Datenschutz­erklärung XARA

In dieser Datenschutzerklärung erläutert die afca ag, welche Personendaten beim Betrieb des KI-Gesprächstrainers Xara bearbeitet werden. Xara besteht aus dem Webclient XaraWeb, der Xara-App für Meta Quest und dem Administrationstool XaraAdmin.

Personendaten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Diese Erklärung ist auf das Schweizer Datenschutzgesetz (DSG) und die EU-Datenschutz-Grundverordnung (DSGVO) ausgelegt. Ob und inwieweit diese Gesetze anwendbar sind, hängt vom Einzelfall ab.

Xara wird in der Aus- und Weiterbildung eingesetzt und richtet sich an Personen ab 16 Jahren. Institutionen müssen beim Einsatz durch ihre Lernenden die anwendbaren rechtlichen Vorgaben einhalten, einschliesslich allenfalls erforderlicher Informationen, Bewilligungen und Einwilligungen. Die eigenen rechtlichen Pflichten von afca bleiben davon unberührt.

afca ag, Industriestrasse 35, 3052 Zollikofen, Schweiz. Für Datenschutzanfragen: datenschutz@afca.ch (Ansprechperson: Markus Brönnimann).

Xara wird in der Regel von Bildungsinstitutionen und Unternehmen (nachfolgend «Institution») für ihre Lernenden eingesetzt. Die Institution entscheidet, wer trainiert, welche Szenarien verwendet werden und wie lange Gespräche aufbewahrt bleiben. Sie ist dafür datenschutzrechtlich verantwortlich; afca bearbeitet diese Daten in ihrem Auftrag und nach ihren Weisungen. Für den Betrieb der Plattform selbst (Zugangsverwaltung, Sicherheit, technische Protokolle) ist afca verantwortlich.

3.1 Zugang und Anmeldung

• Xara-App für Meta Quest: Es gibt kein Benutzerkonto. Der Zugang erfolgt über einen Zugangscode Ihrer Institution oder einen Einmalcode. Dabei werden keine Namen, E-Mail-Adressen oder Kontodaten erhoben. Ihr Meta-Konto wird von der App nicht abgefragt.
• XaraWeb: Zugang über einen Zugangslink oder -code Ihrer Institution oder über eine Anmeldung mit Microsoft Entra ID (Konto Ihrer Institution oder ein von afca verwaltetes Konto). Bei der Anmeldung mit Entra ID erhalten wir Name, E-Mail-Adresse und Benutzer-ID, um Ihre Zugehörigkeit zu einer Institution zu prüfen. Bei einem Zugang über ein Konto des hep Verlags erhalten wir von hep Ihre E-Mail-Adresse und Lizenzinformation zur Prüfung der Berechtigung.
• XaraAdmin: Anmeldung ausschliesslich über Microsoft Entra ID. XaraAdmin erhält Name, E-Mail-Adresse und Benutzer-ID sowie Name und Tenant-ID Ihrer Organisation (Berechtigungen «XaraAdmin kann auf den Namen, die E-Mail-Adresse und die Benutzer-ID zugreifen» und «XaraAdmin kann Informationen über die Organisation einsehen»). Die Zustimmung wird einmalig erteilt und kann jederzeit widerrufen werden; ein Administrator kann sie für die gesamte Organisation erteilen. Diese Daten dienen ausschliesslich der Zugriffskontrolle und werden nicht in der Xara-Datenbank gespeichert. Sie können in technischen Protokollen erscheinen (Ziff. 3.4).

Anmeldedaten werden nicht mit Gesprächsinhalten verknüpft.

3.2 Optionale Nutzerkennung

Ihre Institution kann einstellen, dass Sie vor einem Gespräch eine Nutzerkennung eingeben, zum Beispiel eine Zahl oder ein Kürzel. Diese Kennung wird zusammen mit dem Gesprächsprotokoll gespeichert, damit Ihre Institution Ihnen Ihre Übungen zuordnen kann. afca kennt die Bedeutung dieser Kennung nicht.

