Compliance & Zertifizierungen
Frameworks und Standards, denen wir folgen
DSGVO
ActiveVolle Konformität mit der EU-Datenschutz-Grundverordnung
Schweizer DSG
ActiveKonform mit dem Schweizer Datenschutzgesetz (revDSG 2023)
ISO 27001 Rechenzentrum
ProviderInfrastruktur in ISO 27001 zertifizierten Rechenzentren gehostet
EU AI Act
EvaluatingStandard-KI-System. Konform mit den Transparenzpflichten nach Art. 50 des EU AI Act. Administratives Routing-Tool — keine klinische Entscheidungsunterstützung.
SOC 2 Type II
ProviderThird-Party Voice AI Provider (EU) SOC 2 Type II zertifiziert und HIPAA-konform. Infrastrukturanbieter ISO 27001 zertifiziert.
HIPAA (Provider)
ProviderThird-Party Voice AI Provider (EU) ist HIPAA-konform mit BAA. Zero-Retention-Modus für Gesundheitsgespräche aktiviert.
Swissmedic CHRN (Wirtschaftsakteur)
RegisteredExatoshi AG ist bei Swissmedic als Wirtschaftsakteur registriert (CHRN-PR-20010601, CHE-266.634.159). Eine CHRN identifiziert das Unternehmen nur in dieser Rolle: Sie ist keine Produktregistrierung, keine Zertifizierung und keine Zulassung und sagt nichts über die Konformität eines einzelnen Produkts aus.
Software-Qualitätsstandards
InternalUmfassende Gesprächs-Audit-Trails, Routing-Genauigkeitsüberwachung und Qualitätssicherungsprozesse für zuverlässige Terminweiterleitung.
Sicherheitsdokumentation
Öffentliche Berichte und Bewertungen
Datenschutz & Sicherheits-Selbstbewertung
Umfassende Übersicht unserer Sicherheitspraktiken und Kontrollen (AS-2026-001)
PDF herunterladenAuftragsverarbeitungsvertrag (AVV)
Standard-AVV mit EU-SCCs für Enterprise-Kunden
Healthcare Security Architecture
Technical architecture for secure medical records and healthcare compliance
Download PDFSub-processors List
Complete list of authorized sub-processors with data transfer mechanisms
Sicherheitsrichtlinien
ISO 27001 Framework-Ausrichtung
Alle Richtlinien werden aktiv als Teil unseres Sicherheitsprogramms befolgt
| Richtlinie | Kategorie | Status |
|---|---|---|
| Data Protection Policy | Data Privacy | In Practice |
| Data Retention Policy | Data Privacy | In Practice |
| Information Classification and Handling Policy | Data Privacy | In Practice |
| Information Transfer Policy | Data Privacy | In Practice |
| Information Security Policy | Security | In Practice |
| Access Control Policy | Security | In Practice |
| Cryptographic Control and Encryption Policy | Security | In Practice |
| Cryptographic Key Management Policy | Security | In Practice |
| Network Security Management Policy | Security | In Practice |
| Physical and Environmental Security Policy | Security | In Practice |
| Malware and Antivirus Policy | Security | In Practice |
| Patch Management Policy | Security | In Practice |
| Asset Management Policy | Operations | In Practice |
| Change Management Policy | Operations | In Practice |
| Backup Policy | Operations | In Practice |
| Logging and Monitoring Policy | Operations | In Practice |
| Business Continuity Policy | Operations | In Practice |
| Incident Response and Evidence Collection Policy | Operations | In Practice |
| Secure Development Policy | Development | In Practice |
| Cloud Service Policy | Development | In Practice |
| Risk Management Policy | Governance | In Practice |
| Third Party Supplier Security Policy | Governance | In Practice |
| Continual Improvement Policy | Governance | In Practice |
| Document and Record Policy | Governance | In Practice |
| Intellectual Property Rights Policy | Governance | In Practice |
| Information Security Awareness and Training Policy | Personnel | In Practice |
| Acceptable Use Policy | Personnel | In Practice |
| Clear Desk and Clear Screen Policy | Personnel | In Practice |
| Mobile and Teleworking Policy | Personnel | In Practice |
29 Richtlinien ausgerichtet am ISO 27001:2022 Framework
Produktsicherheit
Technische Massnahmen zum Schutz Ihrer Daten
Verschlüsselung
TLS 1.3 bei Übertragung, AES-256-GCM im Ruhezustand. Transkripte und sensible Daten Ende-zu-Ende-verschlüsselt.
Multi-Tenant-Isolation
Vollständige Datentrennung zwischen Kunden mit Row-Level Security.
Authentifizierung
JWT-basierte Authentifizierung mit sicherer Sitzungsverwaltung. OAuth 2.0 für Integrationen.
Audit-Protokollierung
Unveränderlicher Audit-Trail für alle Aktionen mit konfigurierbarer Aufbewahrung.
Backup & Wiederherstellung
Tägliche verschlüsselte Backups auf Schweizer Speicherung mit Ende-zu-Ende-Verschlüsselung und Zero-Access-Architektur. Disaster Recovery regelmässig getestet.
Überwachung
24/7 Infrastruktur-Überwachung. Automatische Benachrichtigung bei Anomalien.
Webhook-Sicherheit
Alle eingehenden Webhooks über HMAC-SHA256 oder JWT verifiziert. Keine nicht authentifizierten Webhook-Endpunkte.
Anwendungssicherheit
OWASP-konforme Kontrollen: SQL-Injection-Prävention, XSS-Schutz, Path-Traversal-Härtung, Ratenbegrenzung.
