Unterauftragsverarbeiter

Stand 26. August 2026

Diese Liste ist Bestandteil der Vereinbarung zur Auftragsverarbeitung (AVV) und konkretisiert deren Anlage 2. Sie führt alle Dienstleister auf, die in unserem Auftrag personenbezogene Daten verarbeiten.

Beabsichtigen wir, einen Unterauftragnehmer hinzuzuziehen oder zu ersetzen, informieren wir die betroffenen Betriebe vorab; einer Änderung kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprochen werden (AVV § 6 Abs. 3). Die Anforderungen, die jeder Unterauftragnehmer erfüllen muss, stehen in Anlage 1 des AVV.

Betrieb der Software

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting der Anwendung und Speicherung der Betriebsdaten. Verarbeitungsort: Deutschland (EU). Keine Drittlandübermittlung.

E-Mail-Versand

  • Sinch Germany GmbH („Mailjet") – Versand von Transaktions-E-Mails, etwa Angebote, Rechnungen und Benachrichtigungen. Verarbeitungsort: Europäische Union. Keine Drittlandübermittlung.

Karte und Adressumwandlung

  • Google Ireland Ltd. / Google LLC (Google Maps Platform) – Darstellung von Standorten, etwa der Baustellen- oder Kundenadresse, auf einer Karte innerhalb der Software. Übermittelt werden die IP-Adresse des aufrufenden Nutzers und die angezeigte Adresse. Verarbeitungsort: Europäische Union und Vereinigte Staaten. Grundlage der Übermittlung: EU-U.S. Data Privacy Framework (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln (Art. 46 DSGVO).
  • OpenStreetMap Foundation, Vereinigtes Königreich (Dienst „Nominatim") – Umwandlung von Adressen in Kartenkoordinaten zur Positionierung auf der Karte. Verarbeitungsort: Vereinigtes Königreich. Grundlage der Übermittlung: Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (Art. 45 DSGVO), erneuert am 19. Dezember 2025.

KI-gestützte Funktionen

Stand: in Vorbereitung, noch nicht freigeschaltet. Eine Übermittlung an die nachfolgend genannten Anbieter findet erst ab der Freischaltung statt. Sie werden bereits jetzt aufgeführt, damit die Information nach § 6 des AVV vor Aufnahme der Verarbeitung vorliegt.

Für alle Anbieter in diesem Abschnitt gilt: keine Verwendung der Daten zum Training von KI-Modellen, Aufbewahrung höchstens 30 Tage und ausschließlich zur Erkennung und Abwehr missbräuchlicher Nutzung, keine Übermittlung von Daten besonderer Kategorien (Art. 9 DSGVO). Die dauerhafte Speicherung der Betriebsdaten erfolgt unverändert ausschließlich in Deutschland.

  • Nebius B.V., Schiphol Boulevard 165, 1118 BG Schiphol, Niederlande (Dienst „Token Factory") – Betrieb offener Sprachmodelle für die KI-gestützten Funktionen der Software, etwa die Erstellung von Angebotsentwürfen. Verarbeitungsort: Vereinigtes Königreich (Region uk-south1). Grundlage der Übermittlung: Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (Art. 45 DSGVO), erneuert am 19. Dezember 2025. Aufbewahrung: keine Speicherung der übermittelten Inhalte und der erzeugten Antworten (Zero Data Retention, für unser Konto aktiviert); damit ist zugleich jede Verwendung zu Trainingszwecken ausgeschlossen. Datenschutzbeauftragter des Anbieters: privacy@nebius.com. Die von diesem Anbieter eingesetzten weiteren Unterauftragnehmer sind unter docs.tokenfactory.nebius.com/legal/subprocessors abrufbar.
  • Anthropic PBC, 548 Market St, San Francisco, CA 94104, Vereinigte Staaten – Betrieb der Sprachmodelle „Claude" für KI-gestützte Funktionen, insbesondere als Ausweichweg bei Ausfall des vorstehenden Anbieters. Verarbeitungsort: Vereinigte Staaten. Grundlage der Übermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Aufbewahrung: bis zu 30 Tage zur Missbrauchskontrolle.
  • Groq, Inc., 400 Castro St, Mountain View, CA 94041, Vereinigte Staaten – Betrieb kleiner, schneller Sprachmodelle für vorgelagerte Schritte ohne Fachurteil, etwa das Erkennen, welche Funktion gemeint ist. Übermittelt wird dabei die Eingabe des Nutzers, nicht der Datenbestand des Betriebs. Verarbeitungsort: Vereinigte Staaten. Grundlage der Übermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Aufbewahrung: im Regelbetrieb keine Speicherung; Fehler- und Missbrauchsprotokolle bis zu 30 Tage. Eine Verwendung zum Training oder zur Feinabstimmung von KI-Modellen ist vertraglich ausgeschlossen.

Weitere Funktionen

Vor Aktivierung des TelefonAgenten oder der Bankanbindung werden die dafür zusätzlich erforderlichen Unterauftragsverarbeiter nach vorheriger Information gemäß § 6 des AVV in diese Liste aufgenommen. Bis dahin erfolgt keine solche Verarbeitung.

Änderungsverlauf

  • 26. August 2026 – Liste als eigene Seite aus dem AVV herausgelöst (AVV-Fassung 1.2). Inhaltlich unverändert bis auf die KI-Anbieter: Aufbewahrung beim Anbieter jetzt als Obergrenze ausgewiesen (höchstens 30 Tage, nur zur Missbrauchskontrolle) statt als vollständiger Ausschluss.