Auftragsverarbeitungsvereinbarung

Letzte Aktualisierung: 03.10.2026

Diese Auftragsverarbeitungsvereinbarung ("AVV") ist ein Zusatz zum Service Agreement ("Vereinbarung") zwischen der Ruler GmbH ("Tale", "wir", "uns", "unsere") und der Entität oder Person, die die Vereinbarung akzeptiert ("Kunde", "du", "dein"). Sie gilt, soweit Tale personenbezogene Daten im Auftrag des Kunden im Rahmen der Leistungserbringung verarbeitet. Mit Abschluss der Vereinbarung schließt der Kunde diese AVV im eigenen Namen und, soweit nach anwendbarem Datenschutzrecht erforderlich, im Namen seiner autorisierten Nutzer und verbundenen Unternehmen ab. Diese AVV tritt mit dem Datum der Vereinbarung in Kraft.

1. Definitionen

Begriffe in Großschreibung, die hier nicht definiert sind, haben die in der Vereinbarung festgelegten Bedeutungen.

"Anwendbares Datenschutzrecht" — das Schweizer Bundesgesetz über den Datenschutz (FADP/nDSG) samt Verordnungen, die EU-Datenschutz-Grundverordnung (DSGVO) und jede weitere anwendbare Datenschutzgesetzgebung, jeweils in der aktuellen Fassung.

"Verantwortlicher" — die Entität, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Für diese AVV ist der Kunde der Verantwortliche.

"Datenschutzvorfall" — eine Verletzung der Sicherheit, die zur zufälligen oder widerrechtlichen Zerstörung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung oder zum unbefugten Zugriff auf personenbezogene Daten führt, die Tale im Auftrag des Kunden verarbeitet.

"Betroffene Person" — die identifizierte oder identifizierbare natürliche Person, auf die sich die personenbezogenen Daten beziehen.

"Personenbezogene Daten" — alle Informationen über eine identifizierte oder identifizierbare natürliche Person, die Tale im Auftrag des Kunden im Rahmen der Leistungen verarbeitet.

"Verarbeitung" — jeder Vorgang im Zusammenhang mit personenbezogenen Daten, ob automatisiert oder nicht.

"Auftragsverarbeiter" — die Entität, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Für diese AVV ist Tale der Auftragsverarbeiter.

"Unterauftragsverarbeiter" — jede Dritt-Partei, die Tale für die Verarbeitung personenbezogener Daten im Auftrag des Kunden einsetzt. Die aktuelle Liste steht in Anhang A.

2. Umfang und Details der Verarbeitung

2.1 Rollen

Der Kunde ist Verantwortlicher. Tale ist Auftragsverarbeiter. Tale verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung und Pflege der Leistungen gemäß Vereinbarung und nach den dokumentierten Weisungen des Kunden.

2.2 Details der Verarbeitung

2.3 Pflichten des Kunden

Der Kunde:

a) verfügt über eine gültige Rechtsgrundlage nach anwendbarem Datenschutzrecht für die Verarbeitung und für die Beauftragung von Tale;

b) hat gegenüber den Betroffenen alle notwendigen Informationen bereitgestellt und alle notwendigen Einwilligungen oder Berechtigungen eingeholt;

c) stellt sicher, dass seine Weisungen an Tale dem anwendbaren Datenschutzrecht entsprechen;

d) ist allein für die Genauigkeit, Qualität und Rechtmäßigkeit der übermittelten personenbezogenen Daten verantwortlich.

3. Weisungen des Kunden

Der Kunde weist Tale an, personenbezogene Daten in dem Umfang zu verarbeiten, der zur Leistungserbringung gemäß Vereinbarung erforderlich ist. Zusätzliche oder abweichende Weisungen erfordern eine schriftliche Vereinbarung. Kommt Tale zum Schluss, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt, informiert Tale den Kunden unverzüglich und kann die betroffene Verarbeitung aussetzen, bis eine rechtmäßige Weisung vorliegt.

