Unterauftragsverarbeiter

Angekündigt ·

gültig ab [Datum]

Annex 3 wird als eigenständiges Dokument geführt.
Neu gegliedert nach Ziffer 5.5 AVV: Teil A allgemeine Unterauftragsverarbeiter, Teil B KI-Modellanbieter, Teil C Websuche-Dienste, Teil D Integrationsdienste.
Neu aufgenommen: Makini, Inc. (A7, Integrationsdienst per MCP) sowie Angaben zu den KI-Modellen B1 bis B4.
Nicht mehr aufgeführt: Attio Limited, GitHub, Inc., SideGuide Technologies, Inc. (Firecrawl), Perplexity AI, Inc.

Liste der Unterauftragsverarbeiter

Annex 3 der Auftragsverarbeitungsvereinbarung (AVV). Annex 3 wird als eigenständiges Dokument geführt und ist nach den Informationspflichten aus Ziffer 5.5 AVV gegliedert: Teil A allgemeine Unterauftragsverarbeiter, Teil B KI-Modellanbieter, Teil C Websuche-Dienste, Teil D Integrationsdienste. Änderungen erfolgen nach dem Verfahren gemäß Ziffer 5.2 AVV.

Teil A: Allgemeine Unterauftragsverarbeiter

Nr.	Unterauftragsverarbeiter	Zweck	Verarbeitungsort	Transfermechanismus
A1	Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Cloud Platform)	Cloud-Infrastruktur, Datenbank-Hosting der Plattform (Rechenzentrum Frankfurt), Betrieb der KI-Modelle nach Teil B	EU (Frankfurt); für Google-Suche siehe Teil C	EU-US DPF (Google LLC) und SCCs (CDPA Anhang 3)
A2	Google Ireland Limited (Google Workspace)	E-Mail, Dokumentenablage, Videokonferenzen	EU	EU-US DPF (Google LLC) und SCCs
A3	Intercom R&D Unlimited Company, 124 St Stephen's Green, Dublin 2, Irland	Kundensupport-Plattform, Messenger, Ticketing	USA	EU-US DPF (Intercom Inc.) und SCCs
A4	Astrodon Corporation (Loops), 8 The Green #13469, Dover, DE 19901, USA	Transaktions- und Marketing-E-Mails an Nutzer der Auftraggeber (z. B. Einladungen, Systembenachrichtigungen)	USA	EU-US DPF und SCCs
A5	Stripe Payments Europe, Ltd, 1 Grand Canal St Lower, Dublin 2, Irland	Zahlungsabwicklung, Abrechnung, Betrugsprävention	EU/USA	EU-US DPF (Stripe Inc.) und SCCs
A6	Microsoft Ireland Operations Limited, One Microsoft Place, Leopardstown, Dublin 18, Irland (Microsoft Azure)	Betrieb der KI-Modelle nach Teil B (B3 OpenAI GPT, B4 Mistral)	EU; für Bing-Suche siehe Teil C	EU-US DPF (Microsoft Corporation, DPF-ID 6474) und SCCs (Microsoft DPA)
A7	Makini, Inc., 415 Mission St, San Francisco, CA 94105, USA	Anbindung der Systeme der Auftraggeber (z. B. ERP) per MCP; Details siehe Teil D	EU (Irland); Administration und Support aus den USA	SCCs Modul 3 (Makini DPA)

Teil B: KI-Modellanbieter

Die Modelle B1 bis B4 werden über die Infrastruktur der in Teil A genannten Cloud-Anbieter betrieben; die Modellanbieter erhalten insoweit keinen direkten Zugriff auf Auftraggeberdaten.

