Unterauftragsverarbeiter
Inkrafttreten: Aktivierung ausstehend (nicht festgelegt für die Veröffentlichung reserviert).
Letzte Aktualisierung: Aktivierung ausstehend (nicht festgelegt für die Veröffentlichung reserviert).
Entwurf erstellt: 6. Oktober 2026. Die Angaben zur Bereitstellung müssen vervollständigt werden, bevor dieses Verzeichnis zu Anlage C der Vereinbarung zur Auftragsverarbeitung wird.
Entwurf überarbeitet: 7. Oktober 2026. Die Aktivierung steht weiterhin aus.
Unverbindliche Zusammenfassung. Diese Dienste sind aktiv. Ihre Rollen unterscheiden sich: Einige verarbeiten Projektdaten, andere übernehmen Zahlungen, Anmeldung, E-Mail oder Messung. Jeder Unterauftragsverarbeiter für Kundendaten benötigt vor der Genehmigung vollständige Vertrags- und Verarbeitungsangaben. Diese Zusammenfassung gehört nicht zum verbindlichen Verzeichnis.
1. Anbieterrollen
1.1. Ein „Unterauftragsverarbeiter“ ist ein Empfänger, der nach der Vereinbarung zur Auftragsverarbeitung beauftragt ist, im Auftrag von OwlMeans personenbezogene Daten zu verarbeiten, für die der Kunde verantwortlich ist. Konto- und Zahlungsdienste können stattdessen Daten verarbeiten, für die OwlMeans verantwortlich ist, oder eigenständig handeln; ihre Aufnahme in dieses Verzeichnis macht sie nicht allgemein zu Unterauftragsverarbeitern für alle Kunden. Kontakt: Igor Tkachenko OwlMeans Software (unter der Kurzbezeichnung „OwlMeans Software, JDG“), NIP 6772507251, EU-Umsatzsteuer-Identifikationsnummer PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Polen; support@owlmeans.com; Telefon +48 780 256 571.
| Dienst und benannter Betreiber | Aktueller Status, Nutzung und Daten | Rolle und Standortstatus |
|---|---|---|
| Hetzner; veröffentlichter Betreiber Hetzner Online GmbH, tatsächlicher Dienstvertrag zu überprüfen | Vom Betreiber bestätigter alleiniger Infrastrukturanbieter: Workloads, Datenbanken, Repositorys und Betriebsaufzeichnungen; Angaben zum Sicherungsdienst zu überprüfen | Unterauftragsverarbeiter für Kundendaten, soweit er Daten in der Verantwortung des Kunden hostet. Tatsächliche Rechenzentrumsländer, Sicherungsstandorte, Vertrag und Aufbewahrung ungeklärt. |
| Mailgun; tatsächliches Vertragsunternehmen von Sinch Email laut Dienstbestellung zu überprüfen | Vom Betreiber bestätigter E-Mail-Versand: Empfänger, OTP, Dienst- und Rechtsmitteilungen sowie Nachrichteninhalt | Die Rolle als Auftragsverarbeiter hängt von Nachricht und Daten ab. Für die Stage-Umgebung ist ein EU-SMTP-Endpunkt belegt; tatsächliche Kontoregion, Weiterverarbeitung und Aufbewahrung ungeklärt. |
| Google Gmail; tatsächliches Google-Vertragsunternehmen sowie Konto- und Dienstbedingungen zu überprüfen | Am 7. Oktober 2026 vom Betreiber bestätigtes Empfangspostfach des Unternehmens: Anfragen, Kontakt-, Weiterleitungs- und Eingangsnachweise, Korrespondenz und ausgewählte Anhänge | Postfachverarbeitung durch OwlMeans als Verantwortlichen. Für weisungsgebunden verarbeitete Supportdaten, für die der Kunde verantwortlich ist, sind vollständige Angaben nach der Vereinbarung zur Auftragsverarbeitung und zu Unterauftragsverarbeitern erforderlich. Tatsächliches Konto beziehungsweise tatsächlicher Dienst, vertragliche Rolle, befugter Zugriff, Länder, Aufbewahrung, Auftragsverarbeitungsvertrag und Schutzmaßnahmen für Übermittlungen ungeklärt. |
