Datenschutzerklärung

METASOLUTIONS — Legal & Compliance Division 2026

Referenz: META-DSE-DE-v4.0 Stand: 31. August 2026

Geltungsbereich: CH · DE · AT · UAE · US · UK

Präambel:

Metasolutions erbringt ausschliesslich Business-to-Business (B2B) KI-Infrastrukturdienstleistungen.

Diese Datenschutzerklärung richtet sich an Unternehmensvertreter, die mit Metasolutions in Geschäftsbeziehung

stehen oder stehen möchten. Metasolutions verarbeitet keine Personendaten von Konsumenten in direkter Vertragsbeziehung.

1. Verantwortliche Stelle

Firmenname:

Metasolutions

Adresse:

Baslerstrasse 77, 4600 Olten

Kanton Solothurn

Schweiz

E-Mail Datenschutz:

datenschutz@metasolutions.ch

2. Anwendbare Rechtsordnungen

Massgebendes Recht ist in allen Fällen Schweizer Recht, wobei die nachfolgenden Rechtsordnungen in ihrem jeweiligen

zwingenden Anwendungsbereich ergänzend als jurisdiktionsspezifische Overlay-Schicht gelten.

Schweizerisches Datenschutzgesetz (nDSG): In Kraft seit 1. September 2023, primär anwendbare Rechtsgrundlage

für alle Verarbeitungstätigkeiten von Metasolutions.

EU-Datenschutz-Grundverordnung (DSGVO / GDPR):

Verordnung (EU) 2016/679. Gilt für EU-Kunden und EU-Betroffene.

UK DSGVO und UK Data Protection Act 2018:

Gilt für Kunden und Betroffene im Vereinigten Königreich.

California Consumer Privacy Act (CCPA) / CPRA:

Gilt für kalifornische Geschäftskontakte.

DIFC Data Protection Law 2020 — DIFC Law No. 5 of 2020:

Gilt für UAE- und DIFC-Kunden.

Health Insurance Portability and Accountability Act (HIPAA):

Gilt für US-Healthcare-Kunden mit PHI-Verarbeitungsbezug.

EU AI Act — Verordnung (EU) 2024/1689:

Regelt die nicht delegierbaren Anbieter-Pflichten von Metasolutions.

3. Grundsatz der Datenneutralität

Metasolutions verkauft keine Kundendaten an Dritte und verwendet Kundendaten

nicht ohne ausdrückliche schriftliche Vereinbarung für eigene Trainingszwecke.

Der Einsatz von Kundendaten für Modelltraining setzt den Abschluss des Datenverarbeitungs- und Trainingsvertrags

(DVT, Referenz META-DVT-DE-v1.0) voraus, wobei ohne DVT keine Trainingsverarbeitung stattfindet.

4. Verarbeitungszwecke und Rechtsgrundlagen

4.1 Daten von Endkunden der Auftraggeber

Im Betrieb von KI-Infrastrukturen für Unternehmenskunden können Daten der Endkunden des Auftraggebers

durch die Infrastruktur von Metasolutions verarbeitet werden, wobei in diesem Fall der Auftraggeber

der datenschutzrechtlich Verantwortliche gegenüber seinen Endkunden ist.

Metasolutions handelt als Auftragsverarbeiter gemäss Art. 28 DSGVO bzw. Art. 9 nDSG, und die Verantwortung

für die Rechtsgrundlagen der Endkundenverarbeitung liegt ausschliesslich beim Auftraggeber.

Die Verantwortungsallokation richtet sich nach dem gewählten Betriebsmodell (S1–S6)

und wird im jeweiligen Auftragsverarbeitungsvertrag (AVV, Referenz META-AVV-SC-DE-v1.0 oder META-AVV-FC-DE-v1.0)

sowie gegebenenfalls der Technischen Verantwortlichkeitsmatrix (META-TVM-DE-v1.0) verbindlich festgelegt.

4.2 Modelltraining — Verarbeitungsmodi A, B und C

Wichtiger Hinweis zum Verarbeitungsbeginn: Modelltraining auf Kundendaten kann bereits während der

Aufbauphase beginnen — ab dem Zeitpunkt des ersten Dateningests in die Trainingspipeline, wobei der DVT (META-DVT-DE-v1.0)

sowie gegebenenfalls der Business Associate Agreement (BAA, META-BAA-DE-v1.0) zu diesem Zeitpunkt in Kraft treten

und nicht erst mit operativem Go-live.

