Unterauftragsverarbeiter
Inkrafttreten: Aktivierung ausstehend (nicht festgelegt ist für die Veröffentlichung vorgesehen).
Letzte Aktualisierung: Aktivierung ausstehend (nicht festgelegt ist für die Veröffentlichung vorgesehen).
Entwurf erstellt: 6. Oktober 2026. Die Angaben zum Betrieb müssen vervollständigt werden, bevor dieses Verzeichnis Anlage C der Vereinbarung zur Auftragsverarbeitung wird.
Entwurf überarbeitet: 7. Oktober 2026. Die Aktivierung steht weiterhin aus.
Unverbindliche Zusammenfassung. Diese Dienste sind aktiv. Ihre Rollen unterscheiden sich: Einige verarbeiten Projektdaten; andere übernehmen Zahlungen, Anmeldung, E-Mail oder Messung. Vor der Genehmigung müssen Vertrags- und Verarbeitungsangaben für jeden Unterauftragsverarbeiter von Kundendaten vervollständigt sein. Diese Zusammenfassung gehört nicht zum verbindlichen Verzeichnis.
1. Anbieterrollen
1.1. Ein „Unterauftragsverarbeiter“ ist ein Empfänger, der im Auftrag von OwlMeans personenbezogene Daten verarbeitet, für die der Kunde verantwortlich ist. Seine Bestellung erfolgt nach der Vereinbarung zur Auftragsverarbeitung. Konto- und Zahlungsdienste können stattdessen Daten verarbeiten, für die OwlMeans verantwortlich ist, oder unabhängig handeln. Die Aufnahme in dieses Verzeichnis bestellt sie nicht allgemein zu Unterauftragsverarbeitern sämtlicher Kunden. Kontakt: Igor Tkachenko OwlMeans Software (unter der Kurzbezeichnung „OwlMeans Software, JDG“), NIP 6772507251, EU-Umsatzsteuer-Identifikationsnummer PL6772507251, REGON 527979906, ul. Ariańska 9/5, 31-505 Kraków, Polen; support@owlmeans.com; Telefon +48 780 256 571.
| Dienst und benannter Betreiber | Aktueller Status, Nutzung und Daten | Rolle und Standortstatus |
|---|---|---|
| Hetzner; veröffentlichter Betreiber Hetzner Online GmbH, tatsächlicher Dienstvertrag zu überprüfen | Betreiberbestätigter alleiniger Infrastrukturanbieter: Arbeitslasten, Datenbanken, Repositorys und Betriebsaufzeichnungen; Angaben zu Sicherungsdiensten zu überprüfen | Unterauftragsverarbeiter bei Hosting kundenkontrollierter Daten. Tatsächliche Rechenzentrumsländer, Sicherungsstandorte, Vertrag und Aufbewahrung ungeklärt. |
| Mailgun; tatsächliches Sinch-Email-Vertragsunternehmen gemäß Dienstbestellung zu überprüfen | Betreiberbestätigter E-Mail-Versand: Empfänger, OTP, Dienst- und Rechtsmitteilungen und Nachrichteninhalt | Auftragsverarbeiterrolle hängt von Nachricht und Daten ab. EU-SMTP-Endpunkt für Stage ist belegt; tatsächliche Kontoregion, weitere Verarbeitung und Aufbewahrung ungeklärt. |
| Google Gmail; tatsächliches Google-Vertragsunternehmen sowie Konto- und Dienstbedingungen zu prüfen | Am 7. Oktober 2026 vom Betreiber bestätigtes Empfangspostfach des Unternehmens: Anfragen, Kontakt-, Weiterleitungs- und Eingangsnachweise, Korrespondenz und ausgewählte Anhänge | Postfachverarbeitung für OwlMeans als Verantwortlichen. Für weisungsgebunden verarbeitete Supportdaten, für die der Kunde Verantwortlicher ist, sind vollständige Auftragsverarbeitungs- und Unterauftragsverarbeiterangaben erforderlich. Tatsächliches Konto beziehungsweise verwendeter Dienst, vertragliche Rolle, befugter Zugriff, Länder, Aufbewahrung, Auftragsverarbeitungsvereinbarung und Schutzmaßnahmen für Übermittlungen bleiben ungeklärt. |
