Subprozessoren

Diese Liste ist Anlage 3 der Vereinbarung zur Auftragsverarbeitung (AVV). Änderungen kündigen wir den Organisationen mindestens 30 Tage im Voraus in Textform an (AVV § 6 Abs. 2); für optionale Dienste, die eine Organisation nicht eingeschaltet hat, genügt die Mitteilung (AVV § 6 Abs. 4). Bedingte Subprozessoren und optionale Dienste werden für eine Organisation nur tätig, wenn deren Inhaber sie ausdrücklich zulässt (AVV § 3, § 6 Abs. 4).

Auftragsverarbeiter: Futureway AI UG (haftungsbeschränkt), Alte Wittener Straße 30, 44803 Bochum.

Subprozessoren für alle Organisationen

Subprozessor	Sitz	Zweck	Verarbeitungsort
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Deutschland (EU)	Hosting der Plattform (Anwendung, Datenbank, privates Netz), Objektspeicher für Kundendateien und verschlüsselte Datenbank-Backups	Deutschland: Anwendung, Datenbank und Dateien in Nürnberg, verschlüsselte Datenbank-Backups in Falkenstein. Der mit uns geschlossene Auftragsverarbeitungsvertrag beschränkt die Verarbeitung vertraglich auf die EU bzw. den EWR (§ 3). Hetzner führt in seiner eigenen Subunternehmerliste auch Gesellschaften außerhalb der EU auf (USA, Singapur); diese betreffen ausschließlich dort gelegene Serverstandorte. Wir betreiben ausschließlich deutsche Standorte, für uns sind sie daher nicht einschlägig — auch Supportleistungen erbringt Hetzner innerhalb der EU.
Scaleway S.A.S., 8 rue de la Ville l'Évêque, 75008 Paris	Frankreich (EU)	Standard-KI-Inferenz (Chat, Bildverständnis, Embeddings, Transkription, KI-Tutor und Texterzeugung für Sprechfassungen von Lerninhalten) sowie E-Mail-Versand: Transaktions-E-Mails (Verifikation, Passwort-Reset, Einladungen, Konto-Hinweise — nur Kontaktdaten) und Benachrichtigungen aus Automatisierungen, deren Betreff, Text und Anhänge der Besitzer der Automatisierung festlegt und die deshalb Inhalte enthalten können	Derzeit Rechenzentrum in Paris, Frankreich (vertraglich zugesichert: Europa). KI-Inferenz: keine Nutzung zum Training; Eingaben und Ausgaben werden grundsätzlich nicht gespeichert — nur bei Verdacht auf Missbrauch oder bei Fehlern kann Scaleway einzelne Anfragen bis zu zwei Wochen zur Analyse vorhalten. E-Mail (TEM): Verarbeitung in der EU, keine Subprozessoren außerhalb der EU; Nachrichteninhalte werden nach der Zustellung gelöscht.
Mistral AI SAS, Paris	Frankreich (EU)	Spezielle KI-Fähigkeiten (Dokumentverarbeitung/OCR, Sprache-zu-Text, Sprachausgabe/Text-zu-Sprache) sowie Mistral-Chat-Modelle (Auswahl durch die Nutzer)	EU- und EFTA-Staaten: Wir nutzen ausschließlich Mistrals EU-Endpunkt mit Rechenzentren in der EU und in EFTA-Staaten; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (AVV § 3 Abs. 1). Nach den Vertragsbedingungen von Mistral werden Kundendaten nicht zum Training genutzt; wir haben die Freigabe zur Verbesserung im Konto abgeschaltet und setzen keine Labs- oder Vorschau-Modelle ein. Eingaben und Ausgaben hält Mistral bis zu 30 Tage zur Missbrauchserkennung vor und handelt dabei in eigener Verantwortung. Konto-, Abrechnungs- und Nutzungsmetadaten kann Mistral auch außerhalb der Inferenzregion verarbeiten. Mistral setzt eigene Subprozessoren ein, darunter Gesellschaften mit US-Mutterkonzern; die aktuelle Liste steht im Mistral Trust Center.

Bedingte Subprozessoren — nur ab der Souveränitätsstufe „Verarbeitung in Europa, auch US-Anbieter"

Die folgenden Anbieter werden ausschließlich dann für eine Organisation tätig, wenn deren Inhaber die Souveränitätsstufe „Verarbeitung in Europa, auch US-Anbieter" oder „Alle Modelle" gewählt hat (dokumentierte Entscheidung mit Protokolleintrag) und Nutzer ein Modell dieser Anbieter selbst auswählen. Für alle anderen Organisationen findet keine Verarbeitung durch diese Anbieter statt.

