Datenschutz

Hinweis: Diese deutsche Übersetzung dient ausschließlich der Information. Im Falle von Abweichungen ist allein die französische Originalfassung nach französischem Recht rechtsverbindlich.

Teil A · Kundendaten innerhalb von emi

1. Rollen und Rechtsrahmen

emi ist ein Dienst von APRESTA (Société à responsabilité limitée (SARL), SIREN 537 518 540, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France) unter der Marke aprestIA. Die Datenverarbeitungen unterliegen der Europäischen Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679), dem französischen Datenschutzgesetz (Loi Informatique et Libertés) sowie – soweit betroffen – dem revidierten Schweizer Bundesgesetz über den Datenschutz (revDSG).

• Ihr Unternehmen ist Verantwortlicher für die Daten, die es und seine Benutzer emi anvertrauen (Unterhaltungen, Dokumente, Daten aus Konnektoren, Benutzerkonten). Es entscheidet über Zwecke und Mittel der Verarbeitung.
• APRESTA handelt als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO und Artikel 9 revDSG: Wir verarbeiten diese Daten in Ihrem Auftrag, ausschließlich auf Grundlage Ihrer dokumentierten Weisungen und allein zur Bereitstellung des Dienstes.
• APRESTA ist Verantwortlicher für die eigene Kundenverwaltung (Vertrag, Abrechnung, Support) sowie für die Daten der Besucher dieser Website (siehe Teil B).

Diese Zusagen werden in einem Auftragsverarbeitungsvertrag (AVV / DPA) festgehalten, der Bestandteil des Abonnementvertrags ist. Im Falle von Abweichungen geht der unterzeichnete Vertrag den Angaben auf dieser Seite vor.

2. In emi verarbeitete Daten

• Inhalte: an den Assistenten gestellte Fragen und generierte Antworten, in der Mediathek abgelegte Dokumente sowie Inhalte, die über von Ihren Benutzern aktivierte Konnektoren abgerufen werden.
• Benutzerdaten: Nachname, Vorname, geschäftliche E-Mail-Adresse, Abteilung, Rolle und Zugriffsrechte, Bestätigung der KI-Charta.
• Nutzungs- und Technikdaten: Anmelde- und Sicherheitsprotokolle, Token- und Kontingentverbrauch, Einstellungen des Arbeitsbereichs.

Betroffene Personen sind Ihre Mitarbeitenden sowie – je nach den hochgeladenen Dokumenten – Ihre Kunden, Lieferanten oder Partner. Sie entscheiden frei, welche Inhalte Sie emi anvertrauen und was die KI lesen darf (Schalter „Für die KI lesbar“, Zugriffsrechte pro Ordner).

Besondere Kategorien personenbezogener Daten. emi ist für administrative und dokumentenbezogene Aufgaben konzipiert. Besondere Kategorien personenbezogener Daten (Gesundheitsdaten, politische Meinungen, biometrische Daten, strafrechtliche Verurteilungen usw.) sowie Daten, die einem besonderen Berufsgeheimnis unterliegen, dürfen erst nach Ihrer eigenen datenschutzrechtlichen Prüfung und gegebenenfalls einer gesonderten vertraglichen Vereinbarung abgelegt werden. In Frankreich erfordern medizinische Gesundheitsdaten ein HDS-zertifiziertes Hosting: Bitte kontaktieren Sie uns vor jedem entsprechenden Einsatz.

3. Unsere Pflichten als Auftragsverarbeiter

Gemäß Artikel 28 DSGVO verpflichtet sich APRESTA dazu:

• Ihre Daten ausschließlich auf Ihre dokumentierten Weisungen hin zu verarbeiten – einschließlich etwaiger Übermittlungen – und Sie unverzüglich zu informieren, falls eine Weisung nach unserer Auffassung gegen geltendes Datenschutzrecht verstößt;
• die Vertraulichkeit der Daten zu gewährleisten: Jede zur Verarbeitung befugte Person unterliegt einer vertraglichen oder gesetzlichen Verschwiegenheitspflicht;
• die in Abschnitt 7 beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen umzusetzen;
• weitere Auftragsverarbeiter (Unterauftragsverarbeiter) nur unter den Voraussetzungen von Abschnitt 6 einzuschalten;
• Sie bei der Beantwortung von Anträgen betroffener Personen zur Ausübung ihrer Rechte zu unterstützen;
• Sie bei der Gewährleistung der Sicherheit, bei der Meldung von Datenschutzverletzungen sowie bei Datenschutz-Folgenabschätzungen (DSFA) und vorherigen Konsultationen mit den uns vorliegenden Informationen zu unterstützen;
• nach Vertragsende Ihre Daten nach Ihrer Wahl herauszugeben und anschließend zu löschen (Abschnitt 11);
• Ihnen alle erforderlichen Nachweise zur Einhaltung dieser Pflichten zur Verfügung zu stellen und Überprüfungen bzw. Audits zu ermöglichen (Abschnitt 16);
• ein Verzeichnis aller in Ihrem Auftrag durchgeführten Verarbeitungstätigkeiten zu führen.

