Anlage 3 — Liste der Unterauftragsverarbeiter (Sub-Prozessoren)
gemäß Art. 28 Abs. 2, 4 DSGVO
Stand der Liste: 2026-07-27 · Entwurfsstand: 0.5
Der Auftragsverarbeiter setzt zur Erbringung der Leistung die nachfolgenden Unterauftragsverarbeiter ein. Diese gelten mit Abschluss des AVV als genehmigt (§ 7 Abs. 1 AVV). Drittland-Übermittlungen erfolgen auf Grundlage geeigneter Garantien gemäß Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO).
A. Kern-Sub-Prozessoren (planübergreifend)
| # | Dienstleister | Zweck der Verarbeitung | Sitz | Datenstandort | Drittland-Garantie |
|---|---|---|---|---|---|
| 1 | OVHcloud (OVH SAS) | Server-/Hosting-Infrastruktur (inkl. n8n, selbst gehosteter Vektor-Datenbank und Fehler-Monitoring) | Frankreich (EU) | Frankfurt (DE), Region OpenStack os-de2 |
EU — keine erforderlich |
| 2 | Neon, Inc. | PostgreSQL-Datenbank-Hosting (Konto-, Konversations-, Lead-Daten) | USA | EU-Region (Frankfurt) | SCC (Art. 46) |
| 3 | Cloudflare, Inc. | Proxy/CDN, Bot-Schutz (Turnstile), Dateispeicherung (R2, nur Business), Verwaltung kundeneigener Domains (nur Business) | USA | EU-Jurisdiktion (R2) / global Edge | SCC (Art. 46) |
| 4 | OpenAI (OpenAI, L.L.C.) | Sprachmodell-API (GPT) für Assistenten-Antworten und Lead-Scoring; Spracherkennung (Whisper) für die Spracheingabe im Website-Widget, soweit aktiviert | USA | — | SCC (Art. 46) |
| 5 | Google (vertragsführende Einheit nicht festgestellt) | Sprachmodell-API (Gemini), modellabhängig je Kundenkonfiguration | nicht festgestellt [zu verifizieren] |
— | offen — siehe Hinweis unter dieser Tabelle |
| 6 | Mistral AI | Sprachmodell-API (Mistral) für Assistenten-Antworten | Frankreich (EU) | EU | EU — kein Drittlandtransfer |
| 7 | Brevo (Sendinblue SAS) | E-Mail-Versand (Verifizierungscodes, Benachrichtigungen) via SMTP | Frankreich (EU) | EU | EU — keine erforderlich |
| 8 | Stripe, Inc. | Abonnementabrechnung und Zahlungsabwicklung | USA | — | SCC (Art. 46) |
Zu Zeile 1 — Region
os-de2: geprüft im OVH-Manager am 2026-07-26 und gebunden an die konkrete Instanzdialoghub-prod-01(vps-29dadab1, Frankfurt DE). Die Angabe ist damit instanzgebunden: wird der VPS neu aufgesetzt oder migriert, wird diese Zelle still falsch. Bei jedem Wechsel der Infrastruktur ist sie mit zu prüfen. (Die Instanz-Metadaten beantwortenavailability_zone: nova— das ist die AZ innerhalb der Region und nicht die Region selbst; die Region ist nur im Manager ablesbar, eine automatische Prüfung von der Maschine aus gibt es nicht.)
Zu Zeile 5 — Google: Die Anbindung erfolgt über den Gemini-API-Endpunkt
generativelanguage.googleapis.com(globaler Endpunkt, keine Regionsbindung — daher „Datenstandort: —"). Welche Google-Einheit Vertragspartner ist (Google LLC, USA, oder Google Ireland Ltd., IE), hängt von der Abrechnungs-Einheit des Kontos ab und ist derzeit nicht festgestellt. Solange sie es nicht ist, wird für diese Zeile keine Drittland-Garantie behauptet: ob überhaupt eine Drittland-Übermittlung vorliegt und auf welcher Grundlage, lässt sich ohne die Vertragseinheit nicht bestimmen. Die übrigen Zeilen dieses Abschnitts nennen ihre Grundlage ohne Vorbehalt; diese eine tut es bewusst nicht, statt eine Garantie zu behaupten, die sich nicht belegen lässt. Nach Feststellung der Einheit ist die Zeile zu vervollständigen — Zuständigkeit Betreiber, keine anwaltliche Frage.
