Data Processing Agreement (DPA)

Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

zwischen

[your organisation], [street and number], [postcode] [city], [country] vertreten durch [authorised representative]

– nachfolgend Verantwortlicher –

und

GOLLE Digital Solutions GmbH, Berger Straße 125, 60385 Frankfurt am Main, Amtsgericht Frankfurt am Main, HRB 139552, vertreten durch Fabian Golle

– nachfolgend Auftragsverarbeiter –

§ 1 Gegenstand, Dauer und Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software „inbrix" (Hauptvertrag).

(2) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen erfolgen in Textform oder durch die Konfiguration der Software im Kundenkonto; letztere gilt als dokumentierte Weisung. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Dieser Vertrag läuft für die Dauer des Hauptvertrags. Er endet automatisch mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, teilt er dies dem Verantwortlichen unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.

(5) Die Verarbeitung findet ausschließlich in der Europäischen Union statt, soweit in Anlage 3 nichts Abweichendes ausgewiesen ist. Eine darüber hinausgehende Übermittlung in ein Drittland erfolgt nur, wenn eine gesetzliche Verpflichtung besteht; in diesem Fall informiert der Auftragsverarbeiter vorab, sofern das Recht dies nicht verbietet.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art, Zweck, Kategorien der Daten und der betroffenen Personen ergeben sich aus Anlage 1.

(2) Der Auftragsverarbeiter verwendet die Daten des Verantwortlichen nicht zum Training von KI-Modellen und stellt dies vertraglich auch für die in Anlage 3 genannten Unterauftragsverarbeiter sicher.

§ 2a Rechte und Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 24 DSGVO). Er allein beurteilt, ob er die Daten erheben und dem Auftragsverarbeiter überlassen darf.

(2) Der Verantwortliche erteilt alle Weisungen nach § 1 Abs. 2 und benennt die hierzu berechtigten Personen; im Kundenkonto gelten die Organisations-Administratoren als weisungsberechtigt. Änderungen teilt er unverzüglich mit.

(3) Der Verantwortliche kontrolliert die Verarbeitung nach Maßgabe von § 8 und ist berechtigt, jederzeit den aktuellen Stand dieses Vertrags einschließlich seiner Anlagen im Kundenkonto abzurufen (§ 11 Abs. 4).

(4) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(5) Der Verantwortliche führt das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO für die von ihm verantworteten Verarbeitungen.

§ 2b KI-Verarbeitung, abgeleitete Daten, automatisierte Entscheidungen

(1) Keine automatisierte Entscheidung im Einzelfall. Die Software trifft keine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung, die gegenüber einer betroffenen Person rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Die KI-Funktionen beantworten Anfragen, klassifizieren und priorisieren Vorgänge; sie entscheiden nicht über Ansprüche, Verträge oder Leistungen. Der Verantwortliche stellt durch die Wahl des Autonomiegrades sowie der Freigabe- und Eskalationsmechanismen sicher, dass dies auch für seinen Einsatzzweck gilt.

(2) Abgeleitete Daten. Vektor-Repräsentationen und sonstige aus Inhalten des Verantwortlichen abgeleitete Daten unterliegen denselben Löschpflichten wie die Ausgangsdaten. Löscht der Verantwortliche einen Datensatz oder setzt er ein Löschverlangen nach Art. 17 DSGVO um, entfernt der Auftragsverarbeiter die daraus abgeleiteten Repräsentationen unverzüglich, spätestens binnen 7 Tagen, aus dem Suchindex; ab der Löschung werden sie nicht mehr als Kontext für neue Ausgaben herangezogen. Abgeleitete Daten werden mit demselben mandantenspezifischen Schlüssel geschützt wie die Ausgangsdaten und sind von dessen Vernichtung nach § 9 miterfasst.

(3) Unrichtige KI-Ausgaben mit Personenbezug. Beanstandet eine betroffene Person die Richtigkeit einer KI-erzeugten Aussage über sie, unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Aufklärung, stellt die zur Rekonstruktion erforderlichen Protokolldaten bereit und schließt den beanstandeten Inhalt auf Weisung von der weiteren Verwendung als Kontext aus. Die Regelung des Hauptvertrags zum Gegenstand der KI-Leistung lässt die Unterstützungspflichten nach § 6 dieses Vertrags unberührt.

