Rechtliches
Liste der Unterauftragsverarbeiter
Entwurf, Fassung vom 05.10.2026. Rechtlich verbindlich ist die deutsche Fassung.
Angaben folgen nach GründungDie Angaben zum Unternehmen fehlen noch und sind im Text markiert. Sie werden ergänzt, sobald die Gesellschaft eingetragen ist.
Entwurf, juristische Prüfung ausstehend. Version 1.0, Stand 05.10.2026 (Ergänzung elunos AI). Dieses Dokument wurde ohne anwaltliche Prüfung erstellt und darf nicht ohne Freigabe durch eine Anwältin oder einen Anwalt verwendet werden.
Anlage 2 zu den Auftragsverarbeitungsverträgen von preqo
Herausgeber: [Firmenname] [Rechtsform], [Straße und Hausnummer], [PLZ] [Ort], [Land]
preqo setzt die folgenden Unterauftragsverarbeiter ein. Bei Kunden einer Agentur ist zusätzlich preqo selbst Unterauftragsverarbeiter der Agentur.
| Name | Zweck | Region/Sitz | Rechtsgrundlage für Übermittlung | DPA |
|---|---|---|---|---|
| Supabase Inc. | Datenbank (Postgres), Authentifizierung, Dateispeicher | Sitz USA; Verarbeitung im Rechenzentrum Frankfurt am Main (AWS, Region eu-central-1) | Speicherung in der EU; für mögliche Zugriffe aus den USA: EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) | [Link DPA Supabase] |
| Vercel Inc. | Hosting der Anwendung, Serverfunktionen, Auslieferung | Sitz USA; Funktionen in Region Frankfurt (fra1); Logs und Build-Prozesse global | EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) | [Link DPA Vercel] |
| Resend Inc. | Versand transaktionaler E-Mails (Einladungen, Exposés, Lead-Hinweise, Kontingent-Hinweise, Datenexporte, Anmelde- und Passwort-Mails); Öffnungs- und Klick-Tracking ausgeschaltet | Sitz USA; Versand über Region eu-west-1 (Irland, AWS) | EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) | [Link DPA Resend] |
| elunos.ai Labs UG (haftungsbeschränkt) | KI-Telefonie für den KI-Assistenten, Rufnummern und WhatsApp über die elunos-Partnerschaft der jeweiligen Agentur (Gesprächsführung, Transkription, Zusammenfassung, Aufzeichnung nur mit Einwilligung). Entwurf, Prüfung ausstehend | Sitz Frankfurt am Main; Hosting AWS Frankfurt (eu-central-1), Aufzeichnungen und Transkripte nur in Frankfurt | Verarbeitung in der EU; Unterauftragsverarbeiter von elunos mit Drittlandbezug siehe die folgenden Zeilen | [Link AVV elunos AI] |
| ElevenLabs Inc. (Unterauftragsverarbeiter von elunos AI) | Sprachverarbeitung und Sprachausgabe der KI-Anrufe (Conversational AI). Im Zero-Retention-Modus keine Speicherung bei ElevenLabs. Entwurf, Prüfung ausstehend | Sitz USA (Drittland); EU Data Residency | EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut AVV von elunos | [Link AVV elunos AI] |
| OpenAI (über ElevenLabs, Unterauftragsverarbeiter von elunos AI) | Sprachmodell für die Gesprächsführung, nur ohne Zero-Retention-Modus. Entwurf, Prüfung ausstehend | Sitz USA (Drittland) | EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut AVV von elunos | [Link AVV elunos AI] |
| Anthropic (über ElevenLabs, Unterauftragsverarbeiter von elunos AI) | Sprachmodell für die Gesprächsführung, nur ohne Zero-Retention-Modus. Entwurf, Prüfung ausstehend | Sitz USA (Drittland) | EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut AVV von elunos | [Link AVV elunos AI] |
| Google Vertex AI (Unterauftragsverarbeiter von elunos AI) | Sprachmodell für die Gesprächsführung im Zero-Retention-Modus (nur EU). Entwurf, Prüfung ausstehend | Irland und Belgien (EU) | Verarbeitung in der EU | [Link AVV elunos AI] |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung für preqo (Stripe Payments Europe, Ltd.): Abonnements, Rechnungen, Gutschriften, Zahlungsmittel und Kundenportal, Steuerberechnung (Stripe Tax, falls aktiviert). Daten: Firmenname, Rechnungsadresse, E-Mail der Admin-Person, USt-IdNr., Abo-, Rechnungs- und Zahlungsdaten (Karten- und SEPA-Daten erhebt Stripe direkt, preqo speichert sie nicht); keine Lead-Daten. Entwurf, Prüfung ausstehend | Sitz Dublin, Irland; Verarbeitung auch durch Stripe, Inc. (USA) und weitere Konzerngesellschaften möglich | Innerhalb der EU; für Übermittlungen an Stripe, Inc. (USA, Drittland): EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut Stripe Data Processing Agreement | [Link DPA Stripe] |