4. Kein Training, keine Weiterverwendung

• Ihre Unterhaltungen, Dokumente und Daten werden niemals verwendet, um ein KI-Modell zu trainieren, feinabzustimmen oder zu evaluieren – weder bei uns noch bei Dritten.
• Die von emi eingesetzten Open-Source-KI-Modelle werden auf unserer Infrastruktur in der Schweiz ausgeführt: Ihre Inhalte werden an keinen externen Modellanbieter übermittelt.
• Ihre Daten werden weder verkauft noch vermietet oder zu Werbe- bzw. Vermarktungszwecken weitergegeben und unterliegen keinem Profiling für unsere eigenen Zwecke.
• Lediglich aggregierte Nutzungsstatistiken (Token-Volumen, Anzahl aktiver Benutzer) werden für die Abrechnung, die Kontingentverwaltung und die Kapazitätsplanung des Dienstes ausgewertet.

5. Speicherort und Datenübermittlungen

Die Anwendungsdaten werden in der Schweiz in den Rechenzentren von Infomaniak Network SA gehostet und verarbeitet. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission (2000/518/EG, bestätigt am 15. Januar 2024): Personenbezogene Daten dürfen daher ohne zusätzliche Garantien aus der Europäischen Union in die Schweiz übermittelt werden. Eine Übermittlung in ein Drittland ohne angemessenes Schutzniveau erfolgt niemals ohne Ihre vorherige Weisung und die Garantien gemäß Artikel 44 ff. DSGVO.

Konnektoren. Verbindet ein Benutzer emi mit einem Drittdienst (z. B. einem E-Mail-Postfach), erfolgt der Datenaustausch mit diesem Dienst auf Ihre Veranlassung und gemäß den Bedingungen Ihres eigenen Vertrags mit dessen Anbieter, der nicht unser Unterauftragsverarbeiter ist. Der Administrator bestimmt die verfügbaren Konnektoren; jeder Benutzer kann seine Verbindungen jederzeit widerrufen.

6. Unterauftragsverarbeiter

Über jede Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informieren wir Sie mindestens 30 Tage im Voraus. Sie können aus berechtigtem Grund Einspruch erheben; kommt keine Einigung zustande, können Sie den betroffenen Dienst ohne Vertragsstrafe kündigen. Jeder Unterauftragsverarbeiter unterliegt mindestens gleichwertigen Datenschutzpflichten wie auf dieser Seite beschrieben, und APRESTA haftet Ihnen gegenüber vollumfänglich für deren Einhaltung (Artikel 28 Absatz 4 DSGVO).

7. Sicherheit

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen (Artikel 32 DSGVO, Artikel 8 revDSG), insbesondere:

• Transportverschlüsselung sämtlicher Verbindungen zwischen Ihren Endgeräten und emi (HTTPS/TLS).
• Zertifizierte Rechenzentren: Unser Hosting-Anbieter ist nach ISO 27001:2022 (Informationssicherheit) und ISO 9001:2015 zertifiziert.
• Mandantentrennung: Die Daten jedes Kunden sind strikt von denen anderer Kunden getrennt; innerhalb Ihres Bereichs beachtet die KI die Ordnerrechte (Verwaltung, Mitarbeit, Lesen, Kein Zugriff) und zitiert niemals ein Dokument, für das dem Benutzer die Leseberechtigung fehlt.
• Zugriffskontrolle: Benutzerauthentifizierung, Rollenverwaltung durch Ihre Administratoren und Least-Privilege-Prinzip für unsere eigenen Teams.
• Regelmäßige Backups in der Schweiz, die 30 Tage aufbewahrt, anschließend überschrieben und regelmäßig auf Wiederherstellbarkeit getestet werden.
• Laufende Systemsicherheit: Sicherheitsupdates, Patches, Infrastrukturüberwachung und Protokollierung sicherheitsrelevanter Ereignisse.
• Organisation: Vertraulichkeitsverpflichtungen aller Beteiligten, dokumentierter Incident-Response-Prozess und regelmäßige Sensibilisierung der Teams.