§ 3 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und auf Anfrage mitgeteilt.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Die jeweils aktuelle Liste der Unterauftragsverarbeiter ist unter https://www.inbrix.ai/de/subprozessoren veröffentlicht. Über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter mindestens 30 Tage vorher aktiv in Textform an die im Kundenkonto hinterlegten Administratoren und aktualisiert gleichzeitig die veröffentlichte Liste. Die Information benennt den Unterauftragsverarbeiter, den Zweck, den Ort der Verarbeitung und den geplanten Zeitpunkt.

(3) Der Verantwortliche kann innerhalb von 14 Tagen ab Zugang der Information aus wichtigem, datenschutzrechtlichem Grund widersprechen. Kann die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht erbracht werden, sind beide Parteien zur Kündigung des Hauptvertrags zum geplanten Wirksamwerden berechtigt.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Datenschutzniveau, das diesem Vertrag entspricht.

(4a) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragsverarbeiter zur Ausübung seiner Geschäftstätigkeit in Anspruch nimmt und die nicht auf die Verarbeitung der Daten des Verantwortlichen gerichtet sind – etwa Telekommunikations-, Post-, Transport- oder Wartungsleistungen. Der Auftragsverarbeiter trifft auch hier angemessene Vorkehrungen zum Schutz der Daten. Dies gilt jedoch nicht für Wartungs- und Fernwartungsleistungen, bei denen ein Zugriff auf personenbezogene Daten des Verantwortlichen nicht ausgeschlossen werden kann; solche Leistungen unterliegen den Absätzen 1 bis 4.

(4b) Haftung für Unterauftragsverarbeiter. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Regelungen des Hauptvertrags zur Verfügbarkeit und Leistungserbringung Dritter lassen diese Haftung unberührt.

(5) Keine Verarbeitung durch Modelle außerhalb der EU. Es gibt keine Betriebsart, in der Inhalte des Verantwortlichen zur Verarbeitung durch Sprachmodelle die Europäische Union verlassen; der Auftragsverarbeiter hält hierfür auch keine Zusatzoption bereit. Die eingesetzten Modellanbieter, ihre Verarbeitungsorte und die Zusicherung der Nicht-Verwendung zu Trainingszwecken ergeben sich aus Anlage 3.

§ 6 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Mitteln bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 32–36).

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(3) Auskünfte erteilt der Auftragsverarbeiter innerhalb von sieben Werktagen. Berichtigungen und Löschungen einzelner Datensätze führt er nur auf dokumentierte Weisung aus; im Übrigen kann der Verantwortliche sie selbst in der Software vornehmen.

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, und stellt die zur Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit. Liegen noch nicht alle Informationen vor, meldet er zunächst den bekannten Sachverhalt und ergänzt ihn unverzüglich.

§ 8 Kontrollrechte

(1) Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Der Auftragsverarbeiter stellt hierzu die erforderlichen Informationen bereit, insbesondere die Dokumentation der Maßnahmen nach Anlage 2.

(2) Vor-Ort-Kontrollen sind nach angemessener Vorankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten zulässig, ohne den Betrieb unangemessen zu stören. Der Auftragsverarbeiter kann die Kontrolle von einer Verschwiegenheitsverpflichtung abhängig machen und den Schutz der Daten anderer Kunden sicherstellen.

(3) Der Nachweis kann auch durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen geführt werden.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags wählt der Verantwortliche, ob die Daten zurückgegeben oder gelöscht werden. Der Auftragsverarbeiter stellt sie hierzu 30 Tage lang im Kundenkonto zum Export in einem gängigen, maschinenlesbaren Format bereit. Trifft der Verantwortliche innerhalb dieser Frist keine Wahl, werden die Daten gelöscht.

(2) Danach löscht der Auftragsverarbeiter die Daten nach dem Stand der Technik, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden nicht gesondert gelöscht, sondern laufen nach den in Anlage 2 genannten Aufbewahrungszeiträumen turnusmäßig aus; bis dahin werden sie nicht für andere Zwecke verarbeitet. Personenbezogene Daten, die aus rechtlichen Gründen aufbewahrt werden müssen, werden für die weitere Verarbeitung gesperrt.

