Anlage 2: Verarbeitung und Unterauftragsverarbeiter

Ente AVV - Version 1.0 - 22. Oktober 2026

Diese Anlage beschreibt den Stand des gehosteten Ente-Dienstes. Sie ist zusammen mit der AVV und dem individuellen Leistungsumfang zu lesen. Nicht jede optionale Funktion ist für jeden Kunden eingerichtet. Die bei Annahme bereitgestellte Fassung wird mit dem Auftrag aufbewahrt; eine aktualisierte Website ersetzt sie nicht automatisch.

1. Für Kundeninhalte eingesetzte Dienste

Convex, Inc.

Aufgabe: Authentifizierung, Datenbank, Dateiablage und serverseitige Verarbeitung. Betroffen sein können Konten, Berechtigungen, Kundeninhalte, Dateien, Integrationsdaten und technische Metadaten. Der Ente-Produktionsstandort ist EU West, Irland. Convex ist ein US-Unternehmen; Irland als Standort bedeutet keine Zusage, dass sämtliche weiteren Verarbeitungsschritte und zulässigen Supportzugriffe im EWR stattfinden.

Vertragsunterlagen: https://www.convex.dev/legal/dpa und https://www.convex.dev/legal/subprocessors. Die DPA ist Bestandteil des Dienstvertrags und enthält Regelungen zu internationalen Übermittlungen. Die für den konkreten Auftrag einschlägige Rollen- und Übermittlungskette sowie erforderliche ergänzende Garantien müssen abgedeckt sein. Vertragskontakt: Convex, Inc., 444 De Haro Street, Suite 218, San Francisco, CA 94107, USA; Datenschutzkontakt privacy@convex.dev. Ergänzende Ketteninformationen werden mit den aktuellen vertraglichen Verzeichnissen bereitgestellt.

Netlify, Inc.

Aufgabe: Auslieferung der Website und Webanwendung einschließlich des vorgesehenen Proxys für private Dateiabrufe und Sitzungsanfragen. Neben IP-Adresse und Anfragedaten können dabei auch übertragene Kundendateien betroffen sein. Das Auslieferungsnetz ist global; eine Beschränkung sämtlicher Verarbeitung auf den EWR wird nicht zugesichert.

Vertragsunterlagen: https://www.netlify.com/pdf/netlify-dpa.pdf und https://www.netlify.com/trust-center/. Die DPA ist Bestandteil des einschlägigen Dienstvertrags. Die darin vorgesehenen Übermittlungsmechanismen sind im Zusammenhang mit der tatsächlichen Bereitstellung anzuwenden. Kontaktanschrift laut DPA: Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA; Datenschutzkontakt privacy@netlify.com. Die öffentliche Datenschutzerklärung nennt zusätzlich 101 2nd Street, San Francisco, CA 94105, USA als Postkontakt.

OpenAI Ireland Ltd. und vertraglich eingesetzte verbundene Unternehmen

Aufgabe: beauftragte KI-Funktionen einschließlich Chat und Agenten, Transkription, Strukturierung, Zusammenfassung und gegebenenfalls integrierter Webrecherche. Betroffen sein können Audio, Transkripte, Prompts, ausgewählter Kundenkontext, Werkzeugergebnisse und Ausgaben. Der gehostete Produktionsweg verwendet derzeit den globalen API-Zugang. Eine ausschließlich europäische Verarbeitung oder Zero Data Retention ist nicht zugesichert.

Die Standardbedingungen sehen für einen Kunden mit Sitz im EWR grundsätzlich OpenAI Ireland Ltd. als Vertragspartner vor. Die entsprechende Kontaktanschrift lautet: OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland; Datenschutzkontakt privacy@openai.com. Für die in der DPA beschriebene Weiterverarbeitung ist außerdem OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, USA genannt. Die konkrete Vertragseinbindung richtet sich nach den vereinbarten Bedingungen und der Kontozuordnung. Die im geprüften bestehenden OpenAI-Konto vorhandenen Freigaben für API-Ein-/Ausgaben, Feedback sowie Evaluierungs-/Fine-Tuning-Daten sind deaktiviert. Verarbeitungs- und Aufbewahrungsregeln unterscheiden sich nach Funktion; deaktiviertes optionales Logging und store:false sind keine allgemeine Zusage vollständiger Nichtaufbewahrung.