Eine detaillierte Beschreibung der Sicherheitsmaßnahmen stellen wir Ihnen auf Anfrage unter einer Vertraulichkeitsvereinbarung gerne zur Verfügung.

8. Zugriff durch unsere Teams

Befugte Mitarbeitende unserer Teams greifen nur dann auf Ihre Inhalte zu, wenn dies zwingend erforderlich ist: auf Ihre ausdrückliche Anfrage im Rahmen eines Supportfalls, zur Behebung eines Sicherheitsvorfalls oder zur Erfüllung einer gesetzlichen Pflicht. Ein Einblick in Ihre Unterhaltungen oder Dokumente zu anderen Zwecken – insbesondere zu Werbezwecken oder zur Produktverbesserung – findet niemals statt.

9. Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten (Verlust, Veränderung, unbefugte Offenlegung oder unbefugter Zugang), die Ihre Daten betrifft, wird APRESTA:

• Sie innerhalb von maximal 48 Stunden nach Bekanntwerden per E-Mail an die hinterlegte Kontaktadresse Ihres Kontos benachrichtigen;
• Ihnen die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen mitteilen und diese Angaben laufend ergänzen;
• unverzüglich alle erforderlichen Maßnahmen ergreifen, um den Vorfall einzudämmen und seine Auswirkungen zu begrenzen;
• Sie bei der Meldung an die zuständige Aufsichtsbehörde (CNIL bzw. zuständige Datenschutzbehörde: spätestens binnen 72 Stunden; in der Schweiz der EDÖB so rasch wie möglich) sowie gegebenenfalls bei der Benachrichtigung der betroffenen Personen unterstützen;
• jeden Vorfall in ihrem internen Verzeichnis dokumentieren.

10. Rechte der betroffenen Personen

Personen, deren Daten in emi verarbeitet werden, haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Ihr Unternehmen beantwortet diese Anfragen als Verantwortlicher; Ihren Administratoren stehen dafür die Werkzeuge in der Verwaltungskonsole und der Mediathek zur Verfügung. Bei Anfragen, die Sie nicht eigenständig umsetzen können, unterstützen wir Sie. Geht ein Antrag direkt bei uns ein, leiten wir ihn unverzüglich an Sie weiter und antworten nicht ohne Ihre Zustimmung.

11. Aufbewahrung und Löschung

• Während der Vertragslaufzeit werden Ihre Daten so lange gespeichert, wie Sie diese in emi aufbewahren. Ein aus der Mediathek gelöschtes Dokument wird von der KI sofort nicht mehr genutzt; gelöschte Elemente verschwinden mit Ablauf des Backup-Zyklus (30 Tage) auch aus den Sicherungen.
• Technische Protokolle: zeitlich begrenzt aufbewahrt, soweit dies für Sicherheit und Abrechnung erforderlich ist.
• Nach Vertragsende stehen Ihnen 30 Tage zur Verfügung, um Ihre Daten abzurufen (Abschnitt 12). Danach werden sie einschließlich aller Backups spätestens 60 Tage nach Vertragsende endgültig gelöscht. Auf Wunsch stellen wir Ihnen eine Löschbestätigung aus.
• Darüber hinaus werden ausschließlich solche Unterlagen aufbewahrt, zu deren Speicherung wir gesetzlich verpflichtet sind (z. B. Buchhaltungs- und Rechnungsbelege für die Dauer der gesetzlichen Aufbewahrungsfristen).

12. Reversibilität und Datenübertragbarkeit

Bei emi gibt es keinen Vendor-Lock-in. Jederzeit während der Vertragslaufzeit sowie im Abrufzeitraum nach Vertragsende können Sie den vollständigen Export Ihrer Daten anfordern:

• die Dokumente der Mediathek in ihrem jeweiligen Originalformat;
• Unterhaltungen, Benutzerliste, Rollen und Bereichseinstellungen in einem strukturierten, offenen und maschinenlesbaren Format;
• angemessene Unterstützung, um die Übernahme durch Ihre eigenen Teams oder einen anderen Dienstleister zu erleichtern.

