Anonymisierung mit Hosting in der Schweiz: was hinausgeht, was bleibt, wie lange

Letzte Aktualisierung: 28. Oktober 2026

Kurz gesagt

Der Text Ihres Dokuments wird an das KI-Modell von Infomaniak in der Schweiz gesendet (laut Infomaniak keine Speicherung und kein Training).

Das Originaldokument wird nie aufbewahrt. Nur seine anonymisierte Fassung und die Zuordnungstabelle werden verschlüsselt aufbewahrt, 90 Tage lang, und danach gelöscht; sie können jederzeit gelöscht werden.

Technisch gesehen pseudonymisiert Maijin Shield: Die KI sieht nur Platzhalter wie [PERSON_1], und nur die Person, die ein Dokument anonymisiert hat, kann dessen echte Angaben wiederherstellen.

Diese Seite richtet sich an die Geschäftsleitung sowie an die Datenschutzberaterin oder den Datenschutzberater einer Organisation. Sie beschreibt die tatsächliche Funktionsweise des Dienstes per 28. Oktober 2026. Maijin Shield wird von der Maijin Sàrl, Genf (UID CHE-300.778.667), herausgegeben. Siehe Über uns und das Impressum. Die rechtlichen Einzelheiten stehen in der Datenschutzerklärung.

Der Weg eines Dokuments

Ein Dokument durchläuft acht Schritte; nur sein Text wird an die KI von Infomaniak in der Schweiz gesendet, und nur die Zuordnungstabelle und die anonymisierte Fassung werden verschlüsselt aufbewahrt.

1. Hochladen

Sie laden ein Word-Dokument (.docx), eine Excel-Datei (.xlsx), eine PowerPoint-Präsentation (.pptx), ein PDF oder eine XML-Datei auf der Website hoch oder leiten es per E-Mail weiter (siehe weiter unten). Die Datei wird im Arbeitsspeicher des Servers von Infomaniak in der Schweiz gelesen. Sie wird weder auf Festplatte noch in einer Datenbank noch in den Protokollen gespeichert. Bei Ablage per E-Mail läuft das Dokument zuerst über Ihr eigenes E-Mail-System, das ausserhalb der Schweiz gehostet sein kann.

2. Auslesen

Der Server extrahiert den Text: Absätze, Tabellen, versteckte Passagen und Änderungen bei einem Word-Dokument; Zellen, Kommentare und Formen bei einer Excel-Datei; Seite für Seite bei einem PDF. Die im Dokument enthaltenen Personendaten sind in dieser Phase noch sichtbar.

3. Erkennung durch Regeln

Feste Regeln, die auf unserem Server laufen, erkennen zuerst, was ein bekanntes Format hat: AHV-Nummer, IBAN, E-Mail-Adresse, Telefonnummer, Daten, Postleitzahlen, GLN von Gesundheitsfachpersonen, Nummern des elektronischen Patientendossiers (EPR-SPID), IP-Adressen und andere technische Kennungen. Sie stützen sich auch auf die Struktur des Dokuments (Tabellenzellen, Zeilen der Form «Name: Wert») und auf offizielle Schweizer Listen (Ortschaften, Familiennamen, Vornamen). Für diesen Schritt wird nichts nach aussen gesendet.

4. Erkennung durch die KI von Infomaniak

Namen, Adressen, Gesundheitsdaten oder Ansichten hängen vom Kontext ab: Eine feste Regel erkennt sie nicht. Der Text des Dokuments wird deshalb über eine verschlüsselte Verbindung an Sprachmodelle gesendet, die von Infomaniak in der Schweiz gehostet werden (Infomaniak AI Tools; per 7. Oktober 2026: Mistral Small und Gemma, deren Antworten sich ergänzen). Dieser Text wird ohne Maskierung gesendet: Die KI liest das Dokument so, wie es ist, mit den Namen und den Werten. Sie gibt die Liste der zu maskierenden Stellen zurück. Laut Infomaniak werden diese Daten weder gespeichert noch zum Training eines Modells verwendet.