| Google Tag Manager / Google Analytics; Vertragsunternehmen zu überprüfen | Vom Betreiber bestätigte Messung: einwilligungsabhängige Browser- und Netzwerkkennungen und konfigurierte Ereignisse; kein Google Ads | Optionale Messung durch OwlMeans als Verantwortlichen, keine allgemeine Verarbeitung von Projektinhalten. Tatsächliche Kontoeinstellungen, Mess-Tags, Ziele und Aufbewahrung ungeklärt. |
| Sentry; veröffentlichter Betreiber Functional Software, Inc. d/b/a Sentry, tatsächlicher Kontovertrag zu überprüfen | Vom Betreiber bestätigte Diagnostik: Fehler, Anfrage und Kontext sowie Kennungen gemäß tatsächlicher Konfiguration | Unterauftragsverarbeiter für Kundendaten, wenn Diagnoseinhalte Daten in der Verantwortung des Kunden enthalten; andernfalls Verarbeitung durch OwlMeans als Verantwortlichen. SDK-Umfang, Schwärzung, Sitzungswiedergabe, Standorte und Aufbewahrung ungeklärt. |
| OpenAI; tatsächliches Vertragsunternehmen zu bestätigen | Vom Betreiber bestätigte aktive KI-Inferenz und Fallback: Prompts, ausgewählter Kontext, Anfrage- und Ergebnisdaten für Aufrufe dieses Dienstes | Unterauftragsverarbeiter für Kundendaten, soweit er weisungsgemäß personenbezogene Kundendaten verarbeitet; Rollen gegenüber OwlMeans als Verantwortlichem werden gesondert bewertet. Tatsächliches Konto, Regionen, Aufbewahrung und Übermittlungsgrundlage ungeklärt. |
| Anthropic; veröffentlichter gewerblicher Vertragspartner im EWR Anthropic Ireland, Limited; tatsächliches Konto zu überprüfen | Vom Betreiber bestätigte aktive KI-Inferenz: Prompts, ausgewählter Kontext sowie Anfrage- und Ergebnisdaten | Unterauftragsverarbeiter für Kundendaten, soweit er weisungsgemäß personenbezogene Kundendaten verarbeitet. Ein irisches Vertragsunternehmen belegt keine Verarbeitung ausschließlich in der EU; tatsächliches Konto, Aufbewahrung und Übermittlungsangaben ungeklärt. |
| OpenRouter; tatsächliches Vertragsunternehmen zu bestätigen | Vom Betreiber bestätigtes aktives KI-Routing und aktiver Modellzugriff: ausgewählte Inferenzanfragen und zugehörige Metadaten | Durch das Routing kann ein zugrunde liegender Modellanbieter als Empfänger hinzukommen. Vor der Genehmigung für Kundendaten müssen die tatsächliche Route und der weitere Empfänger bestimmt werden; Standorte, Aufbewahrung und Schutzmaßnahmen ungeklärt. |
| Together AI; tatsächliches Vertragsunternehmen zu bestätigen | Vom Betreiber bestätigter aktiver Modell- und Inferenzdienst: ausgewählte Anfragen und zugehörige Daten | Unterauftragsverarbeiter für Kundendaten, soweit er weisungsgemäß personenbezogene Kundendaten verarbeitet; tatsächlicher Dienst, Vertragsunternehmen des Kontos, Standorte, Aufbewahrung und Schutzmaßnahmen ungeklärt. |
| Hugging Face; tatsächliches Vertragsunternehmen zu bestätigen | Vom Betreiber bestätigter aktiver Modellzugriff und aktive Integration. Downloads legen Verbindungs- und Modellanfragemetadaten offen; gehostete Inferenz kann ausgewählte Prompts und ausgewählten Kontext erhalten. | Reinen Downloadzugriff, vom Kunden gewählte oder lokale Modelle und gehostete Inferenz unterscheiden. Aus dem Download eines Modells darf nicht geschlossen werden, dass Projektdaten übermittelt werden. Tatsächliches Produkt und Endpunkt, Rolle, Standorte und Vertragsangaben ungeklärt. |