3.3 Sprache und Gesprächsinhalte

• Sprachaufnahme: Während Sie sprechen, wird Ihre Stimme an den Spracherkennungsdienst Microsoft Azure AI Speech übertragen und dort in Text umgewandelt. Die Aufnahme wird weder von afca noch von Microsoft gespeichert. Gespeichert wird nur der erkannte Text.
• Gesprächsprotokoll: Ihre Äusserungen als Text und die Antworten des KI-Avatars werden als Protokoll gespeichert, zusammen mit dem Szenario, dem Zeitstempel und, falls aktiviert, Ihrer Nutzerkennung.
• Feedback: Auf Wunsch wertet die KI das Gespräch aus und gibt Ihnen eine Rückmeldung. Diese Auswertung ist Teil des Protokolls.

Ihre Institution kann in XaraAdmin festlegen, welche Mitarbeitenden die Gesprächsprotokolle ihrer Institution einsehen dürfen, und diesen Zugriff auf einzelne Personen beschränken. Berechtigte Mitarbeitende sehen dabei auch Feedback und Nutzerkennung.

Gespräche werden pseudonymisiert gespeichert. afca verfügt nicht über die Zuordnung zwischen der von Ihrer Institution vergebenen Nutzerkennung und Ihrer Identität. Gesprächsinhalte können dennoch Personendaten enthalten, wenn Sie selbst solche nennen. Nennen Sie in Übungsgesprächen keine echten Namen und keine Angaben zu realen Personen.

3.4 Technische Protokolle und Gerätedaten

Beim Betrieb entstehen automatische Backend-Protokolle: Zeitpunkt, aufgerufene Funktion, Sitzungs-ID, Fehlermeldungen und eine anonymisierte IP-Adresse. Diese Backend-Protokolle enthalten keine Gesprächsinhalte. Protokolle von XaraWeb und XaraAdmin können Ihre Anmeldekennung enthalten. Wird eine optionale Nutzerkennung verwendet, kann sie zusammen mit der Sitzungs-ID in Backend-Protokollen erscheinen.

Die Quest-App speichert Ihren Zugangscode, die gewählte Sprache und Ihre Einstellungen lokal auf dem Headset. Mit der Funktion «Log hochladen» können Sie die letzten technischen Protokolleinträge der App zur Fehleranalyse an afca übermitteln. Diese Einträge enthalten die Sitzungs-ID, das Gerätemodell und die App-Version und können die im laufenden Gespräch erkannten Texteingaben sowie den eingegebenen Zugangscode enthalten. Die Übermittlung erfolgt nur, wenn Sie sie auslösen.

3.5 Daten, die wir nicht bearbeiten

Die Quest-App greift nicht auf Kamerabilder zu. Die Passthrough-Darstellung Ihrer Umgebung erzeugt das Betriebssystem des Headsets; sie ist für die App nicht sichtbar. Die App speichert oder übermittelt keine Hand-, Augen-, Gesichts- oder Körperdaten und erhebt keinen Standort, keine Werbe-ID und keine Daten Ihres Meta-Kontos. Es sind keine Analyse-, Werbe- oder Social-Media-Dienste eingebunden.

Die App benötigt den Zugriff auf das Mikrofon (Spracheingabe) und auf das Internet. Weitere Berechtigungen werden nicht angefordert.

5.1 Spracherkennung und Sprachausgabe

Microsoft Azure AI Speech wandelt Ihre Sprache in Text und die Antworten des Avatars in Sprache um. Die Verarbeitung erfolgt in Rechenzentren von Microsoft in der Schweiz oder in der EU. Microsoft speichert dabei weder Audio noch Text.