Ein zweiter Durchgang liest anschliessend nur die Sätze nochmals, die noch verdächtig erscheinen, wobei die bereits erkannten Daten durch ihren Typ ersetzt sind (zum Beispiel [PERSON]). Wenn ein Teil des Dokuments nicht analysiert werden konnte, weist Sie die Vorschau darauf hin.

5. Vorschau und Korrekturen

Sie sehen das Dokument mit den markierten Daten und dem vorgesehenen Platzhalter für jede Angabe. Sie können eine Angabe unverändert lassen, ihren Typ ändern oder ein vergessenes Wort auswählen, um es zu maskieren. Der Server behält zwischen der Vorschau und der Erstellung nichts.

6. Erstellung des anonymisierten Dokuments

Jede Angabe wird durch einen lesbaren Platzhalter ersetzt, etwa [PERSON_1] oder [GESUNDHEIT_1]. Derselbe Wert erhält im ganzen Dokument denselben Platzhalter, damit die KI den Sinn des Textes behält. Das Word- oder Excel-Dokument wird unter Beibehaltung seines Layouts neu geschrieben; Vorschaubild und Metadaten werden unschädlich gemacht. In einem PDF wird der Text tatsächlich gelöscht (nicht bloss ein schwarzes Rechteck darübergelegt), und die Datei wird erst nach einer Kontrolle ausgeliefert, die prüft, dass kein ursprünglicher Wert mehr vorhanden ist. Das anonymisierte Dokument wird auf Ihr Gerät heruntergeladen.

7. Verschlüsselte Zuordnungstabelle und anonymisierte Fassung

Um später die echten Angaben wieder einsetzen zu können, bewahrt der Server die Tabelle auf, die jeden Platzhalter mit seiner echten Angabe verknüpft, dazu den Namen der ursprünglichen Datei und einen Fingerabdruck des anonymisierten Textes. Er bewahrt auch die anonymisierte Fassung des Dokuments auf, die nur die Person, die es anonymisiert hat, im Verlauf erneut herunterladen kann. Die Tabelle, der Dateiname und die anonymisierte Fassung sind verschlüsselt; der Fingerabdruck wird mit einem geheimen Schlüssel berechnet und erlaubt nicht, den Text zu rekonstruieren (siehe «Die Verschlüsselung»). Das Originaldokument wird nicht aufbewahrt.

8. Wiederherstellung der echten Angaben

Sie laden das von der KI zurückgegebene Dokument hoch. Der Dienst erkennt das ursprüngliche Dokument anhand des Fingerabdrucks und setzt dann anstelle der Platzhalter die echten Angaben wieder ein. Auch dieses Dokument wird im Arbeitsspeicher gelesen und nicht aufbewahrt. Nur das Konto, das das Dokument anonymisiert hat, kann seine Angaben zurückholen, auch in einem Team, und nur solange es Mitglied des Teams ist.

Was aufbewahrt wird, wo, wie lange und von wem

Das Originaldokument wird nie aufbewahrt. Aufbewahrt werden: die Zuordnungstabelle und die anonymisierte Fassung des Dokuments, verschlüsselt, Nutzungsstatistiken ohne Inhalt, das Audit-Protokoll, die Kontodaten, die Rechnungsstellung für die Abonnements, die Formulare, die Sie uns senden, und die Sicherungskopien.