B. Funktions-/tarifabhängige Sub-Prozessoren
Diese Dienstleister werden nur eingesetzt, wenn der Verantwortliche die entsprechende Funktion oder den entsprechenden Tarif aktiviert.
| # | Dienstleister | Zweck | Aktiv bei | Sitz | Drittland-Garantie |
|---|---|---|---|---|---|
| 9 | Anthropic (Anthropic, PBC) | Sprachmodell-API (Claude) | Premium-Engine-Zusatzmodul | USA | SCC (Art. 46) |
| 10 | Meta Platforms, Inc. | Instagram- und WhatsApp-Messaging-API, Facebook Login for Business | Instagram- und WhatsApp-Kanal (in Vorbereitung) | USA | SCC (Art. 46) |
| 11 | fal.ai | Generierung von Beitragsbildern | LinkedIn-Autopilot-Zusatzmodul (Business) | USA | SCC (Art. 46) |
| 12 | Perplexity AI, Inc. | Themenrecherche für Beitragsentwürfe | LinkedIn-Autopilot-Zusatzmodul (Business) | USA | SCC (Art. 46) |
| 13 | Threema GmbH | Threema-Gateway-API (Ende-zu-Ende-verschlüsselter Messaging-Kanal) | Threema-Kanal (in Vorbereitung) | Schweiz | Angemessenheitsbeschluss (Art. 45) — kein SCC erforderlich |
Threema — offener Prüfpunkt (ADR-025). Der Kanal ist beschlossen, aber noch nicht ausgerollt. Offen ist die vertragliche Einordnung: ob DialogHub die Gateway-IDs im Namen der Verantwortlichen halten darf, ist bei Threema angefragt und noch nicht beantwortet. Fällt die Antwort negativ aus, wandert Threema in Abschnitt C (kundenseitig unterhaltenes Konto) und die Zeile hier entfällt.
C. Kundenseitig aktivierte Drittdienste [rechtliche Einordnung offen]
Aktiviert der Verantwortliche eine optionale Integration, übermittelt die Plattform die jeweils erforderlichen Daten (z. B. Name, E-Mail, gewählte Leistung, Zeitfenster, ggf. Notizen bei der Buchung; Nachrichteninhalte beim Messaging) an den vom Verantwortlichen selbst gewählten und mit dessen eigenen Zugangsdaten (API-Schlüssel bzw. Bot-Token) verbundenen Dienst:
| Anbieter | Funktion | Sitz |
|---|---|---|
| Cal.com | Terminbuchung (fester EU-Endpunkt api.cal.eu) |
Cal.com, Inc. (USA); Datenstandort EU |
| eTermin | Terminbuchung (DACH; Endpunkt www.etermin.net) |
DACH/EU; Sitz [zu verifizieren] |
| Telegram | Messaging-Kanal (vom Kunden verbundener Bot via Bot-Token) | Telegram-Betreiber außerhalb der EU [zu verifizieren] |
| E-Mail (BYOM) | E-Mail-Kanal (vom Kunden verbundenes Postfach via IMAP/SMTP mit dessen eigenen Zugangsdaten) | Anbieter des vom Kunden gewählten Postfachs [zu verifizieren] |
Offener Prüfpunkt für die anwaltliche Bewertung: Da der Verantwortliche das jeweilige Konto selbst unterhält und die Daten in seine eigene Umgebung (Kalender, Telegram-Bot bzw. E-Mail-Postfach) fließen, ist zu klären, ob diese Dienste als Sub-Prozessoren des Auftragsverarbeiters (dann in Liste A/B aufzunehmen) oder als eigenständiges Verarbeitungsverhältnis des Verantwortlichen einzuordnen sind. Bis zur Klärung werden sie hier separat geführt und sind nicht Bestandteil der pauschalen Sub-Prozessor-Genehmigung nach § 7 AVV.
Änderungsverfahren
Beabsichtigte Änderungen (Hinzufügung/Ersetzung) der Sub-Prozessoren werden dem Verantwortlichen gemäß § 7 Abs. 2 AVV mitgeteilt. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb der dort genannten Frist widersprechen.
Konsistenz-Hinweis: Diese Liste entspricht dem Empfänger-/Auftragsverarbeiter- Abschnitt (§ 4) der öffentlichen Datenschutzerklärung. Beide sind bei Stack-Änderungen gemeinsam zu pflegen.