5.2 Gesprächsführung und Feedback

Für die Antworten des Avatars und das Feedback nutzen wir den Microsoft Azure OpenAI Service (unter anderem GPT-4o und Realtime-Modelle). An das Sprachmodell übermittelt werden die Szenario-Anweisungen Ihrer Institution, der bisherige Gesprächsverlauf und Ihre aktuelle Äusserung als Text. Nicht übermittelt werden Anmeldedaten, Ihre Nutzerkennung oder Ihre Sprachaufnahme.

Alle standardmässig eingesetzten Modelle sind mit dem Bereitstellungstyp «Data Zone Standard» in der EU-Datenzone von Microsoft bereitgestellt. Die Verarbeitung erfolgt innerhalb dieser Datenzone; sie folgt der EU-Datengrenze von Microsoft Azure und umfasst die EU-Mitgliedstaaten sowie EFTA-Staaten wie die Schweiz und Norwegen.

Microsoft verwendet Ihre Eingaben nicht zum Training von KI-Modellen und speichert sie nicht, mit einer Ausnahme: Microsoft prüft Eingaben automatisiert auf Missbrauch und kann als potenziell missbräuchlich markierte Inhalte bis zu 30 Tage zur Überprüfung aufbewahren. Diese Inhalte werden in der Geografie der jeweiligen Azure-Ressource gespeichert (Schweiz oder EU). Bei Ressourcen im Europäischen Wirtschaftsraum erfolgt die Überprüfung durch autorisierte Mitarbeitende von Microsoft im Europäischen Wirtschaftsraum.

5.3 Optionale Sprachdialogmodelle

Institutionen können für einzelne Szenarien zusätzliche Modelle wählen: über Microsoft Azure angebotene Modelle mit dem Bereitstellungstyp «Global Standard» (zum Beispiel gpt-audio) oder Google Gemini. Diese Optionen sind standardmässig deaktiviert und nur nutzbar, wenn die Institution die Einstellung «KI-Modelle nur Schweiz/EU» ausdrücklich aufhebt und einem Szenario ein entsprechendes Modell zuweist. Auch diese Modelle erhalten Gesprächstexte, nicht aber Ihre Sprachaufnahme. Die Institution wählt die Modelle in XaraAdmin; dort ist auch diese Datenschutzerklärung verlinkt.

Bei «Global Standard» kann Microsoft die Daten in jeder Azure-Region weltweit verarbeiten, in der das Modell verfügbar ist; Inhalte aus der Missbrauchsprüfung bleiben in der Geografie der Azure-Ressource (EU). Die Verarbeitung durch Gemini erfolgt in den USA; eine vorübergehende Speicherung oder Zwischenspeicherung kann auch in anderen Ländern erfolgen, in denen Google oder seine Beauftragten Einrichtungen betreiben.

Microsoft und Google verwenden die übermittelten Inhalte nicht zum Training oder zur Verbesserung ihrer KI-Modelle. Google bewahrt Inhalte für die Missbrauchserkennung während eines begrenzten Zeitraums auf, den Google nicht beziffert.

5.4 KI-Feedback

Das KI-Feedback unterstützt Ihre Reflexion über das Übungsgespräch. Es wird automatisch aus dem Gesprächsinhalt erzeugt und ist keine Bewertung. afca beurteilt damit keine Personen, trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung und betreibt kein Profiling. Als Teil des Gesprächsprotokolls ist das Feedback für die von Ihrer Institution berechtigten Mitarbeitenden in XaraAdmin sichtbar (Ziff. 3.3). Ob und wie Ihre Institution Gesprächsprotokolle nutzt, entscheidet die Institution.

Wir geben Personendaten nur an die folgenden Auftragsbearbeiter weiter, soweit das für den Betrieb nötig ist. Eine Weitergabe zu Werbezwecken oder zu eigenen Zwecken Dritter findet nicht statt.