(2a) Konfigurations- und Sicherheitsprotokolle. Von der Löschung nach Absatz 2 ausgenommen sind Protokolle über die Konfiguration der Software und über sicherheitsrelevante Ereignisse, insbesondere die nach Ziffer 4.9 der Allgemeinen Geschäftsbedingungen geführten Aufzeichnungen darüber, welche Einstellungen für einen KI-Mitarbeiter zu welchem Zeitpunkt wirksam waren und durch welches Nutzerkonto sie geändert wurden. Diese Protokolle enthalten keine Inhaltsdaten des Verantwortlichen – weder Nachrichten, noch Kunden- oder Vorgangsdaten, noch Zugangsdaten – sondern ausschließlich Angaben darüber, welche Einstellung wann von wem verändert wurde. Der Auftragsverarbeiter bewahrt sie 24 Monate ab der jeweiligen Aufzeichnung auf und verarbeitet sie ausschließlich zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen sowie zum Nachweis der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 6 Abs. 1 lit. f, Art. 32 Abs. 1 lit. d DSGVO); danach werden sie gelöscht. Sie sind für den Verantwortlichen während der Vertragslaufzeit jederzeit im Kundenkonto einsehbar. Eine Verarbeitung zu anderen Zwecken, insbesondere zur Analyse oder zum Training von KI-Modellen, findet nicht statt.

(3) Auf Anforderung bestätigt der Auftragsverarbeiter die Löschung in Textform. Die Bestätigung benennt die nach Absatz 2 Satz 3 gesperrten und die nach Absatz 2a aufbewahrten Datenbestände.

(4) Ein Zurückbehaltungsrecht an den Daten des Verantwortlichen nach § 273 BGB wird ausgeschlossen.

§ 9a Behördliche Zugriffe und Herausgabeverlangen

(1) Wird dem Auftragsverarbeiter ein Herausgabe-, Auskunfts- oder Beschlagnahmeverlangen einer Behörde oder eines Gerichts hinsichtlich der Daten des Verantwortlichen zugestellt, informiert er den Verantwortlichen unverzüglich, sofern ihm dies nicht rechtlich untersagt ist.

(2) Der Auftragsverarbeiter weist die anfragende Stelle darauf hin, dass die Entscheidungsbefugnis über die Daten beim Verantwortlichen liegt, und gibt Daten nur heraus, soweit er hierzu rechtlich verpflichtet ist. Er prüft das Verlangen auf seine Rechtmäßigkeit und schöpft zumutbare Rechtsbehelfe aus.

(3) Ein Herausgabeverlangen aus einem Drittland erfüllt der Auftragsverarbeiter nur unter den Voraussetzungen des Art. 48 DSGVO.

§ 10 Haftung

(1) Für Schäden, die nicht auf der Verletzung datenschutzrechtlicher Pflichten beruhen, gilt die Haftungsregelung des Hauptvertrags.

(2) Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt; sie wird durch diesen Vertrag weder ausgeschlossen noch beschränkt.

(3) Innenausgleich. Im Innenverhältnis tragen die Parteien einen nach Art. 82 Abs. 4 DSGVO geleisteten Schadensersatz nach dem Anteil ihrer jeweiligen Verantwortung für den eingetretenen Schaden (Art. 82 Abs. 5 DSGVO). Die summenmäßigen Haftungsbegrenzungen des Hauptvertrags finden auf diesen Ausgleichsanspruch keine Anwendung, soweit er auf der Verletzung von Pflichten beruht, die dieser Vertrag oder die DSGVO dem Auftragsverarbeiter speziell auferlegen, oder auf einem Handeln entgegen einer rechtmäßig erteilten Weisung (Art. 82 Abs. 2 Satz 2 DSGVO). Die Haftung des Auftragsverarbeiters nach diesem Absatz ist auf 50.000 EUR je Schadensfall und auf 100.000 EUR je Vertragsjahr begrenzt; Absatz 2 bleibt unberührt.

(4) Geldbußen. Wird gegen den Verantwortlichen eine Geldbuße nach Art. 83 DSGVO festgesetzt und beruht diese nachweislich und überwiegend auf einer schuldhaften Verletzung von Pflichten des Auftragsverarbeiters aus diesem Vertrag, erstattet der Auftragsverarbeiter die Geldbuße bis zu 50.000 EUR je Vertragsjahr, soweit eine Erstattung rechtlich zulässig ist. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über die Einleitung des Verfahrens, gibt ihm Gelegenheit zur Stellungnahme und schöpft zumutbare Rechtsbehelfe aus. Eine weitergehende Erstattung von Geldbußen ist ausgeschlossen.

