Unterauftrags­verarbeiter

Stand: 30. September 2026

Diese Liste ist Anlage 3 unseres Auftragsverarbeitungsvertrags. Über jede Ergänzung oder Ersetzung informieren wir mindestens 30 Tage im Voraus per E-Mail an die Kontoinhaber und auf dieser Seite; Sie können wie in § 6.2 des AVV beschrieben widersprechen.

Kann API-Inhalte verarbeiten (beide Tiers)

Unterauftragsverarbeiter	Dienst	Ort der Verarbeitung	Schutzmaßnahme
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting der Websites (einschließlich Dashboard), des API-Gateways, der Datenbank und verschlüsselter Backups	EU (Rechenzentrum in Helsinki, Finnland)	Standard-AVV des Anbieters nach Art. 28 DSGVO erforderlich vor der Verarbeitung von Kundendaten; nach ISO/IEC 27001 zertifizierte Rechenzentren
DataCrunch Oy (Handelsname Verda), Helsinki, Finnland	GPU-Server für Modellinferenz	Finnland (EU)	Datenverarbeitungsbedingungen nach Art. 28 DSGVO; ISO/IEC 27001 und SOC 2 Type II (laut Anbieter)

API-Inhalte beider Tiers verlassen derzeit niemals die Europäische Union.

Konto-, Abrechnungs- und Identitätsanbieter — keine API-Inhalte

Die folgenden Anbieter können Konto-, Abrechnungs- oder Anmeldedaten erhalten, jedoch niemals Inhalte von API-Anfragen. Ihre Rollen richten sich nach dem jeweiligen Dienst: einige handeln als Auftragsverarbeiter nach unserer Weisung; Stripe und Google sind für ihre eigenen Zahlungs- oder Identitätsdienste eigenständige Verantwortliche. Einzelheiten stehen in der Datenschutzerklärung.

Anbieter	Dienst	Ort	Rolle
Stripe Payments Europe, Ltd., Dublin, Irland	Zahlungen, Steuerberechnung und Rechnungen	EU; Übermittlungen an Stripe, Inc. (USA) nach dem EU-U.S. Data Privacy Framework und den Standardvertragsklauseln	Eigenständiger Verantwortlicher für Zahlungsabwicklung; Auftragsverarbeiter für Rechnungen
Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich	Dienstbezogene E-Mails (Anmeldelinks, Belege und Mitteilungen); geplant, derzeit nicht im Einsatz	EU (Paris, Frankreich)	Auftragsverarbeiter, sobald aktiviert; die Vereinbarung nach Art. 28 DSGVO wird vor der ersten Nutzung geschlossen
Google Ireland Limited, Dublin, Irland	Google-Anmeldung; nur bestätigte E-Mail-Adresse und stabile Konto-ID	EU; Übermittlungen an Google LLC (USA) können nach dem EU-U.S. Data Privacy Framework erfolgen	Eigenständiger Verantwortlicher für Identitätsdienste

Global-Tier — aktueller Status

Das Global-Tier nutzt derzeit dieselbe EU-Infrastruktur und dieselben Unterauftragsverarbeiter wie das EU-Tier, hat jedoch eine niedrigere Priorität. Bevor Datenverkehr des Global-Tiers außerhalb der EU verarbeitet wird, nehmen wir die Betreiber mit ihren Standorten und Übermittlungsgarantien in diese Liste auf, kündigen die Änderung mindestens 30 Tage im Voraus an und leiten den Datenverkehr eines Schlüssels erst dorthin, nachdem Sie für diesen Schlüssel ausdrücklich zugestimmt haben.

Änderungshistorie

Datum	Änderung
27. September 2026	Erste Fassung
28. September 2026	Hetzner-Leistungsumfang und Schutzmaßnahmen-Referenz präzisiert; kein Anbieter hinzugefügt oder entfernt
30. September 2026	Google-Anmeldung und Rollen der Kontoanbieter präzisiert; Standort des Hetzner-Rechenzentrums (Helsinki) und Status von Scaleway (noch nicht im Einsatz) angegeben; kein Anbieter hinzugefügt oder entfernt