Modus A — Anonymisierte Daten: Ausschliesslich HIPAA Safe Harbor oder ISO 29101 äquivalent anonymisierte Daten,

wobei nach qualitätszertifizierter Anonymisierung kein Personenbezug mehr besteht und der Auftraggeber

die Anonymisierungsqualität vertraglich garantiert sowie die alleinige Haftung für fehlerhafte Anonymisierung trägt.

Modus B — Autorisierte personenbezogene Daten: Personenbezogene Daten mit expliziter Rechtsgrundlage und Einwilligungen

pro Datenkategorie, wobei ein separater DVT-Annex und gegebenenfalls ein erweiterter BAA für PHI erforderlich sind

und schriftliche Einwilligungen vor Trainingsbeginn zu dokumentieren sind.

Modus C1 — Sovereign Installation (Tier 1): Alle Rohdaten verbleiben auf der Infrastruktur des Auftraggebers,

wobei kein Datentransfer zu Metasolutions stattfindet und ein IP-Lizenz- und Professional-Services-Modell

zur Anwendung kommt.

Modus C2 — Federated Learning (Tier 2): Rohdaten verbleiben auf dedizierten Servern, wobei ausschliesslich

aggregierte Modellgewicht-Updates übertragen werden und kein Transfer von Rohdaten stattfindet.

4.3 HIPAA — Geschützte Gesundheitsinformationen (PHI)

Der Business Associate Agreement (BAA, Referenz META-BAA-DE-v1.0) ist bei jedem Kunden

verpflichtend abzuschliessen, bei dem Protected Health Information (PHI) möglicherweise durch die

Infrastruktur von Metasolutions verarbeitet wird, wobei kein Opt-out vom BAA als Instrument besteht

und ausschliesslich der Umfang der zulässigen PHI-Verarbeitung innerhalb des BAA variiert. Kunden,

die schriftlich bestätigen, dass keinerlei PHI anfällt, erhalten eine HIPAA-Nicht-Anwendbarkeitsfeststellung

im Vertrag, und für HIPAA-pflichtige Kunden schliesst Metasolutions vor PHI-Ingest BAAs

mit allen relevanten Unterauftragnehmern ab.

5. Datenaufbewahrung und Löschung

Personenbezogene Daten werden nicht länger aufbewahrt als für den jeweiligen Verarbeitungszweck erforderlich,

wobei für Trainingsdaten eine 90-tägige Vorverarbeitungs-Pufferfrist (Retention Gate) vor dem Trainingseinsatz gilt

und Löschanfragen innerhalb dieser Frist innerhalb von 72 Stunden vollzogen werden. Nach abgeschlossenem Training

ist individuelles Unlearning technisch nicht vollständig garantierbar, weshalb Metasolutions Differential Privacy einsetzt

und Einschränkungen im Verzeichnis der Verarbeitungstätigkeiten (VVT, Referenz META-ROPA-DE-v2.0) sowie im DVT dokumentiert.

6. Auftragsverarbeitung und Unterauftragnehmer

Metasolutions setzt die nachfolgend genannten Unterauftragnehmer ein, wobei eine stets aktuelle Liste im jeweiligen AVV (Anhang 1)

enthalten ist und neue Unterauftragnehmer mit 14 Tagen Vorlauf angekündigt werden.

Cloudflare Inc.: CDN, DDoS-Schutz und DNS, mit Sitz in den USA und verfügbaren EU-Rechenzentren, auf Grundlage von

EU-Standardvertragsklauseln (SCCs).

Google Cloud Platform: Cloud-Infrastruktur (sofern eingesetzt), mit primärem Sitz in der EU und der Schweiz,

auf Grundlage eines Adäquanzbeschlusses sowie EU-Standardvertragsklauseln (SCCs).

OpenAI, L.L.C.: KI-Modelle (sofern eingesetzt), mit Sitz in den USA, auf Grundlage von EU-Standardvertragsklauseln (SCCs)

sowie eines BAA für HIPAA-pflichtige Kunden.