| Cloudflare; tatsächliche vertragschließende Konzerngesellschaft zu bestätigen | Vom Betreiber bestätigte aktive Netzwerk-, Domain- und Sicherheitsfunktionen: Verbindungs- und Anfragedaten sowie Inhalte, soweit der konfigurierte Dienst sie überträgt | Die Rolle hängt vom tatsächlichen Dienst ab. Hetzner bleibt der vom Betreiber bestätigte Infrastrukturanbieter; die aktive Nutzung von Cloudflare begründet keine gesonderte Speichervereinbarung. Edge-Verarbeitung, Protokolle, Vertragsunternehmen des Kontos und Angaben zur Auftragsverarbeitung ungeklärt. |
| GitHub; tatsächliches Vertragsunternehmen zu bestätigen | Vom Betreiber bestätigte aktive Repository- und OAuth-Vorgänge: freigegebene Identitäten, Berechtigungen, Token und Repository-Daten | Es ist zu klären, ob eine Verbindung in der Verantwortung des Kunden oder eine Rolle von OwlMeans als Auftragsverarbeiter vorliegt; der Dienst wird nicht automatisch für alle Projekte beauftragt. Tatsächliches Konto, Standorte und Schutzmaßnahmen ungeklärt. |
| Stripe; tatsächliches Vertragsunternehmen zu bestätigen | Vom Betreiber bestätigte aktive Zahlungen: Zahlungsdaten, Transaktions-, Abrechnungs- und Betrugsbekämpfungsinformationen | Zahlungsrollen und aufbewahrte Nachweise hängen von den tatsächlichen Diensten und Verträgen ab; kein regulärer Empfänger von Projektinhalten festgestellt. Vertragsunternehmen des Kontos, Standorte und Aufbewahrung ungeklärt. |
| Google reCAPTCHA; tatsächliches Google-Cloud-Vertragsunternehmen zu überprüfen | Am 7. Oktober 2026 vom Betreiber als aktiv bestätigt: Abwehr von Bots, Betrug und Missbrauch; Verbindungs-, Browser-, Geräte- und Prüfsignale, Verifizierungstoken und Bewertungsergebnisse, soweit die gewählte Integration sie bereitstellt | Google verarbeitet reCAPTCHA-Kundendaten (reCAPTCHA Customer Data) als Auftragsverarbeiter nach den anwendbaren Google-Cloud-Bedingungen. Bei der Sicherung von OwlMeans-Konten oder der OwlMeans-Website verarbeitet OwlMeans als Verantwortlicher; Unterauftragsverarbeiter für Kundendaten ist Google nur, soweit Daten in der Verantwortung des Kunden weisungsgebunden verarbeitet werden. Tatsächliches Unternehmen, Konfiguration, Standorte, Aufbewahrung und Schutzmaßnahmen für Übermittlungen müssen vervollständigt werden. |
| Google-Anmeldung; Vertragsunternehmen für Konto oder Dienst zu bestätigen | Vom Betreiber bestätigter aktiver Identitätsdienst: freigegebene Anmeldeidentität, Profil- und Authentifizierungsinformationen | Von der Google-Messung getrennt. Tatsächliche Anmeldefelder und Berechtigungsumfänge, Vertragsunternehmen für Konto oder Dienst, Standorte und Rolle müssen vervollständigt werden. |
2. Ausgewählte Routen und Genehmigungsbedingungen
2.1. Bei der Anbieterprüfung am 6. Oktober 2026 bestätigte der Betreiber die aktuelle Nutzung der zuvor aufgeführten Dienste; Google reCAPTCHA kam am 7. Oktober 2026 hinzu. Eine Route kann mehrere Empfänger einbeziehen, und nicht jeder aktive Dienst wird für jede Anfrage ausgewählt. Vom Kunden gewählte oder lokale Inferenz und Integrationen generierter Anwendungen müssen einzeln bewertet werden; unterstützte Adapter erlauben für sich genommen keine Verarbeitung. Bereitstellungskonfiguration und Vertragsangaben bleiben von der Bestätigung der Dienstnutzung getrennt. Google Ads, personalisiertes Marketing-Profiling, Partnermarketing sowie eigenständige Verbesserung und eigenständiges Training sind inaktive Plattformzwecke.
