Datenschutzerklärung

Diese Erklärung beschreibt, welche Personendaten Cedreon bearbeitet, warum, wo welcher Teil davon bearbeitet wird und was Sie von uns verlangen können. Sie gilt für die öffentliche Website, den angemeldeten Arbeitsbereich, die Desktop-App von Cedreon für Windows und macOS und jeden Kontakt mit uns. Wir haben sie in klarer Sprache geschrieben statt in Rechtsfloskeln, denn wer sie sorgfältig liest, ist genau die Person, für die wir bauen. Wo eine Tatsache enger ist als die Aussage, die in dieser Branche üblich ist, nennen wir die engere.

Was unsere Server behalten, in Kürze

Nutzen Sie die Desktop-App von Cedreon, bleiben Ihre Gespräche auf Ihrem Computer. Abgesehen von dem, was Sie selbst speichern und was unten aufgeführt ist, behalten die Server von Cedreon keine Kopie Ihrer Nachrichten, der Antworten der KI oder der echten Werte hinter den Platzhaltern: jede Anfrage wird bearbeitet, und auf unseren Servern bleibt keine Kopie davon. So ist es seit dem 11. Oktober 2026.

Die Web-App unter cedreon.com/console/chat arbeitet anders: sie speichert Ihre Chats auf unseren Servern, damit Sie sie wieder öffnen können. Ein gespeicherter Chat ist verschlüsselt, die von unserer Prüfung erkannten Werte sind darin durch Platzhalter ersetzt, und die Originale, die er braucht, liegen verschlüsselt daneben. Davon gibt es zwei Ausnahmen. Bei einer Nachricht, die mit eingeschalteter Websuche gesendet wurde, können Namen von Personen und Organisationen sowie Adressen in Ihrer Frage und in der Antwort so gespeichert werden, wie sie geschrieben wurden, weil diese Nachricht sie nicht verbirgt. Und eine Nachricht, die Cedreon als Aufgabe in mehreren Schritten bearbeitet hat, kann einen Begriff, den Sie oder Ihre Organisation immer verbergen lassen, so behalten, wie Sie ihn eingegeben haben. Einen Titel, den Cedreon für einen Chat schreibt, behalten wir lesbar, ohne die erkannten Werte; einen Titel, den Sie selbst eingeben, behalten wir so, wie Sie ihn eingegeben haben, nur Kontonummern und ähnliche Kennungen werden daraus entfernt. Ein gespeicherter Chat bleibt, bis Sie ihn löschen oder Ihr Konto schliessen, und das Löschen entfernt all das. Der Server, der die Web-App betreibt, schreibt ausserdem die ersten 160 Zeichen einer Nachricht, in der Cedreon einen Wert verborgen hat, in sein Protokoll, mit diesen Werten bereits durch Platzhalter ersetzt. Bewertungen, die Sie in der Web-App zu einer Antwort abgeben, samt einer allfälligen Notiz, und Skills, die Sie dort anlegen, liegen auf dem Server, der die Web-App betreibt, bis Sie sie entfernen; die Schliessung Ihres Kontos entfernt sie noch nicht, schreiben Sie uns also, wenn Sie sie gelöscht haben möchten.

Das ist nicht dasselbe wie gar nichts. Gleich, welche Sie nutzen, bleibt Folgendes:

• Ein Nachweis, dass jede Anfrage stattgefunden hat. Für jede Anfrage halten wir einen Eintrag im unten beschriebenen Integritätsnachweis fest: Ihr Konto, den Zeitpunkt, das Modell, welche Schutzmassnahmen gegriffen haben und wie viele Werte verborgen wurden, die Zahl der Tokens und die Kosten sowie einen Fingerabdruck des Inhalts. Der Fingerabdruck ist eine SHA-256-Prüfsumme: der Text lässt sich daraus nicht zurückgewinnen, sie würde aber zu einer identischen Kopie passen. Der Eintrag enthält nie den Text einer Nachricht oder einer Antwort. Er kann einige Namen enthalten: eine Datei, die Sie verwendet haben, eine Regel, die gegriffen hat, Ihre Organisation, eine E-Mail-Adresse oder einen Teil einer Fehlermeldung, die ein Modellanbieter zurückgesendet hat.
• Eine Notiz zu jedem Aufruf, den die Desktop-App an uns richtet: dass der Aufruf stattgefunden hat und welcher Art er war, etwa ob er Werkzeuge verwendet hat, ohne Text, aufbewahrt, bis Sie Ihr Konto schliessen. Die Zugangskennung für Ihren Computer hält zudem fest, wann sie zuletzt verwendet wurde, und die Anfrage kann in den gewöhnlichen Betriebsprotokollen unserer Server erscheinen, die unter dem beschrieben sind, was wir erheben.
• Was der KI-Anbieter behält, und das hängt vom Modell ab. Für jedes Modell, das wir anbieten, ausser Claude Fable 5.1, veröffentlicht das Gateway, dass das Unternehmen, das es bereitstellt, keine Eingabe und keine Antwort behält, abgesehen von Betriebsdaten ohne Inhalt. Claude Fable 5.1 ist die Ausnahme: das Unternehmen, das es bereitstellt, protokolliert Eingaben und Antworten bis zu 30 Tage lang und teilt sie mit Anthropic, das sie mindestens 30 Tage lang behält. Die automatische Modellwahl wählt es nie. Der Abschnitt über das Gateway nennt Grundlage und Grenzen jeder dieser Aussagen.
• Was Sie selbst speichern: Dokumente und Google-Drive-Ordner, die Sie Ihrer Bibliothek hinzufügen, Begriffe, die Cedreon immer verbergen soll, Meldungen zu einer Antwort, die Sie uns senden (der Grund, Ihre Notiz, falls Sie eine schreiben, die Referenznummer der Antwort und das Modell, nie die Antwort selbst), sowie Ihre Konto- und Rechnungsdaten. Sie bleiben, bis Sie sie entfernen oder Ihr Konto schliessen; Rechnungsunterlagen so lange, wie das Buchführungsrecht es verlangt.
• Kopien bis und mit 10. Oktober 2026. Bis zu einer Aktualisierung an diesem Tag haben unsere Server eine verschlüsselte Kopie jeder Anfrage und ihrer Antwort behalten, aus der Desktop-App wie von überall sonst, zusammen mit den echten Werten hinter den Platzhaltern, darunter Werte, die aus Ihren Eingaben automatisch gespeichert wurden. Diese Kopien liegen noch auf unseren Servern. Sie werden gelöscht werden, und diese Erklärung wird sagen, wann das geschehen ist. Bis dahin werden die automatisch gespeicherten Werte, solange die automatische Erkennung eingeschaltet ist, weiterhin verwendet, um dieselben Werte in Ihren späteren Nachrichten zu verbergen.

Wer verantwortlich ist

Verantwortliche für die hier beschriebene Bearbeitung ist die SFF S26 AG, Schuetzengasse 7, 9000 St. Gallen, Schweiz. Sie erreichen uns unter general@cedreon.com. Cedreon ist das Produkt, die Desktop-App von Cedreon eingeschlossen; die SFF S26 AG ist das Unternehmen, das es betreibt und die App herausgibt.

Wir haben keinen Datenschutzbeauftragten benannt, weil wir nach Artikel 37 DSGVO nicht dazu verpflichtet sind. Ändert sich das, nennen wir ihn hier. Datenschutzfragen gehen an general@cedreon.com und erreichen einen Menschen, keine Warteschlange.

Verantwortliche oder Auftragsbearbeiterin: welche Rolle gilt, hängt von den Daten ab

Beide Rollen treffen gleichzeitig auf uns zu, über unterschiedliche Daten, und sie zu vermischen ist der übliche Weg, auf dem eine Erklärung wie diese falsch wird.

Für die Inhalte, die Sie ins Produkt geben, also Ihre Nachrichten, Ihre hochgeladenen Dokumente und die Antworten, die Sie erhalten, handeln wir auf Ihre Weisung. Nutzen Sie Cedreon über ein Konto, das Ihr Arbeitgeber oder Ihre Kanzlei bereitgestellt hat, ist DIESE die Verantwortliche für diese Inhalte und wir sind ihre Auftragsbearbeiterin. Die Bedingungen dafür stehen im Auftragsbearbeitungsvertrag, der Bestandteil unserer Nutzungsbedingungen ist; Anhang 2 dazu ist die Liste der Unterauftragsbearbeiter.

Für die Daten, die wir brauchen, um ein Unternehmen zu führen, also Ihre Anmeldeadresse, Ihre Rechnungskontaktdaten, unsere Sicherheitsprotokolle und den unten beschriebenen Integritätsnachweis, sind wir die Verantwortliche und diese Erklärung ist das massgebende Dokument.

Haben Sie ein persönliches Konto ohne Organisation dahinter, sind wir für alles verantwortlich, auch für Ihre Inhalte, und diese Erklärung deckt alles davon ab.

Wenn Ihr Konto zu einer Organisation gehört

Ein Organisationskonto hat eine Administratorin, und was diese sehen kann, sagen wir lieber, als es Sie herausfinden zu lassen.

