Übersicht
Für die Erbringung der Autopilot-Leistungen sowie für den Betrieb von Website, Blog, Newsletter und Terminbuchung setzen wir die folgenden Auftrags- und Sub-Auftragsverarbeiter ein. Die Liste ist vollständig – weitere Verarbeiter werden ohne vorherige Mitteilung und Widerspruchsmöglichkeit nicht eingesetzt.
Die Nummern 9 und 10 verarbeiten keine Mandanten-Inhalte aus der Leistungserbringung, sondern ausschließlich Kontakt-, Mitglieds- und Termindaten aus dem Betrieb von Blog, Newsletter und Terminbuchung. Sie stehen hier, weil diese Liste Vollständigkeit zusagt.
| # | Sub-Verarbeiter | Zweck | Sitz | Drittland-Hinweis |
|---|---|---|---|---|
| 1 | Anthropic PBC | KI-Inferenz (Claude-Modelle) | USA | EU-Standardvertragsklauseln 2021/914 + Zero-Retention-API-Modus aktiviert |
| 2 | OpenAI Ireland Operations Limited | KI-Inferenz (GPT-Modelle, optional) | Irland (Vertragspartner) / USA (Dienst) | EU-Standardvertragsklauseln + Enterprise-DPA mit Zero-Retention |
| 3 | Hostinger | VPS-Hosting (Portal, Frankfurt am Main) | Litauen (Vertragspartner) / DE (Rechenzentrum) | EU-EWR |
| 4 | Cloudflare, Inc. | CDN, DNS, Edge-Cache, Pages | USA | EU-Standardvertragsklauseln, EU-Datenregion aktiviert |
| 5 | Stripe Technology Europe Limited | Zahlungsverarbeitung | Irland | EU-EWR; verarbeitet nur Zahlungs- und Rechnungsdaten, keine Mandanten-Inhalte |
| 6 | Resend, Inc. | Transaktions-E-Mail | USA | EU-Standardvertragsklauseln |
| 7 | Hetzner Online GmbH | EU-Cloud-Inferenz (optional, falls vom Mandanten gewählt) | Deutschland | EU-EWR |
| 8 | Aleph Alpha GmbH | EU-LLM-Inferenz (optional, falls vom Mandanten gewählt) | Deutschland | EU-EWR |
| 9 | Magic Pages B.V. (Hosting der Ghost-Instanz) | Betrieb von Blog und Newsletter (blog.autopilot.consulting): Mitgliederkonto, E-Mail-Adresse, Name, Firmenname | Niederlande | EU-EWR; verarbeitet Mitglieder- und Newsletterdaten, keine Mandanten-Inhalte. AVV abgeschlossen. |
| 10 | Cal.com, Inc. (USA) | Terminbuchung der Business-Case-Session: Name, E-Mail-Adresse, Firma, Terminwunsch, Freitextangaben | USA | EU-Standardvertragsklauseln 2021/914, DPA abgeschlossen; verarbeitet Kontakt- und Termindaten, keine Mandanten-Inhalte |
Hinweise zu einzelnen Sub-Verarbeitern
Anthropic – KI-Inferenz (Standard)
AC nutzt die Anthropic-API mit aktivierter „Zero Data Retention”-Konfiguration. Anthropic speichert keine API-Inhalte zu Modell-Trainingszwecken und löscht sie nach Verarbeitung. Zur EU-/US-Datenübermittlung sind die Standardvertragsklauseln 2021/914 (Modul 2) abgeschlossen.
- Anthropic-DPA: anthropic.com/legal/dpa
- Zero-Retention-Modus: dokumentiert in Anhang C TOM (siehe AVV)
OpenAI – KI-Inferenz (optional)
AC nutzt OpenAI ausschließlich mit Business-/Enterprise-Vertrag im „No-Training”-Modus. Inhalte werden nicht zur Modell-Verbesserung verwendet. EU-Vertragspartner ist OpenAI Ireland Operations Limited.
