Anlage 6 — Sub-Auftragsverarbeiter
Stand: 27.08.2026
| Sub-Auftragsverarbeiter | Sitz | Zweck | Datenlokation | Transfergrundlage |
|---|---|---|---|---|
| Railway Corp. | USA | Hosting/Plattformbetrieb, Datenbanken | EU-Region europe-west4 (Niederlande) | SCC (2021/914); SOC 2 Type II |
| Anthropic PBC | USA | LLM-Funktionen (KI-Assistent, Mail-KI) über Claude API | USA/gemäß Anbieter | SCC (2021/914) über Anbieter-DPA; kein Training auf API-Daten gemäß Commercial Terms; Zero Data Retention nicht vereinbart |
| MongoDB, Inc. / Voyage AI Innovations, Inc. | USA | Text-Embeddings für semantische Suche | USA/gemäß Anbieter | EU-US DPF; SCC als Auffanglösung |
| Resend Inc. | USA | Transaktions-E-Mails | USA/gemäß Anbieter | EU-US DPF; SCC als Auffanglösung |
| Mistral AI SAS | Frankreich | Sprachtranskription (primär) | EU | innerhalb EU/EWR |
| Meta Platforms, Inc. — nur bei aktiviertem WhatsApp-Modul | USA | WhatsApp-Business-Nachrichtenversand | USA/gemäß Anbieter | EU-US DPF; Nutzung nur nach gesonderter Aktivierung durch den Kunden |
| Twilio Inc. — nur bei aktiviertem Telefonie-Modul | USA | Telefonie/CTI, ggf. Aufzeichnung | USA/gemäß Anbieter | EU-US DPF; SCC als Auffanglösung; Nutzung nur nach gesonderter Aktivierung durch den Kunden |
Hinweise:
- Die lokale Fallback-Transkription (whisper auf anbietereigener Hardware in Deutschland) ist keine Sub-Auftragsverarbeitung durch Dritte, wird aber der Transparenz halber offengelegt: Verarbeitung außerhalb des Rechenzentrums auf gesicherter Hardware des Anbieters (Rechner in den Geschäftsräumen des Anbieters in Regensburg mit vollständiger Datenträgerverschlüsselung, Zugriff ausschließlich durch den Inhaber; Audiodaten werden nach der Transkription gelöscht, sofern der Kunde die Aufbewahrung nicht ausdrücklich aktiviert hat).
- Änderungen der Liste werden gemäß § 6 AVV mit 30 Tagen Vorlauf angekündigt.