Daten	Wo	Wie lange	Wer hat Zugriff
Hochgeladenes Dokument (Word, Excel, PowerPoint, PDF oder XML) und von der KI zurückgegebenes Dokument	Im Arbeitsspeicher des Servers in der Schweiz (Infomaniak). Nie gespeichert.	Für die Dauer der Verarbeitung.	Der Server, nur während der Verarbeitung: Nichts wird aufbewahrt, um später wieder gelesen zu werden.
An die KI gesendeter Text (ohne Maskierung)	Infomaniak AI Tools, in der Schweiz.	Keine Speicherung laut Infomaniak: Das ist ihre Zusage, wir können sie nicht selbst überprüfen.	Infomaniak, um die Antwort zu erzeugen. Kein Training laut Infomaniak.
Zuordnungstabelle (echte Angaben, Dateiname, Fingerabdruck) und anonymisierte Fassung des Dokuments	Datenbank auf dem Server von Infomaniak in der Schweiz, verschlüsselt.	90 Tage oder weniger, wenn Sie sie löschen. Die Sicherungen bewahren sie verschlüsselt bis zu 14 Tage länger auf.	Nur das Konto, das das Dokument anonymisiert hat, kann seine echten Angaben zurückholen und seine anonymisierte Fassung erneut herunterladen, auch in einem Team, und nur solange es Mitglied des Teams ist. Die Administratoren sehen den anonymisierten Dateinamen, das Datum und die E-Mail-Adresse der Person, die es anonymisiert hat, und können es löschen; die echten Angaben sehen sie nie. Technisch verfügt der Server von Maijin über den Schlüssel (es ist keine Ende-zu-Ende-Verschlüsselung); er entschlüsselt die Tabelle und die anonymisierte Fassung nur, um Ihnen Ihre Angaben zurückzugeben, Ihren Verlauf anzuzeigen oder Ihnen die anonymisierte Fassung auszuhändigen.
Nutzungsstatistiken (ohne Inhalt, Ihrem Konto zugeordnet)	Datenbank in der Schweiz.	13 Monate Ihrem Konto zugeordnet, danach davon gelöst; nach 25 Monaten gelöscht.	Das Team von Maijin, in einem internen, passwortgeschützten Dashboard. Ausschliesslich Zahlen und Codes: nie ein Inhalt, ein Dateiname oder ein erkannter Wert.
Konto (E-Mail-Adresse, Sitzungen, Team)	Datenbank in der Schweiz.	Bis zur Löschung des Kontos. Eine Sitzung dauert 7 Tage und wird bei Nutzung verlängert (höchstens einmal pro Tag), oder bis zur Abmeldung; weder die IP-Adresse noch der Browser werden gespeichert.	Sie und Maijin. Die Mitglieder eines Teams sehen die E-Mail-Adressen der anderen Mitglieder.
Rechnungsstellung (Abonnements)	Stripe Payments Europe, Ltd. (Irland) und Stripe, LLC (USA).	10 Jahre, die vom Schweizer Recht für Buchungsbelege vorgeschriebene Dauer.	Stripe und Maijin. Stripe erhält nie ein Dokument.
Demo ohne Konto (Startseite)	Im Arbeitsspeicher des Servers in der Schweiz, nie in der Datenbank.	Dokument: die Dauer der Verarbeitung. Zuordnungstabelle: verschlüsselt, 1 Stunde nach dem letzten hochgeladenen Dokument gelöscht, mit einem technischen Demo-Cookie verknüpft, um die Rückgabe der echten Angaben auszuprobieren. Die IP-Adresse wird nur im Arbeitsspeicher verwendet, um die Versuche zu begrenzen, und nie gespeichert.	Nur der Browser, mit dem die Demo genutzt wurde.
Formulare (Kontakt, Demo-Anfrage, Feedback)	Server in der Schweiz; die Benachrichtigung an unser Team wird über das E-Mail-System von Infomaniak in der Schweiz versendet.	12 Monate, danach gelöscht.	Das Team von Maijin.
Audit-Protokoll (wer welches Dokument wann analysiert, erstellt, wiederhergestellt, eingesehen oder gelöscht hat)	Datenbank in der Schweiz, nur Anfügen möglich.	13 Monate.	Nur die bei Maijin für die Sicherheit zuständigen Personen. Jeder Eintrag enthält die E-Mail-Adresse der handelnden Person, nie einen Inhalt.
Sicherungskopien und technische Protokolle (Datenbank; Server)	Auf dem Server in der Schweiz.	Sicherungskopien: täglich, nach 14 Tagen gelöscht. Protokolle: im Umfang begrenzt, die ältesten werden überschrieben.	Der Administrator des Servers. Die Zuordnungstabellen bleiben in den Sicherungskopien verschlüsselt; die Protokolle enthalten weder IP-Adressen noch Header noch Adressparameter.

