Auftragsverarbeiter
Stand: 23. August 2026
Gemäss Art. 28 DSGVO und Art. 9 des Schweizer Datenschutzgesetzes (DSG) setzen wir für den Betrieb von SmartKontoauszug externe Dienstleister ein, die Personendaten in unserem Auftrag verarbeiten (Auftragsverarbeiter bzw. Auftragsbearbeiter). Mit jedem dieser Dienstleister haben wir einen Auftragsverarbeitungsvertrag (AVV) geschlossen, der die datenschutzkonforme Verarbeitung sicherstellt. Soweit ein Dienstleister nicht in unserem Auftrag, sondern als eigenständiger Verantwortlicher handelt, ist dies beim jeweiligen Eintrag vermerkt (siehe Stripe).
Die nachfolgende Liste nennt alle aktuell eingesetzten Auftragsverarbeiter, den jeweiligen Verarbeitungszweck sowie die Rechtsgrundlage für eine etwaige Auslandsübermittlung. Hinweis für Nutzer in der Schweiz: Die Verarbeitung findet in Deutschland und der EU statt; diese Staaten gewährleisten nach der Verordnung des Bundesrates einen angemessenen Datenschutz (Art. 16 DSG).
Hetzner Online GmbH
Hosting, Datenbankinfrastruktur & eigene Reichweitenmessung (Umami)
Anschrift
Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen
Deutschland
Verarbeitungszweck
Bereitstellung der Server- und Datenbankinfrastruktur; Speicherung von Nutzerdaten und Extraktionsdaten; auf demselben Server betreiben wir zudem unsere selbst gehostete, anonyme Reichweitenmessung (Umami)
Verarbeitete Daten
Nutzerkontodaten, Transaktionsdaten, Server-Logfiles sowie anonyme Reichweitendaten (aufgerufene Seiten, Referrer, Browser-/Gerätetyp, abgeleitetes Land) und – bei aktivierten Heatmaps – Klickpositionen und Scrolltiefe als reine Koordinatenwerte ohne Seiteninhalte, ohne Cookies und ohne Speicherung von IP-Adressen
Datenstandort
Rechenzentrum Falkenstein, Deutschland (EU) – Anwendungsserver, Datenbank und Reichweitenmessung werden ausschliesslich in diesem Rechenzentrum betrieben; eine Replikation in andere Rechenzentren findet nicht statt
Verschlüsselung at rest
Vollständig verschlüsselte Datenträger
Rechtsgrundlage Transfer
Kein Drittlandtransfer – deutsches Unternehmen, Verarbeitung ausschliesslich in Deutschland; Deutschland gewährleistet nach der Verordnung des Bundesrates einen angemessenen Datenschutz (Art. 16 DSG)
Datenschutzinformationen
hetzner.com/legal/privacy-policy
Mistral AI SAS
KI-gestützte Dokumentenextraktion
Anschrift
Mistral AI SAS
15 rue des Halles
75001 Paris
Frankreich
Verarbeitungszweck
Automatische Extraktion von Transaktionsdaten aus hochgeladenen PDF-Kontoauszügen mittels KI
Verarbeitete Daten
Inhalt der hochgeladenen PDF-Dateien
Datenstandort
Frankreich (EU) – angemessener Datenschutz aus Schweizer Sicht
Zero Data Retention
Aktiviert – Daten werden nicht für KI-Training genutzt und nicht dauerhaft gespeichert
Datenschutzinformationen
mistral.ai/terms#privacy-policy
Cloudflare, Inc.
DDoS-Schutz, Content Delivery Network (CDN) & transaktionaler E-Mail-Versand
Anschrift
Cloudflare, Inc.
101 Townsend St
San Francisco, CA 94107
USA
Verarbeitungszweck
Schutz vor DDoS-Angriffen, Weiterleitung von Netzwerkverkehr, Verbesserung der Ladezeiten über globale Edge-Server; Versand von Anmeldecodes (OTP) und Service-E-Mails über den Cloudflare Email Service
Verarbeitete Daten
IP-Adressen, HTTP-Request-Metadaten, Browserinformationen (werden nur transient verarbeitet); E-Mail-Adresse und Inhalt der jeweiligen E-Mail beim E-Mail-Versand
Datenstandort
USA (primärer Firmensitz) sowie weltweite Edge-Standorte
Rechtsgrundlage Transfer
EU-US Data Privacy Framework (DPF) und Swiss-U.S. Data Privacy Framework – Cloudflare ist zertifiziert; ergänzend Standardvertragsklauseln (SCCs)
Datenschutzinformationen
cloudflare.com/privacypolicy
Stripe Payments Europe, Ltd.
Zahlungsabwicklung
Anschrift
Stripe Payments Europe, Ltd.
1 Grand Canal Street Lower
Grand Canal Dock
Dublin, D02 H210
Irland
Verarbeitungszweck
Verarbeitung von Einmalzahlungen für den Erwerb von Credits; Verwaltung von Zahlungsmethoden. Beim Kauf von Credits tritt Stripe als Händler (Merchant of Record) auf und ist insoweit eigenständiger Verantwortlicher (siehe Datenschutzerklärung, Abschnitt 8.1).
Verarbeitete Daten
Zahlungsinformationen (Karteninhabername, Kartennummer, Ablaufdatum), E-Mail-Adresse, Rechnungsadresse, Transaktionshistorie
Datenstandort
Irland (EU) – primäre Verarbeitung innerhalb der EU; Stripe, LLC (USA) ist als Muttergesellschaft beteiligt
Rechtsgrundlage Transfer
Standardvertragsklauseln (SCCs); Stripe, LLC ist zudem unter dem EU-US DPF und dem Swiss-U.S. DPF zertifiziert
Datenschutzinformationen
stripe.com/de/privacy
Auftragsverarbeitungsverträge (AVV)
Mit allen oben genannten Dienstleistern haben wir, soweit sie Personendaten in unserem Auftrag verarbeiten, Auftragsverarbeitungsverträge gemäss Art. 28 DSGVO geschlossen. Diese Verträge verpflichten die Dienstleister, Personendaten ausschliesslich auf Weisung von SmartKontoauszug zu verarbeiten, angemessene technische und organisatorische Schutzmassnahmen zu implementieren sowie die Anforderungen der DSGVO und – soweit anwendbar – des DSG vollumfänglich einzuhalten.
Änderungen dieser Liste
Diese Liste wird aktualisiert, sobald neue Auftragsverarbeiter eingesetzt oder bestehende Dienstleister abgelöst werden. Das Datum des letzten Stands ist oben auf dieser Seite vermerkt. Wesentliche Änderungen teilen wir registrierten Nutzern per E-Mail mit.
Fragen & Kontakt
Bei Fragen zu unseren Auftragsverarbeitern oder zur Datenverarbeitung wenden Sie sich bitte an:
E-Mail: [email protected]
Weitere Informationen finden Sie in unserer Datenschutzerklärung.