| Meta Platforms Ireland Ltd. | Nur wenn der Kunde Meta-Lead-Formulare als Lead-Quelle verbindet: Abruf der Leads aus Lead-Formularen (Facebook und Instagram) über die Graph API, Seiten-Token verschlüsselt im Supabase Vault. Entwurf, Prüfung ausstehend | Sitz Irland; Konzernübermittlung an Meta Platforms Inc. (USA) möglich | Innerhalb der EU; für Konzernübermittlungen: EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut Bedingungen von Meta | [Link DPA Meta] |
| Google Ireland Ltd. (Google Calendar API) | Nur wenn eine Person ihren Google-Kalender verbindet: Abfrage belegter Zeiten (Frei/Belegt), Anlegen und Löschen gebuchter Termine mit Titel, Zeit, Ort und optionalem Google-Meet-Link. OAuth-Tokens verschlüsselt im Supabase Vault. Entwurf, Prüfung ausstehend | Sitz Irland; Verarbeitung durch Google LLC (USA) und weltweite Rechenzentren möglich | Innerhalb der EU; für Übermittlungen an Google LLC: EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut Google Cloud/Workspace Data Processing Terms | [Link DPA Google] |
| Microsoft Ireland Operations Ltd. (Microsoft Graph, Outlook-Kalender) | Nur wenn eine Person ihren Outlook- oder Microsoft-365-Kalender verbindet: Abfrage belegter Zeiten, Anlegen und Löschen gebuchter Termine mit Titel, Zeit, Ort und optionalem Teams-Link. OAuth-Tokens verschlüsselt im Supabase Vault. Entwurf, Prüfung ausstehend | Sitz Irland; Verarbeitung je nach Tenant in der EU Data Boundary, sonst auch durch Microsoft Corporation (USA) möglich | Innerhalb der EU; für Übermittlungen an Microsoft Corporation: EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut Microsoft Products and Services DPA | [Link DPA Microsoft] |
| Anthropic PBC (Claude API) | Nur wenn die Agentur den AI Assistant für einen Workspace einschaltet (Standard aus): Beantwortung von Fragen und Vorbereitung von Aktionen im Chat; außerdem KI-Anpassung von Mail-Vorlagen (nur Vorlagen-HTML, Betreff, Anweisung und Brand-Kit, keine Lead-Daten). An die API gehen die Chat-Nachrichten und gekürzte Ergebnisse der Plattform-Abfragen (höchstens 25 Einträge je Liste), bei CSV-Importen nur Dateiname, Kopfzeile und Zeilenzahl. Entwurf, Prüfung und AVV ausstehend | Sitz USA (Drittland); die Claude API verarbeitet standardmäßig in den USA, eine EU-Verarbeitung (Parameter inference_geo) ist zu prüfen | Zu prüfen: EU-US Data Privacy Framework (Art. 45 DSGVO) und Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) laut Commercial Terms und DPA von Anthropic | [Link DPA Anthropic] |
Hinweise
- Weitergabepflicht. Diese Liste ist allen Kunden zur Verfügung zu stellen, bei Kunden einer Agentur durch die Agentur. Sie ist in der Plattform unter den Datenschutz-Einstellungen jederzeit in der aktuellen Version abrufbar.
- Änderungen. Jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters wird allen Agenturen und Direktkunden mindestens [Frist Mitteilung neuer Unterauftragsverarbeiter (Tage)] Tage vorher in Textform und in der Plattform mitgeteilt. Agenturen leiten die Mitteilung an ihre Kunden weiter. Es besteht ein Widerspruchsrecht nach dem jeweiligen Auftragsverarbeitungsvertrag.
- Versionierung. Jede Änderung erzeugt eine neue Version dieser Liste mit eigenem Inhalts-Hash.
- EU-Verarbeitung. Anbieter für Telefonie und Sprachverarbeitung werden nur eingesetzt, wenn die Verarbeitung personenbezogener Daten vollständig in der EU erfolgt. Für den Sprachmodell-Anbieter ist dies ebenfalls anzustreben; ist es nicht möglich, ist die Rechtsgrundlage der Übermittlung vor Einsatz zu prüfen und hier einzutragen.
- Prüfung. Die Angaben zu Supabase, Vercel, Resend und Stripe (Sitz, Zertifizierung unter dem Data Privacy Framework, aktuelle DPA) sind vor Verwendung gegen die aktuellen Verträge der Anbieter zu prüfen.
