Anlage 3 — Liste der Unterauftragsverarbeiter (Sub-Prozessoren)

gemäß Art. 28 Abs. 2, 4 DSGVO

Stand der Liste: 2026-10-12 · Entwurfsstand: 1.5

Der Auftragsverarbeiter setzt zur Erbringung der Leistung die nachfolgenden Unterauftragsverarbeiter ein. Diese gelten mit Abschluss des AVV als genehmigt (§ 7 Abs. 1 AVV). Drittland-Übermittlungen erfolgen auf Grundlage geeigneter Garantien gemäß Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO).

A. Kern-Sub-Prozessoren (planübergreifend)

Zu Zeile 1 — Region os-de2: geprüft im OVH-Manager am 2026-07-26 und gebunden an die konkrete Instanz dialoghub-prod-01 (vps-29dadab1, Frankfurt DE). Die Angabe ist damit instanzgebunden: wird der VPS neu aufgesetzt oder migriert, wird diese Zelle still falsch. Bei jedem Wechsel der Infrastruktur ist sie mit zu prüfen.

Zu Zeile 5 — Mistral AI: Die Anbindung erfolgt ausschließlich über den Standard-Endpunkt api.mistral.ai/v1/chat/completions. Der von Mistral daneben angebotene US-Endpunkt wird nicht verwendet, ebenso wenig die Zusatzfunktionen der Agents-API (u. a. Websuche und Bildgenerierung), über die Mistral eigene US-Unterauftragsverarbeiter einbindet. Nach dieser Konfiguration findet die Verarbeitung in der EU statt.

Ein absoluter Ausschluss einer Drittland-Übermittlung wird gleichwohl nicht behauptet: das Standard-DPA von Mistral sieht für Übermittlungen in Drittländer die EU-Standardvertragsklauseln vor, sagt also zu, dass eine solche Übermittlung abgesichert erfolgt — nicht, dass sie ausgeschlossen ist. Die Angabe dieser Zeile ist deshalb eine Eigenschaft unserer Konfiguration, nicht eine Eigenschaft des Produkts; ändert sich die Anbindung (US-Endpunkt, Agents-API), ist sie mit zu prüfen. Behauptet wird nur, was sich belegen lässt.

Zu Zeile 7 — Stripe: Verarbeitet werden Abrechnungsdaten des Verantwortlichen (Kontaktdaten, Rechnungsanschrift, Zahlungsmittel, Umsätze), nicht Daten der Website-Besucher des Verantwortlichen; die Zahlungsdaten selbst werden von Stripe erhoben und liegen zu keinem Zeitpunkt bei DialogHub.

Ausdrücklich festgehalten, weil es sonst still bliebe: Bei einer Löschung des DialogHub-Kontos wird das zugehörige Stripe-Objekt gelöscht, Rechnungen und die darin enthaltenen Angaben bleiben bei Stripe jedoch bestehen. Sie unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB) und stehen deshalb einem Löschverlangen nach Art. 17 DSGVO insoweit nicht offen (Art. 17 Abs. 3 lit. b DSGVO). Diese Zeile nennt das ausdrücklich, weil die übrigen Zeilen dieses Abschnitts keine vergleichbare Nachwirkung haben.

B. Funktions-/tarifabhängige Sub-Prozessoren

Diese Dienstleister werden nur eingesetzt, wenn der Verantwortliche die entsprechende Funktion oder den entsprechenden Tarif aktiviert.

YouTube Data API — kein Unterauftragsverarbeiter: Das YouTube-Insights-Zusatzmodul nutzt die YouTube Data API. Diese wird nach den YouTube API Services Terms of Service von der YouTube LLC (San Bruno, USA) nach deren eigenen Bedingungen erbracht; diese Bedingungen enthalten keine Vereinbarung über eine Verarbeitung im Auftrag. Die YouTube LLC verarbeitet die Abrufe daher nicht weisungsgebunden für DialogHub und wird in dieser Liste nicht geführt; die bisherige Zeile 13 (Google) ist mit dieser Fassung entfallen. Übermittelt werden ausschließlich die Suchbegriffe, die der Verantwortliche im Zusatzmodul selbst hinterlegt; personenbezogene Daten der Website-Besucher fließen nicht in diesen Abruf ein. Die YouTube LLC ist als Empfängerin mit der Grundlage der Übermittlung in die USA in der Datenschutzerklärung (Abschnitte 4 und 5) benannt. Behauptet wird nur, was sich belegen lässt.