B1 Google Gemini über Google Cloud

Feld	Angabe
Vertragsentität	Google Ireland Limited (A1)
Betriebs-, Hosting-, Lizenzmodell	Gemini Enterprise Agent Platform, von Google gehostet; Google Cloud ToS, SST
Verarbeitungsstandort	EU- oder Global-Endpoint je Modell (Preisübersicht)
Speicher- und Löschfristen	Keine Speicherung durch Google; Ausnahme Grounding-Logs 3 Tage (Teil C1).
Training, Fine-Tuning, Evaluierung	Nein
Missbrauchskontrolle	Automatisierte Prüfung; kein Logging (Opt-out genehmigt).
Internationale Übermittlung	Nur Global-Endpoint-Modelle: USA; DPF (Google LLC), SCCs.
Wesentliche Bedingungen	Google Cloud ToS, SST § 18 und § 20, CDPA

B2 Anthropic Claude über Google Cloud (Google managed)

Feld	Angabe
Vertragsentität	Google Ireland Limited (A1)
Betriebs-, Hosting-, Lizenzmodell	Model Garden (Partnermodell), von Google gehostet; Google Cloud ToS, SST, Anthropic SST
Verarbeitungsstandort	Nur EU-Endpoint: Inferenz in der EU mit Residenz-Zusage.
Speicher- und Löschfristen	Keine Speicherung durch Google.
Training, Fine-Tuning, Evaluierung	Nein
Missbrauchskontrolle	Automatisierte Prüfung; kein Logging (Opt-out genehmigt).
Internationale Übermittlung	Keine.
Wesentliche Bedingungen	Google Cloud ToS, SST, CDPA, Anthropic SST

B3 OpenAI GPT über Microsoft Azure

Feld	Angabe
Vertragsentität	Microsoft Ireland Operations Limited (A6)
Betriebs-, Hosting-, Lizenzmodell	Azure OpenAI (Models sold by Azure), von Microsoft gehostet; Product Terms, DPA
Verarbeitungsstandort	EU- oder Global-Endpoint je Modell (Preisübersicht): EU-Modelle Inferenz in EU-Mitgliedstaaten; Global-Modelle Inferenz weltweit; Speicherung stets in der Geographie der Ressource (EU).
Speicher- und Löschfristen	Abuse-Monitoring-Logs bis 30 Tage in der Geographie der Ressource; Responses-API-Verlauf: temporäres Caching für MCP- und Tool-Aufrufe, max. 24 Stunden.
Training, Fine-Tuning, Evaluierung	Nein
Missbrauchskontrolle	Automatisierte Prüfung; Logging bis 30 Tage; bei Verdacht menschliche Prüfung durch Microsoft im EWR (Standard-Abuse-Monitoring).
Internationale Übermittlung	Nur Global-Endpoint-Modelle: USA; DPF (Microsoft Corp.), SCCs.
Wesentliche Bedingungen	Microsoft Product Terms, DPA, Azure OpenAI Code of Conduct

B4 Mistral über Microsoft Azure

Feld	Angabe
Vertragsentität	Microsoft Ireland Operations Limited (A6)
Betriebs-, Hosting-, Lizenzmodell	Foundry Models (Models sold by Azure), von Microsoft gehostet; Product Terms, DPA.
Verarbeitungsstandort	Nur EU-Endpoint: Inferenz in EU-Mitgliedstaaten; Speicherung in der EU.
Speicher- und Löschfristen	Abuse-Monitoring-Logs bis 30 Tage in der Geographie der Ressource.
Training, Fine-Tuning, Evaluierung	Nein
Missbrauchskontrolle	Automatisierte Prüfung; Logging bis 30 Tage; bei Verdacht menschliche Prüfung durch Microsoft im EWR (Standard-Abuse-Monitoring).
Internationale Übermittlung	Keine.
Wesentliche Bedingungen	Microsoft Product Terms, DPA

Teil C: Websuche-Dienste

Die Websuche ist eine optionale Funktion, die der Auftraggeber auf Gruppenebene aktiviert oder deaktiviert; die Aktivierung gilt als dokumentierte Weisung des Auftraggebers. An den Suchdienst gehen ausschließlich die vom Modell erzeugten Suchanfragen; personenbezogene Daten werden bei aktiviertem Anonymisierungs-Feature zuvor ersetzt.