- elunos AI (Entwurf, Prüfung ausstehend). KI-Anrufe, Rufnummern und WhatsApp laufen über elunos AI. Jede Agentur hat eine eigene elunos-Partnerschaft und einen eigenen Space. Offen ist, ob elunos Unterauftragsverarbeiter von preqo oder direkt der Agentur ist (docs/integrations/elunos.md, Frage 5); davon hängt ab, ob die elunos-Zeilen in dieser Liste oder in der Liste der Agentur stehen. Der Einsatz ist nur mit aktiviertem Zero-Retention-Modus zulässig (keine Speicherung bei ElevenLabs, Sprachmodell nur über Google Vertex AI in der EU, kein Routing außerhalb der EU). Ohne diesen Modus verarbeiten ElevenLabs, OpenAI und Anthropic Daten in den USA (Drittland), was Hinweis 4 widerspricht. Weitere Unterauftragsverarbeiter laut AVV von elunos (Version 2026-09): elunos GmbH (Deutschland), AWS EMEA (Luxemburg), Sentry (USA), Cloudflare (USA). Alle Angaben sind vor Verwendung gegen den aktuellen AVV von elunos und anwaltlich zu prüfen.
- Meta-Lead-Formulare (Phase 20, Entwurf, Prüfung ausstehend). Meta erhebt die Daten im Lead-Formular selbst; preqo ruft sie im Auftrag des Kunden ab. Zu prüfen ist die Rolle von Meta (Auftragsverarbeiter des Kunden laut Lead-Ads-Bedingungen und Data Processing Terms von Meta oder eigener Verantwortlicher) und ob Meta deshalb in diese Liste, in die Liste des Kunden oder nur als Empfänger in den Datenschutzhinweis gehört. Einwilligungen (zum Beispiel KI-Anruf) gelten nur, wenn das Formular von Meta eine eigene Checkbox mit dokumentiertem Wortlaut enthält und die Quelle diese Checkbox zuordnet (docs/lead-quellen.md).
- Kalender von Google und Microsoft (Phase 19, Entwurf, Prüfung ausstehend). Die Anbindung ist freiwillig und je Person. Übermittelt werden nur Zeiten, Titel und Ort gebuchter Termine; Teilnehmer werden nicht eingetragen, Einladungen versendet preqo selbst. Zu prüfen ist, ob Google und Microsoft bei verbundenen Konten von Kunden-Mitarbeitern als Unterauftragsverarbeiter von preqo oder als Anbieter des Kunden einzuordnen sind, und ob die Übermittlung in die USA für Konten außerhalb der EU Data Boundary zulässig ist. Die Anbindung bleibt abgeschaltet, solange GOOGLE_CLIENT_ID und MICROSOFT_CLIENT_ID nicht gesetzt sind.
- Anthropic, AI Assistant und KI-Mailvorlagen (Entwurf, Prüfung und AVV ausstehend). Der AI Assistant ist je Workspace standardmäßig ausgeschaltet und kann nur von der Agentur (beim Direktkunden vom Plattformbetreiber) eingeschaltet werden. Bis die Prüfung abgeschlossen, der AVV (DPA) mit Anthropic geschlossen und die EU-Verarbeitung geklärt ist, wird der AI Assistant nur mit Demodaten genutzt. Die Claude API verarbeitet standardmäßig in den USA; zu prüfen ist, ob über den Parameter inference_geo eine Verarbeitung in der EU möglich ist, sonst gilt Hinweis 4 (Rechtsgrundlage der Übermittlung vor Einsatz prüfen). Zu prüfen ist außerdem die Aufbewahrung bei Anthropic (Standard laut Anthropic befristet, Zero Data Retention auf Antrag). Technische Details: docs/assistant.md.
- Stripe (Entwurf, Prüfung ausstehend). Stripe wird mit BILLING_PROVIDER=stripe genutzt (docs/go-live.md, Abschnitt Stripe). Vertragspartner für Kunden im EWR ist Stripe Payments Europe, Ltd. (Irland). Zu prüfen ist die Rolle: Für die Abrechnung handelt Stripe als Auftragsverarbeiter, für Zahlungsdaten zum Teil als eigener Verantwortlicher (Betrugsprävention, Geldwäscheprüfung, Vorgaben der Kartennetzwerke), was im Datenschutzhinweis zu nennen wäre. Metadaten an Checkout-Sitzungen enthalten Firmenname, Ort und die E-Mail der Admin-Person, damit der Webhook die Provisionierung ausführen kann; Lead-Daten gehen nie an Stripe. Live-Betrieb erst nach anwaltlicher Prüfung und Freigabe.