Vertragsunterlagen: https://openai.com/policies/services-agreement/, https://openai.com/policies/data-processing-addendum/, https://openai.com/policies/sub-processor-list/ und https://developers.openai.com/api/docs/guides/your-data. Die DPA ist in die Dienstbedingungen einbezogen. Für EWR- und Schweizer Daten sieht Abschnitt 4.1 der DPA die Verarbeitung durch OpenAI Ireland Limited vor; Weiterübermittlungen an verbundene Unternehmen oder Dritte erfolgen nach dieser Klausel auf Grundlage einschlägiger SCC-Vereinbarungen oder eines Angemessenheitsbeschlusses. Weitere verbundene Verarbeiter und internationale Verarbeitung richten sich nach diesen Unterlagen und der konkreten Konfiguration.

Amazon Web Services

Aufgabe: betriebliche und beauftragte E-Mail-Zustellung, offizielle und Agenten-Postfächer, vorübergehende Roh-Nachrichtenspeicherung sowie zugehörige Verarbeitung und Rückmeldungen. Insbesondere Adressen, Betreff, Nachrichten, Anhänge, technische Zustell- und Prüfmerkmale können verarbeitet werden. Die hierfür dokumentierte Infrastruktur liegt in Frankfurt. Erfolgreich zugeordnete Roh-Nachrichten werden aus dem vorgesehenen temporären Speicher entfernt; die dortige Wiederherstellungsfrist für Fehlerfälle beträgt höchstens 14 Tage. Das ist nicht die Löschfrist für die anschließend in Ente gespeicherten Nachrichten.

Für längere Aufnahmen ist zusätzlich ein Kimi/Moonshot-Modellweg über Amazon Bedrock in Stockholm mit einem begrenzten OpenAI-Ausweichweg vorgesehen. Eine bestehende Zugriffsbeschränkung bei AWS ist keine Zusage, dass dieser konfigurierte Weg entfernt ist oder nie Daten empfängt. Ob eine bestimmte Aufnahme diesen Weg nutzt, richtet sich nach Verarbeitungspfad und Verfügbarkeit. Ein direkter eigener Vertrag des Kunden mit dem Modellhersteller wird hierdurch nicht begründet.

Die AWS-Kundenvereinbarung ordnet deutsche Kundenkonten Amazon Web Services EMEA SARL zu, 38 Avenue John F. Kennedy, L-1855 Luxemburg, Luxemburg; Vertragskontakt +352 2789 0057, Datenschutzanfragen über https://aws.amazon.com/compliance/contact/. Die Zuordnung des tatsächlich verwendeten Kontos ist maßgeblich. Vertragsunterlagen: https://aws.amazon.com/agreement/, https://aws.amazon.com/service-terms/, https://d1.awsstatic.com/legal/aws-gdpr/aws-gdpr-dpa-online.pdf und https://aws.amazon.com/compliance/sub-processors/. Die AWS-DPA einschließlich einschlägiger Übermittlungsklauseln gilt über die Dienstbedingungen. Erforderliche Rollen- und Übermittlungsprüfungen bleiben Teil der Einbindung.

2. Eingeschränkte Analyse und derzeit nicht aktivierte Wege

PostHog, Inc. ist für die eingeschränkte EU-Produktanalyse im ausgelieferten Produktionsfrontend konfiguriert. Das aktuelle ausgelieferte Konfigurationsmodul enthält einen Projektzugang und https://eu.i.posthog.com als Endpunkt. Der erlaubte Ereignistyp enthält nur eine grobe Produktansicht und flüchtige Kennungen; Nutzertexte, vollständige URLs, stabile Ente-Nutzerkennung, automatische Interaktionserfassung und Sitzungsaufzeichnung werden in diesem Pfad ausgeschlossen. Das Verfahren verarbeitet auch technisch anfallende Netzwerkmetadaten; es wird nicht als vollständig anonym bezeichnet. Ein abgeschlossener DPA-Nachweis für TiVA Digital liegt vor. PostHog, Inc., 2261 Market Street, #4008, San Francisco, CA 94114, USA; Datenschutzkontakt privacy@posthog.com. Verarbeitungsstandort des konfigurierten Dienstes ist EU Cloud, Frankfurt; zusätzliche vertraglich geregelte Zugriffe und Unterverarbeiter richten sich nach DPA und Verzeichnis. Vertragsunterlagen: https://posthog.com/dpa, https://posthog.com/docs/privacy und https://trust.posthog.com/.