Anthropic PBC: KI-Modelle (sofern eingesetzt), mit Sitz in den USA, auf Grundlage von EU-Standardvertragsklauseln (SCCs)

sowie eines BAA für HIPAA-pflichtige Kunden.

Twilio Inc.: Kommunikation und Telefonie, mit Sitz in den USA und verfügbaren EU-Rechenzentren,

auf Grundlage von EU-Standardvertragsklauseln (SCCs).

Nvidia Corporation: Hardware und CUDA-Infrastruktur, mit Sitz in den USA, wobei keine Datenverarbeitung durch Nvidia stattfindet.

Palantir Technologies: Datenplattform (sofern eingesetzt), mit Sitz in den USA und verfügbarer EU-Option,

auf Grundlage von EU- Standardvertragsklauseln (SCCs).

Memurai Software: In-Memory-Datenbank, wobei Sitz und BAA-Verfügbarkeit direkt zu klären sind.

7. Bekanntgabe von Personendaten an Dritte und spezifische Empfängerkategorien

A. Einwilligungsmanagement-Dienste (Consent Management)

Kategorie-Beschreibung: Dienstleister, die Ihre Cookie- und Tracking-Präferenzen auf unserer Website verwalten,

erfassen und gesetzskonform dokumentieren.

Betroffene Daten: Anonymisierte Protokolle Ihrer Einwilligungsauswahl (Consent-Logs), Zeitstempel,

gekürzte IP-Adresse sowie Browser- und Gerätemetadaten.

Internationale Bekanntgabe & Garantien: Die Daten werden in die Europäische Union (Dänemark) bekanntgegeben und dort verarbeitet.

Diese Region bietet gemäss den Angemessenheitsbeschlüssen des Schweizer Bundesrates ein angemessenes Datenschutzniveau.

B. Tag-Management- und Orchestrierungssysteme

Kategorie-Beschreibung: Systeme zur Verwaltung von digitalen Inhalten und Skripten, mit denen technische Tracking-,

Analyse- und Funktionscodes auf unserer Plattform bereitgestellt, ausgelöst und organisiert werden.

Betroffene Daten: Verbindungsmetadaten, Metriken zur Browserkonfiguration und Protokolle der Skriptausführung.

Internationale Bekanntgabe & Garantien: Die Daten werden innerhalb der Europäischen Union (Irland) und in den

Vereinigten Staaten (USA) verarbeitet. Für Bekanntgaben in die USA stützen wir uns auf das Swiss-U.S. Data Privacy Framework

(DPF), das EU-U.S. Data Privacy Framework sowie auf Standardvertragsklauseln, die vom Eidgenössischen

Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) genehmigt wurden.

C. Dialogbasierte KI- und Support-Tools (Conversational AI)

Kategorie-Beschreibung: Automatische KI-Textoberflächen und Kommunikationswerkzeuge, die den Kundensupport unterstützen,

von Nutzern eingegebene Chat-Anfragen verarbeiten und Besucherfragen in Echtzeit beantworten.

Betroffene Daten: Chat-Protokolle (Transkripte), technische Verbindungsprotokolle und alle personenbezogenen Daten,

die Sie explizit in das interaktive Textfeld eingeben.

Internationale Bekanntgabe & Garantien: Die primäre Datenverarbeitung findet in Kanada statt – einem Land, das von der Schweiz

und der Europäischen Union als Land mit angemessenem Datenschutzniveau anerkannt ist. Sofern im Hintergrund

hochentwickelte Sprachmodelle (LLMs) Daten in Drittstaaten wie den Vereinigten Staaten (USA) verarbeiten,

wird diese Verarbeitung durch genehmigte Standardvertragsklauseln abgesichert.

D. Zahlungsdienstleister

Kategorie-Beschreibung: Externe Finanzinstitute und Zahlungsabwickler, die zur sicheren, verschlüsselten und

gesetzeskonformen Abwicklung von Transaktionen und Käufen auf unserer Plattform eingesetzt werden.

Betroffene Daten: Kreditkarten- oder Kontoinformationen (PCI-DSS-konform verarbeitet), Rechnungsbetrag,

Transaktions-ID, Name, E-Mail-Adresse sowie Betrugspräventionsdaten (z. B. IP-Adresse und Geräte-Fingerabdruck).