Der Standardexport ist im Abonnement inbegriffen. Weitergehende individuelle Migrationsleistungen können nach vorherigem Kostenvoranschlag beauftragt werden.

13. Betriebskontinuität und Ausfallvorsorge

Eine Unternehmens-KI wird schnell zum täglichen Arbeitswerkzeug. Deshalb ist klar geregelt, was geschieht, wenn etwas nicht wie vorgesehen läuft – selbst im äußersten Ernstfall.

13.1 Technischer Vorfall oder Störung

Kommt es infolge einer Störung zu einer Nichtverfügbarkeit oder einem Datenverlust, stellen wir den Dienst wieder her und spielen die Daten aus den aktuellsten Backups zurück. Betroffene Kunden werden über den Vorfall, seine Auswirkungen und die Behebung informiert. Konkrete Verfügbarkeitszusagen und etwaige Ausgleichsregelungen sind im Vertrag festgelegt.

13.2 Ausfall eines Unterauftragsverarbeiters

Sollte unser Hosting-Anbieter oder ein anderer Unterauftragsverarbeiter ausfallen, bleibt allein APRESTA Ihnen gegenüber verantwortlich. Wir würden in diesem Fall die Migration zu einem Anbieter mit gleichwertigen Garantien in der Schweiz oder in der Europäischen Union gemäß dem Verfahren in Abschnitt 6 organisieren und Sie über jeden Schritt informieren.

13.3 Einstellung des Dienstes oder Insolvenz von Apresta

Sollte APRESTA beschließen, emi einzustellen, den Geschäftsbetrieb übertragen oder Gegenstand eines Schutzschirm-, Sanierungs- oder Insolvenzverfahrens nach französischem Recht werden:

• Ihre Daten bleiben Ihr Eigentum. Sie gehören nicht zur Insolvenzmasse bzw. zum Betriebsvermögen von APRESTA und dürfen weder veräußert noch verwertet oder zu anderen Zwecken als der Leistungserbringung gegenüber Ihrem Unternehmen an Dritte übertragen werden.
• Ankündigungsfrist: Bei einer geplanten Einstellung des Dienstes werden Sie mindestens 3 Monate im Voraus informiert, damit Sie den Übergang in Ruhe planen können.
• Garantierte Datenrückgabe: Der Export Ihrer Daten (Abschnitt 12) bleibt während der gesamten Ankündigungsfrist sowie im anschließenden Abrufzeitraum von 30 Tagen gewährleistet.
• Übernahme durch einen Rechtsnachfolger: Im Falle einer Geschäftsübertragung ist der Übernehmer an dieselben Zusagen gebunden. Sie werden vorab informiert und können der Übertragung widersprechen, kündigen, Ihre Daten abrufen und deren Löschung verlangen.
• Insolvenzverfahren: Wir verpflichten uns, die Verfahrensorgane (Sachwalter, Insolvenzverwalter oder Liquidator) ausdrücklich auf diese Pflichten hinzuweisen, damit Herausgabe und anschließende Löschung Ihrer Daten im gesetzlich zulässigen Rahmen sichergestellt werden.
• Endgültige Löschung: Nach erfolgter Rückgabe werden sämtliche Daten bei APRESTA und ihren Unterauftragsverarbeitern einschließlich aller Backups unwiderruflich gelöscht.

13.4 Grenzen generativer KI

Wie jedes generative KI-System kann auch emi ungenaue oder unvollständige Antworten erzeugen. emi nennt seine Quellen, um die Überprüfung zu erleichtern; generierte Inhalte müssen vor jeder verbindlichen Verwendung durch einen Menschen geprüft werden. emi trifft keinerlei Entscheidungen, die gegenüber einer Person rechtliche Wirkung entfalten (Artikel 22 DSGVO, Artikel 21 revDSG) – solche Entscheidungen verbleiben stets in der Verantwortung Ihrer Mitarbeitenden.

