Sub-Processors¶

Stand: 2026-09-21 — diese Liste wird automatisch aus der zentralen Quelle scripts/sub-processors.json generiert. Aenderungen werden 30 Tage vor Wirksamkeit per E-Mail an die hinterlegten DSB-Adressen unserer Kunden gemeldet (DSGVO Art. 28 Abs. 3 lit. d).

Auftragsverarbeiter nach Art. 28 DSGVO, die im Auftrag unserer Kunden taetig werden:

Anbieter	Sitz	Gegenstand und Zweck	Art der Verarbeitung	Dauer	Datenkategorien	Betroffene Personen	Aktiv seit
IONOS Cloud GmbH	Deutschland	Betrieb der Plattform: Rechenleistung, Speicher, Netzwerk, verwalteter PostgreSQL-Cluster und Momentaufnahmen zur Sicherung.	Speichern und Bereitstellen der gesamten Anwendungsdaten. Kein inhaltlicher Zugriff im Regelbetrieb; Zugriff nur durch berechtigtes Betriebspersonal im Stoerungsfall.	Fuer die Laufzeit des Hauptvertrags. Momentaufnahmen der Datenbank werden nach sieben Tagen ueberschrieben.	`Stammdaten`, `Anmeldedaten`, `Anfragen und Anhaenge`, `Protokolldaten`, `E-Mail-Inhalte aus dem Postfachabruf`	Beschaeftigte des Kunden (Nutzer der Plattform); Endnutzer des Kunden (Melder von Anfragen); Ansprechpartner bei Lieferanten und Dienstleistern des Kunden	2025-01-01
Hetzner Online GmbH	Deutschland	Ablage der ausgelagerten Sicherungskopien der Datenbank und der Langzeitarchive des Protokolls.	Reine Speicherung bereits verschluesselter Dateien. Kein lesender Zugriff moeglich: die Dateien werden vor dem Hochladen mit age (X25519 und ChaCha20-Poly1305) verschluesselt, der private Schluessel liegt nicht beim Anbieter.	Laufzeit des Hauptvertrags. Die taeglichen Sicherungen werden nach 30 Tagen geloescht.	`Datenbank-Sicherungen (vor dem Hochladen verschluesselt)`, `Protokollarchive (komprimiert, mit Pruefsumme versehen)`	Beschaeftigte des Kunden (Nutzer der Plattform); Endnutzer des Kunden (Melder von Anfragen); Ansprechpartner bei Lieferanten und Dienstleistern des Kunden	2025-01-01
Amazon Web Services EMEA SARL (AWS Bedrock)	Luxemburg (EU), Verarbeitung in der Region Frankfurt	Durchfuehrung der aktivierten KI-Funktionen (Einstufung von Anfragen, Vorschlaege aus der Wissensdatenbank, Zusammenfassungen, Einbettungen, Assistent) als plattformweite Standardvorgabe des Betreibers.	Anlassbezogene Uebermittlung der fuer den Aufruf noetigen Inhalte und Entgegennahme der Antwort. Vor der Uebermittlung werden strukturierte direkte Identifikatoren maskiert — E-Mail-Adressen, Telefonnummern, Bankverbindungen, Kartennummern, IP-Adressen. Eine vollstaendige Anonymisierung ist bei Freitext nicht gewaehrleistet; die Daten sind pseudonymisiert im Sinne von Art. 4 Nr. 5 DSGVO.	Fuer die Dauer der Nutzung der KI-Funktionen. Wie lange der Anbieter die uebermittelten Inhalte vorhaelt, richtet sich nach dessen Auftragsverarbeitungsvertrag.	`Inhalte von Anfragen und Kommentaren einschliesslich Verfassername`, `Artikel der Wissensdatenbank`, `Daraus erzeugte Eingaben und Ergebnisse`	Beschaeftigte des Kunden (Nutzer der Plattform); Endnutzer des Kunden (Melder von Anfragen); Ansprechpartner bei Lieferanten und Dienstleistern des Kunden	2026-01-15