4. Pflichten von Tale als Auftragsverarbeiter

Tale:

a) verarbeitet personenbezogene Daten nur auf Grundlage dokumentierter Weisungen des Kunden — einschließlich dieser AVV und der Vereinbarung —, soweit nicht gesetzlich anders vorgeschrieben (in letzterem Fall informiert Tale den Kunden vor der Verarbeitung, sofern gesetzlich zulässig);

b) stellt sicher, dass zur Verarbeitung berechtigte Personen einer Vertraulichkeitspflicht unterliegen;

c) implementiert und pflegt die technischen und organisatorischen Maßnahmen gemäß Abschnitt 7;

d) setzt keinen Unterauftragsverarbeiter ein, der nicht Abschnitt 6 entspricht;

e) unterstützt den Kunden — unter Berücksichtigung der Art der Verarbeitung und der Tale verfügbaren Informationen — bei Anfragen Betroffener (Abschnitt 9), bei Datensicherheit, Meldung von Vorfällen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden;

f) löscht oder gibt nach Wahl des Kunden alle personenbezogenen Daten am Ende der Leistungserbringung zurück (Abschnitt 13);

g) stellt dem Kunden alle Informationen bereit, die zum Nachweis der Einhaltung dieser AVV erforderlich sind, und wirkt an Audits mit (Abschnitt 10).

5. KI-Verarbeitung — keine Nutzung zum Training oder zur Verbesserung

5.1 Kein Training, kein Fine-Tuning, keine Modell-Verbesserung

Tale nutzt personenbezogene Daten — einschließlich Prompts, Eingaben, Ausgaben, Embeddings, Audio-Payloads, Bildern oder daraus abgeleiteten Artefakten — nicht, um KI- oder Machine-Learning-Modelle zu trainieren, fein zu justieren, zu evaluieren, zu benchmarken oder anderweitig zu verbessern — weder eigene Modelle noch jene von Dritten. Personenbezogene Daten werden ausschließlich zur Erbringung der angeforderten Ausgabe für den konkreten Aufruf verarbeitet.

5.2 Pflichten der Unterauftragsverarbeiter zum Training

Jeder in Anhang A aufgeführte KI-Unterauftragsverarbeiter ist — über die zwischen Tale und dem jeweiligen Anbieter geltenden Enterprise- oder API-Bedingungen — vertraglich verpflichtet, eingespeiste Kunden-Payloads nicht zum Training, Fine-Tuning oder zur Verbesserung seiner Modelle oder Dienste zu nutzen. Tale weist diese Bedingungen auf zumutbare schriftliche Anfrage gemäß Abschnitt 10 nach.

5.3 Opt-in — gesonderte schriftliche Vereinbarung erforderlich

Die Abschnitte 5.1 und 5.2 können nur durch eine gesonderte, beidseitig schriftlich unterzeichnete Vereinbarung geändert werden, die (a) den Umfang der betroffenen personenbezogenen Daten, (b) den zulässigen Trainings- oder Verbesserungszweck, (c) die Dauer und (d) die geltenden Schutzmaßnahmen festlegt. Die fortgesetzte Nutzung der Leistungen, die Akzeptanz aktualisierter Bedingungen, Einstellungs-Schalter im Produkt oder jede sonstige Form impliziter Zustimmung gelten nicht als Opt-in.

6. Unterauftragsverarbeiter

6.1 Allgemeine Genehmigung

Der Kunde erteilt Tale eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste steht in Anhang A und wird unter docs.tale.dev/de/legal/subprocessors gespiegelt.

6.2 Benachrichtigung bei Änderungen

Tale informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters, indem Anhang A und die öffentliche Liste aktualisiert werden, und — wo der Kunde entsprechende Benachrichtigungen abonniert hat — per E-Mail.