Ihre Administratorin sieht die Mitglieder der Organisation und deren E-Mail-Adressen, sieht aggregierte Nutzungszahlen für die Organisation und je Mitglied, konfiguriert die Leitplanken, unter denen jedes Mitglied chattet, und kann Vereinbarungen unterzeichnen, die technisch einschränken, welche KI-Anbieter die ganze Organisation erreichen darf. Sie kann Mitglieder einladen und entfernen.

Ihre Administratorin kann Ihre Gespräche und Ihre Dokumente nicht lesen. Es gibt im Produkt nirgends einen kontoübergreifenden Zugriff auf Verläufe, weder für Administratorinnen noch für uns. Ein Dokument ist erst dann mit der Organisation geteilt, wenn es jemand absichtlich in die gemeinsame Bibliothek hochlädt.

Fragen Sie zu Inhalten in einem Organisationskonto zuerst Ihre Organisation. Fragen Sie uns, leiten wir das Anliegen an sie weiter, denn die Weisung zu erteilen ist ihre Sache.

Was wir erheben

Wir halten den Umfang bewusst klein. In der Praxis ist es Folgendes:

• Konto- und Anmeldedaten: Ihre E-Mail-Adresse, ein optionaler Anzeigename, ein gehashtes Passwort, ob Ihre Adresse bestätigt ist, und Ihr Sitzungscookie. Ihr Passwort selbst speichern wir nie. Melden Sie sich mit Google an, speichern wir die Kontokennung, die Google für Sie vergibt: eine nichtssagende Subjekt-Kennung, die nicht Ihre E-Mail-Adresse ist, damit wir dasselbe Google-Konto beim nächsten Mal wiedererkennen.
• Die Anmeldung der Desktop-App: Meldet sich die Desktop-App von Cedreon an, halten wir eine Zugangskennung für diesen Computer fest, bezeichnet mit dem Namen des Computers und seinem Betriebssystem, damit Sie ihn auf Ihrer Kontoseite wiedererkennen und dort widerrufen können, dazu, wann sie erstellt und wann sie zuletzt verwendet wurde. Der Name eines Computers enthält oft den Namen der Person, der er gehört.
• Organisationszugehörigkeit, falls vorhanden: zu welcher Organisation Ihr Konto gehört, Ihre Rolle darin und ob Ihnen ein bezahlter Platz zugewiesen ist.
• Kundeninhalte: Ihre Chatnachrichten, die Dokumente und Dateien, die Sie hochladen, und die Antworten, die Sie erhalten. Die nächsten vier Abschnitte handeln davon, denn wie damit umgegangen wird, ist die Substanz des Produkts.
• Die Platzhalterzuordnung: Ersetzt die Schutzschicht einen Wert durch einen Platzhalter, ist die Verbindung zwischen beiden das, womit Ihre eigene Ansicht wiederhergestellt wird. Während eine Anfrage beantwortet wird, liegt sie nur im Arbeitsspeicher. Abgesehen von den Kopien bis und mit 10. Oktober 2026, die der erste Abschnitt beschreibt, wird sie verschlüsselt nur neben etwas gespeichert, das Sie behalten: einem in der Web-App gespeicherten Chat, einer Frage, die Sie zu einem Dokument in Ihrer Bibliothek gestellt haben, dem Dokument selbst und einem Begriff, den Cedreon immer verbergen soll. Diese Zuordnung ist das Sensibelste, was wir halten, und wird auch so behandelt.
• Integritäts- und Betriebsmetadaten: ein nur anfügbarer Nachweis jedes Austauschs. Was er enthält und was nicht, steht weiter unten, und es ist mehr als Hashwerte und Zeitstempel.
• Rechnungsdaten, wenn Sie ein Abonnement haben: eine Kundenreferenz und der Abonnementdatensatz. Kartendaten werden in die eigenen Formulare unseres Zahlungsdienstleisters eingegeben und erreichen unsere Server nie.
• Supportkorrespondenz: alles, was Sie uns per E-Mail oder über ein Kontaktformular senden, und unsere Antwort.
• Meldungen zu einer Antwort, falls Sie eine senden: der Grund, den Sie gewählt haben, Ihre Notiz, falls Sie eine geschrieben haben, die Referenznummer der Antwort und das Modell, das sie geschrieben hat. Mehr dazu steht im Abschnitt über das Melden einer Antwort.
• In der Web-App die Bewertungen, die Sie zu einer Antwort abgeben, samt einer allfälligen Notiz, und die Skills, die Sie dort anlegen.
• Sicherheits- und Betriebsprotokolle: Anfragemetadaten, Fehlereinträge und Zähler zur Ratenbegrenzung, damit der Dienst läuft und Missbrauch untersucht werden kann. Das Protokoll des Servers, der die Web-App betreibt, enthält zudem den Anfang mancher Nachrichten, wie es der erste Abschnitt beschreibt.
• Website-Daten: ein Erstanbieter-Sitzungscookie, falls Sie über eine Anzeige kommen der Kampagnenname, damit wir wissen, welche Anzeige Sie erreicht hat, und Ihre Wahl im Cookie-Banner der öffentlichen Website, die in Ihrem Browser bleibt. Stimmen Sie diesem Banner zu, erhält Google zudem die Werbemessung, die im Abschnitt über die Website beschrieben ist.

Was KI-Anbieter tatsächlich erhalten

Das ist der Teil, den die meisten Erklärungen vage lassen. Bevor eine Anfrage Ihren Arbeitsbereich verlässt, prüft Cedreon sie und ersetzt, solange die automatische Erkennung eingeschaltet ist, erkannte sensible Werte durch Platzhalter, etwa eine Kennzeichnung in eckigen Klammern oder ein umkehrbares Token. Der KI-Anbieter erhält den Platzhalter, nicht den Wert. Das Original wird nur für Sie in der Antwort wiederhergestellt. Bei uns liegt es im Arbeitsspeicher, während die Anfrage beantwortet wird, und, abgesehen von den Kopien bis und mit 10. Oktober 2026, die der erste Abschnitt beschreibt, verschlüsselt aufbewahrt wird es nur neben etwas, das Sie behalten, etwa einem in der Web-App gespeicherten Chat; in der Desktop-App bleiben die Originale auf Ihrem Computer, wie es der Abschnitt über die Desktop-App beschreibt.

Die Erkennung ist mehrschichtig und nach bestem Bemühen aufgebaut, keine Garantie. Sie kombiniert prüfsummenvalidierte Muster für Kennungen wie IBAN, Kartennummer oder Steuernummer mit einem Erkennungsmodell, das lokal auf unserer eigenen Infrastruktur läuft und in der Desktop-App zusätzlich auf Ihrem Computer. Ungewöhnliche Formate, Schreibfehler und Werte, für die die Schicht nicht gebaut wurde, können übersehen werden. Wir sagen das deutlich, denn ein Versprechen perfekter Erkennung wäre falsch, und weil die Prüfung das Risiko verringert, aber Inhalte nicht aufhören lässt, Personendaten zu sein.

Die automatische Erkennung ist eine Einstellung und kann ausgeschaltet sein. Sie können sie im Arbeitsbereich und in der Desktop-App ausschalten, sofern Ihre Organisation das nicht für Sie entscheidet. Ist sie aus, sucht Cedreon nicht mehr nach Werten: Ihre Nachrichten und die Dokumente, die Sie anhängen, werden so gesendet, wie Sie sie geschrieben haben; verborgen bleibt nur, was Ihre Organisation zu verbergen verlangt. Bilder, die Sie anhängen, werden in keinem Fall geprüft: das Modell erhält sie als Bilder, und nichts, was sie zeigen, wird vor dem Senden ersetzt.

Eine Prüfung liest Ihre Worte, bevor unsere Platzhalter eingesetzt werden. Gelten für Ihr Konto Regeln in natürlicher Sprache, ob Sie, Ihre Organisation oder wir sie festgelegt haben, wird die Nachricht, die Sie eben gesendet haben, von einem Modell über dasselbe Gateway an ihnen geprüft, und dieses Modell erhält die Nachricht so, wie sie uns erreicht hat: in der Web-App so, wie Sie sie eingegeben haben, aus der Desktop-App so, wie die App sie gesendet hat. Gefragt wird es nur, ob eine Regel greift. Wir behalten dafür keine Kopie der Nachricht, und der Integritätsnachweis hält fest, welche Regel gegriffen hat.

Zwei Dinge tun wir nicht. Wir senden die Platzhalterzuordnung nirgendwohin: unsere verlässt unsere Infrastruktur nicht, die Desktop-App behält ihre eigene auf Ihrem Computer und sendet sie nie, und kein Anbieter erhält eine davon. Und wir maskieren nie eine Suchanfrage ins offene Web, was eine bewusste Ausnahme ist und am Schalter erklärt wird, der die Websuche einschaltet, denn eine maskierte Anfrage verschlechtert die Suche nicht, sie verändert die Antwort.