Stripe Payments Europe Ltd.	Irland (EU)	Zahlungsabwicklung, Verwaltung der Abonnements und des Testzeitraums mit Karte, Kundenportal zur Rechnungseinsicht.	Erheben, Speichern und Uebermitteln der Zahlungsdaten sowie Ausstellen der Rechnung im Namen des Betreibers.	Laufzeit des Abonnements. Handels- und steuerrechtliche Aufbewahrungsfristen von bis zu zehn Jahren bleiben unberuehrt.	`E-Mail-Adresse des verwaltenden Ansprechpartners`, `Firmenname und Rechnungsanschrift`, `Karten-Token (die Karte selbst erreicht die Plattform nie)`, `Zahlungshistorie`, `Abonnement-Merkmale (Tarif, Mandantenkennung)`	Ansprechpartner des Kunden fuer Vertrag und Abrechnung	2026-05-27
Haufe-Lexware (Lexware Office)	Deutschland	Erstellen und Versenden der Rechnungen an Vertriebspartner und deren Endkunden, soweit die Abrechnung nicht ueber Stripe laeuft.	Uebermitteln der Rechnungsdaten an die Buchhaltung und Erzeugen des Rechnungsdokuments. Zusaetzlich werden Belege in die Betreiber-Buchfuehrung eingelesen.	Laufzeit des Hauptvertrags. Handels- und steuerrechtliche Aufbewahrungsfristen von bis zu zehn Jahren bleiben unberuehrt.	`Firmenname und Rechnungsanschrift`, `E-Mail-Adresse des Rechnungsempfaengers`, `Rechnungspositionen und Betraege`	Ansprechpartner des Kunden fuer Vertrag und Abrechnung	2026-06-01
Microsoft Ireland Operations Ltd. (Versand von Systemnachrichten)	Irland (EU)	Versand aller Systemnachrichten der Plattform (Einladungen, Passwort-Zuruecksetzung, Benachrichtigungen zu Anfragen, Berichte) ueber das Microsoft-365-Postfach des Betreibers.	Entgegennehmen, Zwischenspeichern und Zustellen ausgehender Nachrichten einschliesslich Betreff, vollstaendigem Text und Anhaengen. Schreibender Pfad — bewusst getrennt vom rein lesenden Zugriff auf Kundenmandanten.	Zustellung erfolgt unmittelbar. Der Eintrag im Ordner Gesendete Elemente des Absenderpostfachs verbleibt bis zur Loeschung durch den Betreiber.	`E-Mail-Adresse und Anzeigename der Empfaenger`, `Betreff und vollstaendiger Nachrichtentext`, `Anhaenge (etwa Berichte als PDF)`	Beschaeftigte des Kunden (Nutzer der Plattform); Endnutzer des Kunden (Melder von Anfragen); Ansprechpartner bei Lieferanten und Dienstleistern des Kunden	2026-06-12
Push-Dienste der Browser-Hersteller	USA und Irland — je nach Browser des Nutzers	Zustellung von Browser-Benachrichtigungen an Nutzer, die dieser Funktion im eigenen Browser ausdruecklich zugestimmt haben.	Weiterleiten eines Ende zu Ende verschluesselten Datenpakets an den Browser des Nutzers. Der Inhalt ist fuer den Dienst nicht lesbar; entschluesselt wird erst im Browser.	Bis zur Zustellung, laengstens bis zum Ablauf der Gueltigkeit der Nachricht. Abgelaufene Anmeldungen werden automatisch entfernt.	`Anmeldeadresse des Browsers (zufaellig erzeugt, keine Personenkennung)`, `Verschluesselter Nachrichteninhalt (fuer den Dienst nicht lesbar)`	Beschaeftigte des Kunden, die Browser-Benachrichtigungen aktiviert haben	2025-08-01