Der optionale Google-Cloud-Pub/Sub-Weg für Gmail-Änderungsmitteilungen ist implementiert, aber der erforderliche Produktions-Topic ist am 22. Oktober 2026 nicht gesetzt. Er wird daher nicht als aktuell aktivierter Übermittlungsweg aufgeführt. Eine künftige Aktivierung setzt die Prüfung der Google-Cloud-Vertrags- und Standortkonfiguration sowie die vorherige Information nach AVV voraus.

Direktes Anthropic und Linkup werden für den derzeit dokumentierten gehosteten Standardweg nicht als aktive Empfänger ausgewiesen. Eine SDK-Abhängigkeit allein ist kein Nachweis einer laufenden Übermittlung.

3. Vom Kunden verbundene Dienste

Der Kunde kann unterstützte eigene Dienste wie Google Gmail/Calendar, Microsoft/Outlook, IMAP/SMTP, CalDAV, Plaud oder eigene Modellendpunkte verbinden. Die Verbindung und der vereinbarte Funktionsumfang bestimmen, welche Inhalte und Zugangsinformationen ausgetauscht werden. Kundenveranlasste Empfänger werden nicht allein durch die Verbindung zu vom Anbieter frei ausgewählten Unterauftragsverarbeitern. Die jeweilige Rolle, erforderliche Berechtigung und zusätzliche vom Anbieter eingesetzte Infrastruktur bleiben zu prüfen. Rechte betroffener Personen und Weisungen gelten auch für importierte Daten.

4. Eigene Vertrags-, Zahlungs- und Websiteverarbeitung

Stripe wird für Zahlungen, Abonnements und Abrechnungsdaten eingesetzt. Es erhält dadurch nicht allgemein Zugriff auf den CRM-Bestand des Kunden. Stripe kann abhängig vom Zweck als Auftragsverarbeiter und als eigener Verantwortlicher handeln. https://stripe.com/de/legal/dpa.

Die eigene Website-, Vertrags-, Zahlungs- und Supportverarbeitung des Anbieters wird in den gesonderten Datenschutzhinweisen beschrieben. Dieses Verzeichnis der Auftragsverarbeitung von Kundeninhalten ist keine Aussage über die Löschung historischer eigener Geschäftsunterlagen oder die vollständige Beendigung jeder früheren Anbieterbeziehung.

5. Internationale Verarbeitung und Nachweise

Ein Standort in Irland oder Frankfurt bedeutet keine pauschale Zusage ausschließlich europäischer Verarbeitung. Internationale Übermittlungen müssen durch einen einschlägigen Angemessenheitsbeschluss oder andere geeignete Garantien gedeckt sein. Bei Standardvertragsklauseln sind die tatsächlichen Rollen, Voraussetzungen, Übermittlungsumstände und gegebenenfalls ergänzende Maßnahmen maßgeblich. Eine bloße Verlinkung von Vertragsunterlagen ersetzt keine Prüfung ihrer Anwendbarkeit.

Die genannten Identitäts-, Anschrift- und Kontaktinformationen gehören zu dieser Anlage. Die zugehörigen aktuellen Unterverarbeiterverzeichnisse und Übermittlungsunterlagen werden vor Beginn der Verarbeitung zugänglich gemacht. Ergänzende Ketteninformationen und Informationen zu den verwendeten Übermittlungsgarantien werden bei Änderungen bereitgestellt. Anfragen: support@ente.fast. Allgemeine Dienstleisterbedingungen sind keine Zertifizierung von Ente.