Die Statistiken enthalten nur Zahlen und Codes: Seiten, Formate, Anzahl maskierter Angaben pro Typ, Verarbeitungsdauer. Die Seitenaufrufe der öffentlichen Website werden ohne Cookie, ohne IP-Adresse und ohne Besucherkennung gezählt; jeder Demo-Versuch hinterlässt eine Statistikzeile, ohne Inhalt und ohne IP-Adresse. Einzelheiten finden Sie in der Datenschutzerklärung.

Die Verschlüsselung

Die Zuordnungstabelle und die anonymisierte Fassung sind mit AES-256-GCM verschlüsselt, mit einem Schlüssel, der ausserhalb der Datenbank aufbewahrt wird. Es ist keine Ende-zu-Ende-Verschlüsselung.

Im Ruhezustand. Die Zuordnungstabelle, der Dateiname und die anonymisierte Fassung sind mit AES-256-GCM verschlüsselt, mit einem zufälligen Initialisierungsvektor bei jeder Verschlüsselung. Jede verschlüsselte Angabe ist an ihr Dokument und ihre Autorin bzw. ihren Autor gebunden: In ein anderes Dokument oder ein anderes Konto kopiert, lässt sie sich nicht mehr entschlüsseln.
Schlüssel ausserhalb der Datenbank. Der Schlüssel liegt in der Konfiguration des Servers, getrennt von der Datenbank. Eine Kopie der Datenbank allein erlaubt nicht, diese Daten zu lesen. Die täglichen Sicherungen (14 Tage aufbewahrt) enthalten weiterhin verschlüsselte Tabellen.
Fingerabdruck. Um das ursprüngliche Dokument wiederzuerkennen, bewahren wir einen Fingerabdruck des anonymisierten Textes auf, der mit einem geheimen Schlüssel berechnet wird: Ohne den Schlüssel erlaubt er weder, den Text zu rekonstruieren, noch, Kandidatentexte zu testen.
Bei der Übertragung. Die Verbindungen zur Website und zur KI sind verschlüsselt (HTTPS). Die Datenbank ist aus dem Internet nicht erreichbar, und eine strenge Content Security Policy beschränkt die Kommunikation Ihres Browsers auf unsere Domain.
Server. Firewall, die nur SSH, HTTP (Weiterleitung) und HTTPS offen lässt; SSH-Zugang nur mit Schlüssel, ohne «root»-Anmeldung; Audit-Protokoll, bei dem nur Anfügen möglich ist; tägliche, geprüfte Sicherung der Datenbank, 14 Tage auf dem Server aufbewahrt, mit Alarm bei einem Fehlschlag; technische Protokolle ohne IP-Adresse.

Es ist keine Ende-zu-Ende-Verschlüsselung: Der Server besitzt den Schlüssel, da er die echten Angaben wieder einsetzen muss, wenn Sie es verlangen.

Die Auftragsbearbeiter

Infomaniak in der Schweiz verarbeitet Ihre Dokumente und versendet alle unsere E-Mails. Stripe, ausserhalb der Schweiz, erhält nie ein Dokument.

Infomaniak Network SA (Genf, Schweiz): Hosting der Website und der Datenbank (Server in Genf), Sprachmodelle für die Erkennung, Postfach für die Ablage per E-Mail und Versand aller unserer E-Mails (Anmeldelinks, Einladungen, Benachrichtigungen, Antworten der Ablage). All dies geschieht in der Schweiz.
Stripe Payments Europe, Ltd. (Irland) und Stripe, LLC (USA), ausserhalb der Schweiz: Zahlung und Rechnungsstellung der Abonnements. Die Kartendaten werden bei Stripe eingegeben und gelangen nie zu uns. Stripe erhält nie ein Dokument und keine vom Dienst verarbeitete Angabe.

Auf der Website bleiben das Dokument und die Analyse durch die KI in der Schweiz. Bei Ablage per E-Mail läuft das Dokument zudem über Ihr eigenes E-Mail-System, beim Senden wie bei der Rückantwort (das wiederhergestellte Dokument enthält dann die echten Angaben): Prüfen Sie, wo es gehostet wird. Nur die Zahlung läuft über einen Dienstleister ausserhalb der Schweiz, ohne dass ihm ein Dokumentinhalt übermittelt wird. Wenn Sie Verantwortlicher sind, gilt der Auftragsbearbeitungsvertrag, ein Anhang der Allgemeinen Geschäftsbedingungen, für jedes Abonnement. Fragen: contact@maijin.ch.