Subprozessor	Sitz	Zweck	Verarbeitungsort
Microsoft Ireland Operations Ltd. (Azure)	Irland (EU); US-Mutterkonzern — unterliegt US-Recht (CLOUD Act)	KI-Inferenz für GPT-Modelle (Azure OpenAI)	EU-Datenzone von Microsoft: folgt der EU Data Boundary und kann neben EU-Staaten EFTA-Staaten wie Norwegen und die Schweiz umfassen (für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission); Microsoft kann Regionen innerhalb der Datenzone ergänzen. Standort unseres Azure-Dienstes und Speicherort ruhender Daten: Schweden. Microsoft prüft Anfragen automatisch auf Missbrauch; fällt eine Anfrage auf und reicht die automatische Prüfung nicht aus, kann Microsoft sie in Schweden speichern und von Mitarbeitenden im Europäischen Wirtschaftsraum prüfen lassen. Keine Nutzung für das Training von Modellen.

Optionale Dienste — nur nach ausdrücklicher Einschaltung durch den Inhaber

Die folgenden Dienste verarbeiten Daten außerhalb der EU. Sie werden für eine Organisation nur tätig, wenn deren Inhaber sie ausdrücklich einschaltet (Bestätigungsdialog, Protokolleintrag). Die Nutzung ist eine Übermittlung in ein Drittland; Voraussetzungen und Übermittlungsgrundlage regelt AVV § 3 Abs. 4.

Dienst	Subprozessor	Zweck	Verarbeitungsort	Stand
Creative Studio (Add-on)	Higgsfield Inc., 535 Mission St, 14th Floor, San Francisco, CA 94105, USA	Bild-, Video- und Tonerzeugung im Bereich Studio: Prompts, hochgeladene Referenzbilder und erzeugte Medien	USA; laut Anbieter auch ein Standort in Kasachstan	Vom Inhaber einschaltbar. Übermittlungsgrundlage laut Anbieter: EU-US Data Privacy Framework bzw. Standardvertragsklauseln der EU-Kommission. Higgsfield nutzt Eingaben und Ergebnisse nach eigenen Bedingungen auch zum Training und zur Verbesserung seiner Modelle.

Was im Creative Studio eingegeben oder hochgeladen wird — Prompts, Referenzbilder und damit gegebenenfalls auch Abbildungen von Personen — sowie die erzeugten Medien gehen an Higgsfield und werden dort nach dessen Bedingungen verarbeitet (AVV § 6 Abs. 4). Alle übrigen Funktionen der Plattform — Chat, Wissen, Agenten, Automatisierungen und Akademie — bleiben davon unberührt bei den in dieser Liste für sie ausgewiesenen Anbietern und Orten.

Für die Souveränitätsstufe „Alle Modelle" ist derzeit kein Modell ohne Verarbeitung in der EU wählbar. Ein solches Modell wird erst wählbar, nachdem Anbieter, Verarbeitungsort und Übermittlungsgrundlage in dieser Liste stehen (AVV § 3 Abs. 4).

Zur Klarstellung: keine Subprozessoren

• Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Niederlande) wickelt Zahlungen als eigenständiger Verantwortlicher ab. Verarbeitet werden nur Zahlungs- und Rechnungsdaten aus unserem Vertrag mit Ihrer Organisation — niemals Chat-Inhalte, Dateien oder Prompts. Einzelheiten stehen in den Datenschutzhinweisen.
• GitHub verarbeitet ausschließlich unseren Quellcode, niemals Kundendaten.
• Websuche: Die Suche läuft über einen von uns selbst betriebenen Suchdienst auf unseren Servern in Deutschland. Er gibt die Suchbegriffe an eine feste Auswahl öffentlicher Suchmaschinen weiter — ohne IP-Adresse, Konto- oder Organisationsdaten der Nutzer. Die Suchmaschinen verarbeiten die Suchbegriffe in eigener Verantwortung, sind keine Subprozessoren und können ihren Sitz auch außerhalb der EU haben, insbesondere in den USA; enthält eine Suchanfrage personenbezogene Daten, werden diese Suchbegriffe dorthin übermittelt (AVV § 11 Abs. 4). Der Inhaber kann die Websuche für die ganze Organisation abschalten, Nutzer je Unterhaltung.
• Von Ihrer Organisation angebundene Dienste (Verbindungen zu MCP- und REST-Schnittstellen, Wissensquellen, eingebettete Inhalte) sind Dienstleister Ihrer Organisation, nicht unsere (AVV § 11).
• Selbst betriebene Komponenten — Modell-Gateway, Suchdienst, Relevanzbewertung, Build-Dienst für Code-Projekte und Fehlerüberwachung — laufen auf unseren Servern bei Hetzner; es entsteht kein weiterer Empfänger.