Verzeichnis der Auftragsverarbeiter und Unterauftragsverarbeiter

1So liest du das Verzeichnis

Rolle — „Auftragsverarbeitung“ bezeichnet Stellen, die personenbezogene Daten für eine Aufgabe erhalten (KI-Antwortgenerierung · E-Mail-Versand · Authentifizierung); „Speicherung“ bezeichnet die Speicher- und Ausführungsinfrastruktur.
Nutzung zum Training und Aufbewahrung beim Anbieter sind getrennte Spalten — alle drei KI-Anbieter verwenden die Daten zwar nicht zum Training, bewahren sie aber zur Missbrauchsüberwachung eine gewisse Zeit auf. Wir versprechen deshalb keine „Nullspeicherung“ (Anlage 3 zum Auftragsverarbeitungsvertrag).
Anbieterrichtlinien ändern sich. Die Quellenlinks und Prüfzeitpunkte jeder Zeile werden bei Vertragsschluss erneut geprüft.

2Verzeichnis

Anbieterrichtlinien und geltende Bedingungen werden bei Vertragsschluss erneut geprüft.

Auftragsverarbeiter	provider	Rolle	Verarbeitete Daten	Land	Außerhalb Koreas	Nutzung zum Training	Aufbewahrung beim Anbieter (Dauer · Zweck)	Nullspeicherung	Quelle
Anthropic (Claude API) Anthropic, PBC 【Vertragsgesellschaft prüfen — Vertragspartner des Konsolenkontos】	`anthropic`	Auftragsverarbeitung (API-Aufrufe zur Antwortgenerierung)	Endkundennachrichten (maskiert) · Wissensdokumente des Kundenunternehmens · Supportanweisungen	USA 【Verarbeitungsregion prüfen — Infrastrukturrichtlinie des Anbieters】	Außerhalb Koreas	Ein- und Ausgaben der Unternehmens-API werden nicht zum Modelltraining verwendet (kommerzielle Bedingungen)	API-Ein- und -Ausgaben werden innerhalb von 30 Tagen nach Empfang bzw. Generierung aus dem Anbieter-Backend gelöscht · Bei festgestelltem Verstoß gegen die Nutzungsrichtlinie: Ein- und Ausgaben bis zu 2 Jahre · Klassifizierungswerte bis zu 7 Jahre · Ausnahmen bei gesetzlicher Aufbewahrungspflicht Zweck: Missbrauchsüberwachung (Durchsetzung der Nutzungsrichtlinie) · Einhaltung gesetzlicher Vorgaben	Keine Vereinbarung zur Nullspeicherung (ZDR) — nur durch gesonderte Vereinbarung möglich 【Prüfen, ob eine Vereinbarung abgeschlossen wurde】	www.anthropic.com/legal/commercial-terms privacy.claude.com/en/articles/7996866-how-long-
Google Gemini API (Gemini Developer API) Google LLC 【Vertragsgesellschaft prüfen】	`google`	Auftragsverarbeitung (API-Aufrufe zur Antwortgenerierung · Wechsel bei Ausfällen)	Endkundennachrichten (maskiert) · Wissensdokumente des Kundenunternehmens · Supportanweisungen	Google-Infrastruktur in den USA und weiteren Ländern 【Verarbeitungsregion prüfen】	Außerhalb Koreas	Prompts und Antworten von Projekten mit aktivierter Abrechnung (kostenpflichtige Dienste) werden nicht zur Produktverbesserung oder -entwicklung verwendet 【Prüfen, ob für das Google-Cloud-Projekt des API-Schlüssels die Abrechnung aktiviert ist — im kostenlosen Tarif gelten andere Bedingungen】	Prompts und Antworten kostenpflichtiger Dienste werden zur Missbrauchserkennung und Erfüllung gesetzlicher Offenlegungspflichten 55 Tage protokolliert (keine Trainingsnutzung) · Projektprotokollierung ist gesondert (standardmäßig 55 Tage · Verkürzung auf 7/14/28 Tage möglich) Zweck: Missbrauchserkennung · Gesetzliche Offenlegungspflichten	Eine Ausnahme von Missbrauchsüberwachungsprotokollen (Nullspeicherung) für die Gemini Developer API wurde in der offiziellen Dokumentation nicht bestätigt 【Prüfung erforderlich】	ai.google.dev/gemini-api/docs/logs-policy