(5) Verfahren. Wird gegen eine Partei ein Anspruch nach Art. 82 DSGVO geltend gemacht, informiert sie die andere Partei unverzüglich, gibt ihr Gelegenheit zur Stellungnahme und stimmt sich vor einem Anerkenntnis oder einem Vergleich mit ihr ab. Beide Parteien unterstützen einander bei der Abwehr unbegründeter Ansprüche.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

(2) Änderungen bedürfen der Textform.

(3) Es gilt deutsches Recht. Gerichtsstand ist Frankfurt am Main, soweit zulässig.

(4) Dieser Vertrag einschließlich seiner Anlagen ist im Kundenkonto im Bereich Organisation unter Datenschutz & Sicherheit jederzeit abrufbar. Dort erzeugt der Verantwortliche selbst die jeweils aktuelle Fassung; jede erzeugte Fassung trägt eine Fassungskennung und das Erstellungsdatum. Der Auftragsverarbeiter versendet keine aktualisierten Ausfertigungen; maßgeblich ist die im Kundenkonto abrufbare Fassung. Die Informationspflicht nach § 5 Abs. 2 bleibt hiervon unberührt.

Ort, Datum: Frankfurt am Main, [date of conclusion]

Der AVV wird vorsigniert ausgeliefert. Der Verantwortliche gegenzeichnet; eine Rücksendung ist nicht erforderlich, der Vertragsschluss erfolgt bereits nach Ziffer 2.2 der AGB zugleich mit dem Hauptvertrag zustande kommt. Das PDF dient dem Nachweis in der eigenen Datenschutzdokumentation des Kunden.

Anlage 1 – Gegenstand, Datenkategorien, betroffene Personen

Gegenstand: Betrieb eines Kundenservice-Systems (Ticketing, Wissensbasis, Chat, öffentliches Support-Portal) einschließlich KI-gestützter Analyse und Beantwortung.

Zweck: Bearbeitung von Support-Anfragen der Endkunden des Verantwortlichen sowie Verwaltung der Nutzerkonten des Verantwortlichen.

Dauer: Laufzeit des Hauptvertrags zzgl. der Fristen aus § 9.

Kategorien betroffener Personen

• Beschäftigte und Beauftragte des Verantwortlichen (Nutzerkonten, Agenten, Administratoren)
• Endkunden und sonstige Anfragende des Verantwortlichen
• Personen, die in Anfragen, Anhängen oder Wissensbasis-Inhalten genannt werden

Kategorien personenbezogener Daten

Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Sie können jedoch unvermeidbar in freien Textfeldern auftreten, wenn Endkunden sie von sich aus mitteilen. Der Verantwortliche wirkt darauf hin, dass dies unterbleibt.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Zutrittskontrolle. Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (ISO 27001 zertifiziert); kein eigener Serverraum, kein physischer Zugang durch den Auftragsverarbeiter.

Zugangskontrolle. Anmeldung der Nutzer passwortlos per Magic-Link über die registrierte E-Mail-Adresse; damit existieren keine wiederverwendbaren Passwörter, die gestohlen werden könnten. Interner Betriebszugang der Mitarbeiter des Auftragsverarbeiters über föderierte Anmeldung mit Zwei-Faktor-Authentisierung.

Zugriffskontrolle. Rollenmodell auf zwei Ebenen (Organisation und Workspace) mit den Rollen Inhaber, Organisations-Administrator, Workspace-Administrator und Agent. Jeder Zugriff wird serverseitig aus der Mitgliedschaft abgeleitet; von der Anwendung übermittelte Kennungen werden nicht vertraut.

Mandantentrennung. Trennung der Daten verschiedener Kunden auf Datenbankebene durch Row Level Security – jede Datenbanksitzung ist auf genau eine Organisation festgelegt, zusätzlich filtert die Anwendung auf derselben Kennung (zweistufig, keine Ebene allein maßgeblich). Die Datenbankrolle der Anwendung besitzt keine Berechtigung, diese Trennung zu umgehen. Ein automatisierter Testlauf prüft vor jeder Veröffentlichung, dass keine Leseoperation Daten einer fremden Organisation zurückgibt.