| Google Tag Manager / Google Analytics; Vertragsunternehmen zu überprüfen | Betreiberbestätigte Messung: einwilligungsabhängige Browser- und Netzwerkkennungen und konfigurierte Ereignisse; kein Google Ads | Optionale Messung für OwlMeans als Verantwortlichen, keine allgemeine Verarbeitung von Projektinhalten. Tatsächliche Kontoeinstellungen, Mess-Tags, Ziele und Aufbewahrung ungeklärt. |
| Sentry; veröffentlichter Betreiber Functional Software, Inc. d/b/a Sentry, tatsächlicher Kontovertrag zu überprüfen | Betreiberbestätigte Diagnostik: Fehler, Anfrage und Kontext sowie Kennungen nach tatsächlicher Konfiguration | Unterauftragsverarbeiter, wenn Diagnoseinhalte kundenkontrollierte Daten enthalten; sonst Verarbeitung durch OwlMeans als Verantwortlichen. SDK-Umfang, Schwärzung, Sitzungswiedergabe, Standorte und Aufbewahrung ungeklärt. |
| OpenAI; tatsächliches Vertragsunternehmen zu bestätigen | Betreiberbestätigte aktive KI-Inferenz und Fallback: Prompts, ausgewählter Kontext, Anfrage- und Ergebnisdaten für Aufrufe dieses Dienstes | Unterauftragsverarbeiter bei weisungsgemäßer Verarbeitung personenbezogener Kundendaten; Rollen für den Verantwortlichen werden gesondert bewertet. Tatsächliches Konto, Regionen, Aufbewahrung und Übermittlungsgrundlage ungeklärt. |
| Anthropic; veröffentlichter EWR-Geschäftsvertragspartner Anthropic Ireland, Limited; tatsächliches Konto zu überprüfen | Betreiberbestätigte aktive KI-Inferenz: Prompts, ausgewählter Kontext sowie Anfrage- und Ergebnisdaten | Unterauftragsverarbeiter bei weisungsgemäßer Verarbeitung personenbezogener Kundendaten. Eine irische Vertragspartei belegt keine ausschließlich europäische Verarbeitung. Tatsächliches Konto, Aufbewahrung und Übermittlungsangaben ungeklärt. |
| OpenRouter; tatsächliches Vertragsunternehmen zu bestätigen | Betreiberbestätigte aktive KI-Routen und Modellzugriff: ausgewählte Inferenzanfragen und zugehörige Metadaten | Die Route kann einen zugrunde liegenden Modellempfänger hinzufügen. Vor Genehmigung der Verarbeitung von Kundendaten müssen die tatsächliche Route und der weitere Empfänger bestimmt werden. Standorte, Aufbewahrung und Schutzmaßnahmen ungeklärt. |
| Together AI; tatsächliches Vertragsunternehmen zu bestätigen | Betreiberbestätigter aktiver Modell- und Inferenzdienst: ausgewählte Anfragen und zugehörige Daten | Unterauftragsverarbeiter bei weisungsgemäßer Verarbeitung personenbezogener Kundendaten. Tatsächlicher Dienst, Kontounternehmen, Standorte, Aufbewahrung und Schutzmaßnahmen ungeklärt. |
| Hugging Face; tatsächliches Vertragsunternehmen zu bestätigen | Betreiberbestätigter aktiver Modellzugriff und Integration. Downloads legen Verbindungs- und Modellanfragemetadaten offen; gehostete Inferenz kann ausgewählte Prompts und Kontext erhalten. | Reinen Downloadzugriff, kundenseitig gewählte oder lokale Modelle und gehostete Inferenz unterscheiden. Ein Modelldownload übermittelt nicht zwangsläufig Projektdaten. Tatsächliches Produkt und Endpunkt, Rolle, Standorte und Vertragsangaben ungeklärt. |