14. Behördliche Anfragen

Verlangt eine Behörde Herausgabe oder Einsicht in Ihre Daten, prüfen wir Rechtmäßigkeit und Umfang des Ersuchens, fechten es an, sofern es uns unbegründet erscheint, übermitteln nur das zwingend Erforderliche und unterrichten Sie vorab – es sei denn, eine gesetzliche Vorschrift untersagt dies.

15. Ihre Pflichten

Als Verantwortlicher verpflichtet sich Ihr Unternehmen insbesondere dazu:

• über eine gültige Rechtsgrundlage für die emi anvertrauten Daten zu verfügen und seine Mitarbeitenden transparent über den Einsatz des Werkzeugs zu informieren;
• nur erforderliche Dokumente abzulegen und die Zugriffsrechte sowie den Schalter „Für die KI lesbar“ entsprechend zu konfigurieren;
• eine interne KI-Nutzungsrichtlinie festzulegen, Administratorenkonten abzusichern und Zugänge ausscheidender Mitarbeitender umgehend zu entziehen;
• Konnektoren zu Drittdiensten vor deren Freischaltung datenschutzrechtlich zu bewerten;
• seine eigenen Pflichten als Betreiber nach der europäischen KI-Verordnung (AI Act) zu erfüllen – insbesondere zur Förderung der KI-Kompetenz der Teams, wobei die integrierte Akademie von emi unterstützen kann.

16. Dokumentation und Audits

Auf Anfrage stellen wir Ihnen den Auftragsverarbeitungsvertrag, die aktuelle Liste der Unterauftragsverarbeiter, die Beschreibung der Sicherheitsmaßnahmen sowie die Zertifikate unseres Hosting-Anbieters zur Verfügung und beantworten Ihre Sicherheitsfragebögen. Nach angemessener Vorankündigung und gemäß den vertraglichen Modalitäten können Sie selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer ein Compliance-Audit durchführen lassen.

Teil B · Website-Besucher und Interessenten

17. Website-Besucher und Demo-Anfragen

Verantwortlicher: APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France — contact@apresta.fr.

Erhobene Daten. Über das Demo-Anfrageformular erheben wir Ihren Vornamen, Nachnamen, Ihre geschäftliche E-Mail-Adresse, Ihr Unternehmen, die Teamgröße, die Branche sowie Ihre Nachricht. Der Hosting-Anbieter der Website speichert technische Verbindungsdaten (Server-Logs, IP-Adresse, Browser) zur Gewährleistung von Sicherheit und stabilem Betrieb.

Zwecke und Rechtsgrundlagen. Organisation der Live-Demo und Beantwortung Ihrer Anfrage (vorvertragliche Maßnahmen auf Ihre Anfrage hin); kaufmännische Nachbetreuung Ihres Projekts (berechtigtes Interesse); IT-Sicherheit und Missbrauchsprävention auf der Website (berechtigtes Interesse).

Empfänger und Speicherort. Die zuständigen Teams von APRESTA sowie ausschließlich die für das Website-Hosting und den E-Mail-Versand erforderlichen technischen Dienstleister. Die Website wird in der Schweiz bei Infomaniak Network SA gehostet. Ihre Daten werden weder verkauft noch an Dritte weitergegeben.

Aufbewahrungsdauer. Maximal 3 Jahre nach dem letzten Kontakt, sofern kein Vertragsverhältnis zustande kommt; technische Protokolle für eine begrenzte Dauer.

Cookies. Keine Reichweitenmessungs- oder Werbe-Cookies, keine externen Trackingdienste. Lediglich auf der Seite für Demo-Anfragen wird ein technisch notwendiges Sitzungs-Cookie (Sicherheits-Token des Formulars) gesetzt, das beim Schließen des Browsers gelöscht wird; es bedarf keiner Einwilligung und dient keinem weiteren Zweck.

18. Kontakt und Beschwerderecht

Bei Fragen zu dieser Datenschutzerklärung oder zur Ausübung Ihrer Betroffenenrechte wenden Sie sich an contact@apresta.fr oder per Post an APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France. Wir antworten innerhalb eines Monats.

Sie haben zudem das Recht, Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen, etwa bei der französischen CNIL (cnil.fr), der für Ihren Sitz zuständigen Landesdatenschutzbehörde oder in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (edoeb.admin.ch).

Siehe auch: Impressum · Allgemeine Geschäftsbedingungen · DSGVO einfach erklärt · Hosting · Vertraulichkeit.

Stand: November 2026.