KI-Denkraum
Dienstleister
Wer für uns Daten verarbeitet, wo und auf welcher Grundlage. Teil A ist Anlage 2 zum AVV.
Stand vom 9. Oktober 2026 · Kennung denkraum-dienstleister-2026-10-09 · Als PDF herunterladen
Wer für den KI-Denkraum personenbezogene Daten verarbeitet, wo und auf welcher Grundlage. Stand 9. Oktober 2026; DPF-Status am 9. Oktober 2026 in der Liste unter dataprivacyframework.gov geprüft.
Teil A ist Anlage 2 zum Auftragsverarbeitungsvertrag (kidenkraum.com/de/avv, § 7): die Unterauftragsverarbeiter für die Daten, die der Anbieter im Auftrag eines Kunden verarbeitet. Dieselben Dienste setzt er auch für Verarbeitungen in eigener Verantwortung ein; welche, nennt die Datenschutzerklärung (kidenkraum.com/de/datenschutz). Teil B nennt weitere Dienstleister und Empfänger, die nur die Datenschutzerklärung betrifft. Einen neuen oder ersetzenden Unterauftragsverarbeiter kündigt der Anbieter nach § 7 des AVV mindestens 30 Tage vorher an; jeder Stand dieser Liste bleibt unter seinem Datum abrufbar.
Teil A: Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung | Garantie bei Drittlandbezug |
|---|---|---|---|
| Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 | Datenbank, Anmeldung (Supabase Auth) | Rechenzentren von Amazon Web Services in Frankfurt am Main (eu-central-1); Zugriffe für Betrieb und Support aus Singapur und den USA möglich | Standardvertragsklauseln im Vertrag zur Auftragsverarbeitung von Supabase. Für Singapur gibt es keinen Angemessenheitsbeschluss, Supabase ist nicht nach dem Data Privacy Framework zertifiziert. |
| Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA | Hosting, Auslieferung, Serverfunktionen, technische Protokolle | Serverfunktionen in Frankfurt am Main, Auslieferung über ein weltweites Netz | EU-US Data Privacy Framework (zertifiziert, aktiv), zusätzlich Standardvertragsklauseln |
| AC PM, LLC (Postmark, Unternehmen von ActiveCampaign), 1 N Dearborn Street, Suite 500, Chicago, IL 60602, USA | Versand der Mails | USA (Rechenzentren von Deft und Amazon Web Services) | EU-US Data Privacy Framework (als verbundenes Unternehmen von ActiveCampaign, LLC zertifiziert, aktiv), zusätzlich Standardvertragsklauseln |
| Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA | Turnstile: Prüfung auf Formularen, die ohne Anmeldung ein Konto anlegen oder eine Mail an eine Adresse auslösen, etwa bei der Registrierung, auch eingeladener Nutzer, oder bei „Passwort vergessen“, ob ein Mensch das Formular ausfüllt (IP-Adresse, technische Merkmale des Browsers) | weltweites Netz von Cloudflare | EU-US Data Privacy Framework (zertifiziert, aktiv), zusätzlich Standardvertragsklauseln |
| Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland | E-Mail-Postfach hallo@kidenkraum.com für Anfragen, Weisungen und Meldungen zur Teamverwaltung | Rechenzentren in der EU; Zugriffe aus den USA nicht ausgeschlossen | EU-US Data Privacy Framework (Microsoft Corporation zertifiziert), zusätzlich Standardvertragsklauseln |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg | KI-Modell (Claude über Amazon Bedrock) für Support und Betrieb im Einzelfall, in einer getrennten Arbeitssitzung; für die Suche die Umwandlung des Suchbegriffs (Modell von Cohere über Amazon Bedrock), ohne Kennung des Kontos | Rechenzentren in der EU; keine Speicherung von Ein- und Ausgaben; die Hersteller der Modelle haben keinen Zugriff | Verarbeitung in der EU; AWS-Auftragsverarbeitungsvertrag mit Standardvertragsklauseln, Amazon im EU-US Data Privacy Framework |
Hinweise:
- Die Dienste setzen eigene Unterauftragsverarbeiter ein, etwa Amazon Web Services, und veröffentlichen deren Listen.
- Cloudflare nutzt die Signale von Turnstile nach eigener Angabe zusätzlich in eigener Verantwortung, um die Bot-Erkennung zu verbessern.
- Cover-Bilder liefert der Anbieter über seinen eigenen Server aus; Spotify erhält dabei keine Daten der Nutzer.
Teil B: Weitere Dienstleister und Empfänger
Diese Dienstleister sind keine Unterauftragsverarbeiter nach dem Auftragsverarbeitungsvertrag: Der Anbieter führt die Abrechnung in eigener Verantwortung, und der Zahlungsdienstleister erhält aus der Teamverwaltung nur die Zahl der Einzellizenzen, aus einem Team nach Einzelvertrag gar nichts; die Anmeldung mit Google wählen Nutzer freiwillig, und Google ist dafür selbst verantwortlich.
| Dienstleister | Leistung | Rolle | Garantie bei Drittlandbezug |
|---|---|---|---|
| Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland | Kasse, Zahlung, Rechnungen, Umsatzsteuer, Kundenportal | teils Auftragsverarbeiter des Anbieters (Kasse, Kundenportal, Steuer), teils eigenständig verantwortlich (Zahlungsabwicklung, Betrugsprävention) | Zugriffe der Stripe-Gruppe aus den USA; EU-US Data Privacy Framework, zusätzlich Standardvertragsklauseln |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland | Anmeldung mit Google, nur wenn der Nutzer sie wählt | eigene Verantwortung | USA (Google LLC); EU-US Data Privacy Framework |