Das Gateway und woran die Anbieter tatsächlich gebunden sind

Jede Modellanfrage, die über uns läuft, geht über ein einziges Gateway, Eden AI, ein französisches Unternehmen, über dessen europäischen Endpunkt. Dieser Endpunkt leitet nur an Anbieter weiter, die für die Bearbeitung in Europa freigegeben sind, und weist eine Anfrage zurück, die kein solcher Anbieter bedienen kann, statt sie anderswohin zu senden. Mit Eden AI besteht ein Auftragsbearbeitungsvertrag. Da beide Parteien in Europa niedergelassen sind, ist für diesen Abschnitt keine Übermittlungsgrundlage erforderlich. Ein Modellanbieter, den Sie in der Desktop-App selbst hinzufügen, fällt nicht unter diesen Abschnitt: die App erreicht ihn von Ihrem Computer aus, ohne uns, wie es der Abschnitt über die Desktop-App beschreibt.

Zwei Zusagen werden hier üblicherweise zu einer verschmolzen, und sie sind nicht dieselbe Zusage, deshalb trennen wir sie.

Nutzung. Die Zusage lautet, dass kein Anbieter mit dem trainiert, was Sie senden, oder es für eigene Zwecke nutzt, und was sie trägt, hat sich geändert; deshalb sagen wir, was sie heute trägt. Für das Gateway ist diese Pflicht vertraglich: sein Auftragsbearbeitungsvertrag mit uns hält fest, dass es nicht mit Kundendaten trainiert, und bindet es für seine eigene Bearbeitung. Für die Unternehmen, die die Modelle bereitstellen, stützt sie sich auf Veröffentlichtes: die veröffentlichte Anbieter-Datenrichtlinie des Gateways erklärt, dass keines von ihnen mit Kundendaten trainiert, und keines hat uns gegenüber eine eigene Verpflichtung abgegeben. Früher wurde die Zusage als Vorgabe auf jeder einzelnen Anfrage durchgesetzt; heute begleitet keine solche Vorgabe und keine solche Anweisung eine Anfrage. Es gehört gesagt, dass sich der Mechanismus geändert hat, auch wenn die Zusage dieselbe blieb: ein Vertrag, eine veröffentlichte Erklärung und eine Vorgabe je Anfrage sind nicht dieselbe Art von Zusicherung.

Aufbewahrung. Diese Zusage betrifft die Nutzung und nicht das Behalten: ein Anbieter kann sie einhalten und eine Anfrage trotzdem eine Zeit lang in seinen eigenen Betriebsprotokollen halten, deshalb beantworten wir die Aufbewahrung Modell für Modell. Das Gateway erklärt, keine Eingabe- und keine Antwortinhalte aufzubewahren, doch das ist eine Aussage über das Gateway und nicht über das Unternehmen, dessen Server tatsächlich antworten; jedes davon führt eigene Aufbewahrungs- und Missbrauchskontrollregime. Für diese Unternehmen führt die veröffentlichte Anbieter-Datenrichtlinie des Gateways die Unternehmen, die unsere Modelle bereitstellen, als solche, die keine Eingaben und keine Antworten behalten, abgesehen von Betriebsdaten ohne Inhalt, und das gilt für jedes Modell, das wir anbieten, ausser Claude Fable 5.1. Diese Richtlinie ist die Zusammenfassung des Gateways, auf die wir uns stützen und die wir nicht für jedes Unternehmen geprüft haben, und die eigenen Bedingungen eines Unternehmens können ihm erlauben, Inhalte zu behalten, die seine Missbrauchskontrollen markieren. Claude Fable 5.1 ist die Ausnahme: Google, das es bereitstellt, protokolliert jede Eingabe und jede Antwort bis zu 30 Tage lang zur Missbrauchskontrolle und teilt sie mit Anthropic, dem Hersteller des Modells, das sie mindestens 30 Tage lang behält. Die automatische Modellwahl wählt es nie; es antwortet nur, wenn jemand es auswählt. Anhang 2 nennt die Lage jedes Modells und ihre Grundlage.

Wo die Bearbeitung stattfindet

Zwei verschiedene Fragen, und die ehrliche Antwort fällt unterschiedlich aus. Cedreon wird in der Schweiz entwickelt; das ist eine Aussage über das Unternehmen, nicht über einen Server.

Die Anwendung und Ihre gespeicherten Daten werden in der Europäischen Union unter der DSGVO bearbeitet, konkret in Frankfurt am Main, auf Infrastruktur, die über eine europäische Vertragspartei bezogen wird. Tägliche Sicherungspunkte liegen in derselben Region. Eingehende Anfragen laufen über ein Content-Delivery-Netz, in dem TLS beendet wird; Anfrageinhalte werden dort also kurzzeitig und im Arbeitsspeicher im Klartext bearbeitet, bevor sie zu unseren Servern neu verschlüsselt werden. Das gilt für jeden Dienst hinter einem Reverse Proxy und wird meist verschwiegen.

Die Modellausführung war früher eine eigene Frage mit einer eigenen Antwort; das ist sie nicht mehr. Jede Anfrage, die wir weiterleiten, verlässt uns über den oben beschriebenen europäischen Endpunkt und ist auf einen benannten europäischen Bearbeiter festgelegt, ohne Ausweichrouten, wird also in Europa bedient oder scheitert. Anhang 2 nennt, welches Unternehmen welches Modell bedient. Nicht geklärt ist damit, wer das Modell GEBAUT hat, und das ist eine andere Frage: die meisten wurden ausserhalb Europas gebaut, und eine Organisation, die beides braucht, kann unter ein Compliance-Profil gestellt werden, das sie auf in Europa gebaute Modelle beschränkt.

Optionale Funktionen bringen eigene Orte mit, und deshalb besteht dieser Abschnitt nicht aus einem Satz. Die Websuche sendet, wenn sie in einem Gespräch eingeschaltet ist oder Sie eine Suche bestätigen, die Anfrage an einen Anbieter, der Infrastruktur auf mehreren Kontinenten betreibt und dessen Bearbeitungsregion wir nicht festlegen. Ein verbundenes Google Drive wird auf der Infrastruktur von Google durchsucht. Beide sind standardmässig aus, und das Compliance-Profil entzieht sie ganz. Ein Modellanbieter, den Sie in der Desktop-App selbst hinzufügen, bearbeitet dort, wo dieser Anbieter es tut.

Übermittlungen ins Ausland

Übermittlungen aus der Schweiz in den EWR stützen sich auf die Angemessenheitsanerkennung des Bundesrates. Das Gateway und jedes Unternehmen, das ein Modell bedient, sind in Europa niedergelassen und bearbeiten dort, sodass der Modellweg über uns den EWR nicht mehr verlässt und keine weitere Grundlage braucht. Das war eine Änderung gegenüber früheren Fassungen dieser Erklärung, vorgenommen mit Fassung 1.4. Die eine Ausnahme ist Claude Fable 5.1: Google, das es in Europa bereitstellt, teilt dessen Eingaben und Antworten mit Anthropic, dem Hersteller des Modells, und keines der beiden Unternehmen sagt, von wo aus Anthropic darauf zugreift; eine Übermittlungsgrundlage für diesen Zugriff können wir deshalb nicht nennen. Wer ein anderes Modell wählt, vermeidet ihn.

Ausserhalb Europas bleibt der optionale Teil: die Websuche, deren Anbieter seine Bearbeitungsregion nicht festlegt, und ein verbundenes Google Drive. Diese stützen sich auf die Standardvertragsklauseln mit dem vom EDÖB anerkannten Schweizer Zusatz. Beide sind aus, bis Sie sie einschalten, und ein Compliance-Profil entzieht sie ganz. Ein Modellanbieter, den Sie in der Desktop-App selbst hinzufügen, ist kein Empfänger, den wir wählen oder mit dem wir einen Vertrag haben: die App sendet von Ihrem Computer aus an ihn, auf Ihre Weisung und unter Ihrer eigenen Vereinbarung mit diesem Anbieter.

Die ergänzende Massnahme unterscheidet sich zwischen den beiden, und wir nennen den Unterschied, statt ihn zu mitteln. Eine Anfrage an Ihr verbundenes Google-Konto wird vor dem Versand destruktiv maskiert, sodass der Empfänger keinen erkannten identifizierenden Wert erhält. Eine Websuche-Anfrage wird so gesendet, wie Sie sie eingegeben haben, ohne Platzhalter, weil das Maskieren einer Suche deren Antwort verändert; die Schutzmassnahme besteht dort darin, dass die Funktion ausgeschaltet bleibt, bis Sie sie bewusst einschalten, und dass der Schalter das sagt. Wie weit das Maskierungsargument trägt, formulieren wir bewusst vorsichtig, denn die Erkennung ist nach bestem Bemühen aufgebaut und die Zuordnung bleibt bei uns. Es verringert, was ein Empfänger hält; es macht aus der Übermittlung nichts anderes als eine Übermittlung von Personendaten.

Anhang 2 zu unserem Auftragsbearbeitungsvertrag nennt jeden Empfänger, was er erhält, wo er bearbeitet und auf welcher Grundlage. Er ist unter /subprocessors veröffentlicht und Bestandteil des Vertrags.

Die Werbemessung auf der öffentlichen Website liegt ausserhalb dieses Anhangs, weil sie Besucher der Website betrifft und nicht den Dienst: Stimmen Sie ihr im Cookie-Banner zu, kann Google das, was es erhält, ausserhalb der Schweiz und des Europäischen Wirtschaftsraums bearbeiten, nach seinen eigenen Bedingungen und gestützt auf Ihre Einwilligung.

