Unterauftragsverarbeiter
Version 1.3 · gültig ab · Prüfsumme 8742754d5621
Anlage zum Vertrag zur Auftragsverarbeitung. Stand: 08.11.2026. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens vier Wochen vorher an (Vertrag zur Auftragsverarbeitung, Nummer 9).
Eingesetzte Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Einsatz | Ort und Grundlage |
|---|---|---|---|
| Anthropic Ireland, Limited, Dublin, Irland | KI-Modelle („Claude“): Verarbeitung der Inhalte, die die jeweilige KI-Funktion benötigt, und eines kurzen Betriebskontexts; Erzeugung der Antwort | nur wenn der Betrieb die KI-Funktionen eingeschaltet hat | Orte: USA. Vertrag: Commercial Terms of Service mit eingebundenem Data Processing Addendum (Fassung vom 24.02.2025, gilt automatisch ohne gesonderte Unterschrift). Übermittlung: EU-Standardvertragsklauseln (Modul 2 bzw. 3) als Bestandteil des Data Processing Addendum. Speicherdauer: Ein- und Ausgaben der API löscht Anthropic nach eigenen Angaben standardmäßig innerhalb von 30 Tagen; längere Speicherung nur bei Verstößen gegen die Nutzungsrichtlinie oder aufgrund gesetzlicher Pflichten; eine kürzere Speicherdauer ist nicht vereinbart. |
| Cloudflare, Inc., USA | Tunnel, TLS-Verschlüsselung und DNS: Weiterleitung des gesamten Datenverkehrs zwischen Browser und Server; Cloudflare kann den Datenverkehr technisch einsehen. Spracherkennung (Workers AI): Umwandlung von Sprachaufnahmen in Text; Cloudflare erhält dazu die Aufnahme und gibt den erkannten Text zurück | Verbindung immer; Spracherkennung, sobald sie für den Betrieb nach seinem Vertrag über Cloudflare läuft | Weltweites Netz, auch USA; für die Spracherkennung ist kein bestimmter Ort zugesagt. Nach den kommerziellen Bedingungen von Cloudflare (Self-Serve Subscription Agreement) und seinen Angaben zu Workers AI werden Eingaben nicht über die Anfrage hinaus gespeichert und nicht zum Training von KI-Modellen verwendet. Vertragsgrundlage: Cloudflare Customer DPA (Fassung 6.4 vom 03.04.2026) als Bestandteil der Self-Serve Subscription Agreement; Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO; Cloudflare, Inc. ist zertifiziert), hilfsweise der EU-Standardvertragsklauseln (Art. 46 Abs. 2 Buchst. c DSGVO). |
| Resend (Plus Five Five, Inc.), USA | E-Mail-Versand: Systemnachrichten (z. B. Einladungen, Passwort zurücksetzen, Bestätigungen, Benachrichtigungen) und geschäftliche E-Mails eines Betriebs samt Anhängen (z. B. Angebote, Rechnungen, Zahlungserinnerungen), wenn der Betrieb kein eigenes Postfach zum Versand verbunden hat | Systemnachrichten immer; E-Mails eines Betriebs nur ohne eigenes Postfach zum Versand | USA; Übermittlung auf Grundlage der EU-Standardvertragsklauseln im Data Processing Addendum von Resend |
Den Server betreibt der Auftragnehmer selbst in eigenen Räumen (Standort: Räume des Anbieters in Deutschland (eigener Rechner, kein Rechenzentrum)); ein Hosting-Dienstleister ist nicht beteiligt.
Die Spracherkennung (Diktat) läuft je nach Vertrag des Betriebs über Workers AI von Cloudflare (siehe oben) oder auf dem Server des Auftragnehmers; fällt Cloudflare aus, übernimmt der Server des Auftragnehmers. Ein weiterer externer Sprachdienst wird nicht eingesetzt.
Keine Unterauftragsverarbeiter
Folgende Dienste sind keine Unterauftragsverarbeiter des Auftragnehmers:
Zahlungsabwicklung: Stripe Payments Europe, Limited, Dublin, Irland verarbeitet Zahlungsdaten für die Abrechnung zwischen Auftragnehmer und Kunde als eigener Verantwortlicher.
- Vom Betrieb selbst angebundene Dienste, bei denen er selbst Kunde ist: Microsoft 365 (Postfach über Microsoft Graph), Postfächer anderer Anbieter über IMAP/SMTP und Lexware Office. Der Datenaustausch erfolgt nach Einrichtung durch den Betrieb; für diese Dienste gelten seine Verträge mit dem jeweiligen Anbieter.
- LagerNOW: eigenständiger Dienst von Kubilay Fehmi Gönüleglendiren (Einzelunternehmen), Willich, bei dem der Betrieb ein eigenes Konto hat. Nach der Verknüpfung durch den Betrieb liest Meisterleicht Daten aus LagerNOW (nur lesend) und übernimmt sie in den Betrieb. Für die Verarbeitung in LagerNOW selbst (Daten bei Google Firebase) gilt der Vertrag des Betriebs mit dem Betreiber von LagerNOW.
- Push-Dienste der Browser-Hersteller (z. B. Google, Apple, Mozilla, Microsoft) für Web-Push-Benachrichtigungen, die Nutzer selbst einschalten. Die Nachrichten werden verschlüsselt übertragen.
- Sprachausgabe (Vorlesen von Antworten) über das Gerät bzw. den Browser des Nutzers.
- DATEV-Export: eine Datei, die der Betrieb herunterlädt und selbst weitergibt.
Änderungen
Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens vier Wochen vor dem Wirksamwerden in Textform und in Meisterleicht (Nummer 9 des Vertrags zur Auftragsverarbeitung). Der Auftraggeber kann bis dahin aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen, z. B. per E-Mail an [email protected]. Frühere und angekündigte Fassungen dieser Liste sind im Vertragscenter abrufbar.
Fassungen
Alle Fassungen dieses Dokuments bleiben abrufbar. Maßgeblich ist die Fassung, der zugestimmt wurde bzw. die zum jeweiligen Zeitpunkt galt.
- Version 1.3gültig ab · aktuellwird angezeigtPDF (Version 1.3)
- Version 1.2gültig ab · ältere FassungLesen (Version 1.2)PDF (Version 1.2)
- Version 1.0gültig ab · ältere FassungLesen (Version 1.0)PDF (Version 1.0)
Prüfsumme (SHA-256) der angezeigten Fassung: 8742754d562146e1f3896e9ed29696312d69e9ae06b6b3c3f7144f147c4ff78a