Verschlüsselung. Transportverschlüsselung (TLS) für alle Verbindungen. Zugangsdaten zu Postfächern und angebundenen Systemen werden mit AES-256-GCM verschlüsselt gespeichert; jede Organisation besitzt einen eigenen Datenschlüssel, der mit einem Hauptschlüssel gesichert ist, sodass mit seiner Vernichtung die Daten der Organisation kryptografisch unlesbar werden.

Integrität

Eingabekontrolle. Änderungen an Vorgängen werden protokolliert; administrative Vorgänge auf Plattformebene werden in einem separaten, unveränderlichen Protokoll mit Akteur, Zeitpunkt, Grund und Zielobjekt festgehalten.

Weitergabekontrolle. Ausgehende Nachrichten verlassen das System ausschließlich über die vom Verantwortlichen konfigurierten Kanäle. Inhalte werden vor dem Versand bereinigt; Zustellungen sind nachvollziehbar protokolliert.

Zugriff durch den Auftragsverarbeiter. Ein Support-Zugriff auf eine Kundenorganisation (Impersonation) ist ausschließlich Plattform-Personal möglich, erfordert die Angabe eines Grundes, ist auf 60 Minuten befristet, wird dem Nutzer sichtbar angezeigt und mit Beginn und Ende protokolliert.

Verfügbarkeit und Belastbarkeit

Betrieb auf einem Cluster mit mehreren Knoten und automatischer Wiederherstellung ausgefallener Komponenten. Tägliche Sicherung sämtlicher Datenbanken um 02:30 Uhr als konsistenter Dump, aufbewahrt für 30 Tage auf einem eigenen Datenträger des Datenbank-Hosts. Zusätzlich wird täglich eine bereits vor der Übertragung verschlüsselte Kopie an einen Objektspeicher in Frankreich (Paris) übermittelt; der Betreiber dieses Speichers kann die Inhalte nicht einsehen. Dort werden die letzten 7 Tage, die letzten 4 Wochen und die letzten 6 Monate vorgehalten. Die Wiederherstellung wird mindestens halbjährlich getestet. Der maximal tolerierte Datenverlust (Recovery Point Objective) beträgt damit bis zu 24 Stunden. Ausfallüberwachung und Fehler-Erfassung. Zeitkritische Hintergrundarbeit (z. B. Nachrichtenversand) ist idempotent und selbstheilend ausgelegt: unterbrochene Vorgänge werden erkannt und genau einmal nachgeholt.

Verfahren zur regelmäßigen Überprüfung

Automatisierte Testsuite vor jeder Veröffentlichung, darunter die Mandantentrennungs-Prüfung. Abhängigkeiten werden auf bekannte Schwachstellen geprüft.

Datenminimierung

Vor der Erzeugung von Vektor-Repräsentationen für die KI-Suche werden Texte automatisiert um erkannte Geheimnisse und Zugangsdaten bereinigt.

Anlage 3 – Unterauftragsverarbeiter

Deckungsgleich mit der öffentlichen Liste unter https://www.inbrix.ai/de/subprozessoren. Stand dieser Liste: 05.08.2026. Erzeugt am [date of conclusion], Fassung 2026-08-05.

Keine Verarbeitung außerhalb der EU. Sämtliche in dieser Anlage genannte Verarbeitung findet in der Europäischen Union statt. Die zuvor hier geführten Ausnahmen – OpenRouter, Inc. (USA) für den optionalen Frontier-Modus und die Web-Recherche über Tavily (USA) – sind am 05.08.2026 entfallen, weil die zugehörigen Funktionen aus dem Produkt entfernt wurden.

Drei der genannten Unternehmen haben ihren Sitz außerhalb der EU oder gehören einer Konzerngruppe mit Sitz außerhalb der EU an (Amazon Web Services EMEA SARL, Luxemburg; PostHog, Inc.; Stripe, Inc.). Ihre Verarbeitung erfolgt gleichwohl ausschließlich in der Europäischen Union; für etwaige Übermittlungen gelten die in der Tabelle genannten Standardvertragsklauseln. PostHog und Stripe verarbeiten keine Kommunikationsinhalte im Sinne von Anlage 1. Amazon Web Services verarbeitet Kommunikationsinhalte ausschließlich zur KI-Inferenz in EU-Mitgliedsstaaten unter Zero-Data-Retention-Bedingungen. Ein Drittlandtransfer dieser Inhalte im Sinne von § 1 Abs. 5 findet nicht statt.