Unterauftragsverarbeiter

Stand 13. Oktober 2026

Diese Liste ist Bestandteil der Vereinbarung zur Auftragsverarbeitung (AVV) und konkretisiert deren Anlage 2. Sie führt alle Dienstleister auf, die in unserem Auftrag personenbezogene Daten verarbeiten.

Beabsichtigen wir, einen Unterauftragnehmer hinzuzuziehen oder zu ersetzen, informieren wir die betroffenen Betriebe vorab; einer Änderung kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprochen werden (AVV § 6 Abs. 3). Die Anforderungen, die jeder Unterauftragnehmer erfüllen muss, stehen in Anlage 1 des AVV.

Betrieb der Software

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting der Anwendung und Speicherung der Betriebsdaten. Verarbeitungsort: Deutschland (EU). Keine Drittlandübermittlung.

E-Mail-Versand

  • Sinch Germany GmbH („Mailjet") – Versand von Transaktions-E-Mails, etwa Angebote, Rechnungen und Benachrichtigungen. Verarbeitungsort: Europäische Union. Keine Drittlandübermittlung.

Karte und Adressumwandlung

  • Google Ireland Ltd. / Google LLC (Google Maps Platform) – Darstellung von Standorten, etwa der Baustellen- oder Kundenadresse, auf einer Karte innerhalb der Software. Übermittelt werden die IP-Adresse des aufrufenden Nutzers und die angezeigte Adresse. Verarbeitungsort: Europäische Union und Vereinigte Staaten. Grundlage der Übermittlung: EU-U.S. Data Privacy Framework (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln (Art. 46 DSGVO).
  • OpenStreetMap Foundation, Vereinigtes Königreich (Dienst „Nominatim") – Umwandlung von Adressen in Kartenkoordinaten zur Positionierung auf der Karte. Verarbeitungsort: Vereinigtes Königreich. Grundlage der Übermittlung: Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (Art. 45 DSGVO), erneuert am 19. Dezember 2025.

KI-gestützte Funktionen

Primärweg: TensorX. Der Weg ist für Kundenverkehr freigegeben; die KI-gestützten Funktionen werden Betrieb für Betrieb schrittweise freigeschaltet. Fireworks Priority und Nebius sind ausschließlich für Aufgaben vorgesehen, aus denen vor der Übermittlung jeder Personenbezug vollständig entfernt wurde (Stufe A).

Für alle Anbieter in diesem Abschnitt gilt: keine Verwendung der Daten zum Training von KI-Modellen oder zu eigenen Zwecken des Anbieters. Prompts, Antworten, Dateien und Tonaufnahmen darf der Anbieter nach Abschluss der Anfrage höchstens 30 Tage aufbewahren, nur zur Erkennung von Missbrauch, zur Fehlerbehebung und zur Sicherheit des Dienstes (AVV Anlage 1). Wo ein Anbieter weniger oder gar nichts aufbewahrt, steht es beim Anbieter. Inhaltsfreie Betriebsmetadaten dürfen höchstens 30 Tage verbleiben. Daten besonderer Kategorien (Art. 9 DSGVO) werden vor der Übermittlung an ein Sprachmodell entfernt; beim Diktat geht die Tonaufnahme ungefiltert an die Spracherkennung. Die dauerhafte Speicherung der Betriebsdaten erfolgt unverändert ausschließlich in Deutschland.

