterauftragsverarbeiter

| Unterauftragsverarbeiter | Erbrachte Leistung | Ort der Verarbeitung | Garantien bei Übermittlung | Eigene Aufbewahrung des Unterauftragsverarbeiters |
| - | - | - | - | - |
| Neon, Inc. | Anwendungsdatenbank | Deutschland (Frankfurt) | Standardvertragsklauseln (Zugriff aus den Vereinigten Staaten) | Folgt den Löschungen von There; Sicherungen gemäss Anhang 2 |
| Cloudflare, Inc. | Hosting der Anwendung, Speicherung der Dateien, Suche, Gateway zu den KI-Modellen, Netzwerkschutz | Europäische Union; weltweites Netzwerk für die Weiterleitung von Anfragen | Standardvertragsklauseln | Protokolle des KI-Gateways (Anfragen und Antworten): 7 Tage; Cache der Antworten: 24 Stunden |
| Clerk, Inc. | Authentifizierung der Nutzenden | Vereinigte Staaten | Standardvertragsklauseln | Gemäss den Bedingungen von Clerk |
| Journey Mobile, Inc. (PowerSync) | Offline-Synchronisierung der mobilen App | Europäische Union | Standardvertragsklauseln (Gesellschaft mit Sitz in den Vereinigten Staaten) | Folgt den Löschungen von There |
| AssemblyAI, Inc. | Audiotranskription der Sprachnotizen und Spracheingabe in Echtzeit im KI-Assistenten | Europäische Union (europäische Infrastruktur) | Standardvertragsklauseln (Gesellschaft mit Sitz in den Vereinigten Staaten) | Audiodateien: 48 Stunden; Transkriptionen: von There gelöscht, sobald sie gespeichert sind, in der Praxis wenige Minuten nach der Transkription, spätestens ab einem Tag (bei AssemblyAI eingestellte Aufbewahrungsfrist); Transkription in Echtzeit: keine Aufbewahrung |
| Anthropic Ireland, Limited | Generative KI-Funktionen (Standardmodell) | Vereinigte Staaten | Standardvertragsklauseln | Bis zu 30 Tage (Erkennung von Missbrauch) |
| OpenAI Ireland Ltd | Generative KI-Funktionen | Vereinigte Staaten | Standardvertragsklauseln | Bis zu 30 Tage (Erkennung von Missbrauch) |
| Google (Gemini API) | Generative KI-Funktionen | Vereinigte Staaten | Standardvertragsklauseln | Bis zu 55 Tage (Erkennung von Missbrauch) |
| Mistral AI | Generative KI-Funktionen | Europäische Union | — | Bis zu 30 Tage (Erkennung von Missbrauch) |
| LlamaIndex, Inc. | Textextraktion aus importierten Dokumenten | Europäische Union (europäische Infrastruktur) | Standardvertragsklauseln (Gesellschaft mit Sitz in den Vereinigten Staaten) | 48 Stunden |
| Tiptap GmbH | Konvertierung importierter Word-Dateien | Deutschland | — | Gemäss den Bedingungen von Tiptap |
| Scaleway SAS | Erstellung der PDF-Dateien | Frankreich | — | Für die Dauer der Erstellung |
| Plus Five Five, Inc. (Resend) | Versand von E-Mails und Empfang importierter E-Mails | Irland | Standardvertragsklauseln (Gesellschaft mit Sitz in den Vereinigten Staaten) | 30 Tage |
| Twilio Ireland Limited | Versand von SMS | Vereinigte Staaten | Standardvertragsklauseln | Gemäss den Bedingungen von Twilio |
| WhatsApp Ireland Limited | Empfang von Nachrichten und Sprachnotizen, die über WhatsApp gesendet werden | Europäische Union und Vereinigte Staaten | Standardvertragsklauseln | Gemäss den Bedingungen von WhatsApp Business |
| 650 Industries, Inc. (Expo) | Versand von Push-Benachrichtigungen an die mobile App | Vereinigte Staaten | Standardvertragsklauseln | Gemäss den Bedingungen von Expo |
| Functional Software, Inc. (Sentry) | Fehlerverfolgung | Europäische Union (Deutschland) | — | 90 Tage |
| PostHog, Inc. | Messung der Produktnutzung und Aufzeichnung von Nutzungsabläufen (Session Recording), mit maskierten Inhalten des Editors | Europäische Union | Standardvertragsklauseln (Gesellschaft mit Sitz in den Vereinigten Staaten) | Gemäss den Projekteinstellungen |
| Gleap GmbH | Support und Rückmeldungen der Nutzenden | Europäische Union | — | Gemäss den Bedingungen von Gleap |
| Attio Limited | Nachverfolgung von Anfragen zum Import von Dokumenten: Name und E-Mail-Adresse der anfragenden Person, Name der Organisation, Namen und Links der Dateien | Vereinigtes Königreich | Angemessenheitsbeschluss (Vereinigtes Königreich) | Gemäss den Bedingungen von Attio |


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.