Wie werden Datentransfers in Drittländer abgesichert?
amaise bietet dedizierte Datenzonen für EU, CH und US an. Kundendaten verbleiben strikt in der zugewiesenen Region:
EU-Datenzone: Die Kerndatenverarbeitung (Dokumente, Datenbank, KI) erfolgt in der EU/Schweiz.
CH-Datenzone: Schweizer Kundendaten werden ausschliesslich in der Schweiz gespeichert und verarbeitet (AWS Zürich, Azure OpenAI Switzerland North).
US-Datenzone: Die Kerndatenverarbeitung erfolgt in den USA. Die Daten verlassen niemals die USA.
Unterstützende Dienste mit US-Bezug verarbeiten keine Kundendokumentinhalte:
Auth0/Okta — Benutzeranmeldedaten und Authentifizierungsereignisse (US-Kunden in der Auth0-Region US; EU- und CH-Kunden in der Auth0-Region EU)
Twilio — Zustellung von SMS-Einmalcodes für MFA (nur Telefonnummer)
Intercom — Support-Chat und Help Center (Name, E-Mail-Adresse und Organisation der Person, Support-Gespräche)
Sentry — Fehlerberichte (so konfiguriert, dass sie möglichst wenige Personendaten enthalten; nur die pseudonyme Benutzer-ID)
Mixpanel — Produktanalysen (Name und E-Mail-Adresse der angemeldeten Person, in Such- und Filterfelder eingegebener Text, an die Piloten gestellte Fragen, Session Replay mit vollständig maskiertem Text; keine Dokumentinhalte, keine Suchergebnisse). Die Daten werden in der EU-Datenregion von Mixpanel gespeichert.
Slack — Interne Kommunikation (Feedback zu KI-Antworten, mit der E-Mail-Adresse der Person)
Gravatar — Profilbilder (Einweg-Hash der E-Mail-Adresse)
Perplexity — Optionale Webrecherche, nur wenn die Recherchequellen oder LegalPilot für einen Workspace aktiviert sind (Suchanfragen und Fragen an LegalPilot; keine Dokumente)
Die vollständige Liste findet sich in der Übersicht der Unterauftragsverarbeiter.
Alle Transfers in die USA werden durch DSGVO-Standardvertragsklauseln (SCCs) und die Auftragsverarbeitungsverträge (DPAs) der jeweiligen Anbieter abgesichert. Für jeden US-Transfer wurde ein Transfer Impact Assessment (TIA) gemäss Schrems II durchgeführt und dokumentiert. Die TIA-Dokumentation wird Kunden auf Anfrage zur Verfügung gestellt.
Die USA stehen nicht auf der EDÖB-Angemessenheitsliste — daher sind SCCs und ergänzende Massnahmen (TIA) erforderlich.