ANHANG IV
Liste der Unterauftragsverarbeiter
Der Verantwortliche hat die Inanspruchnahme folgender Unterauftragsverarbeiter genehmigt:
Name: Convex, Inc. Anschrift: 444 De Haro Street, Suite 218, San Francisco, CA 94107, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die Convex, Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: support@convex.dev Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Betrieb der Datenbank- und Backend-Plattform, auf der die My.DATENDO-Software ausgeführt wird. Der Unterauftragsverarbeiter speichert sämtliche Abonnentendaten. Die Speicherung erfolgt in Rechenzentren innerhalb der Europäischen Union (Amazon Web Services, Region Irland). Grundlage der Übermittlung in ein Drittland: Der Unterauftragsverarbeiter hat seinen Sitz in den USA; die Speicherung der Daten erfolgt jedoch ausschließlich innerhalb der EU. Für einen etwaigen Zugriff aus den USA erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln.
Name: Vercel Inc. Anschrift: 340 S Lemon Ave #4133, Walnut, CA 91789, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die Vercel Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@vercel.com Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Bereitstellung und Auslieferung der Weboberfläche der My.DATENDO-Software sowie Vermittlung der KI-Anfragen an den in dieser Liste genannten Ausführungsdienstleister (AI Gateway). Verarbeitet werden Zugriffsdaten sowie die zur Beantwortung übermittelten Inhalte. Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active“), ergänzend EU-Standardvertragsklauseln.
Name: Fireworks AI, Inc. Anschrift: 2317 Broadway St, Redwood City, CA 94063, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die Fireworks AI, Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@fireworks.ai Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Ausführung des Sprachmodells für den dialoggestützten Erfassungsassistenten der My.DATENDO-Software sowie für die daraus abgeleiteten Vorschläge. Verarbeitet werden die im Dialog übermittelten Eingaben und die erzeugten Ausgaben. Der Unterauftragsverarbeiter hat sich zu einer Zero-Data-Retention-Verarbeitung verpflichtet; die Daten werden weder protokolliert noch gespeichert. Grundlage der Übermittlung in ein Drittland: EU-Standardvertragsklauseln.
Name: Google Ireland Limited Anschrift: Gordon House, Barrow Street, Dublin 4, Irland Name, Funktion und Kontaktdaten der Kontaktperson: Die Google Ireland Limited ist vertreten durch ihre Geschäftsleitung, E-Mail: dpo-google@google.com Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Ausführung von Sprachmodellen zur Erstellung und Prüfung von Datenschutzdokumenten, zur Extraktion strukturierter Angaben aus den Eingaben des Abonnenten, für die Compliance-Analyse sowie für die automatisierte Auswertung der vom Abonnenten benannten Webseiten. Die Ausführung erfolgt ausschließlich über Google Cloud Vertex AI; die Verbraucherschnittstelle „Gemini API“ wird nicht genutzt. Eine Nutzung der Daten zu Trainingszwecken findet nicht statt. Grundlage der Übermittlung in ein Drittland: Vertragspartner ist die Google Ireland Limited mit Sitz in der Europäischen Union. Für einen etwaigen Zugriff aus den USA erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln des Google-Cloud-Auftragsverarbeitungszusatzes; die Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Status zum Stand dieser Fassung: „Active“).
Name: X.AI LLC Anschrift: 1450 Page Mill Road, Palo Alto, CA 94304, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die X.AI LLC ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@x.ai Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Ausführung des Sprachmodells für die Recherche zu den vom Abonnenten eingesetzten Drittdiensten und für die Überführung der Rechercheergebnisse in strukturierte Angaben des Verarbeitungsverzeichnisses. Verarbeitet werden die Bezeichnungen und Domains der recherchierten Dienste; personenbezogene Daten von Beschäftigten des Abonnenten werden hierbei nicht übermittelt. Eine Nutzung der Daten zu Trainingszwecken findet nicht statt. Grundlage der Übermittlung in ein Drittland: EU-Standardvertragsklauseln. Der Unterauftragsverarbeiter ist nicht unter dem EU-U.S. Data Privacy Framework zertifiziert.
Name: OpenAI, LLC Anschrift: 3180 18th St, San Francisco, CA 94110, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die OpenAI, LLC ist vertreten durch ihre Geschäftsleitung, E-Mail: dsar@openai.com Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Ausschließlich Erzeugung von Vektor-Einbettungen (Embeddings) für die Suche innerhalb der Datenschutzdokumentation. Sprachmodelle des Unterauftragsverarbeiters werden nicht mehr eingesetzt. Eine Nutzung der Daten zu Trainingszwecken findet nicht statt. Grundlage der Übermittlung in ein Drittland: EU-Standardvertragsklauseln. Der Unterauftragsverarbeiter ist nicht unter dem EU-U.S. Data Privacy Framework zertifiziert.