Weitere Dienstleister des Betreibers¶

Diese Anbieter sind keine Auftragsverarbeiter im Sinne von Art. 28 DSGVO: sie verarbeiten ausschliesslich Daten des Betreibers oder der Besucher seiner oeffentlichen Webseiten, nicht die Daten unserer Kunden. Wir fuehren sie hier aus Transparenzgruenden auf. Ein Widerspruchsrecht nach Art. 28 Abs. 2 besteht fuer sie nicht, weil Sie fuer diese Verarbeitungen nicht Verantwortlicher sind.

Anbieter	Sitz	Gegenstand und Zweck	Datenkategorien	Betroffene Personen
Cloudflare, Inc.	USA (Vertretung in Deutschland)	Betrieb des oeffentlichen Vertrauensbereichs, Namensaufloesung, Abwehr von Ueberlastungsangriffen, Auslieferung statischer Inhalte.	`IP-Adressen der Besucher des Vertrauensbereichs`, `Angaben des Browsers (Kennung, Herkunftsseite)`	Besucher der oeffentlichen Webseiten des Betreibers
Umami Software, Inc.	Deutschland (Frankfurt) — Datenregion EU des Anbieters; Sitz des Anbieters USA (Delaware)	Zaehlung der Aufrufe der oeffentlichen Seiten (Preise, Charter-Programm, NIS2-Pruefung, Anmeldung) und der benannten Ereignisse des Anmeldewegs, ohne Cookies. Der angemeldete Bereich der Anwendung ist ausdruecklich NICHT umfasst.	`Anzahl Seitenaufrufe (ohne Personenbezug)`, `Zusammengefasste Herkunfts- und Geraetestatistik`, `Benannte Ereignisse des Konversions-Trichters (ohne Personenbezug)`	Besucher der oeffentlichen Seiten des Betreibers (nicht angemeldete Nutzer)
Sectigo Limited (Zertifizierungsstelle fuer Code-Signatur)	Vereinigtes Koenigreich / USA	Ausstellung des Zertifikats, mit dem die Installationspakete des lokalen Agenten signiert werden.	`Unternehmensdaten des Betreibers`, `Oeffentlicher Schluessel des Signaturzertifikats`	Keine — es werden keine Daten von Kunden verarbeitet

Optional aktivierbar (nur nach Ihrer eigenen Auswahl)¶

Die folgenden Anbieter kommen nur hinzu, wenn Sie die jeweilige Funktion in Ihrem Mandanten aktivieren. Was Sie nicht aktivieren, verarbeitet auch nichts.

Anbieter	Sitz	Wodurch er hinzukommt	Datenkategorien
OpenAI	Irland (EU)	Sie waehlen OpenAI anstelle der Standardvorgabe als KI-Anbieter	Inhalte, die fuer KI-Aufrufe uebermittelt werden (direkte Identifikatoren vorher maskiert)
Langdock	Deutschland	Sie waehlen Langdock anstelle der Standardvorgabe als KI-Anbieter	wie oben
Microsoft 365 (Graph, lesend)	Irland (EU)	Sie binden Ihren eigenen Microsoft-365-Mandanten an	Benutzerprofile, Gruppen, Geraete, Lizenzen aus Ihrem Mandanten
Google Workspace	Irland (EU)	Sie binden Ihren eigenen Google-Workspace-Mandanten an	wie oben
Personio	Deutschland	Sie binden Ihre Personalverwaltung an	Beschaeftigtendaten im gewaehlten Umfang
Lizenz-Konnektoren (GitLab, GitHub, Adobe, Bitwarden, Slack, Zoom und weitere)	je Anbieter	Sie richten den jeweiligen Konnektor ein	Mitgliederlisten und Lizenzzuordnungen des jeweiligen Dienstes

Nicht in dieser Liste: AWS Bedrock. Das ist die Standardvorgabe fuer KI-Funktionen und steht deshalb in der Haupttabelle oben — es greift auch dann, wenn Sie nie eine KI-Einstellung angefasst haben. Waehlen Sie stattdessen OpenAI oder Langdock, tritt dieser Anbieter fuer Sie an die Stelle von Bedrock.

Kein Unterauftragsverarbeiter: ein lokal betriebenes Sprachmodell (Ollama, vLLM, LocalAI). Dabei verlassen die Daten Ihre Umgebung nicht.

Aenderungen vorab erfahren¶

Bestandskunden erhalten 30 Tage vor Wirksamkeit eine E-Mail an die in der Tenant-Konfiguration hinterlegten Compliance-Empfaenger.
Auditoren / Prospects koennen einen RSS-Feed dieser Seite ueber Cloudflare-Pages abonnieren (Update-Hash im HTTP-Last-Modified-Header).

Mehr Details: AVV & TOM.