- OpenAI-DPA: openai.com/policies/data-processing-addendum
Cloudflare – CDN/Edge/Pages
Cloudflare betreibt die öffentlich erreichbare Website (autopilot.consulting) über Cloudflare Pages. Inhalte werden nicht persistent gespeichert; Routing-Metadaten (IP-Adressen, Request-Header) werden nach den jeweils geltenden Cloudflare-Retention-Policies verarbeitet. Die EU-Datenregion ist aktiviert.
- Cloudflare-DPA: cloudflare.com/cloudflare-customer-dpa
Hostinger – VPS-Hosting Portal
Das Customer-Portal portal.autopilot.consulting läuft auf einem VPS bei Hostinger im Rechenzentrum Frankfurt am Main. Vertragspartner ist Hostinger International Ltd. (Litauen), Verarbeitungsort ist Deutschland.
Stripe – Zahlungsverarbeitung
Stripe verarbeitet ausschließlich Zahlungs- und Rechnungsdaten der Mandate (Name, Rechnungsanschrift, USt-IdNr., Zahlungsmethode). Mandanten-Inhalte oder personenbezogene Daten aus den Leistungen werden nicht an Stripe übermittelt.
Resend – Transaktions-E-Mail
Resend versendet System-E-Mails (Trial-Zugang, Bestätigungen, Anfragen-Eingang). Inhaltliche Beratungs-E-Mails laufen nicht über Resend, sondern direkt aus der M365-Infrastruktur der Noorder partners GmbH.
Magic Pages / Ghost – Blog und Newsletter
Blog und Newsletter unter blog.autopilot.consulting laufen auf der Software
Ghost, gehostet bei Magic Pages B.V. (Niederlande). Dort liegen
Mitgliederkonto, E-Mail-Adresse, Name und Firmenname der angemeldeten Leserinnen
und Leser; Mandanten-Inhalte aus der Leistungserbringung werden dorthin nicht
übermittelt. Verarbeitungsort ist die EU; ein Drittland-Transfer findet nach
derzeitigem Stand nicht statt.
- Ghost: ghost.org/privacy
- Magic Pages: magicpages.co/legal
Cal.com – Terminbuchung Business-Case-Session
Die Buchung der Business-Case-Session läuft über Cal.com. Verarbeitet werden Name, E-Mail-Adresse, Firma, Terminwunsch und Freitextangaben aus dem Buchungsformular sowie technische Verbindungsdaten beim Aufruf des Buchungselements. Mandanten-Inhalte werden nicht übermittelt.
Hetzner + Aleph Alpha – EU-Inferenz-Optionen
Für Mandate mit erhöhten Souveränitäts-Anforderungen kann auf reine EU-Modelle ausgewichen werden: Aleph Alpha „Pharia” oder Mistral über Hetzner-Hosting in Deutschland. Die Hosting-Klasse wird im Mandant-Memory dokumentiert und je Use-Case entschieden.
Update-Mechanismus
Änderungen werden 30 Tage vorab mitgeteilt
Wenn ein Sub-Verarbeiter ausgetauscht, hinzugefügt oder entfernt wird, informieren wir alle aktiven Mandanten mindestens 30 Tage vor Wirksamwerden schriftlich (E-Mail an die hinterlegte Datenschutz-Kontaktadresse).
Widerspruchsrecht
Mandanten können innerhalb von 30 Tagen nach Mitteilung gegen die Änderung widersprechen. Bei berechtigtem Widerspruch klären wir gemeinsam, ob eine alternative Lösung (z. B. Verzicht auf den betroffenen Sub-Verarbeiter für das spezifische Mandat) möglich ist. Andernfalls hat der Mandant ein außerordentliches Kündigungsrecht zum Wirksamkeitsdatum der Änderung.
Diese Seite wird bei Änderungen aktualisiert
Die hier veröffentlichte Liste entspricht jederzeit dem aktuellen Stand. Das Aktualisierungsdatum oben auf der Seite zeigt, wann zuletzt geändert wurde.
Zugehörige Dokumente
- Vollständige AVV (Art. 28 DSGVO) mit Anhängen A-D
- Allgemeine Geschäftsbedingungen
- Standard-Retainer-Vereinbarung
- Datenschutzerklärung der Website
Bei Rückfragen zur Sub-Verarbeiter-Konstellation: martin@noorder.partners.