Unterauftragsverarbeiter (Anlage 1 zum AVV)
Stand: 2026-08-21. Änderungen werden 30 Tage im Voraus angekündigt (AVV § 4 Abs. 2).
| # | Unterauftragsverarbeiter | Zweck | Verarbeitungsort | Transfermechanismus |
|---|---|---|---|---|
| 1 | Anthropic PBC (USA) — Claude API (First-Party) | KI-Analyse und Antworterstellung (Claude-Modelle) | USA | EU-SCCs (Anthropic-DPA). Keine Nutzung der Daten zum Modelltraining. Aufbewahrung: 30 Tage in Abuse-Monitoring-Logs (USA), sofern keine Zero-Data-Retention-Freigabe vorliegt |
| 2 | Railway Corporation (USA) — Datenbank, EU-Region Amsterdam | Speicherung von Nachrichten, Prüfprotokoll, Konfiguration | Daten: EU (Amsterdam, eigene Hardware). Steuerungsebene und ggf. Backups: USA/GCP | EU-SCCs bzw. EU-U.S. DPF (DPA) |
| 3 | Cloudflare, Inc. (USA) — Workers | Anwendungslogik. Nachrichteninhalte werden für die Dauer einer Anfrage im Arbeitsspeicher verarbeitet und Cloudflare-seitig nicht gespeichert | Globales Netz — Verarbeitung auch außerhalb EU/EWR möglich, keine EU-Residenz-Garantie | EU-SCCs (DPA), EU-U.S. DPF, EU Cloud CoC, C5:2020 |
| 4 | AC PM LLC / Postmark (ActiveCampaign, USA) | Empfang der eingehenden Kundenanfragen und Versand der Antwort-E-Mails | USA (kein EU-Standort) | EU-SCCs (DPA). Inhalte-Aufbewahrung beim Anbieter: 45 Tage (Anbieterstandard; eine kürzere Frist ist ein kostenpflichtiges Add-on und nicht gebucht, siehe Anlage 3, „Bekannte Grenzen“ Nr. 5). Diese Aufbewahrung betrifft beide Richtungen — auch die eingehende Nachricht des Endkunden, nicht nur die Antwort |
| 5 | Paddle.com Market Ltd (UK) | Abrechnung (Merchant of Record) — verarbeitet Händler-Rechnungsdaten, keine Kundendaten der Endkunden | UK/EU | UK-Angemessenheitsbeschluss |