Wer verarbeitet eure Daten

Jeder Unterauftragsverarbeiter, den wir beauftragen, wofür er zuständig ist und unter welcher Rechtsordnung er steht. Diese Liste wird direkt aus unserem Quellcode generiert – sie kann sich nicht stillschweigend von unserer tatsächlichen Infrastruktur entfernen.

Zuletzt aktualisiert: 2026-08-02

Automatisch aus unserem Unterauftragsverarbeiter‑Register generiert, nicht manuell gepflegt: Ein neuer Anbieter kann nicht heimlich hinzugefügt werden, und unser Build schlägt fehl, wenn Code einen Datenverarbeiter erreicht, der hier nicht aufgeführt ist.

Unsere Unterauftragsverarbeiter

Diese Unternehmen verarbeiten personenbezogene Daten in unserem Auftrag. Speicherung, Generierung und Embeddings laufen in EU‑Rechenzentren. Einige der unten aufgeführten Anbieter haben ihren Sitz außerhalb des Europäischen Wirtschaftsraums oder gehören zu einem Mutterunternehmen mit Sitz dort. Jede dieser Zeilen ist entsprechend gekennzeichnet: Der Gerichtsstand gibt an, wo ein Unternehmen rechtlich verpflichtet werden kann – das ist eine andere Frage als der physische Standort der Daten. Jede Zeile nennt die angewandte Übermittlungsgrundlage sowie die von diesem Anbieter wiederum beauftragten Unterauftragsverarbeiter.

Unterauftragsverarbeiter

Rechtsordnung

Rechtsgrundlage für Übermittlung

Status

Mistral AI SAS

KI‑Generierung: Chat‑Antworten, Planung, Agenten‑Schleife, Bildverarbeitung und Eingabemoderation. Einziger Anbieter für die Generierung; es gibt keinen EU‑externen Fallback.

Prompts enthalten Nutzeranfragen sowie Auszüge aus abgerufenen Dokumenten. Löschfristen und Opt‑out für Trainingsdaten sind kontenweite Einstellungen bei diesem Anbieter, nicht pro Anfrage, daher werden sie hier dokumentiert und nicht pro Aufruf bestätigt.

Wen sie ihrerseits beauftragen

Mistral Compute (FR): Cloud‑Infrastruktur für alle Produkte. Eigener Rechenzentrumsbereich, kein externer Dienstleister.
Microsoft Inc. (Land nicht von ihnen angegeben): Cloud‑Infrastruktur. Verarbeitung laut Angaben in Schweden und Norwegen.
Google LLC (Land nicht von ihnen angegeben): Cloud‑Infrastruktur. Verarbeitung laut Angaben in den Niederlanden, Belgien und den USA.
CoreWeave Inc. (Land nicht von ihnen angegeben): Inferenz‑Anbieter. Verarbeitung laut Angaben im EWR.
Cloudflare Inc. (Land nicht von ihnen angegeben): Sicherheit und Traffic‑Routing. Verarbeitung laut Angaben weltweit.

Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

eu-west (Frankreich)

Rechtsgrundlage für Übermittlung

Nur EU, keine Datenübermittlung in Drittländer

Status

Aktiv

Jina AI GmbH

Mutterunternehmen: Elastic N.V. (US)

Texteinbettungen und Neuordnung für die Dokumentenabfrage.

Seit dem 31. Juli 2026 für Kundendaten abgelehnt: Die Plattform startet nicht mit diesem Anbieter für Einbettungen in Produktion, daher kann er keine Kundendaten verarbeiten. Er bleibt aufgeführt, da die Zugangsdaten noch in der Entwicklung gelesen werden und er bis zur Einführung der EU‑Alternative der Standard in der Entwicklung bleibt: Einbettungs- und Neuordnungsmodelle, die wir selbst auf EU‑Hardware hosten, oder eine gemanagte API unter EU‑Jurisdiktion.

Noch nicht geklärt. Wir konnten nicht bestätigen, welche Unterauftragsverarbeiter dieser Anbieter einsetzt.

Rechtsordnung

eu-central (Berlin)

Rechtsgrundlage für Übermittlung

In Prüfung

Unterliegt nicht‑EU‑Rechtsprechung

Status

Aktiv

Supabase, Inc.

Primärer Datenspeicher: Postgres (Dokumente, Textausschnitte, Einbettungen, Mandanten), Authentifizierung und Standard‑Objektspeicher.

Wird durch eigene Postgres- und Objektspeicherlösungen auf EU‑Hardware ersetzt. Die Migration hat noch nicht begonnen; bis dahin verwaltet dieser Anbieter den Dokumentenbestand.

Wen sie ihrerseits beauftragen

Amazon Web Services, Inc (Land nicht von ihnen angegeben): Hosting.
Cloudflare, Inc (Land nicht von ihnen angegeben): Hosting.
Google, LLC (Land nicht von ihnen angegeben): Hosting.
Fly.io, Inc (Land nicht von ihnen angegeben): Hosting.
Upstash, Inc (Land nicht von ihnen angegeben): Serverloses Daten‑Hosting. Auch selbst ein Unterauftragsverarbeiter von uns.
Vercel, Inc (Land nicht von ihnen angegeben): Hosting. Auch selbst ein Unterauftragsverarbeiter von uns.

Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

aws eu-west-1 (Irland)

Rechtsgrundlage für Übermittlung

In Prüfung

Unterliegt nicht‑EU‑Rechtsprechung

Status

Aktiv

Upstash, Inc.

Redis: API‑Ratenbegrenzung, Sitzungswiderruf, Embedding‑Cache und Erkennung unmöglicher Reisewege.

Wird durch einen selbst gehosteten Cache auf EU‑Hardware ersetzt. Die Migration hat noch nicht begonnen; bis dahin übernimmt dieser Anbieter die Ratenbegrenzung und Caching‑Ebene.

Wen sie ihrerseits beauftragen

Amazon Web Services (US): Cloud‑Anbieter.
Google (US): Cloud‑Anbieter.
Cloudflare, Inc. (US): Cloud‑Dienste.
Humio (CrowdStrike Falcon LogScale) (DK): Protokollierung.

Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

Die Region ist im Code nicht festgelegt, und die Bereitstellungsregion dieses Anbieters für die Datenbank wurde nicht nachgewiesen. Enthält IP‑Adressen und Sitzungskennungen, daher können Art. 30 Abs. 1 Buchst. d–e nicht beantwortet werden.

Rechtsgrundlage für Übermittlung

In Prüfung

Unterliegt nicht‑EU‑Rechtsprechung

Status

Aktiv

Cloudflare, Inc.

DNS. Die Hauptdomain wird derzeit auch über einen Reverse‑Proxy geleitet, sodass Cloudflare TLS für sie terminiert.

Unsere geplante Haltung ist DNS‑only, sodass dieser Anbieter nur die Namensauflösung übernimmt, aber keine Anfrageinhalte sieht. Die Hauptdomain wird aktuell noch proxied, daher terminiert Cloudflare derzeit TLS und sieht Anfrageinhalte. Diese Zeile beschreibt den aktuellen Stand, nicht den angestrebten Endzustand.

Wen sie ihrerseits beauftragen

Amazon Web Services (AWS) (Land nicht von ihnen angegeben): E‑Mail‑Sicherheitsprodukt. Verarbeitung laut Angaben in den USA und im EWR.
Google LLC (Land nicht von ihnen angegeben): Developer Platform, Zero Trust und KI‑Gateway. Verarbeitung laut Angaben in EWR, USA, Australien und Indien.
Oracle America, Inc. (Land nicht von ihnen angegeben): Developer Platform und Cache Reserve. Verarbeitung laut Angaben in den USA, im EWR, UK, Japan, Australien, Kanada und Singapur.
CoreWeave, Inc. (Land nicht von ihnen angegeben): Workers KI. Verarbeitung in den USA.
Nebius BV (Land nicht von ihnen angegeben): Workers KI. Verarbeitung in England.

Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

Globaler Edge (Anycast).

Rechtsgrundlage für Übermittlung

In Prüfung

Unterliegt nicht‑EU‑Rechtsprechung

Status

Aktiv

Functional Software, Inc.

Überwachung von Anwendungsfehlern und Performance.

Die EU‑Datenerfassung ist im Code erzwungen: Der Client schlägt fehl, statt Daten an einen Nicht‑EU‑Endpunkt zu senden. Daher werden Fehlerereignisse, Spans und Protokolle in Frankfurt gespeichert. Sentry speichert jedoch unabhängig von der gewählten Region Konto- und Betriebsmetadaten in den USA (Cron‑Check‑ins, Organisationseinstellungen und Prüfprotokolle, Projektmetadaten, DSN‑Schlüssel, Zugriffstokens, Nutzungsdaten) und speichert Uptime‑Checks in beiden Regionen. Keine dieser Daten enthält personenbezogene Kundendaten, sodass kein Kapitel‑V‑Transfer daraus entsteht. Dennoch handelt es sich um einen US‑Speicher‑Restposten dieses Anbieters, der – wie der oben genannte Aufbewahrungsrestposten – mit dem Wechsel zu 0F Bugsink entfällt, wenn Fehlerverfolgung, Cron‑Heartbeat und Uptime‑Checks auf selbst gehostete Infrastruktur umziehen.

Wen sie ihrerseits beauftragen

Amazon Web Services, Inc. (Land nicht von ihnen angegeben): Cloud‑Infrastruktur. Verarbeitung laut Angaben in der EU und den USA.
Cloudflare, Inc. (Land nicht von ihnen angegeben): Cloud‑Infrastruktur. Verarbeitung laut Angabe in der EU und den USA.
Google LLC (Land nicht von ihnen angegeben): Cloud‑Infrastruktur. Verarbeitung laut Angabe in der EU und den USA.

Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

ingest.de.sentry.io (Deutschland)., US‑Region (Iowa) für Konto- und Betriebsmetadaten, die unabhängig von der Einstellung außerhalb der gewählten Region gespeichert werden (Cron‑Check‑ins, Organisationseinstellungen und Prüfprotokolle, Projektmetadaten, DSN‑Schlüssel, Tokens, Nutzungsdaten); Uptime‑Checks werden in beiden Regionen gespeichert. Keine personenbezogenen Kundendaten.

Rechtsgrundlage für Übermittlung

In Prüfung

Unterliegt nicht‑EU‑Rechtsprechung

Status

Aktiv

Sendinblue SAS (Brevo)

Transaktions‑E‑Mails (Benachrichtigungen, Konto‑Mails).

Inaktiv, bis BREVO_API_KEY bereitgestellt wird.

Wen sie ihrerseits beauftragen

Google Cloud Platform (FR): Hosting. Server laut Angabe in Belgien.
Scaleway (Iliad) (FR): Hosting. Server laut Angabe in Frankreich.
OVH (FR): Hosting. Server laut Angabe in Frankreich.
Hetzner Online GmbH (DE): Hosting. Server laut Angabe in Deutschland. Zudem selbst ein Unterauftragsverarbeiter von uns.
Cloudflare (US): CDN und WAF. Server laut Angabe in den USA und der EU.

Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

eu-west (Frankreich)

Rechtsgrundlage für Übermittlung

Nur EU, keine Datenübermittlung in Drittländer

Status

Aktiv

Hetzner Online GmbH

S3-kompatibler Objektspeicher für Rohdokument‑Daten.

Wird nur genutzt, wenn STORAGE_PROVIDER=s3; der Standard‑Speicheranbieter ist Supabase.

Wen sie ihrerseits beauftragen

Hetzner Finland Oy (FI): Gebäudemiete und technischer Support.
Hetzner US LLC (US): Servermiete für ihren US‑Standort. (bedient Regionen, die wir nicht nutzen, gemäß deren Offenlegung)
NTT Global Data Centers Americas, Inc. (US): Colocation für ihren US‑Standort. (bedient Regionen, die wir nicht nutzen, gemäß deren Offenlegung)
QTS Investment Properties Hillsboro, LLC (US): Colocation für ihren US‑Standort. (bedient Regionen, die wir nicht nutzen, gemäß deren Offenlegung)
Hetzner Singapore Pte. Ltd. (SG): Servermiete für ihren Singapur‑Standort. (bedient Regionen, die wir nicht nutzen, gemäß deren Offenlegung)
NTT Global Data Centers SG1 Pte Ltd (SG): Colocation für ihren Singapur‑Standort. (bedient Regionen, die wir nicht nutzen, gemäß deren Offenlegung)

Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

nbg1 (Nürnberg)

Rechtsgrundlage für Übermittlung

Nur EU, keine Datenübermittlung in Drittländer

Status

Aktiv

Vercel Inc.

Anwendungshosting und geplante Jobs (aktueller Deployment‑Zielserver).

Wird durch eigenbetriebene Anwendungshostinglösung auf EU‑Hardware ersetzt. Die Migration hat noch nicht begonnen; bis dahin stellt dieser Anbieter die Anwendung bereit.

Wen sie ihrerseits beauftragen

Amazon Web Services, Inc. (US): Hosting, Speicher und generative KI.
Google LLC (US): Cloud‑Computing, Speicher und generative KI.
Microsoft Corporation (US): Hosting, Speicher und generative KI.
Upstash, Inc. (US): Serverloser Speicher. Zudem ein eigenständiger Unterauftragsverarbeiter von uns.
Neon (US): Serverless‑Speicher.
Redis Labs, Inc. (US): Echtzeit‑Logging und Sicherheit.

Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.

Laut eigener Angabe geprüft am 2026-07-31

Rechtsordnung

globaler Edge‑Standort

Rechtsgrundlage für Übermittlung

In Prüfung

Unterliegt nicht‑EU‑Rechtsprechung

Status

Aktiv

Unterliegt nicht‑EU‑Rechtsprechung

Dieses Unternehmen oder seine Muttergesellschaft hat seinen Sitz außerhalb des EWR. Daher kann es ausländischen Rechtsvorschriften unterliegen, selbst wenn die Daten in der EU gespeichert sind.

Änderungen und euer Widerspruchsrecht

Wir kündigen neue Unterauftragsverarbeiter mindestens 30 Tage im Voraus an, und ihr könnt widersprechen. Jeder Eintrag zeigt das Startdatum an, nicht das Datum der Bearbeitung dieser Seite.

Maschinenlesbar

Diese Liste wird direkt aus einem Register in unserem Quellcode generiert. Sie aktualisiert sich automatisch, sobald sich der Code ändert – nicht erst, wenn sich jemand daran erinnert, eine Seite zu bearbeiten. Dasselbe Register wird als JSON unter der untenstehenden Adresse veröffentlicht. Es enthält jeden Eintrag mit seinem Status, einschließlich geplanter Ergänzungen während der Ankündigungsfrist und entfernter Anbieter. So lassen sich Änderungen einfach mit einer früheren Version vergleichen, statt sie blind zu übernehmen.

/api/trust/subprocessors