---

C. Kundenseitig aktivierte Drittdienste

Aktiviert der Verantwortliche eine optionale Integration, übermittelt die Plattform die jeweils erforderlichen Daten (z. B. Name, E-Mail, gewählte Leistung, Zeitfenster, ggf. Notizen bei der Buchung; Nachrichteninhalte beim Messaging) an den vom Verantwortlichen selbst gewählten und mit dessen eigenen Zugangsdaten (API-Schlüssel bzw. Bot-Token) verbundenen Dienst:

Benachrichtigungen an den Verantwortlichen über den Plattform-Bot

Abweichend vom vorstehenden Absatz ist der folgende Bot nicht vom Verantwortlichen, sondern vom Auftragsverarbeiter eingerichtet: Hat der Verantwortliche in der Konsole Telegram-Benachrichtigungen aktiviert und dafür seinen Telegram-Chat verknüpft, versendet die Plattform Hinweise an diesen Chat über den Bot @DialogHubBot. Ohne aktive Verknüpfung gehen dieselben Hinweise per E-Mail an den Verantwortlichen.

• Anbieter: Telegram (Plattform-Bot @DialogHubBot)
• Funktion: Benachrichtigungen an den vom Verantwortlichen verknüpften Telegram-Chat; nur nach dessen Aktivierung
• Sitz: Telegram Messenger Inc., Tortola (Britische Jungferninseln); zur Unternehmensgruppe gehören ferner Telegram Group Inc. (Britische Jungferninseln) und Telegram FZ-LLC (Dubai, VAE)
• Datenstandort: —

Inhalt der Benachrichtigungen, je nach Ereignis:

• neue Anfrage aus dem Website-Widget: Name, E-Mail, Telefon, die ersten 300 Zeichen der Nachricht, ggf. Bewertung;
• Buchungen, Stornierungen und Verschiebungen über das Website-Widget: Zeitpunkt(e), Buchungsreferenz, bei einer neuen Buchung außerdem Name, E-Mail und die vom Verantwortlichen eingerichteten Zusatzfelder, ggf. der vom Besucher angegebene Grund; ebenso ein Hinweis, wenn eine gewünschte Stornierung oder Verschiebung nicht ausgeführt werden konnte;
• Entwürfe zur Freigabe (E-Mail-Antworten, Social-Media-Beiträge) mit ihrem Text;
• Konto- und Abrechnungshinweise (z. B. fehlgeschlagene Zahlung, erreichtes Kontingent).

Für Telegram liegt kein Angemessenheitsbeschluss nach Art. 45 DSGVO vor. Der Auftragsverarbeiter behauptet für diesen Empfänger weder Garantien nach Art. 46 DSGVO noch eine sonstige Übermittlungsgrundlage.

Offener Prüfpunkt [rechtliche Einordnung offen]: Da der Verantwortliche das jeweilige Konto selbst unterhält und die Daten in seine eigene Umgebung (Kalender, Telegram-Bot bzw. E-Mail-Postfach) fließen, ist einzuordnen, ob diese Dienste als Sub-Prozessoren des Auftragsverarbeiters (dann in Liste A/B aufzunehmen) oder als eigenständiges Verarbeitungsverhältnis des Verantwortlichen zu behandeln sind. Die Einordnung nimmt der Betreiber vor. Bis dahin werden sie hier separat geführt und sind nicht Bestandteil der pauschalen Sub-Prozessor-Genehmigung nach § 7 AVV. Für den Plattform-Bot trifft die Prämisse „eigenes Konto des Verantwortlichen“ nur auf den Chat zu, nicht auf den Bot; seine Einordnung ist gesondert offen [rechtliche Einordnung offen].

---

Änderungsverfahren

Beabsichtigte Änderungen (Hinzufügung/Ersetzung) der Sub-Prozessoren werden dem Verantwortlichen gemäß § 7 Abs. 2 AVV mitgeteilt. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb der dort genannten Frist widersprechen.

Konsistenz-Hinweis: Die Abschnitte A und B dieser Liste entsprechen dem Empfänger-/Auftragsverarbeiter-Abschnitt (§ 4) der öffentlichen Datenschutzerklärung; beide sind bei Stack-Änderungen gemeinsam zu pflegen. Ausgenommen ist die Zeile, deren Kanal noch nicht freigeschaltet ist (derzeit Zeile 12): sie erhält gegenwärtig keine Daten und ist deshalb dort noch nicht als Empfänger geführt; mit der Freischaltung wird sie aufgenommen. Die Dienste aus Abschnitt C sind dort nicht aufgeführt: der Verantwortliche unterhält das jeweilige Konto selbst, und ihre datenschutzrechtliche Einordnung ist der oben genannte offene Prüfpunkt. Solange er offen ist, wird für Abschnitt C weder eine Entsprechung noch deren Fehlen als abschließend behauptet.