6.3 Widerspruchsrecht

Der Kunde kann einem neuen oder ersetzenden Unterauftragsverarbeiter innerhalb von 30 Tagen nach der Benachrichtigung schriftlich aus angemessenen Datenschutzgründen widersprechen. Tale bemüht sich mit zumutbarem wirtschaftlichen Aufwand um eine Alternative. Wird innerhalb von 30 Tagen nach dem Widerspruch keine Einigung erzielt, kann jede Partei die betroffenen Leistungen gemäß Vereinbarung kündigen.

6.4 Weitergegebene Pflichten und Haftung

Tale auferlegt jedem Unterauftragsverarbeiter durch schriftliche Vereinbarung Datenschutzpflichten, die nicht hinter denen dieser AVV zurückbleiben — einschließlich der Trainings-Verbots-Pflicht aus Abschnitt 5. Tale haftet gegenüber dem Kunden uneingeschränkt für die Leistung jedes Unterauftragsverarbeiters.

7. Technische und organisatorische Maßnahmen

7.1 Sicherheitsmaßnahmen

Tale implementiert und pflegt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten gegen unbefugte oder widerrechtliche Verarbeitung und gegen zufälligen Verlust, Zerstörung, Schädigung oder Offenlegung, darunter:

a) Verschlüsselung bei Übertragung und Speicherung;

b) Maßnahmen zur dauerhaften Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste;

c) Maßnahmen zur rechtzeitigen Wiederherstellung der Verfügbarkeit und des Zugangs zu Daten nach einem physischen oder technischen Vorfall;

d) Zugriffskontrollen, die personenbezogene Daten nur autorisierten Personen nach dem Need-to-Know-Prinzip zugänglich machen;

e) regelmäßige Tests, Bewertungen und Überprüfungen der Wirksamkeit der Maßnahmen;

f) physische Sicherheitsmaßnahmen für Rechenzentren und Infrastruktur;

g) Security-Awareness-Schulungen der Mitarbeitenden.

7.2 Zertifizierungen

Ruler GmbH hält eine ISO-27001-Zertifizierung aufrecht, deren Geltungsbereich Tale Enterprise und professionelle Dienstleistungen umfasst, und weist diese auf zumutbare Anfrage nach.

7.3 Aktualisierungen

Tale kann die Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern das Gesamtschutzniveau für personenbezogene Daten nicht wesentlich sinkt.

8. Meldung von Datenschutzvorfällen

8.1 Meldung an den Kunden

Tale meldet dem Kunden jeden Datenschutzvorfall, der personenbezogene Daten betrifft, die im Auftrag des Kunden verarbeitet werden, unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Kenntnisnahme.

8.2 Inhalt der Meldung

Die Meldung enthält, soweit zum Zeitpunkt vernünftigerweise verfügbar:

a) eine Beschreibung der Art des Vorfalls, soweit möglich einschließlich Kategorien und ungefährer Zahl der betroffenen Personen sowie der betroffenen Datensätze;

b) die Kontaktdaten der Anlaufstelle von Tale für weitere Informationen;

c) die wahrscheinlichen Folgen des Vorfalls;

d) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung, einschließlich Maßnahmen zur Minderung möglicher negativer Auswirkungen.

8.3 Kooperation

Tale kooperiert mit dem Kunden und unternimmt zumutbare wirtschaftliche Schritte bei Untersuchung, Eindämmung und Behebung des Vorfalls.

8.4 Kein Schuldeingeständnis

Eine Meldung nach diesem Abschnitt ist kein Schuldeingeständnis. Der Kunde ist allein dafür verantwortlich, zu bestimmen, ob ein Vorfall Meldepflichten nach anwendbarem Datenschutzrecht auslöst, und diese zu erfüllen.

9. Rechte Betroffener

9.1 Unterstützung

Tale unterstützt den Kunden — unter Berücksichtigung der Art der Verarbeitung — mit angemessenen technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen Betroffener zur Wahrnehmung ihrer Rechte nach anwendbarem Datenschutzrecht (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

9.2 Weiterleitung von Anfragen

Erhält Tale eine Anfrage direkt von einer betroffenen Person zu Daten, die im Auftrag des Kunden verarbeitet werden, leitet Tale die Anfrage unverzüglich an den Kunden weiter und antwortet nicht direkt — es sei denn, der Kunde weist dies an oder geltendes Recht verlangt es.