Der Integritätsnachweis und was Löschung bedeutet

Jeder Austausch wird in einen nur anfügbaren, hashverketteten Nachweis geschrieben. Dieser Nachweis erlaubt es einer regulierten Kanzlei zu zeigen, was geschehen ist, und er ist bewusst nicht änderbar: die Datenbank verweigert Änderungen und Löschungen daran, und jeder Eintrag bindet sich an den vorhergehenden.

Er ist kein Nachweis aus Hashwerten und Zeitstempeln allein, und wir werden ihn auch nicht so beschreiben. Der Integritätsnachweis enthält keinen Klartext Ihrer Eingaben und keinen Klartext der Modellantworten. Er behält Integritäts- und Betriebsmetadaten, die Kennungen, Zeitstempel, Modellangaben, Inhaltsprüfsummen, Verweise auf gespeicherte Datensätze, Prüfergebnisse, Richtlinienergebnisse und Nutzungsdaten umfassen können. Eine Inhaltsprüfsumme ist ein SHA-256-Fingerabdruck: der Text lässt sich daraus nicht zurückgewinnen, sie würde aber zu einer identischen Kopie passen. Ein Verweis auf einen gespeicherten Datensatz zeigte auf eine gespeicherte Kopie der Anfrage oder der Antwort; Einträge seit dem 11. Oktober 2026 tragen keinen mehr, weil keine solche Kopie mehr angelegt wird. Und die Freitextnotiz eines Eintrags kann Dinge benennen: eine Datei, die Sie verwendet haben, eine Regel, die gegriffen hat, Ihre Organisation, eine E-Mail-Adresse oder bis zu 300 Zeichen einer Fehlermeldung, die ein Modellanbieter zurückgesendet hat.

Löschung wirkt deshalb in drei Teilen, und wir erklären das lieber, als zu viel zu versprechen. Das Löschen eines Chats, eines Dokuments oder Ihres Kontos entfernt unsere gespeicherte Kopie der betroffenen Nachrichten und Dokumente. Es löscht die verschlüsselte Platzhalterzuordnung, die daneben liegt, wodurch die ursprünglichen Werte aus diesem Chat oder Dokument nicht mehr rekonstruierbar sind, denn eine Prüfsumme bindet sich an etwas, ohne es wiederzugeben, und ein Verweis auf einen gelöschten Datensatz zeigt ins Leere. Und die Kette behält die Einträge, die belegen, dass die Reihenfolge nicht manipuliert wurde.

Die Schliessung Ihres Kontos erreicht nicht, was Ihrer Organisation gehört und nicht Ihnen: mit der Organisation geteilte Dokumente und die Zuordnungen, die sie brauchen, ihre Projekte, ihre Ordnerverbindungen und ihre geschützten Begriffe bleiben bei ihr. Rechnungsunterlagen bleiben so lange, wie das Buchführungsrecht es verlangt. Und unsere täglichen Serversicherungen enthalten, was zum Zeitpunkt ihrer Erstellung auf dem Datenträger lag; ein gelöschter Eintrag kann darin also bleiben, bis sie ersetzt werden.

Läuft eine Installation im Modus ohne Speicherung, wird gar kein Chat gespeichert und zwischen den Zügen keine Platzhalterzuordnung aufbewahrt.

Warum wir bearbeiten und auf welcher Grundlage

Jeder Zweck hat seine eigene Rechtsgrundlage, hier einzeln:

• Um den Dienst zu erbringen, den Sie verlangt haben, einschliesslich Ihres Kontos, Ihrer Gespräche und Ihrer Dokumente: Erfüllung unseres Vertrags mit Ihnen, Artikel 6 Absatz 1 Buchstabe b DSGVO. Ist Ihre Organisation die Verantwortliche für diese Inhalte, bearbeiten wir sie auf deren dokumentierte Weisung nach Artikel 28 DSGVO.
• Um den Dienst sicher zu halten, Missbrauch zu verhindern und ihn zuverlässig zu betreiben: unser berechtigtes Interesse an einem Dienst, der verteidigt und am Laufen gehalten werden kann, Artikel 6 Absatz 1 Buchstabe f DSGVO.
• Um den nur anfügbaren Integritätsnachweis zu führen: unser berechtigtes Interesse und für viele unserer Nutzerinnen deren eigene berufliche oder aufsichtsrechtliche Pflicht, Rechenschaft darüber ablegen zu können, was gesendet und was geprüft wurde. Ist Ihre Organisation die Verantwortliche, ist das Führen dieses Nachweises Teil des von ihr beauftragten Dienstes.
• Um Zahlungen entgegenzunehmen und Buchhaltungsunterlagen zu führen: unsere rechtliche Verpflichtung, Artikel 6 Absatz 1 Buchstabe c DSGVO, zusammen mit der Vertragserfüllung.
• Um Ihnen zu antworten, wenn Sie uns schreiben: Vertragserfüllung, wenn Sie Kundin sind, sonst unser berechtigtes Interesse an einer Antwort, Artikel 6 Absatz 1 Buchstabe f DSGVO.
• Um eine Antwort zu bearbeiten, die Sie uns melden: unser berechtigtes Interesse an einem Dienst, dessen Antworten sicher und zutreffend sind, Artikel 6 Absatz 1 Buchstabe f DSGVO.
• Um Ihnen E-Mails über das Produkt zu senden: Ihre Einwilligung, Artikel 6 Absatz 1 Buchstabe a DSGVO. Sie können sie jederzeit widerrufen, und der Widerruf berührt nicht, was vorher geschah.
• Um zu messen, welche unserer Google-Anzeigen zu einer Registrierung oder einem Download führen, nur auf der öffentlichen Website: Ihre Einwilligung, Artikel 6 Absatz 1 Buchstabe a DSGVO, erteilt im Cookie-Banner und jederzeit widerrufbar über die Cookie-Einstellungen im Abschnitt über die Website.

Wer sonst noch Daten bearbeitet

Die vollständige Liste, mit jeder Vertragspartei, dem, was sie erhält, dem Ort der Bearbeitung und der Grundlage der Übermittlung, ist unter /subprocessors veröffentlicht und ist Anhang 2 zu unserem Auftragsbearbeitungsvertrag. Im Überblick:

• Das Modell-Gateway, über das jede Modellanfrage läuft, die wir bearbeiten, und die Modellanbieter, an die es weiterleitet.
• Unser Hostinganbieter in Frankfurt, wo Anwendung und Datenbank laufen, und unser Netzanbieter, der TLS am Rand beendet.
• Unser Zahlungsdienstleister für Abonnements.
• Unser Anbieter für Transaktions-E-Mails, für Adressbestätigung, Platzeinladungen und Antworten.
• Ein Websuchanbieter, nur in einem Gespräch, in dem Sie die Websuche eingeschaltet oder eine Suche bestätigt haben.
• Google, nur für ein Konto, das sein eigenes Drive oder Gmail, seinen Kalender oder seine Kontakte verbunden hat: um zu lesen, was dieses Konto dort ohnehin führt, und, sobald das Schreiben eingeschaltet ist, um die Aktionen auszuführen, die dieses Konto bestätigt.
• Getrennt von dieser Liste, weil es Besucher der öffentlichen Website betrifft und nicht den Dienst: Google, für die Werbemessung, erst nachdem Sie im Cookie-Banner der Website auf Akzeptieren geklickt haben, wie der Abschnitt über die Website beschreibt.

Verbundene Google-Konten

Sie können Ihr eigenes Google Drive oder Gmail auf der Seite Connectors mit Ihrem Konto verbinden. Cedreon liest dieses Konto nur für das, worum Sie es bitten. Fragen Sie nach einer Datei oder einer Nachricht, sucht es die passenden Einträge, liest sie und antwortet Ihnen mit einem Verweis auf das Original. Wählen Sie Dateien oder einen Ordner aus Ihrem Drive, um sie in Ihren Company brain zu übernehmen, kopiert es diese Dateien in Ihre Bibliothek, hält einen gewählten Ordner aktuell und behandelt sie wie jedes Dokument, das Sie hochladen. Das Lesen nutzt eine reine Leseberechtigung: Mit ihr kann Cedreon in Ihrem Google-Konto nichts erstellen, ändern, teilen, senden oder löschen. Auf unseren Servern legt es keine Kopie Ihres Postfachs an und keine Kopie Ihres Drive über die Dateien und Ordner hinaus, die Sie übernommen haben. Was es liest, durchläuft dieselbe Schirmung und dasselbe Modell-Gateway wie Ihre eigenen Nachrichten; erkannte identifizierende Werte werden vor dem Versand durch Platzhalter ersetzt, und kein KI-Anbieter trainiert damit. Sie können die Verbindung jederzeit auf derselben Seite trennen. Das Trennen löscht das Token, das Cedreon für diese Verbindung speichert, und beendet die Synchronisierung jedes Ordners. Um die Berechtigung auch bei Google zu widerrufen, entfernen Sie Cedreon in den Einstellungen Ihres Google-Kontos für den Zugriff durch Drittanbieter. Dateien, die Sie in Ihren Company brain übernommen haben, bleiben dort, bis Sie sie entfernen oder Ihr Konto löschen.