C1 Google Search (für B1)

Feld	Angabe
Anbieter	Google LLC, USA
Datenschutzrechtliche Rolle	Unterauftragsverarbeiter: Suchlogs sind „Customer Data“, CDPA gilt (SST § 20 k ii)
Verarbeitungsstandort	Nicht lokalisiert; Datenresidenz gilt nicht
Speicherfrist	3 Tage
Training	Nein (SST § 18)
Übermittlung	DPF (Google LLC), SCCs
Steuerung	Deaktivierbar auf Gruppenebene

Hinweis zu GPT-Modellen (B3)

Bei Aktivierung der Websuche für GPT-Modelle übermittelt der Auftragnehmer die vom Modell erzeugten Suchanfragen auf Weisung des Auftraggebers an Microsoft Bing (Microsoft Corporation, USA). Microsoft handelt insoweit als eigenständig Verantwortlicher; der Microsoft-DPA gilt für diesen Suchschritt nicht (Bing-TOU § 4, Product Terms „Exceptions to the DPA“). Speicherfristen und Nutzungszwecke richten sich nach dem Microsoft Privacy Statement, das eine Nutzung zur Produktverbesserung einschließt; die Verarbeitung findet außerhalb der Azure-Compliance- und Geo-Grenze statt. Die Zulässigkeit dieser Übermittlung und ihre Rechtsgrundlage beurteilt der Auftraggeber als Verantwortlicher; er kann die Websuche für GPT-Modelle auf Gruppenebene deaktivieren.

Hinweis zu Claude-Modellen (B2)

Bei Aktivierung der Websuche für Claude-Modelle übermittelt der Auftragnehmer die vom Modell erzeugten Suchanfragen auf Weisung des Auftraggebers über Google Cloud an Brave Search (Brave Software Inc., USA). Google schließt seinen DPA für diesen Suchschritt aus; es gelten die Bedingungen von Brave, die Suchanfragen aus Braves eigenem DPA ausnehmen. Brave speichert Suchanfragen bis zu 90 Tage; eine Zusage zum Ausschluss von Training ist nicht belegt. Die Verarbeitung findet in den USA außerhalb der Datenresidenz von Google Cloud statt. Die Zulässigkeit dieser Übermittlung und ihre Rechtsgrundlage beurteilt der Auftraggeber als Verantwortlicher; er kann die Websuche für Claude-Modelle auf Gruppenebene deaktivieren.

Teil D: Integrationsdienste

Über Makini greifen die KI-Modelle aus Teil B auf Systeme der Auftraggeber zu (Lesen und Schreiben). Die Anbindung wird nur auf Weisung des Auftraggebers eingerichtet.

D1 Makini (Anbindung per MCP)

Feld	Angabe
Vertragsentität	Makini, Inc., San Francisco, USA (A7)
Betriebs-, Hosting-, Lizenzmodell	MCP-Plattform, von Makini gehostet, eigener Mandant je Auftraggeber; SaaS Agreement, Partner Addendum, DPA
Verarbeitungsstandort	EU (AWS Irland); Schlüsselreplik in Frankfurt; Fehlerdaten bei Sentry in den USA.
Speicher- und Löschfristen	Keine Speicherung von Inhalten (Live-Abruf ohne Synchronisation), ausgenommen Fehlerdaten bei Sentry; Aufrufprotokolle nur Metadaten, 30 Tage; Löschung spätestens 60 Tage nach Vertragsende.
Training, Fine-Tuning, Evaluierung	Nein
Zugriff durch Anbieter-Personal	Administration und Support aus den USA, nur Anzeige ohne Speicherung; Zugang mit SSO und MFA.
Unterauftragsverarbeiter des Anbieters	AWS (EU, Hosting in Irland; Verwaltungszugriff aus den USA nur zur Anzeige); Sentry (USA, Fehler- und Tracedaten mit Nutzerkennung, Name und E-Mail; kann Ausschnitte von Kundendaten enthalten); Zendesk (USA, Supporttickets); Google (USA, Login und E-Mail); Microsoft (USA, Login).
Internationale Übermittlung	USA (Administration, Support, Unterauftragsverarbeiter): SCCs Modul 3.
Wesentliche Bedingungen	Makini SaaS Agreement, Partner Addendum, DPA (EU)