Die Ablage per E-Mail

Wenn Sie ein Word-, Excel-, PowerPoint-, PDF- oder XML-Dokument an Ihre persönliche Ablageadresse weiterleiten, wird es anonymisiert; die Antwort kommt in Ihrem E-Mail-Postfach an, ohne Vorschau.

Jede Person hat eine persönliche Ablageadresse der Form …@depot.maijinshield.ch mit einem zufälligen Token aus 10 Zeichen. Wenn Sie an diese Adresse ein Word-, Excel-, PowerPoint-, PDF- oder XML-Dokument weiterleiten (bis zu 5 Anhänge), wird es anonymisiert; wenn Sie ein Dokument weiterleiten, das Platzhalter wie [PERSON_1] enthält und zu einem aufbewahrten Dokument passt, erhält es seine echten Angaben zurück.

Die E-Mail trifft in einem Postfach von Infomaniak in der Schweiz ein. Unser Server ruft sie ab, verarbeitet die Anhänge im Arbeitsspeicher und löscht sie danach endgültig aus dem Postfach, ob sie verarbeitet wurde oder nicht; der Spam-Ordner und der Papierkorb werden stündlich geleert. Bei einer vorübergehenden Störung bleibt die E-Mail für drei Versuche im Postfach und wird dann gelöscht. Der Text der Nachricht wird nicht verwendet; nur ihr Betreff wird in die Antwort übernommen.
Nur E-Mails, die von der Adresse Ihres Kontos gesendet wurden und authentifiziert sind (DMARC-, DKIM- und SPF-Prüfungen auf diese Adresse ausgerichtet), werden verarbeitet; alle anderen werden verworfen. Die Antwort geht immer an diese Adresse, nie an eine andere, und sie wird über das E-Mail-System von Infomaniak in der Schweiz versendet.
Da es bei E-Mails keine Vorschau gibt, wird alles maskiert, was erkannt wird, ohne die Möglichkeit, eine Angabe unverändert zu lassen oder die Bilder aus dem Dokument zu entfernen. Gleiche Engine, gleiche Kontingente, gleiche Maskierungseinstellungen und gleiche Aufbewahrungsdauer wie auf der Website.
Das Dokument läuft über Ihr eigenes E-Mail-System (Microsoft 365, Gmail usw.), beim Senden wie bei der Rückantwort, teils ausserhalb der Schweiz. Das wiederhergestellte Dokument enthält die echten Angaben: Sobald die Antwort in Ihrem E-Mail-System angekommen ist, wird sie von Ihrem E-Mail-Anbieter nach dessen eigenen Regeln aufbewahrt.
Für ein PDF, das Text und gescannte Seiten mischt, laden Sie es besser in Ihrem Bereich hoch: Die Antwort per E-Mail weist noch nicht auf gescannte Seiten hin (siehe «Die Grenzen»).

Die Grenzen, ehrlich gesagt

Maijin Shield verringert stark, was die KI sieht, aber die Erkennung ist unvollkommen, und der Dienst ersetzt weder eine Rechtsberatung noch die Kontrolle durch einen Menschen.