OpenAI API 【Vertragsgesellschaft prüfen — Vertragspartner des OpenAI-Organisationskontos】	`openai`	Auftragsverarbeitung (API-Aufrufe zur Antwortgenerierung · Wechsel bei Ausfällen)	Endkundennachrichten (maskiert) · Wissensdokumente des Kundenunternehmens · Supportanweisungen	USA 【Verarbeitungsregion prüfen】	Außerhalb Koreas	Über die API gesendete Daten werden ohne ausdrückliche Einwilligung (Opt-in) nicht zum Modelltraining oder zur Modellverbesserung verwendet	Missbrauchsüberwachungsprotokolle bis zu 30 Tage (Ausnahmen bei gesetzlichen Anforderungen und zur Schadensverhütung) · Die Speicheroption (store) für Chat Completions wird nicht aktiviert 【Bei Vertragsschluss erneut prüfen】 Zweck: Missbrauchsüberwachung · Einhaltung gesetzlicher Vorgaben	Nullspeicherung (ZDR) und modifizierte Missbrauchsüberwachung erfordern die vorherige Genehmigung von OpenAI — kein Antrag gestellt 【Prüfung erforderlich】	developers.openai.com/api/docs/guides/your-data
Google Cloud — Firebase / Cloud Firestore · Cloud Functions · Hosting Google LLC 【Vertragsgesellschaft prüfen — maßgeblich ist das Google-Cloud-Abrechnungskonto】	`gcp`	Speicherung (Datenspeicherung · Serverausführung)	Support-Sitzungen und Nachrichten (maskiert) · Anfragen zur persönlichen Weiterleitung (Kontaktdaten im Original) · Wissensdokumente · Nutzungsjournal · Prüfprotokolle · Einführungsanfragen	Republik Korea (Region Seoul asia-northeast3)	Innerhalb Koreas	Nicht zutreffend (Speicherung · Ausführung)	Produktivdaten gemäß Aufbewahrungstabelle der Datenschutzerklärung · Sicherungen: zeitpunktbezogene Wiederherstellung (PITR) + tägliche Sicherungen mit 7 Tagen Aufbewahrung 【Abschluss der Sicherungskonfiguration prüfen】 Zweck: Wiederherstellung bei Ausfällen	Nicht zutreffend	— cloud.google.com/firestore/docs/backups
Firebase Authentication (Konten der Verwaltungsseite) Google LLC	`firebase-auth`	Auftragsverarbeitung (Authentifizierung der Konten von Kontaktpersonen des Kundenunternehmens)	E-Mail der Kontaktperson des Kundenunternehmens · Passwort-Hash · Anmeldezeitpunkt — keine Endkundendaten	【Prüfung erforderlich — Firebase Authentication bietet keine Regionsauswahl】	【Prüfen】	Nicht zutreffend	Beendete Mitgliedschaften bleiben mit Beendigungsmarkierung gespeichert · Konten werden bei Vertragsende (Mandantenlöschung) gelöscht; bei auch in Verbraucher-Apps genutzten Konten wird nur die Mitgliedschaft entfernt Zweck: Authentifizierung	Nicht zutreffend	— firebase.google.com/support/privacy
Gmail SMTP (ausgehende E-Mails) Google LLC 【Durch die Geschäftsleitung prüfen — Google-Workspace-Konto oder gewöhnliches Gmail-Konto】	`smtp`	Auftragsverarbeitung (E-Mail-Versand)	Weiterleitungs-E-Mails an Kontaktpersonen (Endkundenkontaktdaten · Anliegen · Letzte Unterhaltung) · Einladungs-, Warn- und Berichts-E-Mails	Google-Mail-Infrastruktur in den USA und weiteren Ländern 【Prüfung erforderlich】	Außerhalb Koreas	【Prüfung erforderlich — Bedingungen unterscheiden sich je nach Kontotyp】	Kopien im Gesendet-Ordner unterliegen den Richtlinien des Absenderkontos · Bereits versandte E-Mails verbleiben im Postfach des Empfängers (Kundenunternehmens) — Gegenstand von Löschanfragen Zweck: E-Mail-Versandnachweise	Nicht zutreffend	—

4Bei Änderungen

Vorabinformation an das Kundenunternehmen vor Anwendung der Änderung (Artikel 5 Absatz 3 des Auftragsverarbeitungsvertrags) → Hinweis zur Aktualisierung des Einfügeabsatzes in der Datenschutzerklärung des Kundenunternehmens (D-3).