Übersicht
Für die Erbringung der Autopilot-Leistungen setzen wir die folgenden Sub-Auftragsverarbeiter ein. Die Liste ist vollständig — andere Sub-Verarbeiter werden ohne vorherige Mitteilung und Widerspruchsmöglichkeit nicht eingesetzt.
| # | Sub-Verarbeiter | Zweck | Sitz | Drittland-Hinweis |
|---|---|---|---|---|
| 1 | Anthropic PBC | KI-Inferenz (Claude-Modelle) | USA | EU-Standardvertragsklauseln 2021/914 + Zero-Retention-API-Modus aktiviert |
| 2 | OpenAI Ireland Operations Limited | KI-Inferenz (GPT-Modelle, optional) | Irland (Vertragspartner) / USA (Dienst) | EU-Standardvertragsklauseln + Enterprise-DPA mit Zero-Retention |
| 3 | Hostinger | VPS-Hosting (Portal, Frankfurt am Main) | Litauen (Vertragspartner) / DE (Rechenzentrum) | EU-EWR |
| 4 | Cloudflare, Inc. | CDN, DNS, Edge-Cache, Pages | USA | EU-Standardvertragsklauseln, EU-Datenregion aktiviert |
| 5 | Stripe Technology Europe Limited | Zahlungsverarbeitung | Irland | EU-EWR; verarbeitet nur Zahlungs- und Rechnungsdaten, keine Mandanten-Inhalte |
| 6 | Resend, Inc. | Transaktions-E-Mail | USA | EU-Standardvertragsklauseln |
| 7 | Hetzner Online GmbH | EU-Cloud-Inferenz (optional, falls vom Mandanten gewählt) | Deutschland | EU-EWR |
| 8 | Aleph Alpha GmbH | EU-LLM-Inferenz (optional, falls vom Mandanten gewählt) | Deutschland | EU-EWR |
Hinweise zu einzelnen Sub-Verarbeitern
Anthropic — KI-Inferenz (Standard)
AC nutzt die Anthropic-API mit aktivierter „Zero Data Retention”-Konfiguration. Anthropic speichert keine API-Inhalte zu Modell-Trainingszwecken und löscht sie nach Verarbeitung. Zur EU-/US-Datenübermittlung sind die Standardvertragsklauseln 2021/914 (Modul 2) abgeschlossen.
- Anthropic-DPA: anthropic.com/legal/dpa
- Zero-Retention-Modus: dokumentiert in Anhang C TOM (siehe AVV)
OpenAI — KI-Inferenz (optional)
AC nutzt OpenAI ausschließlich mit Business-/Enterprise-Vertrag im „No-Training”-Modus. Inhalte werden nicht zur Modell-Verbesserung verwendet. EU-Vertragspartner ist OpenAI Ireland Operations Limited.
- OpenAI-DPA: openai.com/policies/data-processing-addendum
Cloudflare — CDN/Edge/Pages
Cloudflare betreibt die öffentlich erreichbare Website (autopilot.consulting) über Cloudflare Pages. Inhalte werden nicht persistent gespeichert; Routing-Metadaten (IP-Adressen, Request-Header) werden nach den jeweils geltenden Cloudflare-Retention-Policies verarbeitet. Die EU-Datenregion ist aktiviert.
- Cloudflare-DPA: cloudflare.com/cloudflare-customer-dpa
Hostinger — VPS-Hosting Portal
Das Customer-Portal portal.autopilot.consulting läuft auf einem VPS bei Hostinger im Rechenzentrum Frankfurt am Main. Vertragspartner ist Hostinger International Ltd. (Litauen), Verarbeitungsort ist Deutschland.
Stripe — Zahlungsverarbeitung
Stripe verarbeitet ausschließlich Zahlungs- und Rechnungsdaten der Mandate (Name, Rechnungsanschrift, USt-IdNr., Zahlungsmethode). Mandanten-Inhalte oder personenbezogene Daten aus den Leistungen werden nicht an Stripe übermittelt.
Resend — Transaktions-E-Mail
Resend versendet System-E-Mails (Trial-Zugang, Bestätigungen, Anfragen-Eingang). Inhaltliche Beratungs-E-Mails laufen nicht über Resend, sondern direkt aus der M365-Infrastruktur der Noorder partners GmbH.
Hetzner + Aleph Alpha — EU-Inferenz-Optionen
Für Mandate mit erhöhten Souveränitäts-Anforderungen kann auf reine EU-Modelle ausgewichen werden: Aleph Alpha „Pharia” oder Mistral über Hetzner-Hosting in Deutschland. Die Hosting-Klasse wird im Mandant-Memory dokumentiert und je Use-Case entschieden.
Update-Mechanismus
Änderungen werden 30 Tage vorab mitgeteilt
Wenn ein Sub-Verarbeiter ausgetauscht, hinzugefügt oder entfernt wird, informieren wir alle aktiven Mandanten mindestens 30 Tage vor Wirksamwerden schriftlich (E-Mail an die hinterlegte Datenschutz-Kontaktadresse).
Widerspruchsrecht
Mandanten können innerhalb von 30 Tagen nach Mitteilung gegen die Änderung widersprechen. Bei berechtigtem Widerspruch klären wir gemeinsam, ob eine alternative Lösung (z. B. Verzicht auf den betroffenen Sub-Verarbeiter für das spezifische Mandat) möglich ist. Andernfalls hat der Mandant ein außerordentliches Kündigungsrecht zum Wirksamkeitsdatum der Änderung.
Diese Seite wird bei Änderungen aktualisiert
Die hier veröffentlichte Liste entspricht jederzeit dem aktuellen Stand. Das Aktualisierungsdatum oben auf der Seite zeigt, wann zuletzt geändert wurde.
Zugehörige Dokumente
- Vollständige AVV (Art. 28 DSGVO) mit Anhängen A-D
- Allgemeine Geschäftsbedingungen
- Standard-Retainer-Vereinbarung
- Datenschutzerklärung der Website
Bei Rückfragen zur Sub-Verarbeiter-Konstellation: martin@noorder.partners.