Anlage 3 — Liste der Unterauftragsverarbeiter (Sub-Prozessoren)

gemäß Art. 28 Abs. 2, 4 DSGVO

Stand der Liste: 2026-08-14 · Entwurfsstand: 1.0

Der Auftragsverarbeiter setzt zur Erbringung der Leistung die nachfolgenden Unterauftragsverarbeiter ein. Diese gelten mit Abschluss des AVV als genehmigt (§ 7 Abs. 1 AVV). Drittland-Übermittlungen erfolgen auf Grundlage geeigneter Garantien gemäß Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO).

A. Kern-Sub-Prozessoren (planübergreifend)

Zu Zeile 1 — Region os-de2: geprüft im OVH-Manager am 2026-07-26 und gebunden an die konkrete Instanz dialoghub-prod-01 (vps-29dadab1, Frankfurt DE). Die Angabe ist damit instanzgebunden: wird der VPS neu aufgesetzt oder migriert, wird diese Zelle still falsch. Bei jedem Wechsel der Infrastruktur ist sie mit zu prüfen.

Zu Zeile 5 — Mistral AI: Die Anbindung erfolgt ausschließlich über den Standard-Endpunkt api.mistral.ai/v1/chat/completions. Der von Mistral daneben angebotene US-Endpunkt wird nicht verwendet, ebenso wenig die Zusatzfunktionen der Agents-API (u. a. Websuche und Bildgenerierung), über die Mistral eigene US-Unterauftragsverarbeiter einbindet. Nach dieser Konfiguration findet die Verarbeitung in der EU statt.

Ein absoluter Ausschluss einer Drittland-Übermittlung wird gleichwohl nicht behauptet: das Standard-DPA von Mistral sieht für Übermittlungen in Drittländer die EU-Standardvertragsklauseln vor, sagt also zu, dass eine solche Übermittlung abgesichert erfolgt — nicht, dass sie ausgeschlossen ist. Die Angabe dieser Zeile ist deshalb eine Eigenschaft unserer Konfiguration, nicht eine Eigenschaft des Produkts; ändert sich die Anbindung (US-Endpunkt, Agents-API), ist sie mit zu prüfen. Behauptet wird nur, was sich belegen lässt.

Zu Zeile 7 — Stripe: Verarbeitet werden Abrechnungsdaten des Verantwortlichen (Kontaktdaten, Rechnungsanschrift, Zahlungsmittel, Umsätze), nicht Daten der Website-Besucher des Verantwortlichen; die Zahlungsdaten selbst werden von Stripe erhoben und liegen zu keinem Zeitpunkt bei DialogHub.

Ausdrücklich festgehalten, weil es sonst still bliebe: Bei einer Löschung des DialogHub-Kontos wird das zugehörige Stripe-Objekt gelöscht, Rechnungen und die darin enthaltenen Angaben bleiben bei Stripe jedoch bestehen. Sie unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) und stehen deshalb einem Löschverlangen nach Art. 17 DSGVO insoweit nicht offen (Art. 17 Abs. 3 lit. b DSGVO). Diese Zeile nennt das ausdrücklich, weil die übrigen Zeilen dieses Abschnitts keine vergleichbare Nachwirkung haben.

B. Funktions-/tarifabhängige Sub-Prozessoren

Diese Dienstleister werden nur eingesetzt, wenn der Verantwortliche die entsprechende Funktion oder den entsprechenden Tarif aktiviert.

Zu Zeile 13 — Google: Übermittelt werden die vom Verantwortlichen selbst eingegebenen Suchbegriffe; personenbezogene Daten der Website-Besucher fließen nicht in diesen Abruf ein. Die Zeile wird geführt, bevor das Zusatzmodul freigeschaltet ist, damit der Abruf nicht vor seiner Nennung stattfinden kann. Eine Drittland-Garantie wird hier nicht behauptet: welche Google-Einheit Vertragspartner ist, hängt von der Abrechnungseinheit des Kontos ab und ist noch nicht festgelegt. Sie wird vor der Freischaltung bestimmt und an dieser Stelle nachgetragen. Behauptet wird nur, was sich belegen lässt.

---

C. Kundenseitig aktivierte Drittdienste

Aktiviert der Verantwortliche eine optionale Integration, übermittelt die Plattform die jeweils erforderlichen Daten (z. B. Name, E-Mail, gewählte Leistung, Zeitfenster, ggf. Notizen bei der Buchung; Nachrichteninhalte beim Messaging) an den vom Verantwortlichen selbst gewählten und mit dessen eigenen Zugangsdaten (API-Schlüssel bzw. Bot-Token) verbundenen Dienst:

Offener Prüfpunkt [rechtliche Einordnung offen]: Da der Verantwortliche das jeweilige Konto selbst unterhält und die Daten in seine eigene Umgebung (Kalender, Telegram-Bot bzw. E-Mail-Postfach) fließen, ist einzuordnen, ob diese Dienste als Sub-Prozessoren des Auftragsverarbeiters (dann in Liste A/B aufzunehmen) oder als eigenständiges Verarbeitungsverhältnis des Verantwortlichen zu behandeln sind. Die Einordnung nimmt der Betreiber vor. Bis dahin werden sie hier separat geführt und sind nicht Bestandteil der pauschalen Sub-Prozessor-Genehmigung nach § 7 AVV.

---

Änderungsverfahren

Beabsichtigte Änderungen (Hinzufügung/Ersetzung) der Sub-Prozessoren werden dem Verantwortlichen gemäß § 7 Abs. 2 AVV mitgeteilt. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb der dort genannten Frist widersprechen.

Konsistenz-Hinweis: Die Abschnitte A und B dieser Liste entsprechen dem Empfänger-/Auftragsverarbeiter-Abschnitt (§ 4) der öffentlichen Datenschutzerklärung; beide sind bei Stack-Änderungen gemeinsam zu pflegen. Ausgenommen sind die Zeilen, deren Kanal oder Zusatzmodul noch nicht freigeschaltet ist (derzeit die Zeilen 12 und 13): sie erhalten gegenwärtig keine Daten und sind deshalb dort noch nicht als Empfänger geführt; mit der Freischaltung werden sie aufgenommen. Die Dienste aus Abschnitt C sind dort nicht aufgeführt: der Verantwortliche unterhält das jeweilige Konto selbst, und ihre datenschutzrechtliche Einordnung ist der oben genannte offene Prüfpunkt. Solange er offen ist, wird für Abschnitt C weder eine Entsprechung noch deren Fehlen als abschließend behauptet.