Unterauftragsverarbeiter

ANHANG IV

Liste der Unterauftragsverarbeiter

Der Verantwortliche hat die Inanspruchnahme folgender Unterauftragsverarbeiter genehmigt:

Convex, Inc.

Anschrift: 444 De Haro Street, Suite 218, San Francisco, CA 94107, USA
Name, Funktion und Kontaktdaten der Kontaktperson: Die Convex, Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: support@convex.dev
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Betrieb der Datenbank- und Backend-Plattform, auf der die My.DATENDO-Software ausgeführt wird. Der Unterauftragsverarbeiter speichert sämtliche Abonnentendaten. Die Speicherung erfolgt in Rechenzentren innerhalb der Europäischen Union (Amazon Web Services, Region Irland).
Grundlage der Übermittlung in ein Drittland: Der Unterauftragsverarbeiter hat seinen Sitz in den USA; die Speicherung der Daten erfolgt jedoch ausschließlich innerhalb der EU. Für einen etwaigen Zugriff aus den USA erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln.

Vercel Inc.

Anschrift: 340 S Lemon Ave #4133, Walnut, CA 91789, USA
Name, Funktion und Kontaktdaten der Kontaktperson: Die Vercel Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@vercel.com
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Bereitstellung und Auslieferung der Weboberfläche der My.DATENDO-Software sowie Vermittlung der KI-Anfragen an den in dieser Liste genannten Ausführungsdienstleister (AI Gateway). Verarbeitet werden Zugriffsdaten sowie die zur Beantwortung übermittelten Inhalte.
Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active“), ergänzend EU-Standardvertragsklauseln.

Microsoft Corporation

Anschrift: One Microsoft Way, Redmond, WA 98052, USA
Name, Funktion und Kontaktdaten der Kontaktperson: Die Microsoft Corporation ist vertreten durch ihre Geschäftsleitung; Datenschutzanfragen über https://aka.ms/privacyresponse
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Ausführung des Sprachmodells über Microsoft Azure für den dialoggestützten Erfassungsassistenten der My.DATENDO-Software sowie für die daraus abgeleiteten Vorschläge. Verarbeitet werden die im Dialog übermittelten Eingaben und die erzeugten Ausgaben. Die Verarbeitung erfolgt ohne Speicherung (Zero Data Retention); eine Nutzung der Daten zu Trainingszwecken findet nicht statt.
Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active“), ergänzend EU-Standardvertragsklauseln.

Google Ireland Limited

Anschrift: Gordon House, Barrow Street, Dublin 4, Irland
Name, Funktion und Kontaktdaten der Kontaktperson: Die Google Ireland Limited ist vertreten durch ihre Geschäftsleitung, E-Mail: dpo-google@google.com
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Ausführung von Sprachmodellen zur Erstellung und Prüfung von Datenschutzdokumenten, zur Extraktion strukturierter Angaben aus den Eingaben des Abonnenten, für die Compliance-Analyse sowie für die automatisierte Auswertung der vom Abonnenten benannten Webseiten. Die Ausführung erfolgt ausschließlich über Google Cloud Vertex AI; die Verbraucherschnittstelle „Gemini API“ wird nicht genutzt. Eine Nutzung der Daten zu Trainingszwecken findet nicht statt.
Grundlage der Übermittlung in ein Drittland: Vertragspartner ist die Google Ireland Limited mit Sitz in der Europäischen Union. Für einen etwaigen Zugriff aus den USA erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln des Google-Cloud-Auftragsverarbeitungszusatzes; die Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Status zum Stand dieser Fassung: „Active“).

Resend, Inc.

Anschrift: 2261 Market Street #5039, San Francisco, CA 94114, USA
Name, Funktion und Kontaktdaten der Kontaktperson: Die Resend, Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@resend.com
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Versand der vertrags- und systembezogenen E-Mail-Nachrichten an die autorisierten Nutzer des Abonnenten. Verarbeitet werden Name, E-Mail-Adresse sowie der Inhalt der jeweiligen Nachricht.
Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active – Re-certification under Review“), ergänzend EU-Standardvertragsklauseln.

Cloudflare, Inc.

Anschrift: 101 Townsend St, San Francisco, CA 94107, USA
Name, Funktion und Kontaktdaten der Kontaktperson: Die Cloudflare, Inc. ist vertreten durch ihre Geschäftsleitung, Tel.: +1 (650) 319-8930, E-Mail: privacyquestions@cloudflare.com
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Auslieferung und Absicherung der Weboberfläche (Content Delivery Network) sowie Hosting und Auslieferung der Schulungsvideos des DSGVO-Trainingscenters. Verarbeitet werden technisch erforderliche Zugriffsdaten wie IP-Adresse, abgerufene Inhalte und Zugriffszeitpunkt.
Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active“), ergänzend EU-Standardvertragsklauseln.

PostHog, Inc.