| Cloudflare; tatsächliche vertragschließende Konzerngesellschaft zu bestätigen | Betreiberbestätigte aktive Netzwerk-, Domain- und Sicherheitsfunktionen: Verbindungs- und Anfragedaten sowie Inhalte, soweit der konfigurierte Dienst sie überträgt | Die Rolle hängt vom tatsächlichen Dienst ab. Hetzner bleibt der betreiberbestätigte Infrastrukturanbieter. Aktive Cloudflare-Nutzung belegt keine separate Speichervereinbarung. Edge-Verarbeitung, Protokolle, Kontounternehmen und Angaben zur Auftragsverarbeitung ungeklärt. |
| GitHub; tatsächliches Vertragsunternehmen zu bestätigen | Betreiberbestätigte aktive Repository- und OAuth-Vorgänge: freigegebene Identitäten, Berechtigungen, Token und Repository-Daten | Kundenseitig kontrollierte Verbindung und die Rolle von OwlMeans als Auftragsverarbeiter müssen unterschieden werden. Der Dienst wird nicht automatisch für alle Projekte bestellt. Tatsächliches Konto, Standorte und Schutzmaßnahmen ungeklärt. |
| Stripe; tatsächliches Vertragsunternehmen zu bestätigen | Betreiberbestätigte aktive Zahlungen: Zahlungszugangsdaten, Transaktions-, Abrechnungs- und Betrugsbekämpfungsinformationen | Zahlungsrollen und aufbewahrte Nachweise hängen von den tatsächlichen Diensten und Verträgen ab. Kein regulärer Empfänger von Projektinhalten festgestellt. Kontounternehmen, Standorte und Aufbewahrung ungeklärt. |
| Google reCAPTCHA; tatsächliches Google-Cloud-Vertragsunternehmen zu überprüfen | Am 7. Oktober 2026 vom Betreiber als aktiv bestätigt: Abwehr von Bots, Betrug und Missbrauch; Verbindungs-, Browser-, Geräte- und Prüfsignale, Verifizierungstoken und Bewertungsergebnisse, die die gewählte Integration zugänglich macht | Google verarbeitet reCAPTCHA-Kundendaten (reCAPTCHA Customer Data) als Auftragsverarbeiter nach den anwendbaren Google-Cloud-Bedingungen. Bei der Sicherung von OwlMeans-Konten oder der OwlMeans-Website erfolgt die Verarbeitung für OwlMeans als Verantwortlichen. Der Dienst ist nur bei weisungsgebundener Verarbeitung kundenkontrollierter Daten Unterauftragsverarbeiter des Kunden. Tatsächliches Unternehmen, Konfiguration, Standorte, Aufbewahrung und Schutzmaßnahmen für Übermittlungen müssen vervollständigt werden. |
| Google-Anmeldung; Konto- oder Dienstunternehmen zu bestätigen | Betreiberbestätigter aktiver Identitätsdienst: freigegebene Anmeldeidentität, Profil- und Authentifizierungsinformationen | Von Google-Messung getrennt. Tatsächliche Anmeldefelder und Berechtigungsumfänge, Konto- oder Dienstunternehmen, Standorte und Rolle müssen vervollständigt werden. |
2. Ausgewählte Routen und Genehmigungsbedingungen
2.1. Bei der Anbieterprüfung am 6. Oktober 2026 bestätigte der Betreiber die aktuelle Nutzung der zuvor aufgeführten Dienste; Google reCAPTCHA kam am 7. Oktober 2026 hinzu. Eine Route kann mehrere Empfänger einbeziehen; nicht jeder aktive Dienst wird für jede Anfrage ausgewählt. Kundenseitig gewählte oder lokale Inferenz und Integrationen generierter Anwendungen erfordern eine einzelne Bewertung. Unterstützte Adapter allein erlauben keine Verarbeitung. Deploymentkonfiguration und Vertragsangaben bleiben von der Bestätigung der Dienstnutzung getrennt. Google Ads, personalisiertes Marketing-Profiling, Partnermarketing sowie unabhängige Verbesserung und Training sind inaktive Plattformzwecke.