Google Kalender und Google Kontakte lassen sich ebenfalls verbinden, nur zum Lesen. Das ist auf unseren Servern ausgeschaltet, bis Google die Prüfung abgeschlossen hat. Ist es eingeschaltet, braucht jedes seine eigene Berechtigung auf dem Zustimmungsbildschirm von Google. Wenn Sie fragen, liest Cedreon die Termine der kommenden 30 Tage in Ihrem eigenen Kalender (Titel, Zeit, Ort, Organisator, Gäste und Beschreibung) oder sucht Personen in Ihren Kontakten (Name, E-Mail-Adressen, Telefonnummern und Organisation). Es legt keine Kopie Ihres Kalenders oder Ihrer Kontakte an, was es liest, durchläuft dieselbe Schirmung wie das, was es aus Gmail und Drive liest, und Sie können jede der beiden Verbindungen jederzeit auf der Seite Connectors trennen.

Gmail und Google Drive lassen sich auch zum Schreiben verbinden, damit Cedreon für Sie E-Mails senden und mit Entwürfen und Dateien arbeiten kann. Das Schreiben wird gerade eingeführt und ist auf unseren Servern ausgeschaltet, bis wir es einschalten; bis dahin bleibt der Zugriff von Cedreon auf ein verbundenes Google-Konto nur lesend. Ist es eingeschaltet, braucht das Schreiben weiterhin Ihre eigene Berechtigung, die Sie auf dem Zustimmungsbildschirm von Google getrennt vom Lesen erteilen: eine Berechtigung zum Senden von E-Mails, eine für Entwürfe und eine für Drive-Dateien. Im Modus ohne Speicherung wird es nicht angeboten, weil eine Aktion aufbewahrt werden muss, bis Sie sie bestätigen. Der Assistent kann eine Aktion nur vorschlagen: Cedreon zeigt Ihnen, was gesendet oder geändert wird, und führt genau diese eine Aktion erst aus, nachdem Sie sie bestätigt haben. Eine Aktion, die Sie nicht innerhalb von 15 Minuten bestätigen, lässt sich nicht mehr bestätigen.

Ist das Schreiben eingeschaltet, sind dies die einzigen Aktionen, die Cedreon ausführen kann. In Gmail: eine neue E-Mail oder eine Antwort vom verbundenen Konto senden, einen Entwurf erstellen sowie einen Entwurf, den Cedreon selbst erstellt hat, ändern, senden oder löschen. In Drive: ein Google-Dokument, eine Text-, Markdown- oder CSV-Datei oder einen Ordner erstellen; eine Datei oder einen Ordner umbenennen; den Text einer Datei ändern, entweder indem Wörter oder Wendungen in einem Google-Dokument ersetzt werden oder indem der ganze Text einer Datei ersetzt wird, die Cedreon erstellt hat; und eine einzelne Datei mit namentlich genannten Personen teilen, als Betrachter, Kommentator oder Bearbeiter, worauf Google diese Personen per E-Mail benachrichtigt. Cedreon kann nur Dateien und Ordner umbenennen, ändern oder teilen, die es selbst erstellt hat oder die Sie in der Dateiauswahl von Google für Cedreon gewählt haben, und es erstellt neue nur auf der obersten Ebene Ihrer Ablage (Meine Ablage) oder in einem solchen Ordner; ein neues Element in einem Ordner, den andere öffnen können, ist auch für sie sichtbar, und die Bestätigung sagt, wann das der Fall sein kann. Cedreon führt eine Liste dieser Elemente und verweigert jedes andere. Abgesehen vom Text, den es ersetzt, wenn Sie eine Änderung an einer Datei bestätigen, kann Cedreon nur eines löschen: einen Entwurf, den es erstellt hat. Es löscht nie eine E-Mail oder eine Drive-Datei, verschiebt sie nicht und legt sie nicht in den Papierkorb, entzieht niemandem den Zugriff auf eine Datei, teilt nie einen Ordner und teilt nie eine Datei per Link. Die Bestätigung zeigt die echten Werte anstelle der Platzhalter, mit denen der Assistent gearbeitet hat, und genau das, was Sie bestätigen, wird an Google gesendet. Um eine Aktion vorzubereiten oder auszuführen, liest Cedreon nur, was diese Aktion braucht: bei einer Antwort die Adressen, den Betreff und die Nachrichtenkennungen der beantworteten E-Mail sowie die Adressen in ihrer Konversation, nie den Text oder die Anhänge einer Nachricht; einen Entwurf, den es erstellt hat, bevor es ihn ändert, sendet oder löscht; Name, Typ und Freigabeeinstellungen eines Drive-Elements und was Ihr Konto damit tun darf; und den Text eines Google-Dokuments, das es gleich ändert, wovon es höchstens drei Ausschnitte von 80 Zeichen um jede Ersetzung aufbewahrt. Es verwendet, was es liest, nur, um Ihnen zu zeigen, was Sie bestätigen, und um die Aktion auszuführen.

Das bewahrt Cedreon zu einer Schreibaktion auf. Solange eine Aktion auf Ihre Bestätigung wartet und solange sie läuft, wird ihr Inhalt verschlüsselt auf unseren Servern aufbewahrt: Empfänger, Betreff und Text einer E-Mail oder eines Entwurfs und die Namen der Anhänge eines Entwurfs, Name und Inhalt einer Datei, die Personen, mit denen eine Datei geteilt werden soll, und die Ausschnitte eines Google-Dokuments um eine Ersetzung. Diese Kopie wird gelöscht, sobald die Aktion ausgeführt ist, fehlschlägt oder abgebrochen wird, und innerhalb weniger Minuten, wenn sie unbestätigt abläuft oder unterbrochen wird. Was bleibt, ist ein Eintrag zur Aktion ohne ihren Inhalt: die Art der Aktion, das verwendete Google-Konto, wo Sie sie bestätigt haben, die Kennungen der Anfrage und dessen, was sie erstellt oder geändert hat, Zählwerte, Prüfsummen der Anfrage und dessen, was Sie bestätigt haben, das Ergebnis und die Zeitpunkte. Dieser Eintrag wird 30 Tage nach dem Ende der Aktion gelöscht. Ausserdem führt Cedreon die Liste der Elemente, auf die es einwirken darf: die Kennungen der Entwürfe und Dateien, die es erstellt hat, und der Dateien und Ordner, die Sie gewählt haben, jeweils mit ihrem Typ, mit der Angabe, ob Cedreon sie erstellt oder Sie sie gewählt haben, und mit dem Zeitpunkt der Aufnahme. Ein Element verlässt diese Liste, wenn ein Entwurf gesendet oder gelöscht wird, wenn Cedreon feststellt, dass es nicht mehr existiert, wenn Sie die Verbindung trennen und wenn Sie Ihr Konto löschen. Ein kurzer Eintrag zu jeder Sitzung in der Dateiauswahl von Google, der keinen Namen und keinen Inhalt enthält, wird einen Tag nach dem Ende der Sitzung gelöscht. Der nur anfügbare Integritätsnachweis vermerkt jede Aktion, die ausgeführt wurde, fehlgeschlagen ist oder von der Schirmung verweigert wurde, mit Zählwerten und einer Prüfsumme, und wie viele echte Werte aus der Platzhalterzuordnung wiederhergestellt wurden, um eine Aktion vorzubereiten; den Inhalt enthält er nie. Die Tokens für das Schreiben werden verschlüsselt auf unseren Servern gespeichert, wie jene für das Lesen. Sie können das Schreiben jederzeit dort trennen, wo Sie es verbunden haben: Das Trennen einer Berechtigung löscht ihr Token, bricht jede ihrer Aktionen ab, die noch auf Ihre Bestätigung wartet, und leert ihren Teil der Liste der Elemente, auf die Cedreon einwirken darf. Um die Berechtigung auch bei Google zu widerrufen, entfernen Sie Cedreon in den Einstellungen Ihres Google-Kontos für den Zugriff durch Drittanbieter. Das Löschen Ihres Kontos löscht all dies, ausser dem oben beschriebenen Integritätsnachweis.

Die Desktop-App kann Google Drive auch selbst verbinden, von Ihrem Computer aus statt über unsere Server. Die Berechtigung liegt dann auf Ihrem Computer, verschlüsselt mit dem Schlüssel des Tresors der App. Die Verbindung ist zugleich der Auftrag, das Drive zu lesen: Die App liest die Dateien darin, hält deren Text in einem verschlüsselten Index auf Ihrem Computer, damit sie durchsucht werden können, und prüft alle 30 Minuten auf Änderungen. Dieses Lesen läuft nicht über unsere Server; Ihren Computer verlässt nur, was ein Gespräch davon verwendet, als Teil dieses Gesprächs und behandelt wie jede Nachricht. Schalten Sie das Lesen aus, wird der Index gelöscht; trennen Sie die Verbindung, werden der Index und die auf Ihrem Computer gehaltene Berechtigung gelöscht. Um die Berechtigung auch bei Google zu widerrufen, entfernen Sie Cedreon in den Einstellungen Ihres Google-Kontos für den Zugriff durch Drittanbieter. Damit Sie Dateien auswählen können, öffnet die App die eigene Dateiauswahl von Google, die von Google geladen wird.

