Unterauftragsverarbeiter — 2026-10-02 (archiviert)

Stand: 2. Oktober 2026

Diese Liste ist Anlage 3 unseres Auftragsverarbeitungsvertrags. Über Ergänzungen oder Ersetzungen von Anbietern, die API-Inhalte nach dem AVV verarbeiten, informieren wir mindestens 30 Tage im Voraus per E-Mail und auf dieser Seite; Sie können nach § 6.2 widersprechen. Kontodaten, die wir für eigene Zwecke verarbeiten, fallen nach § 1.2 nicht unter den AVV und werden in unserer Datenschutzerklärung beschrieben.

Kann API-Inhalte verarbeiten — Tier-Geltungsbereich siehe unten

Unterauftragsverarbeiter	Dienst	Ort der Verarbeitung	Schutzmaßnahme
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting der Websites (einschließlich Dashboard), des API-Gateways, der Datenbank und verschlüsselter Backups	EU (Rechenzentrum in Helsinki, Finnland)	Standard-AVV des Anbieters nach Art. 28 DSGVO erforderlich vor der Verarbeitung von Kundendaten; nach ISO/IEC 27001 zertifizierte Rechenzentren
DataCrunch Oy (Handelsname Verda), Helsinki, Finnland	GPU-Server für Modellinferenz	Finnland (EU)	Datenverarbeitungsbedingungen nach Art. 28 DSGVO; ISO/IEC 27001 und SOC 2 Type II (laut Anbieter)
Lium (lium.io), mit unabhängigen GPU-Drittanbietern	GPU-Inferenz auf Bedarf für Peer-to-Peer-Schlüssel mit Zustimmung bei ausgelasteter freier EU-Kapazität	weltweit (GPU-Drittanbieter)	Übermittlungen außerhalb der EU/des EWR erfolgen nur für Schlüssel, für die Sie ausdrücklich zugestimmt haben; Sie sind dafür verantwortlich, auf solchen Schlüsseln keine personenbezogenen Daten zu senden, sofern für Ihre Nutzung keine geeignete Übermittlungsgrundlage besteht. Der Schalter selbst ist keine Übermittlungsgrundlage nach Kapitel V DSGVO.

Anfragen des EU-Tiers bleiben immer in der EU. Ohne Zustimmung zur weltweiten Verarbeitung bleiben auch Peer-to-Peer-Anfragen in der EU. Inhalte von Anfragen und Antworten werden auf keinem Knoten gespeichert; dies gilt für EU-Kapazität und Peer-to-Peer-Zusatzkapazität gleichermaßen.

Konto-, Abrechnungs- und Identitätsanbieter — keine API-Inhalte

Die folgenden Anbieter können Konto-, Abrechnungs- oder Anmeldedaten erhalten, jedoch niemals Inhalte von API-Anfragen. Ihre Rollen richten sich nach dem jeweiligen Dienst: einige handeln als Auftragsverarbeiter nach unserer Weisung; Stripe und Google sind für ihre eigenen Zahlungs- oder Identitätsdienste eigenständige Verantwortliche. Einzelheiten stehen in der Datenschutzerklärung.

Anbieter	Dienst	Ort	Rolle
Stripe Payments Europe, Ltd., Dublin, Irland	Zahlungen, Steuerberechnung und Rechnungen	EU; Übermittlungen an Stripe, Inc. (USA) nach dem EU-U.S. Data Privacy Framework und den Standardvertragsklauseln	Eigenständiger Verantwortlicher für Zahlungsabwicklung; Auftragsverarbeiter für Rechnungen
Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich	Dienstbezogene E-Mails (Anmeldelinks, Belege und Mitteilungen); geplant, derzeit nicht im Einsatz	EU (Paris, Frankreich)	Auftragsverarbeiter, sobald aktiviert; die Vereinbarung nach Art. 28 DSGVO wird vor der ersten Nutzung geschlossen
Resend (Plus Five Five, Inc., San Francisco, USA)	Nur optionale E-Mail-Anmeldelinks; keine Google-Anmeldedaten, Abrechnungs-E-Mails oder API-Inhalte	Versandregion Irland; Nachrichten und Zustell-/Kontodatensätze in den USA gespeichert	Auftragsverarbeiter für Kontodaten mit DPA; Standardvertragsklauseln und EU-U.S. Data Privacy Framework
Google Ireland Limited, Dublin, Irland	Google-Anmeldung; nur bestätigte E-Mail-Adresse und stabile Konto-ID	EU; Übermittlungen an Google LLC (USA) können nach dem EU-U.S. Data Privacy Framework erfolgen	Eigenständiger Verantwortlicher für Identitätsdienste

Peer-to-Peer-Tier — aktueller Status

Das Peer-to-Peer-Tier nutzt zunächst freie EU-Kapazität mit niedrigerer Priorität als Anfragen des EU-Tiers. Ist diese Kapazität ausgelastet, können Peer-to-Peer-Anfragen nach Bedarf angemietete GPU-Kapazität von Lium (lium.io) nutzen. Unabhängige Drittanbieter betreiben die GPU-Hardware in verschiedenen Ländern, einschließlich außerhalb der EU/des EWR. Eine Verarbeitung außerhalb der EU erfolgt nur für API-Schlüssel, für die der Kunde den Schalter „Allow worldwide processing“ (weltweite Verarbeitung erlauben) ausdrücklich aktiviert hat. Ohne diese Zustimmung bleiben Peer-to-Peer-Anfragen auf EU-Kapazität und können bei Auslastung in eine Warteschlange gestellt oder mit einem wiederholbaren Fehler abgelehnt werden. Anfragen des EU-Tiers bleiben immer in der EU und haben Vorrang. Bestandskunden behalten die Verarbeitung ausschließlich in der EU, sofern sie nicht für den jeweiligen Schlüssel zustimmen. Inhalte von Anfragen und Antworten werden auf keinem Knoten gespeichert (keine dauerhafte Speicherung von Anfrage- und Antwortinhalten). Das bestehende 30-tägige Mitteilungs- und Widerspruchsverfahren gilt weiterhin für neue Unterauftragsverarbeiter für Inhalte. Diese Liste behauptet keine Zertifizierungen von Lium und keine unterzeichneten Standardvertragsklauseln.

Änderungshistorie

Datum	Änderung
27. September 2026	Erste Fassung
28. September 2026	Hetzner-Leistungsumfang und Schutzmaßnahmen-Referenz präzisiert; kein Anbieter hinzugefügt oder entfernt
30. September 2026	Google-Anmeldung und Rollen der Kontoanbieter präzisiert; Standort des Hetzner-Rechenzentrums (Helsinki) und Status von Scaleway (noch nicht im Einsatz) angegeben; kein Anbieter hinzugefügt oder entfernt
1. Oktober 2026	Lium und unabhängige GPU-Drittanbieter für Peer-to-Peer-Zusatzkapazität mit Zustimmung hinzugefügt; EU-Voreinstellung, Vorrang des EU-Tiers, keine Speicherung von Inhalten und Übermittlungsbedingungen präzisiert
2. Oktober 2026	Resend für die optionale E-Mail-Anmeldung ergänzt; US-Speicherung und Übermittlungsgarantien angegeben. Unterauftragsverarbeiter für API-Inhalte sowie Google-Anmeldung und Abrechnung unverändert.

Frühere Fassungen.