2.2. Für jeden aktiven Unterauftragsverarbeiter nennt das zur Veröffentlichung bestimmte Verzeichnis das tatsächliche Unternehmen, den Dienst, die Datenkategorien, Länder und Regionen, die Aufbewahrung, den Mechanismus nach Kapitel V DSGVO und etwaige ergänzende Schutzmaßnahmen. Öffentliche Bedingungen eines Anbieters belegen nicht, dass ein Auftragsverarbeitungsvertrag oder Standardvertragsklauseln abgeschlossen wurden. Keine ungeklärte Zeile erlaubt eine beschränkte Übermittlung. Die Wiederverwendung von Modellergebnissen für eigenes Training erfordert eine gesonderte Klärung der Anbieterrechte; die Einwilligung des Kunden allein genügt nicht.
2.3. Der konfigurierte Anfrageablauf von Website und Plattform nutzt Hetzner-Infrastruktur für die gesonderte Anfragedatenbank und die Versandwarteschlange sowie Mailgun, um Nachricht, Kontakt- und Weiterleitungsnachweise und ausgewählte Anhänge an das Google-Gmail-Postfach von OwlMeans zu übertragen. Gmail empfängt und speichert diese Korrespondenz und ihre Anhänge für die Bearbeitung von Anfragen an das Unternehmen. Google reCAPTCHA verarbeitet Sicherheitssignale für diesen geschützten Ablauf; die einwilligungsabhängige Google-Messung kann das Ereignis zum Öffnen des Dialogs und dessen Felder für Widget, Thema und Auslöser erhalten, nicht aber E-Mail-Adresse, Text oder Dateien des Formulars. Das empfangende Gmail-Konto beziehungsweise der Dienst, das tatsächliche Google-Vertragsunternehmen, die vertragliche Rolle, der befugte Zugriff, Länder, Aufbewahrung, Auftragsverarbeitungsvertrag, Schutzmaßnahmen für Übermittlungen und die Weiterverarbeitung müssen vor der Aktivierung getrennt vom Mailgun-Versand überprüft werden. Messenger- und Videobeispiele im Formular begründen weder aktive Integrationen noch befugte Empfänger. Anfragen verarbeitet OwlMeans als Verantwortlicher für seine eigene Kontaktverwaltung; Kundendaten, die nach Supportweisungen verarbeitet werden, erfordern die entsprechenden Angaben nach der Vereinbarung zur Auftragsverarbeitung und zu Unterauftragsverarbeitern. Dieser Dienst leitet Anfrageinhalte nicht automatisch an die aufgeführten KI-Anbieter oder an optionale Datensätze für Verbesserung und Training weiter.
3. Änderungen und regionale Rechte
3.1. Die Vereinbarung zur Auftragsverarbeitung regelt die vorherige Mitteilung von Anbieteränderungen, Einsprüche, gleichwertige Pflichten und die Verantwortung von OwlMeans. Aktuelle Informationen über Empfänger und Schutzmaßnahmen erhalten Sie beim Support. Für Dienste, bei denen OwlMeans Verantwortlicher ist, und für optionales Tracking gelten die Datenschutzerklärung und die Cookie-Richtlinie. Die Übermittlungsregeln der EU und des EWR, anwendbare britische Übermittlungsregeln, Rollen nach dem Recht der US-Bundesstaaten und zwingende Betroffenenrechte bleiben unberührt. Eine allgemeine Angemessenheit oder eine Datenhaltung ausschließlich in der EU wird nicht zugesagt.