Internationale Bekanntgabe & Garantien: Der Zahlungsdienstleister verarbeitet Daten global, einschliesslich in den

Vereinigten Staaten, Indien und anderen Jurisdiktionen, in denen das Unternehmen tätig ist oder in denen sich

seine Dienstleister befinden. Für den rechtmässigen Datentransfer aus der Schweiz in die USA

stützen wir uns auf das Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF).

8. Internationale Datenübermittlungen

Datenübermittlungen in Drittländer ausserhalb der Schweiz und der EU erfolgen ausschliesslich

auf Grundlage geeigneter Garantien, namentlich EU-Kommissions-Angemessenheitsbeschlüsse,

Standardvertragsklauseln (SCCs) gemäss Art. 46 DSGVO sowie Schweizer Datenübermittlungsabkommen.

Schweizer Datenhaltung ist primäres Architekturmerkmal von Metasolutions und wird Kunden

mit Sovereignty-Anforderungen vertraglich garantiert, wobei für Tier-1-Kunden (S1–S4) Rohdaten

auf der vom Auftraggeber kontrollierten Infrastruktur in der Schweiz verbleiben.

9. Rechte der betroffenen Personen

Anfragen sind zu richten an datenschutz@metasolutions.ch, wobei die Standardantwortfrist 30 Tage

gemäss Art. 12 DSGVO / Art. 25 nDSG beträgt und Löschanfragen im Retention Gate innerhalb von 72 Stunden beantwortet werden.

Auskunftsrecht:

Art. 15 DSGVO / Art. 25 nDSG.

Berichtigungsrecht:

Art. 16 DSGVO / Art. 32 nDSG.

Löschungsrecht:

Art. 17 DSGVO / Art. 32 nDSG.

Recht auf Einschränkung der Verarbeitung:

Art. 18 DSGVO.

Recht auf Datenübertragbarkeit:

Art. 20 DSGVO.

Widerspruchsrecht:

Art. 21 DSGVO.

Widerruf der Einwilligung:

Art. 7 Abs. 3 DSGVO, ohne Rückwirkung auf bereits erfolgte Verarbeitung.

Beschwerderecht:

Eidgenössischer Datenschutz und Öffentlichkeitsbeauftragter (EDÖB),

www.edoeb.admin.ch.

CCPA / CPRA-Rechte:

Opt-out, Löschung und Auskunft für kalifornische Betroffene.

DIFC DSL-Rechte (Art. 14–19):

Für UAE- und DIFC-Betroffene.

10. EU AI Act — Anbieter-Pflichten von Metasolutions

Metasolutions trägt die nicht delegierbaren Pflichten als KI-System-Anbieter

gemäss EU AI Act (Verordnung (EU) 2024/1689) in allen Betriebsszenarien S1–S6.

Konformitätsbewertung: Für Hochrisiko-KI-Systeme gemäss Art. 9–16 EU AI Act,

beginnend während der Aufbauphase, zu der der Auftraggeber zur aktiven Mitwirkung verpflichtet ist.

Technische Dokumentation:

Gemäss Art. 11 EU AI Act, laufend zu erstellen und zu aktualisieren.

Transparenzpflichten:

Gemäss Art. 52 EU AI Act, mit automatischer Offenlegung

der KI-Interaktion bei jedem Konversationsstart gegenüber dem Endnutzer.

Weitere Pflichten: Registrierung in der EU-KI-Datenbank sowie laufendes Post-Market-Monitoring,

wobei diese Pflichten in keinem Szenario auf Kunden übertragbar sind.

11. Cookies

Details zum Einsatz von Cookies und Tracking-Technologien sind in der

separaten Cookie-Richtlinie (Referenz META-CKR-DE-v1.0) geregelt,

abrufbar unter: www.metasolutions.ch/cookies

12. Änderungen dieser Erklärung

Metasolutions behält sich vor, diese Datenschutzerklärung jederzeit

zu aktualisieren. Die aktuelle Version ist auf der Website verfügbar.

Bei wesentlichen Änderungen werden Bestandskunden per E-Mail informiert.

Letzte Aktualisierung: 31. August 2026

Metasolutions · Legal & Compliance Division 2026

META-DSE-DE-v4.0 · Stand: 31. August 2026 · Baslerstrasse 77, 4600 Olten, Schweiz