Der Szenario-Optimierer in XaraAdmin bearbeitet nur Szenariotexte, die Trainerinnen und Trainer verfasst haben, keine Gespräche aus XaraWeb oder der Quest-App. Anthropic verwendet diese Inhalte nicht zum Training seiner Modelle und löscht sie in der Regel innert 30 Tagen. Markieren die automatischen Sicherheitssysteme von Anthropic Inhalte als Verstoss gegen die Nutzungsrichtlinien, kann Anthropic sie bis zu 2 Jahre aufbewahren. Nehmen Sie auch in Szenariotexte keine Personendaten oder vertraulichen Angaben auf.

Bei einem Zugang über ein Konto des hep Verlags prüft die hep Verlag AG, Bern, Ihre Anmeldung und Lizenz in eigener Verantwortung und übermittelt uns die in Ziff. 3.1 genannten Angaben.

Die EU- und EWR-Staaten gelten nach Schweizer Recht als Länder mit angemessenem Datenschutz. Für Bekanntgaben in die USA und weitere Länder durch Google und Anthropic sowie für allfällige weitere Auslandsbekanntgaben durch Microsoft stützen wir uns auf die genannten vertraglichen Garantien.

Bei Beendigung des Kundenverhältnisses werden alle Daten der Institution auf Wunsch exportiert und anschliessend gelöscht.

Die Quest-App und XaraWeb setzen keine Cookies zu Analyse- oder Werbezwecken ein. XaraWeb speichert technisch notwendige Einstellungen und Ihr Zugangstoken lokal im Browser. Bei der Anmeldung über Microsoft Entra ID (XaraWeb, XaraAdmin) setzt Microsoft Cookies für die Authentifizierung und das Single Sign-on; dafür gilt die Datenschutzerklärung von Microsoft (privacy.microsoft.com). Google Analytics, Social-Media-Plugins oder Tracker sind nicht eingebunden.

Wir treffen angemessene technische und organisatorische Massnahmen: Verschlüsselung bei Übertragung (TLS) und Speicherung, Trennung der Daten je Institution, rollenbasierte Zugriffe nur für betrieblich notwendige Personen, Verwaltung von Schlüsseln in Azure Key Vault, getrennte Test- und Produktionsumgebung, Überwachung und Protokollierung. Für die Infrastruktur gelten die Zertifizierungen von Microsoft Azure (unter anderem ISO/IEC 27001, ISO/IEC 27701, SOC 2).

Im Rahmen des anwendbaren Datenschutzrechts haben Sie das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten sowie auf Widerspruch gegen die Bearbeitung. Wenden Sie sich dafür an datenschutz@afca.ch. Senden Sie bitte keine Passwörter oder Zugangstoken mit. Ist zum Auffinden Ihrer Daten die von Ihrer Institution vergebene Nutzerkennung nötig, stimmen wir die Anfrage mit der Institution ab.

afca bearbeitet Berichtigungs- und Löschbegehren ohne unnötige Verzögerung. Gesprächs- und Feedbackdaten, synthetisierte Sprachausgaben des Avatars, Nutzungsprotokolle und Exporte löschen wir innert 7 Tagen, technische Protokolle einschliesslich hochgeladener App-Protokolle spätestens innert 30 Tagen. Gelöschte Datensätze können bis zu 7 Tage in rollierenden Datensicherungen verbleiben.

Sie können sich zudem an die zuständige Datenschutzbehörde wenden, in der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (www.edoeb.admin.ch).

Wir passen diese Erklärung an, wenn sich die Datenbearbeitung ändert. Es gilt die jeweils auf afca.ch veröffentlichte Fassung. Die deutsche Fassung ist massgebend.

• Version 1.4 (06.10.2026): Neufassung mit Angaben zu KI-Verarbeitung, Datenkategorien, Aufbewahrung, Auftragsbearbeitern, Berechtigungen der Quest-App und Betroffenenrechten
• Version 1.2 (21.11.2025): Anpassung Azure Dienste und Standorte
• Version 1.1 (05.11.2025): Anpassung Xara Webclient
• Version 1.0 (25.11.2024): Erstveröffentlichung