PII-Schutz
Sensible Daten in Anwendungsprotokollen maskiert. E-Mail-Adressen automatisch geschwärzt.
Datenschutz
Ihre Daten, Ihre Kontrolle
Datenstandort
Alle Daten in der Schweiz und EU gehostet. Keine Übermittlung in Drittländer ohne ausdrückliche Zustimmung.
Datenaufbewahrung
Standardmässig speichert AIAgens weder Sprachaudio noch Konversationstext über die Dauer der Interaktion hinaus. Anrufaufzeichnung und Transkription sind standardmässig deaktiviert — Zero Retention für alle Gesprächsdaten. Bei medizinischen Plänen liegt die Langzeitaufbewahrung (10-20 Jahre, Art. 400 OR, FMH) in der Verantwortung des Arztes als Verantwortlicher. Daten auf Anfrage innerhalb von 30 Tagen gelöscht.
Betroffenenrechte
Volle Unterstützung für Auskunfts-, Berichtigungs-, Löschungs- und Portabilitätsanfragen.
Einwilligungsverwaltung
Granulare Einwilligungskontrollen mit vollständigem Audit-Trail aller Änderungen.
Drei granulare Einwilligungstypen für medizinische Einsätze: Anrufaufzeichnung, Routing-Datenverarbeitung und Transkriptspeicherung.
KI-Governance
Verantwortungsvolle KI by Design
KI-Offenlegung
Jede KI-Interaktion identifiziert sich klar als künstliche Intelligenz. Keine täuschenden Praktiken.
Trainingsdaten
Wir verwenden keine Kundendaten zum Training von KI-Modellen. Ihre Daten bleiben Ihre.
Menschliche Aufsicht
Übergabe an menschlichen Agenten immer verfügbar. KI bearbeitet Routine, Menschen Ausnahmen.
Bias-Prävention
Regelmässige Audits der KI-Ausgaben zur Vermeidung diskriminierender oder schädlicher Antworten.
Unterauftragnehmer
Dritte, die Daten in unserem Auftrag verarbeiten
Zuletzt aktualisiert: February 2026
| Unterauftragnehmer | Zweck | Standort | Sicherheit |
|---|---|---|---|
| Verschlüsseltes Backup CH | Verschlüsselte Backup-Speicherung | CH (Switzerland) | E2E-Verschlüsselung; Zero-Access-Architektur; ISO 27001; Schweizer Gerichtsbarkeit |
| Sichere Gesundheits-E-Mail CH | Sichere Gesundheits-E-Mail (HIN SMTP) und Identitätsauthentifizierung | CH (Switzerland) | S/MIME-Verschlüsselung (HIN-zu-HIN automatisch); OAuth 2.0 mit PKCE |
| Telefonie/SIP CH | Telefonie / SIP-Trunk für Sprachanrufe | CH (Switzerland) | SIP über TLS; keine Anrufaufzeichnung auf deren Seite |
| Transaktions-E-Mails CH | Transaktions-E-Mail-Versand | CH (Switzerland) | TLS bei Übertragung; SOC 2 Type II; ISO 27001; EU-Region |
| Infrastruktur-Hosting | Infrastruktur-Hosting (dedizierte Server, Datenbanken) | EU (Germany) | AES-256-GCM im Ruhezustand; ISO 27001 zertifiziert |
| Voice-KI-Anbieter (EU) | KI-Sprachverarbeitung (STT/TTS, Echtzeit) | EU | Kein Audio gespeichert; EU-Datenspeicherung; SOC 2 Type II; ISO 27001 |
| KI-Sprachverarbeitung | KI-Sprachmodell für Konversationsintelligenz | EU | Zero-Retention-API; kein Training mit Kundendaten; EU-Endpunkt |
| Zahlungen | Zahlungsabwicklung und Abonnementverwaltung | EU (Ireland) | PCI-DSS Level 1; SOC 2 Type II; EU-Acquiring |
| Kalender/OAuth | Kalenderintegration, OAuth-Authentifizierung | EU (Belgium / Netherlands) | OAuth-Tokens verschlüsselt; ISO 27001 / SOC 2; EU-Datenregion |
Die vollständige Liste mit den Firmennamen der einzelnen Subprozessoren ist auf Anfrage unter Unterzeichnung einer Geheimhaltungsvereinbarung (NDA) verfügbar: dpo@aiagens.ch.
Google Calendar & Schweizer Vorschriften
Wie wir Compliance bei der Integration mit Drittanbieterdiensten sicherstellen
Data Privacy Framework
Seit September 2024 erkennt die Schweiz das Swiss-US DPF an. Google ist DPF-zertifiziert.
EU-Datenspeicherung
Wir konfigurieren alle Konten mit EU-Datenspeicherung (Belgien). Daten verlassen nie die EU.
E2E-Verschlüsselung
Medizinische Notizen mit dem öffentlichen Schlüssel des Arztes verschlüsselt. Nur er kann entschlüsseln.
Zero-Knowledge Medizinische Notizen
Wir gehen über gesetzliche Anforderungen hinaus. Von der KI gesammelte medizinische Notizen werden mit RSA-2048 + AES-256-GCM verschlüsselt, bevor sie in Google Calendar gespeichert werden. Weder Google noch AIAgens können den Klartext lesen - nur der Arzt mit seinem privaten Schlüssel und PIN.
Privater Schlüssel verlässt nie das Gerät des Arztes
Sicherheitskontakt
Für Sicherheitsanfragen oder zur Meldung von Schwachstellen kontaktieren Sie unser Team.
security@aiagens.chSicherheitsanfragen werden mit Priorität behandelt.