9.3 Kosten

Erfordert die Unterstützung bei Anfragen Betroffener einen erheblichen Aufwand, der über das vernünftigerweise zu Erwartende hinausgeht, kann Tale dem Kunden eine angemessene Gebühr entsprechend den Verwaltungskosten in Rechnung stellen.

10. Audits und Prüfungen

10.1 Audit-Berichte

Tale stellt dem Kunden auf zumutbare Anfrage und nicht mehr als einmal jährlich Kopien relevanter Dritt-Audit-Berichte oder Zertifizierungen (z. B. ISO-27001-Zertifikate) zur Verfügung, um die Einhaltung dieser AVV zu belegen.

10.2 Zusätzliche Audits

Hält der Kunde die nach Abschnitt 10.1 gelieferten Informationen vernünftigerweise für unzureichend, kann er ein zusätzliches Audit verlangen. Solche Audits:

a) erfolgen auf Kosten des Kunden, es sei denn, das Audit deckt einen wesentlichen Verstoß von Tale auf;

b) erfordern eine schriftliche Vorankündigung von mindestens 30 Tagen;

c) finden während regulärer Geschäftszeiten und unter Minimierung der Beeinträchtigung des Tale-Betriebs statt;

d) werden vom Kunden oder einem unabhängigen Dritt-Auditor durchgeführt, der kein Wettbewerber von Tale ist und angemessenen Vertraulichkeitspflichten unterliegt;

e) sind im Umfang auf die Verarbeitung der personenbezogenen Daten des Kunden beschränkt.

10.3 Vertraulichkeit der Ergebnisse

Audit-Berichte, Feststellungen und Informationen aus Audits gelten als vertrauliche Informationen von Tale und unterliegen den Vertraulichkeitsbestimmungen der Vereinbarung.

11. Internationale Datenübermittlung

11.1 Verarbeitungs-Standorte

Tale hostet die Plattform und speichert personenbezogene Daten in der Schweiz für Schweizer Kunden und in der Europäischen Union für alle übrigen Kunden. KI-Aufrufe (LLM-Inferenz, Audio- und Bild-Verarbeitung) werden für alle Kunden in der Europäischen Union bzw. im EWR verarbeitet — kein eingesetzter KI-Unterauftragsverarbeiter betreibt eine Schweizer Verarbeitungs-Region. Für Schweizer Kunden stützt sich diese Verarbeitung auf die Angemessenheit der EU-/EWR-Staaten nach Art. 16 FADP (Staatenliste des Bundesrats). Der Ort der Verarbeitung pro Unterauftragsverarbeiter steht in Anhang A. Deployt der Kunde Tale auf eigener Infrastruktur (on-premises oder Private Cloud), bestimmt der Kunde die Verarbeitungs-Standorte.

11.2 Übermittlung in angemessene Länder

Tale kann personenbezogene Daten in Länder übermitteln, die der Schweizer Bundesrat nach Art. 16 FADP oder die Europäische Kommission nach Art. 45 DSGVO als Länder mit angemessenem Schutzniveau anerkannt hat.

11.3 Schutz bei sonstigen Übermittlungen

Tale übermittelt personenbezogene Daten nicht in Länder ohne angemessenes Schutzniveau, es sei denn, es bestehen geeignete Schutzmaßnahmen — wie von der Europäischen Kommission genehmigte Standardvertragsklauseln oder vom EDÖB anerkannte Mechanismen.

11.4 Transparenz

Die aktuellen Verarbeitungs-Standorte und etwaigen Transfer-Mechanismen sind in Anhang A aufgeführt.