Name: Resend, Inc. Anschrift: 2261 Market Street #5039, San Francisco, CA 94114, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die Resend, Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@resend.com Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Versand der vertrags- und systembezogenen E-Mail-Nachrichten an die autorisierten Nutzer des Abonnenten. Verarbeitet werden Name, E-Mail-Adresse sowie der Inhalt der jeweiligen Nachricht. Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active – Re-certification under Review“), ergänzend EU-Standardvertragsklauseln.
Name: Cloudflare, Inc. Anschrift: 101 Townsend St, San Francisco, CA 94107, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die Cloudflare, Inc. ist vertreten durch ihre Geschäftsleitung, Tel.: +1 (650) 319-8930, E-Mail: privacyquestions@cloudflare.com Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Auslieferung und Absicherung der Weboberfläche (Content Delivery Network) sowie Hosting und Auslieferung der Schulungsvideos des DSGVO-Trainingscenters. Verarbeitet werden technisch erforderliche Zugriffsdaten wie IP-Adresse, abgerufene Inhalte und Zugriffszeitpunkt. Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active“), ergänzend EU-Standardvertragsklauseln.
Name: PostHog, Inc. Anschrift: 2261 Market Street #4008, San Francisco, CA 94114, USA Name, Funktion und Kontaktdaten der Kontaktperson: Die PostHog, Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@posthog.com Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Analyse der Nutzung der My.DATENDO-Software zur Sicherstellung des Betriebs und zur Verbesserung des Produkts. Verarbeitet werden pseudonyme Nutzungskennungen, aufgerufene Ansichten, ausgelöste Aktionen sowie Geräte- und Browserinformationen. Klarnamen und E-Mail-Adressen werden zu Analysezwecken nicht übermittelt. Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active“), ergänzend EU-Standardvertragsklauseln.
Name: apideck BV Anschrift: Kammenstraat 43, 2000 Antwerpen, Belgien (Unternehmensnummer BE 0689.615.164) Name, Funktion und Kontaktdaten der Kontaktperson: Die apideck BV ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@apideck.com Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Anbindung eines vom Abonnenten betriebenen Personalverwaltungssystems (HRIS) zur Übernahme von Beschäftigtenstammdaten in die My.DATENDO-Software. Verarbeitet werden Name, Vorname, dienstliche E-Mail-Adresse, Abteilung und Position. Die Verarbeitung erfolgt nur, soweit der Abonnent eine solche Anbindung aktiviert. Grundlage der Übermittlung in ein Drittland: Keine Drittlandübermittlung; der Unterauftragsverarbeiter hat seinen Sitz in der Europäischen Union.
Hinweis zum Speicherort: Die Abonnentendaten werden dauerhaft ausschließlich in Rechenzentren innerhalb der Europäischen Union gespeichert. Eine Übermittlung in die USA erfolgt nur anlassbezogen im Rahmen der Erbringung der oben beschriebenen Teilleistungen, insbesondere bei der Ausführung der KI-gestützten Verfahren und beim Versand von E-Mail-Nachrichten.
Hinweis zu den eingesetzten Sprachmodellen: Bei dem für den dialoggestützten Erfassungsassistenten verwendeten Modell handelt es sich um ein quelloffenes Modell eines Dritten (derzeit DeepSeek V4 Pro). Dieses Modell wird ausschließlich auf der Infrastruktur des in dieser Liste genannten Ausführungsdienstleisters Fireworks AI, Inc. betrieben. An den Urheber des Modells werden keine personenbezogenen Daten übermittelt; er ist nicht Unterauftragsverarbeiter. Die übrigen eingesetzten Modelle werden von ihren Urhebern selbst betrieben; diese sind in dieser Liste als Unterauftragsverarbeiter aufgeführt.
Hinweis zur Vermittlung der KI-Anfragen: Sämtliche Anfragen an Sprachmodelle werden über den AI Gateway der Vercel Inc. an den jeweils zuständigen Ausführungsdienstleister geleitet. Für jeden Verarbeitungszweck ist genau ein Ausführungsdienstleister technisch festgelegt; ein automatisches Ausweichen auf einen anderen Anbieter ist ausgeschlossen.