  • TensorX Limited, Unit 25, Classon House, Dundrum Business Park, Dublin 14, Irland – Betrieb des offenen Sprachmodells GLM‑5.3 Flash für KI-gestützte Funktionen. Verarbeitungsorte der Inferenz: Dublin (Irland) und Helsinki (Finnland). Aufbewahrung: keine Speicherung oder Protokollierung von Prompts, Antworten, Dateien oder Tool-Inhalten; keine Verwendung zu Training oder Evaluation. Das DPA wird laut Anbieter automatisch in jeden Kundenvertrag einbezogen. Aktuelle weitere Infrastruktur- Unterauftragnehmer sind unter tensorx.ai/sub-processors aufgeführt.
  • Fireworks AI, Inc., 2317 Broadway, Suite 200, Redwood City, CA 94063, Vereinigte Staaten – erster Ausweichweg für GLM‑5.3 Flash, ausschließlich für vollständig personenfreie Stufe-A-Aufgaben. Eine Verarbeitung personenbezogener Daten über diesen Weg ist technisch gesperrt. Zero Data Retention ist für das verwendete offene Modell Voraussetzung; der Priority- Serverless-Weg hat derzeit keine Produktionsfreigabe für B/C.
  • Nebius B.V., Schiphol Boulevard 165, 1118 BG Schiphol, Niederlande (Dienst „Token Factory") – Betrieb offener Sprachmodelle. Der GLM‑5.3-Flash-Endpoint wird derzeit nur als zweiter Ausweichweg für Aufgaben genutzt, aus denen Personenbezüge vor der Übermittlung vollständig entfernt wurden (Stufe A). Eine Verarbeitung personenbezogener Daten über diesen Weg ist technisch gesperrt; die Modell-API meldete zuletzt `us-central1`. Aufbewahrung: keine Speicherung der übermittelten Inhalte und der erzeugten Antworten (Zero Data Retention, für unser Konto aktiviert); damit ist zugleich jede Verwendung zu Trainingszwecken ausgeschlossen. Datenschutzbeauftragter des Anbieters: privacy@nebius.com. Die von diesem Anbieter eingesetzten weiteren Unterauftragnehmer sind unter docs.tokenfactory.nebius.com/legal/subprocessors abrufbar.
  • Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich – Spracherkennung für das Diktat (offenes Modell Whisper large-v3): Die Tonaufnahme wird in Text umgewandelt. Verarbeitungsort: Paris (Frankreich). Keine Drittlandübermittlung. Aufbewahrung: Inhalte werden nicht gespeichert; nur wenn eine Anfrage einen Fehler auslöst oder Missbrauchsverdacht besteht, kann der Anbieter sie bis zu zwei Wochen aufbewahren und einsehen, um die Ursache zu beheben. Keine Verwendung zu Training oder Verbesserung von Modellen; kein Zugriff der Modellhersteller. Datenschutzangaben des Anbieters: scaleway.com – Generative APIs Data Privacy.

Weitere Funktionen

Vor Aktivierung des TelefonAgenten oder der Bankanbindung werden die dafür zusätzlich erforderlichen Unterauftragsverarbeiter nach vorheriger Information gemäß § 6 des AVV in diese Liste aufgenommen. Bis dahin erfolgt keine solche Verarbeitung.

Änderungsverlauf

  • 13. Oktober 2026 – AVV-Fassung 1.6: Ein KI-Anbieter darf Inhalte höchstens 30 Tage zur Erkennung von Missbrauch, zur Fehlerbehebung und zur Sicherheit des Dienstes aufbewahren; kein Training, keine eigenen Zwecke. Verarbeitung außerhalb der EU nur in Staaten mit Angemessenheitsbeschluss oder Standardvertragsklauseln; die Staaten je Anbieter stehen in dieser Liste. Die eingesetzten Anbieter sind unverändert.
  • 1. Oktober 2026 (2) – Scaleway (Paris) als Anbieter der Spracherkennung für das Diktat aufgenommen. Zugleich AVV-Fassung 1.5: Bei Fehlern oder Missbrauchsverdacht darf ein KI-Anbieter die betroffene Anfrage höchstens 30 Tage zur Fehlerbehebung aufbewahren; kein Training.
  • 1. Oktober 2026 – TensorX nach abgeschlossener Betriebsprüfung für Kundenverkehr freigegeben (bisher Canary). Anbieter, Verarbeitungsorte und Bedingungen unverändert.
  • 10. September 2026 – TensorX als primären KI-Unterauftragnehmer mit Inferenz in Dublin und Helsinki aufgenommen. Fireworks Priority und Nebius sind technisch auf vollständig personenfreie Stufe-A-Aufgaben begrenzt; Anthropic und Groq aus der aktiven Unterauftragskette entfernt.
  • 9. September 2026 – KI-Gate auf Zero Content Retention verschärft und Verarbeitungsort als abschließend begrenzten Länder-/Regionenpool präzisiert. Nebius GLM‑5.3 Flash läuft bis zum Poolnachweis ausschließlich mit personenfreien Stufe-A-Daten; Anthropic und Groq bleiben bis zum ZDR-Nachweis gesperrt.
  • 26. August 2026 – Liste als eigene Seite aus dem AVV herausgelöst (AVV-Fassung 1.2). Inhaltlich unverändert bis auf die KI-Anbieter: Aufbewahrung beim Anbieter jetzt als Obergrenze ausgewiesen (höchstens 30 Tage, nur zur Missbrauchskontrolle) statt als vollständiger Ausschluss.