12. Vertraulichkeit

Tale behandelt alle unter dieser AVV verarbeiteten personenbezogenen Daten als vertrauliche Informationen. Diese Pflicht besteht auch nach Beendigung dieser AVV und der Vereinbarung fort. Tale stellt sicher, dass alle Personen mit Zugriff einer angemessenen Vertraulichkeitspflicht unterliegen.

13. Aufbewahrung und Löschung

13.1 Während der Vereinbarung

Tale bewahrt personenbezogene Daten für die Laufzeit der Vereinbarung und gemäß den dokumentierten Weisungen des Kunden auf.

13.2 Bei Beendigung

Bei Beendigung oder Ablauf der Vereinbarung wird Tale auf schriftlichen Wunsch des Kunden:

a) alle personenbezogenen Daten in einem gängigen, maschinenlesbaren Format an den Kunden zurückgeben oder

b) alle personenbezogenen Daten sicher löschen und dies schriftlich bestätigen.

Stellt der Kunde innerhalb von 30 Tagen nach Beendigung keinen schriftlichen Antrag, löscht Tale alle personenbezogenen Daten innerhalb von 90 Tagen nach Beendigung.

13.3 Gesetzliche Aufbewahrung

Verlangt geltendes Recht von Tale, bestimmte personenbezogene Daten über die Beendigung hinaus aufzubewahren, informiert Tale den Kunden, beschränkt die weitere Verarbeitung auf das gesetzlich Erforderliche und schützt die Daten weiterhin gemäß dieser AVV.

14. Haftung

Die Haftung aus dieser AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen der Vereinbarung, soweit nach anwendbarem Datenschutzrecht zulässig. Weder diese AVV noch die Vereinbarung schließen die Haftung einer Partei für Schäden aus vorsätzlichem oder grob fahrlässigem Verstoß gegen anwendbares Datenschutzrecht aus oder beschränken sie.

15. Verhältnis zur Vereinbarung

15.1 Vorrang

Bei Widersprüchen zwischen dieser AVV und der Vereinbarung gehen die Bestimmungen dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten vor.

15.2 Einbeziehung

Diese AVV ist Bestandteil der Vereinbarung. Alle übrigen Bestimmungen der Vereinbarung bleiben vollumfänglich bestehen.

15.3 Salvatorische Klausel

Ist eine Bestimmung dieser AVV ungültig oder nicht durchsetzbar, bleiben die übrigen vollumfänglich bestehen.

15.4 Änderungen

Tale kann diese AVV von Zeit zu Zeit aktualisieren, um Änderungen der Verarbeitungspraktiken oder des anwendbaren Datenschutzrechts abzubilden. Wesentliche Änderungen werden dem Kunden vorab mitgeteilt. Die fortgesetzte Nutzung der Leistungen nach Inkrafttreten der Änderungen gilt als Annahme der aktualisierten AVV. Änderungen, die Abschnitt 5 (KI-Verarbeitung — keine Nutzung zum Training oder zur Verbesserung) betreffen, erfordern eine gesonderte schriftliche Vereinbarung gemäß Abschnitt 5.3 und treten nie durch fortgesetzte Nutzung in Kraft.

16. Anwendbares Recht und Gerichtsstand

Diese AVV unterliegt dem materiellen Recht der Schweiz, unter Ausschluss der Kollisionsnormen und des UN-Übereinkommens über Verträge über den internationalen Warenkauf (CISG). Streitigkeiten aus oder im Zusammenhang mit dieser AVV unterliegen der ausschließlichen Zuständigkeit der zuständigen Gerichte des Kantons Bern, Schweiz, soweit nicht zwingendes Recht entgegensteht.

17. Kontakt

Bei Fragen zu dieser AVV oder zu Verarbeitungstätigkeiten erreichst du uns über unser Kontaktformular.