Anschrift: 2261 Market Street #4008, San Francisco, CA 94114, USA
Name, Funktion und Kontaktdaten der Kontaktperson: Die PostHog, Inc. ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@posthog.com
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Analyse der Nutzung der My.DATENDO-Software zur Sicherstellung des Betriebs und zur Verbesserung des Produkts. Verarbeitet werden pseudonyme Nutzungskennungen, aufgerufene Ansichten, ausgelöste Aktionen sowie Geräte- und Browserinformationen. Klarnamen und E-Mail-Adressen werden zu Analysezwecken nicht übermittelt.
Grundlage der Übermittlung in ein Drittland: EU-U.S. Data Privacy Framework (zertifiziert; Status zum Stand dieser Fassung: „Active“), ergänzend EU-Standardvertragsklauseln.

apideck BV

Anschrift: Kammenstraat 43, 2000 Antwerpen, Belgien (Unternehmensnummer BE 0689.615.164)
Name, Funktion und Kontaktdaten der Kontaktperson: Die apideck BV ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@apideck.com
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Anbindung eines vom Abonnenten betriebenen Personalverwaltungssystems (HRIS) zur Übernahme von Beschäftigtenstammdaten in die My.DATENDO-Software. Verarbeitet werden Name, Vorname, dienstliche E-Mail-Adresse, Abteilung und Position. Die Verarbeitung erfolgt nur, soweit der Abonnent eine solche Anbindung aktiviert.
Grundlage der Übermittlung in ein Drittland: Keine Drittlandübermittlung; der Unterauftragsverarbeiter hat seinen Sitz in der Europäischen Union.

OpenAI Ireland Limited

Anschrift: 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
Name, Funktion und Kontaktdaten der Kontaktperson: Die OpenAI Ireland Limited ist vertreten durch ihre Geschäftsleitung, E-Mail: privacy@openai.com
Beschreibung der Verarbeitung (einschließlich einer klaren Abgrenzung der Verantwortlichkeiten, falls mehrere Unterauftragsverarbeiter genehmigt werden): Bereitstellung des KI-Assistenten ChatGPT für den Agentenkanal (siehe Hinweis zum Agentenkanal). Verarbeitet werden die über die Schnittstelle abgerufenen Abonnentendaten, die Anfragen der Beschäftigten des Auftragsverarbeiters und die erzeugten Ausgaben. Eine Nutzung der Daten zu Trainingszwecken findet nicht statt.
Grundlage der Übermittlung in ein Drittland: Vertragspartner ist die OpenAI Ireland Limited mit Sitz in der Europäischen Union. Für die Verarbeitung in den USA durch die OpenAI OpCo, LLC erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln des OpenAI-Auftragsverarbeitungszusatzes.

Hinweis zum Speicherort: Die Abonnentendaten werden dauerhaft ausschließlich in Rechenzentren innerhalb der Europäischen Union gespeichert. Eine Übermittlung in die USA erfolgt nur anlassbezogen im Rahmen der Erbringung der oben beschriebenen Teilleistungen, insbesondere bei der Ausführung der KI-gestützten Verfahren und beim Versand von E-Mail-Nachrichten.

Hinweis zur Vermittlung der KI-Anfragen: Sämtliche Anfragen an Sprachmodelle, die die My.DATENDO-Software selbst auslöst (KI-Anfragen), werden über den AI Gateway der Vercel Inc. an den jeweils zuständigen Ausführungsdienstleister geleitet. Für jeden Verarbeitungszweck ist genau ein Ausführungsdienstleister technisch festgelegt; ein automatisches Ausweichen auf einen anderen Anbieter ist ausgeschlossen.

Hinweis zum Agentenkanal: Von den KI-Anfragen zu unterscheiden ist der Agentenkanal. Über ihn greifen Beschäftigte des Auftragsverarbeiters, die mit der Betreuung des Verantwortlichen befasst sind, mithilfe eines KI-Assistenten auf die My.DATENDO-Software zu. Der KI-Assistent ruft dabei im Auftrag des jeweiligen Beschäftigten Abonnentendaten über eine Schnittstelle ab und verarbeitet sie, um dessen Anfragen zu beantworten und Änderungen vorzubereiten. Die abgerufenen Daten verarbeitet der Anbieter des KI-Assistenten; der AI Gateway ist daran nicht beteiligt. Jeder Zugriff setzt die Anmeldung einer namentlich bestimmten, berechtigten Person voraus, ist auf deren Berechtigung begrenzt und wird ihr zugeordnet protokolliert; die Berechtigung kann je Person mit sofortiger Wirkung entzogen werden. Für den Agentenkanal werden ausschließlich KI-Assistenten von Anbietern eingesetzt, die in dieser Liste als Unterauftragsverarbeiter aufgeführt sind. Weder dem Verantwortlichen noch Dritten steht der Agentenkanal offen.