Cedreon's use of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements. The use of information received from Google Workspace scopes will adhere to the Google User Data Policy, including the Limited Use requirements (developers.google.com/terms/api-services-user-data-policy). Cedreon does not use Google Workspace API data to develop, improve, or train non-personalized AI and/or ML models. Auf Deutsch: Was Cedreon aus einem verbundenen Google-Konto liest, wird nur abgerufen, wenn Sie fragen, wenn Sie Dateien oder einen Ordner zur Übernahme gewählt haben oder wenn eine Aktion, um die Sie gebeten haben, vorbereitet oder ausgeführt wird, nur zur Beantwortung Ihrer Fragen, zur Führung dieser Dateien in Ihrer Bibliothek und zur Vorbereitung und Ausführung der Aktionen verwendet, die Sie bestätigen, und an das Modell-Gateway nur als geschirmte Auszüge für die erbetene Antwort und, bei einer Aktion, als deren Ergebnis (Kennungen, Zählwerte und ob sie gelungen ist oder warum nicht) weitergegeben, nach dem Vertrag des Gateways mit uns, der ihm Training und jede andere Nutzung untersagt, und nach den veröffentlichten Richtlinien der Unternehmen, an die es sie weiterleitet und die erklären, nicht mit Kundendaten zu trainieren; es wird nicht verkauft und nicht für Werbung genutzt. Die Tokens werden gelöscht, wenn Sie die Verbindung trennen oder Ihr Konto löschen, die übernommenen Dateien werden gelöscht, wenn Sie sie entfernen oder Ihr Konto löschen, und was Cedreon zu einer Schreibaktion aufbewahrt, wird wie oben beschrieben gelöscht. Niemand bei Cedreon liest diese Daten, es sei denn, Sie haben uns gebeten, bestimmte Einträge anzusehen, es ist aus Sicherheitsgründen notwendig oder das Gesetz verlangt es. In der Desktop-App liest Cedreon ein dort verbundenes Drive zudem, um auf Ihrem Computer einen Index davon zu führen; dieser Index und die Berechtigung liegen nur auf Ihrem Computer und werden gelöscht, wenn Sie die Verbindung in der App trennen, und was die App daraus sendet, ist ein Auszug für die Antwort, um die Sie gebeten haben, geprüft wie Ihre eigenen Nachrichten, an das Modell-Gateway oder an einen Modellanbieter, den Sie selbst hinzugefügt und für dieses Gespräch gewählt haben, nach Ihrer eigenen Vereinbarung mit diesem Anbieter.

Die Desktop-App von Cedreon

Die Desktop-App von Cedreon für Windows und macOS lässt das Produkt auf Ihrem Computer laufen. Solange ihr Tresor eingeschaltet ist, und das ist er, bis Sie oder Ihre Organisation ihn ausschalten, prüft die App Ihre Nachrichten und die Dokumente, die Sie anhängen, dort, mit einem Erkennungsmodell, das auf Ihrem Computer läuft, bevor etwas gesendet wird; Bilder werden so gesendet, wie sie sind. Auf cedreon.com wird dann jede Anfrage so behandelt wie eine aus dem Arbeitsbereich in Ihrem Browser: Ihre Regeln und die Ihrer Organisation werden angewendet, und die Anfrage wird mit der automatischen Erkennung, die Ihr Konto verwendet, erneut geprüft, bevor sie das Modell-Gateway erreicht. Schalten Sie den Tresor der App aus, sendet die App Ihre Nachrichten so, wie Sie sie geschrieben haben, und teilt cedreon.com mit, ebenfalls nicht nach Werten zu suchen; verborgen bleibt dann nur, was Ihre Organisation zu verbergen verlangt. Alles, was diese Erklärung darüber sagt, was uns erreicht, gilt für das, was die App uns sendet. Zwei Dinge sind anders, und die folgenden Abschnitte legen sie dar: was die App auf Ihrem Computer behält, das wir weder sehen noch erreichen können, und die übrigen Stellen, mit denen sie sich verbindet.

Ihre Gespräche liegen auf Ihrem Computer, nicht auf unseren Servern. Jede Anfrage, die die App über uns an ein Modell sendet, enthält das bisherige Gespräch, wie jede Chatanfrage. Wir prüfen sie, wenden Ihre Regeln an, geben sie an das Modell-Gateway weiter und senden die Antwort zurück, und wir behalten keine Kopie der Anfrage oder der Antwort und speichern keinen der echten Werte hinter ihren Platzhaltern. Bei uns bleiben ihr Eintrag im Integritätsnachweis und eine Notiz zum Aufruf ohne seinen Text; der erste Abschnitt dieser Erklärung führt auf, was bleibt.

In den Einstellungen können Sie unter Modelle einen eigenen Modellanbieter hinzufügen, etwa OpenAI, Anthropic, Mistral oder einen anderen kompatiblen Dienst, mit Ihrem eigenen Schlüssel dafür. Wählen Sie eines seiner Modelle, sendet die App das Gespräch von Ihrem Computer direkt an diesen Anbieter, nach ihrer eigenen Prüfung, solange ihr Tresor eingeschaltet ist. cedreon.com ist dann nicht dazwischen: wir prüfen diese Anfragen nicht und halten sie nicht fest, und was diese Erklärung über das Modell-Gateway, den Ort der Bearbeitung und die Verträge sagt, die Training untersagen, erreicht sie nicht. Es gelten die Bedingungen, Standorte und Aufbewahrungsregeln dieses Anbieters, unter Ihrem eigenen Konto bei ihm. Dasselbe gilt, wenn die Person, die Ihren Computer eingerichtet hat, der App einen eigenen Schlüssel für das Modell-Gateway gegeben hat: die App erreicht das Gateway dann direkt, ohne uns.

Was die Desktop-App auf Ihrem Computer behält

Die App legt ihre Daten in einem Ordner namens .cedreon in Ihrem Benutzerordner ab, dazu einige Anwendungsdateien (Fenstereinstellungen, Zwischenspeicher und ein Diagnoseprotokoll) im Anwendungsdatenordner Ihres Betriebssystems. All das bleibt auf Ihrem Computer: wir können es weder sehen noch erreichen noch löschen, und die Schliessung Ihres Kontos entfernt es nicht. Es umfasst:

• Ihre Gespräche, die Dateien, die Sie ihnen anhängen, die Dateien, die die App in ihrem Arbeitsordner schreibt, und die lokale Dokumentbibliothek samt dem Suchindex, den die App über den Text der Dokumente aufbaut. Die App verschlüsselt diese nicht: sie sind so gut geschützt wie alles andere in Ihrem Benutzerordner, durch die Anmeldung an Ihrem Computer und eine allfällige Festplattenverschlüsselung. Der Gesprächsverlauf enthält Ihre Nachrichten so, wie Sie sie eingegeben haben, denn die Prüfung geschieht auf dem Weg aus Ihrem Computer hinaus und nicht auf dem Weg auf seine Festplatte.
• Der Tresor: die Verbindung zwischen jedem Platzhalter, den die App erzeugt hat, und dem Wert, den er ersetzt. Er ist verschlüsselt, und sein Schlüssel liegt in einer Datei auf demselben Computer; er ist also gegen eine Kopie der Tresordatei allein geschützt, nicht aber gegen jemanden, der Ihren Benutzerordner lesen kann.
• Ihre Anmeldung: eine Datei in diesem Ordner mit Ihrer Cedreon-Sitzung, der Zugangskennung dieses Computers und den Schlüsseln, die Sie für eigene Modellanbieter hinzufügen, und daneben die Anmeldedaten der MCP-Server, die Sie verbinden. Das sind Dateien, nicht der Anmeldedatenspeicher Ihres Betriebssystems.
• Wenn Sie Google Drive in der App verbinden: die Berechtigung und der Index Ihres Drive, wie ihn der Abschnitt über verbundene Google-Konten beschreibt, beide verschlüsselt mit Schlüsseln, die vom Schlüssel des Tresors stammen, und deshalb gleich geschützt wie dieser.
• Wenn Ihr Konto zu einer Organisation gehört: eine Kopie der Regeln, die sie anwendet, und für Administratorinnen auch die geschützten Begriffe der Organisation.
• Die beiden Modelle, die die App herunterlädt und auf Ihrem Computer ausführt, darunter das Erkennungsmodell, das Ihre Nachrichten prüft, zusammen etwa 1,2 GB. Sie enthalten keine Daten über Sie.

Was die Desktop-App sendet und an wen

Die Desktop-App sendet keine Nutzungsanalysen und keine Absturzberichte, weder an uns noch an jemand anderen. Was wir darüber erfahren, wie die App genutzt wird, stammt aus den Anfragen, die sie an uns richtet; diese stehen zuerst.

Hugging Face und GitHub erhalten ihre Anfragen so, wie jede Website sie erhält: Ihre IP-Adresse und die üblichen technischen Angaben einer Anfrage, nach deren eigenen Datenschutzerklärungen, und beide können sie von ausserhalb Europas bedienen. Keiner von beiden erhält Inhalte von Ihnen, weshalb keiner auf der Liste der Unterauftragsbearbeiter steht.