Ruler GmbH Seestrasse 4 3700 Spiez Schweiz

---

Anhang A — Unterauftragsverarbeiter

Dieser Anhang listet die Dritt-Parteien, die Tale zur Verarbeitung personenbezogener Daten im Auftrag des Kunden für Tale Cloud einsetzt — jeweils mit Firma, ladungsfähiger Adresse, Art der Leistung und Ort der Verarbeitung. Self-hosted-Deployments werden vom Kunden betrieben; deren Unterauftragsverarbeiter-Liste ist der vom Kunden zusammengestellte Stack.

Aktuelle Unterauftragsverarbeiter

Jeder Name verlinkt auf die öffentlich zugängliche AVV (oder gleichwertige Bedingungen) des jeweiligen Anbieters; Zertifizierungen und Trust-Seiten stehen unter den Tabellen. Das Plattform-Hosting folgt der Datenresidenz-Wahl des Kunden: Tabelle A.1 gilt für Kunden in der EU/im EWR, Tabelle A.2 für Schweizer Kunden. KI-Aufrufe (LLM-Inferenz, Audio- und Bild-Verarbeitung) werden für alle Kunden in der EU/im EWR verarbeitet; sie verlassen die EU/den EWR nicht und werden zu keinem Zeitpunkt in Drittstaaten wie den USA verarbeitet.

A.1 — Kunden in der EU/im EWR

A.2 — Schweizer Kunden

Für Schweizer Kunden bleibt das Plattform-Hosting vollständig in der Schweiz. Der KI-Unterauftragsverarbeiter bietet keine Schweizer Verarbeitungs-Region an; diese Aufrufe werden in der EU/im EWR verarbeitet. Alle EU-/EWR-Staaten stehen auf der Staatenliste des Bundesrats nach Art. 16 FADP — die Übermittlung erfordert keine zusätzlichen Garantien.

Datenkategorien und Trainings-Verbot

Zertifizierungen und Trust-Seiten

Jeder Unterauftragsverarbeiter führt eigene Sicherheitszertifizierungen und veröffentlicht sie auf seiner Trust-Seite:

• Akenes SA (Exoscale) — ISO/IEC 27001:2022, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type II, PCI DSS v4.0, HDS, BSI C5, TISAX. Trust-Seite: exoscale.com/compliance.
• OpenRouter, Inc. — SOC 2; Nachweise über das zugangsbeschränkte Trust-Portal trust.openrouter.ai. Für Übermittlungen außerhalb der EU/des EWR gelten EU-Standardvertragsklauseln.

Hinweise

• Der KI-Unterauftragsverarbeiter wird nur eingesetzt, wenn eine KI-Funktion einen Aufruf an ihn routet. Eine Org, die weder LLM-Inferenz, Audio noch Bild-Funktionen nutzt, sendet keine Daten an OpenRouter, Inc.
• Modell-Anbieter, die über OpenRouter erreichbar sind (etwa Anthropic, Google, Meta, Mistral, OpenAI), sind Upstream-Anbieter von OpenRouter und keine direkten Unterauftragsverarbeiter von Tale. Die Standard-Audio-Modelle — Whisper für Speech-to-Text und gpt-4o-mini-tts für Text-to-Speech — sind auf diesem Weg erreichte OpenAI-Modelle. Sie unterliegen den eigenen Vertragsbedingungen von OpenRouter, die das Training auf gerouteten Payloads untersagen; das In-Region-Routing beschränkt jeden Aufruf auf Anbieter-Endpunkte innerhalb der EU.
• Jeder Unterauftragsverarbeiter setzt eigene Unter-Auftragsverarbeiter ein (Cloud-Hosting, CDN, Secret-Stores). Diese Listen sind öffentlich auf den oben verlinkten Trust-Seiten der Anbieter verfügbar; Tale verfolgt wesentliche Änderungen über denselben 30-Tage-Hinweis-Mechanismus aus Abschnitt 6.2.
• Die Middleware, der Anwendungs-State und die unterstützende Infrastruktur von Tale Cloud laufen auf Exoscale in der vom Kunden gewählten Region. Jeder KI-Aufruf wird an die EU-/EWR-Region des jeweiligen Anbieters geroutet.