Es ist Pseudonymisierung. Die KI sieht nur Platzhalter, aber das Konto, das die Tabelle besitzt, kann die echten Angaben wiederherstellen. Für alle, die diese Tabelle besitzen, bleiben die Daten Personendaten.
Verknüpfungen bleiben möglich. Eine Postleitzahl, ein Alter und eine seltene Diagnose können, auch wenn sie unverändert bleiben, ermöglichen, eine Person zu erkennen. Maskieren Sie im Zweifel grosszügig.
Die Erkennung ist automatisch und unvollkommen. Sie kann einen Namen übersehen oder einen zu viel maskieren. Wir veröffentlichen keine Erkennungsrate.
Gescannte PDF werden nicht verarbeitet. Ein PDF, das nur aus Seitenbildern besteht, wird abgelehnt. In einem PDF, das Text und gescannte Seiten mischt, wird der Inhalt der gescannten Seiten nicht anonymisiert. In Ihrem Bereich warnt Sie die Vorschau davor und schlägt vor, die Bilder zu entfernen; die Antwort per E-Mail weist noch nicht darauf hin: Laden Sie ein solches Dokument besser in Ihrem Bereich hoch. Der Inhalt von Bildern (Foto, gescannter Text) wird ohnehin nie analysiert.
Prüfen Sie immer die Vorschau. Sie ist Ihre letzte Kontrolle vor dem Herunterladen. Prüfen Sie bei einer Ablage per E-Mail das erhaltene Dokument, bevor Sie es einer KI anvertrauen.
Der Dienst erhält Ihr Dokument im Klartext. Während der Verarbeitung lesen Maijin Shield und das KI-Modell von Infomaniak den Text unverändert. Wenn Ihre Organisation einer Regel unterliegt (kantonales Gesetz, interne Weisung, Berufsgeheimnis), die es verbietet, solche Daten einem externen Dienst anzuvertrauen, entscheidet diese Seite die Frage nicht: Sie obliegt Ihrer Datenschutzberatung oder Ihrer Juristin bzw. Ihrem Juristen.
Nach der Anonymisierung liegt die Verantwortung bei Ihnen. Die Nutzung der KI, der Sie das anonymisierte Dokument anvertrauen, liegt bei Ihnen und richtet sich nach deren Bedingungen. Maijin Shield verringert stark, was dieser KI-Anbieter sieht, ersetzt aber weder eine Rechtsberatung noch eine interne Weisung noch die Kontrolle durch einen Menschen.

Sie möchten ein Dokument zuerst von Hand vorbereiten, Metadaten entfernen oder ein PDF richtig schwärzen? Lesen Sie den Ratgeber Ein Word- oder PDF-Dokument vor ChatGPT, Claude oder Copilot anonymisieren.

Sie bereiten ein Patientendokument für die KI vor? Lesen Sie unseren Ratgeber ChatGPT und Patientendaten: ein Dokument vorbereiten, bevor Sie es einer KI anvertrauen.

So löschen Sie Ihre Daten

Sie können eine Tabelle und die anonymisierte Fassung jederzeit in Ihrem Bereich löschen; andernfalls werden sie nach 90 Tagen von selbst gelöscht.

Eine Zuordnungstabelle und die anonymisierte Fassung: Löschen Sie in Ihrem Bereich unter «Meine Dokumente» das Dokument. In einem Team kann eine Administratorin bzw. ein Administrator auch die Dokumente des Teams löschen.
Ihr gesamtes Konto: Löschen Sie Ihr Konto in den Einstellungen. Ihre Tabellen und anonymisierten Fassungen werden gelöscht, und Ihre Nutzungsstatistiken werden endgültig von Ihnen gelöst. Wenn Sie Eigentümerin oder Eigentümer eines Teams mit weiteren Mitgliedern sind, übertragen Sie zuerst das Eigentum auf ein anderes Mitglied (Einstellungen, Team) oder löschen Sie das Team.
Ohne etwas zu tun: Jede Tabelle wird mit ihrer anonymisierten Fassung nach 90 Tagen von selbst gelöscht.
Fristen, die man kennen sollte.Gelöschte Daten verschwinden spätestens 14 Tage später aus den Sicherungskopien. Das Audit-Protokoll, ohne Inhalt, wird 13 Monate aufbewahrt. Die Rechnungsdaten der Abonnements werden 10 Jahre aufbewahrt, wie es das Schweizer Recht verlangt.
Ein anderes Anliegen (Auskunft, Berichtigung, Löschung, Widerspruch): Wir antworten innert 30 Tagen. Die Daten Ihres Kontos laden Sie mit «Meine Daten herunterladen» in Ihren Einstellungen herunter. Schreiben Sie an contact@maijin.ch.

Angebote, Kontingente und Aufbewahrungsdauern sind auf der Seite Preise im Einzelnen beschrieben.