Womit sich die App verbindet und wozu:

• cedreon.com, also mit uns: um Sie anzumelden; um diesen Computer zu registrieren, bezeichnet mit seinem Namen und seinem Betriebssystem; mit jeder Anfrage an ein Modell, nach der eigenen Prüfung der App, damit wir sie erneut prüfen, Ihre Regeln anwenden und sie im Integritätsnachweis vermerken, ohne eine Kopie davon zu behalten; mit den Prüfungen anhand der Regeln Ihrer Organisation; mit den Websuchen, die Sie einschalten oder bestätigen und die wir über den in Anhang 2 genannten Websuchanbieter ausführen; und mit jeder Meldung zu einer Antwort, die Sie senden.
• Hugging Face: um die beiden Modelle herunterzuladen, die die App auf Ihrem Computer ausführt, einmal beim ersten Start der App und erneut nur, wenn sie fehlen. Jeder Download ist auf eine feste Version festgelegt und wird vor der Verwendung geprüft.
• GitHub: um beim Start der App und auf Ihren Wunsch nach einer neuen Version zu suchen. Die Abfrage trägt eine Zufallszahl, die die Aktualisierungsfunktion erzeugt und auf Ihrem Computer behält; sie kennzeichnet die Installation, nicht Sie oder Ihr Konto. Eine Aktualisierung wird erst heruntergeladen, wenn Sie zustimmen.
• Google: nur wenn Sie Google Drive in der App verbinden, direkt von Ihrem Computer aus, wie es der Abschnitt über verbundene Google-Konten beschreibt.
• Gmail und die anderen Quellen, die Sie mit Ihrem Konto verbinden: für jede Verwendung lässt sich die App von cedreon.com ein kurzlebiges Zugriffstoken ausstellen und ruft die Quelle dann direkt von Ihrem Computer aus auf, sodass das Gelesene nicht über unsere Server läuft. Was die Quelle zurückgibt, wird wie Ihre Nachrichten behandelt und, solange der Tresor der App eingeschaltet ist, auf Ihrem Computer geprüft, bevor etwas davon ein Modell erreicht.
• Modellanbieter, die Sie in den Einstellungen unter Modelle selbst hinzufügen: nur wenn Sie eines ihrer Modelle wählen, direkt von Ihrem Computer aus, wie es der Abschnitt über die Desktop-App beschreibt.
• MCP-Server, die Sie hinzufügen, und Webseiten, die die App bei einer Aufgabe öffnet, die Sie ihr gegeben haben: direkt von Ihrem Computer aus, nach den eigenen Bedingungen dieser Dienste.

Die Desktop-App deinstallieren

Die Deinstallation entfernt das Programm. Was mit den Daten geschieht, die es behalten hat, hängt von Plattform und Version ab, und wir sagen es lieber genau.

Unter Windows, ab Version 1.1: Das Deinstallationsprogramm entfernt die App, die heruntergeladenen Modelle, ihre Anwendungsdateien und Zwischenspeicher, die Kopien des Installationsprogramms, die die Aktualisierungsfunktion aufbewahrt, und jede Anmeldung, die die App behalten hat: Ihre Cedreon-Sitzung und die Zugangskennung dieses Computers, die Schlüssel, die Sie für eigene Modellanbieter hinzugefügt haben, die Anmeldungen der MCP-Server, die Sie verbunden haben, und die auf Ihrem Computer gehaltene Berechtigung, Ihr Google Drive zu lesen. Ihre Gespräche, die Dateien und Dokumente, die Sie hinzugefügt haben, der Tresor, der Index Ihres Drive, die Kopie der Regeln Ihrer Organisation und Ihre Einstellungen bleiben auf dem Computer, ausser Sie setzen im Deinstallationsprogramm das Häkchen, das auch sie löscht; so knüpft eine Neuinstallation dort an, wo Sie aufgehört haben. Ein Schlüssel für das Modell-Gateway, der in die Konfigurationsdatei der App geschrieben wurde, bleibt ebenso erhalten. Versionen vor 1.1 haben alles an Ort und Stelle gelassen; haben Sie eine davon entfernt, können Sie den Ordner .cedreon in Ihrem Benutzerordner und den Ordner Cedreon in Ihren Anwendungsdaten selbst löschen.

Unter macOS wird beim Entfernen der App nur das Programm entfernt und sonst nichts. Der Ordner .cedreon in Ihrem Benutzerordner bleibt mit allem, was oben aufgeführt ist, und ebenso die kleineren Ordner der App in Ihrer Library, bis Sie sie selbst löschen.

Die Schliessung Ihres Cedreon-Kontos entfernt nichts davon von Ihrem Computer, denn wir erreichen es nicht.

Eine Antwort melden

Sie können uns eine Antwort melden, wenn sie schädlich oder gefährlich ist; hasserfüllt, belästigend oder sexuell; falsch oder irreführend; wenn sie persönliche oder vertrauliche Informationen preisgibt; oder aus einem anderen Grund. Eine Meldung enthält den Grund, den Sie gewählt haben, Ihre Notiz, falls Sie eine schreiben, die Referenznummer der Antwort und das Modell, das sie geschrieben hat. Die Antwort selbst enthält sie nie, und das Meldeformular bittet Sie, keine persönlichen oder vertraulichen Angaben in Ihre Notiz zu schreiben.

Mit der Referenznummer finden wir den Integritätsnachweis dieses Austauschs, der unter anderem festhält, welches Modell geantwortet hat und welche Schutzmassnahmen gegriffen haben, und keinen Text Ihrer Nachricht oder der Antwort enthält. Ihr Gespräch erhalten wir mit einer Meldung nicht.

Wir lesen Meldungen, um Probleme mit den Antworten von Cedreon zu finden und zu beheben, gestützt auf unser berechtigtes Interesse an einem Dienst, dessen Antworten sicher und zutreffend sind, Artikel 6 Absatz 1 Buchstabe f DSGVO. Eine Meldung wird aufbewahrt, solange wir sie bearbeiten, und danach als Nachweis, wie wir sie bearbeitet haben, und sie wird gelöscht, wenn Sie Ihr Konto schliessen. Dass Sie sie gesendet haben, mit ihrem Grund, dem Modell, der Referenznummer der Antwort und Ihrem Konto, aber ohne Ihre Notiz, wird zudem in den Integritätsnachweis geschrieben, und wie jeder Eintrag dort bleibt dieser bestehen, wenn Sie Ihr Konto schliessen.

Die Website und was wir dort messen

Die öffentlichen Marketingseiten tragen eine Websiteanalyse und, nur wenn Sie zustimmen, eine Werbemessung. Der angemeldete Arbeitsbereich unter cedreon.com/console und die Desktop-App tragen keines von beiden.

Die Analyse ist selbst gehostet: die Software läuft in einem Container auf unserer eigenen Infrastruktur, in derselben Region Frankfurt, und kein Dritter erhält die Daten. Sie zählt Seitenaufrufe und Verweisquellen.

Die Werbemessung ist der Google Tag Manager mit dem Conversion-Tracking von Google Ads, und die öffentliche Website lädt sie erst, nachdem Sie in ihrem Cookie-Banner auf Akzeptieren geklickt haben. Bis Sie wählen, und wenn Sie auf Ablehnen klicken, wird nichts von Google geladen. Stimmen Sie zu, misst sie, ob ein Besuch, der von einer Google-Anzeige kam, zu einer Registrierung oder zu einem Download der Desktop-App geführt hat. Google erhält dann die Adresse der Seite, die Kennung des Anzeigenklicks und das Conversion-Ereignis, zusammen mit dem, was ein Browser mit jeder Anfrage mitsendet, etwa Ihre IP-Adresse und die Art des Browsers, und setzt eigene Werbecookies in Ihrem Browser. Wir nutzen sie für kein Remarketing und keine personalisierte Werbung, und wir senden Google keine E-Mail-Adresse und nichts, was Sie in Cedreon schreiben. Google nutzt diese Daten nach seinen eigenen Bedingungen und kann sie ausserhalb der Schweiz und des Europäischen Wirtschaftsraums bearbeiten.

Die Grundlage ist Ihre Einwilligung, Artikel 6 Absatz 1 Buchstabe a DSGVO. Sie können Ihre Wahl jederzeit über die Cookie-Einstellungen auf dieser Seite ändern, die das Banner erneut zeigen; ein Widerruf entfernt die Cookies von Google Ads, die die Seite erreichen kann, und lädt nichts weiter von Google.

Der angemeldete Arbeitsbereich in Ihrem Browser stellt keine Anfragen an Dritte, mit einer Ausnahme, die Sie selbst auslösen: Wählen Sie Dateien aus Ihrem Google Drive, öffnet sich die eigene Dateiauswahl von Google, die von Google geladen wird. Schriften, Symbole und Diagramme kommen von unseren eigenen Servern, weshalb die Konsole nichts aus einem Content-Delivery-Netz lädt. Weder der Arbeitsbereich noch die Desktop-App lädt den Google Tag Manager oder Google Ads, gleich was Sie im Banner gewählt haben. Die Desktop-App ist ein eigenes Programm auf Ihrem Computer; welche Verbindungen sie herstellt, steht im Abschnitt über die Desktop-App.

