Unterauftragsverarbeiter (Sub-Processors)
Öffentliche Sub-Processor-Liste der REOSA-Plattform als Anhang zum AVV, mit Anbieter, Zweck, Datenkategorien, Standort und Transfergrundlage.
- Stand
- Version
- 1.0
- Zuletzt geprüft
Diese Liste ist Anhang zum Auftragsverarbeitungsvertrag (AVV) und benennt die Dienstleister, die in unserem Auftrag personenbezogene Daten verarbeiten. Sie ergänzt die Datenschutzerklärung. Wir aktualisieren diese Liste bei jeder Änderung.
Legende#
- EU: Verarbeitung innerhalb der Europäischen Union, kein Drittlandtransfer.
- SCC: Standardvertragsklauseln der EU-Kommission (Modul 2) nebst Übermittlungs-Folgenabschätzung.
- Zustimmung: Einsatz nur nach gesonderter, ausdrücklicher Zustimmung des Tenants.
- DPF: Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Wir stützen uns nie allein darauf, sondern stets zusätzlich auf Standardvertragsklauseln.
Aktive Unterauftragsverarbeiter#
| Anbieter | Zweck | Datenkategorien | Standort | Grundlage |
|---|---|---|---|---|
| Supabase Inc. | Datenbank, Authentifizierung, Speicher (Branding) | Anmeldedaten, Tenant-Stammdaten, Prüfprotokolle | EU (Frankfurt) | Art. 28 AVV, EU |
| Vercel Inc. | Hosting, Edge-Funktionen, Logs | IP-Adressen, Anfrage-Metadaten | EU (Frankfurt) Edge, US-Steuerungsebene | SCC und Folgenabschätzung |
| Cloudflare Inc. | CDN, Objektspeicher (R2), DNS | IP-Adressen, erzeugte Dateien (Bilder, PDFs) | EU-Region (R2 Frankfurt), globales Edge | SCC und Folgenabschätzung |
| Stripe Payments Europe Ltd. | Abrechnung, Abonnements, Rechnungen | Abrechnungs-E-Mail, Zahlungsmethoden | EU (Irland) | Art. 28 AVV |
| Stripe (Stripe Tax) | Umsatzsteuerberechnung | Anschrift, Umsatzsteuer-Identifikationsnummer | EU (Irland) | Art. 28 AVV |
| Resend Inc. | Transaktionale E-Mails | Empfängeradresse, Nachrichteninhalt | EU-Region | SCC und Folgenabschätzung |
| Sentry | Fehlerüberwachung | Fehlerberichte (mit PII-Filter) | EU-Region | Art. 28 AVV |
| PostHog Inc. | Reichweitenmessung (nur mit Einwilligung) | Ereignisdaten, pseudonyme Kennungen | EU-Cloud (Frankfurt) | Art. 28 AVV |
| Google Cloud EMEA Limited (Gemini Enterprise Agent Platform) | KI-Anbieter für Text, Suche, Diktat, Einbettungen und Bilder der Vorgänger-Generation | Eingaben (Prompts), hochgeladene Fotos, Ergebnisse | EU-Multi-Region, Endpunkt aiplatform.eu.rep.googleapis.com (jurisdiktionale Zusage) | Art. 28 AVV (Cloud Data Processing Addendum), EU |
| Google LLC (Gemini Enterprise Agent Platform), globale Verarbeitung | KI-Anbieter für die Erzeugung von Bildern der aktuellen Generation und von Videos. Regelfall, da für beides keine EU-Region verfügbar ist. Ein Arbeitsbereich kann sich auf die EU beschränken; die Bild-Werkzeuge laufen dann mit der Vorgänger-Generation, Video-Werkzeuge gar nicht | Hochgeladene Fotos, Eingaben (Prompts), erzeugte Bilder und Videos | Bild: ohne feste Ortsbindung, weltweit. Video: Vereinigte Staaten | SCC (Modul 2) im Google-AVV, Folgenabschätzung, ergänzend EU-US Data Privacy Framework |
| OpenAI Ireland Ltd. | KI-Anbieter | Eingaben (Prompts), Ergebnisse | EU-Endpunkt (Irland) | Art. 28 AVV |
| Mistral AI SAS | KI-Anbieter (europäisches Textmodell, Massen-Verarbeitung) | Eingaben (Prompts), Ergebnisse | EU (Frankreich) | Art. 28 AVV |
| Anthropic Ireland Ltd. | KI-Anbieter | Eingaben (Prompts), Ergebnisse | EU-Datenresidenz (Irland) | Art. 28 AVV |
| Replicate Inc. | KI-Anbieter (bestimmte Bild-Werkzeuge) | Bild-Uploads, Ergebnisbilder | USA (keine EU-Region) | SCC, Folgenabschätzung, Tenant-Zustimmung |
| Meta Platforms Ireland Ltd. | WhatsApp Business Plattform (Cloud API) für den WhatsApp-Assistenten | Telefonnummern, Nachrichteninhalte, Zustell-Metadaten | EU (Irland), globale Meta-Infrastruktur | SCC und Meta-AVV, Tenant-Zustimmung bei Aktivierung |
Hinweise#
Drittlandtransfer: Für Anbieter mit Verarbeitung außerhalb der EU (insbesondere Google-Bild- und Video-Erzeugung, Vercel-Steuerungsebene, Cloudflare-Edge, Meta-Infrastruktur und Replicate) bestehen geeignete Garantien nach Kapitel V DSGVO: Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 2) nebst Übermittlungs-Folgenabschätzung, ergänzend die DPF-Zertifizierung des jeweiligen Anbieters.
Bild- und Video-Erzeugung bei Google (seit 5. August 2026 Regelfall): Google bietet die aktuelle Bild-Generation und die gesamte Video-Palette in Europa nicht an. Die Erzeugung findet deshalb außerhalb der EU statt, ohne dass es dafür einer gesonderten Zustimmung bedarf; die Übermittlung ist durch die Standardvertragsklauseln im Google-AVV gedeckt. Übermittelt werden ausschließlich das jeweilige Bild, der Anweisungstext und technische Parameter. Die Speicherung bleibt unverändert in Frankfurt. Texte, Einbettungen und die Stapelverarbeitung verlassen die EU nicht, für sie gibt es keine Einstellung, die das ändern könnte. Ein Arbeitsbereich kann die Bild- und Video-Verarbeitung jederzeit auf Europa beschränken (Erklärung „Verarbeitung auf Europa beschränken" plus Einstellung je Werkzeug). Einzelheiten in Abschnitt 9a der Datenschutzerklärung.
Replicate und Meta werden ausschließlich nach gesonderter Zustimmung des Tenants bei Installation beziehungsweise Aktivierung des betreffenden Werkzeugs eingesetzt.
BYOK: Hinterlegt ein Tenant einen eigenen Schlüssel eines KI-Anbieters, ist dieser Anbieter kein Unterauftragsverarbeiter von REOSA, sondern direkter Auftragsverarbeiter des Tenants.
Kein Unterauftragsverarbeiter im datenschutzrechtlichen Sinne ist unsere interne Entwicklungs- und Quellcode-Infrastruktur, da dort keine Tenant-Daten verarbeitet werden.
Benachrichtigung bei Änderungen: Vor der Aufnahme eines neuen Unterauftragsverarbeiters, der im Auftrag verarbeitete Daten betrifft, informieren wir betroffene Tenants mit einer Frist von in der Regel 30 Tagen (Art. 28 Abs. 2 DSGVO).
Verwandte Seiten: Datenschutzerklärung · Auftragsverarbeitung (AVV) · Cookie-Richtlinie