2.2. Für jeden aktiven Unterauftragsverarbeiter muss das veröffentlichte Verzeichnis tatsächliches Unternehmen, Dienst, Datenkategorien, Länder und Regionen, Aufbewahrung, den Mechanismus nach Kapitel V DSGVO und ergänzende Schutzmaßnahmen benennen. Öffentliche Anbieterbedingungen belegen keinen abgeschlossenen Auftragsverarbeitungsvertrag oder vereinbarte Standardvertragsklauseln. Keine ungeklärte Zeile erlaubt eine beschränkte Übermittlung. Die Wiederverwendung von Modellergebnissen für eigenes Training benötigt eine gesonderte Klärung der Anbieterrechte. Kundeneinwilligung allein genügt nicht.
2.3. Der konfigurierte Anfrageablauf der Website und Plattform nutzt Hetzner-Infrastruktur für die gesonderte Anfragedatenbank und Versandwarteschlange sowie Mailgun zur Übermittlung von Nachricht, Kontakt- und Weiterleitungsnachweisen und ausgewählten Anhängen an das Google-Gmail-Postfach von OwlMeans. Gmail empfängt und speichert Korrespondenz und Anhänge zur Bearbeitung von Unternehmensanfragen. Google reCAPTCHA verarbeitet Sicherheitssignale für diesen geschützten Ablauf. Einwilligungsabhängige Google-Messung kann das Öffnungsereignis und dessen Widget-, Themen- und Auslöserfelder erhalten; diese enthalten weder E-Mail-Adresse noch Text oder Dateien des Formulars. Das tatsächlich verwendete Gmail-Konto beziehungsweise der Dienst, das Google-Vertragsunternehmen, die vertragliche Rolle, befugter Zugriff, Länder, Aufbewahrung, Auftragsverarbeitungsvereinbarung, Schutzmaßnahmen für Übermittlungen und weitere Verarbeitung müssen vor der Aktivierung getrennt vom Mailgun-Transport geprüft werden. Messenger- und Videobeispiele im Formular begründen weder aktive Integrationen noch befugte Empfänger. Für seine eigene Kontaktverwaltung verarbeitet OwlMeans Anfragen als Verantwortlicher. Daten, für die der Kunde Verantwortlicher ist und die nach Supportweisungen verarbeitet werden, erfordern die entsprechenden Auftragsverarbeitungs- und Unterauftragsverarbeiterangaben. Dieser Dienst leitet Anfrageinhalte nicht automatisch an die aufgeführten KI-Anbieter oder an optionale Verbesserungs- und Trainingsdatensätze weiter.
3. Änderungen und regionale Rechte
3.1. Die Vereinbarung zur Auftragsverarbeitung regelt die vorherige Mitteilung von Anbieteränderungen, Widersprüche, gleichwertige Pflichten und die Verantwortung von OwlMeans. Aktuelle Informationen über Empfänger und Schutzmaßnahmen erhalten Sie beim Support. Dienste für OwlMeans als Verantwortlichen und optionales Tracking unterliegen der Datenschutzerklärung und der Cookie-Richtlinie. EU- und EWR-Übermittlungsregeln, anwendbare britische Regeln, Rollen nach US-Bundesstaatenrecht und zwingende Betroffenenrechte bleiben unberührt. Eine allgemeine Angemessenheit oder Speicherung ausschließlich in der EU wird nicht zugesagt.