Die Cookies, die wir selbst setzen, sind Erstanbieter-Cookies und funktional: ein Sitzungscookie, damit Sie angemeldet bleiben, und, falls Sie über eine Anzeige kommen, der Kampagnenname, damit wir wissen, welche Anzeige Sie erreicht hat. Das Kampagnencookie trägt keine Kennung und läuft nach 30 Tagen ab. Ihre Wahl im Cookie-Banner wird im lokalen Speicher Ihres Browsers abgelegt, nicht in einem Cookie. Die einzigen Cookies Dritter sind die Werbecookies von Google, und nur nachdem Sie zugestimmt haben.

Wie lange wir sie aufbewahren

Nach Kategorie, denn eine einzige Frist für alles wäre eine Fiktion:

• Kontodaten: solange Sie ein Konto haben. Die Schliessung löscht sofort, unwiderruflich und im selben Vorgang Ihre gespeicherten Chats, Ihre persönlichen Dokumente, die Begriffe, die Cedreon immer verbergen soll, Ihre Meldungen und die Platzhalterzuordnungen, die neben einem davon liegen. Dokumente, die Sie mit Ihrer Organisation geteilt haben, bleiben bei ihr. Es gibt keine Wiederherstellungsfrist, exportieren Sie also vorher, was Sie brauchen.
• Gespräche und Dokumente: bis Sie sie löschen. Das Löschen wirkt sofort und löscht die Platzhalterzuordnung mit, die daneben liegt. Die Gespräche der Desktop-App liegen auf Ihrem Computer, und wir halten keines davon. Läuft eine Installation im Modus ohne Speicherung, wird gar kein Chat gespeichert.
• Begriffe, die Cedreon immer verbergen soll: bis Sie sie entfernen oder Ihr Konto schliessen. Entfernen Sie einen, wird er aus der Liste gelöscht; ein Chat, den Sie gespeichert haben, während er verborgen war, zeigt ihn dort weiterhin, bis Sie diesen Chat löschen.
• Der nur anfügbare Integritätsnachweis: aufbewahrt für die Dauer des Kontos und für eine festgelegte Zeit danach, die wir derzeit auf 10 Jahre setzen, weil sein Zweck ein dauerhafter Nachweis darüber ist, was gesendet und was geprüft wurde, und weil die Nutzerinnen, für die wir bauen, beruflichen Aufbewahrungspflichten in dieser Grössenordnung unterliegen. Wir behaupten nicht, dass das Schweizer Buchführungsrecht für sich genommen verlangt, ein KI-Protokoll 10 Jahre aufzubewahren; die buchhalterische Frist ist die Grundlage für die Rechnungsunterlagen unten, und die Aufbewahrung des Integritätsnachweises stützt sich auf den eben beschriebenen Zweck. Er enthält keinen Klartext von Eingaben oder Modellantworten.
• Rechnungs- und Buchhaltungsunterlagen: 10 Jahre, wie es Artikel 958f des Schweizerischen Obligationenrechts verlangt.
• Sicherheits- und Betriebsprotokolle: so lange, wie sie für den Zweck nützlich sind, der sie rechtfertigt, in der Regel Wochen statt Jahre.
• Supportkorrespondenz: so lange, wie es nötig ist, um die Sache zu erledigen und zu zeigen, wie sie erledigt wurde.
• Meldungen zu einer Antwort: aufbewahrt, solange wir die Meldung bearbeiten, und danach als Nachweis, wie wir sie bearbeitet haben; gelöscht, wenn Sie Ihr Konto schliessen. Der Eintrag im Integritätsnachweis, dass eine Meldung gesendet wurde, wird so lange aufbewahrt wie dieser Nachweis.
• Die Zugangskennung der Desktop-App für einen Computer, samt ihrer Bezeichnung: bis Sie Ihr Konto schliessen, was sie löscht. Widerrufen Sie den Computer auf Ihrer Kontoseite, funktioniert die Zugangskennung sofort nicht mehr.
• Anfragen der Desktop-App: auf unseren Servern bleibt keine Kopie einer Anfrage oder ihrer Antwort. Was bleibt, ist ihr Eintrag im Integritätsnachweis, aufbewahrt wie dieser Nachweis, und die Notiz zum Aufruf, die der erste Abschnitt beschreibt, aufbewahrt, bis Sie Ihr Konto schliessen.
• Kopien bis und mit 10. Oktober 2026, von Anfragen, von Antworten und von den echten Werten hinter Platzhaltern: aufbewahrt, bis sie gelöscht sind, was noch nicht geschehen ist; der erste Abschnitt dieser Erklärung sagt mehr dazu.
• Bewertungen und Skills in der Web-App: bis Sie sie dort entfernen. Die Schliessung Ihres Kontos entfernt sie noch nicht; schreiben Sie uns, dann tun wir es.
• Was die Desktop-App auf Ihrem Computer behält: so lange, wie Sie es dort behalten. Wir erreichen es nicht, deshalb entfernt die Schliessung Ihres Kontos es nicht; was das Entfernen der App bewirkt, steht im Abschnitt über das Deinstallieren der Desktop-App.
• Websiteanalyse: nur aggregierte Zählungen, aufbewahrt auf unserer eigenen Infrastruktur.
• Werbemessung auf der öffentlichen Website, falls Sie zugestimmt haben: Google bewahrt, was es erhält, nach seinen eigenen Bedingungen auf, und seine Werbecookies laufen nach Googles eigenem Zeitplan ab, sofern Sie Ihre Wahl nicht widerrufen oder sie löschen. Ihre Wahl selbst bleibt in Ihrem Browser, bis Sie sie ändern oder den Speicher des Browsers leeren.

Ihre Rechte

Nach der DSGVO und dem Schweizer DSG stehen Ihnen alle folgenden Rechte zu. Schreiben Sie an general@cedreon.com; wir antworten innert 30 Tagen und kostenlos. Ist Ihre Organisation die Verantwortliche für die betroffenen Inhalte, leiten wir das Anliegen an sie weiter, denn die Weisung zu erteilen ist ihre Sache.

Was die Desktop-App auf Ihrem Computer behält, liegt in Ihrer Hand und nicht in unserer: Sie können es dort selbst lesen, kopieren oder löschen, und ein Begehren an uns erreicht, was wir halten, wie es der Rest dieser Erklärung beschreibt.

• Auskunft: eine Kopie Ihrer Daten und die Angaben aus dieser Erklärung, Artikel 15 DSGVO.
• Berichtigung: Korrektur von allem, was unrichtig oder unvollständig ist, Artikel 16 DSGVO.
• Löschung: Artikel 17 DSGVO. Lesen Sie den Abschnitt oben dazu, was Löschung hier bedeutet, denn wir erklären die Kette lieber, als zu viel zu versprechen.
• Einschränkung: Bearbeitung ruht, solange etwas bestritten ist, Artikel 18 DSGVO.
• Datenübertragbarkeit: die Daten, die Sie uns gegeben haben, in einem strukturierten, maschinenlesbaren Format und, wo technisch machbar, direkt an eine andere Verantwortliche gesendet, Artikel 20 DSGVO.
• Widerspruch: gegen jede Bearbeitung auf Grundlage berechtigter Interessen, aus Gründen Ihrer besonderen Situation, und gegen Direktwerbung jederzeit und ohne Begründung, Artikel 21 DSGVO.
• Widerruf der Einwilligung jederzeit, ohne dass die Rechtmässigkeit der vorherigen Bearbeitung berührt wird.
• Beschwerde bei einer Aufsichtsbehörde: beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten oder bei der Behörde an Ihrem Wohnort, Arbeitsort oder dort, wo Sie das Problem vermuten.

Automatisierte Entscheidungen

Wir treffen über Sie keine ausschliesslich automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Artikel 22 DSGVO. Wir erstellen kein Profil von Ihnen.

Cedreon erzeugt Text mit KI-Modellen, was automatisierte Bearbeitung ist, und die Schutzschicht entscheidet automatisch, ob ein Wert maskiert wird, bevor eine Anfrage weitergeleitet wird. Keines von beiden entscheidet etwas über Sie: das erste erzeugt einen Entwurf, den ein Mensch beurteilt, das zweite schränkt nur ein, was hinausgeht. Kein Konto wird von einem Modell gewährt, verweigert, bepreist oder eingeschränkt.

Müssen Sie uns diese Daten geben

Sie sind zu nichts verpflichtet. Aber eine E-Mail-Adresse und ein Passwort sind technisch das, woraus ein Konto besteht, ohne sie können wir keines anlegen, und ohne Zahlungsdaten kein Abonnement führen. Weitere Folgen gibt es nicht: nichts hiervon wird erhoben, weil wir es gerne hätten.

Änderungen

Diese Erklärung ist versioniert. Jede Version hat ein Inkrafttretensdatum und eine Inhaltsprüfsumme, und als Sie unsere Nutzungsbedingungen akzeptiert haben, haben wir festgehalten, welche Version dieser Erklärung Ihnen gezeigt wurde, samt dieser Prüfsumme, damit sich feststellen statt bestreiten lässt, was Ihnen damals gesagt wurde.

Ändern wir diese Erklärung wesentlich, veröffentlichen wir sie als neue Version, weisen auf dieser Seite darauf hin und sagen es Ihnen per E-Mail, wenn die Änderung Sie direkt betrifft.