Anlage 3: Unterauftragsverarbeiter
Stand: 17. August 2026
Diese Anlage ist Bestandteil des Auftragsverarbeitungsvertrags zwischen dem Kunden und der Unbogify GmbH, Zelterstr. 10, 10439 Berlin (der "Auftragsverarbeiter"), die den Dienst unter dem Namen Steerd betreibt. Ziffer 5 jenes Vertrags regelt, wie sich diese Liste ändert und wie der Kunde widerspricht.
1. Die hinzugezogenen Unterauftragsverarbeiter
Stand 13.08.2026 zieht der Auftragsverarbeiter für die Verarbeitung personenbezogener Daten im Auftrag des Kunden die folgenden Unterauftragsverarbeiter hinzu.
| Anbieter | Zweck | Ort der Verarbeitung | Grundlage der Übermittlung |
|---|---|---|---|
| Hetzner Online GmbH, Deutschland | Die Server, die Datenbank, der Cache und der Objektspeicher, auf denen Steerd läuft. Das ist die gesamte Anwendung | Deutschland (fsn1, Falkenstein) | Keine erforderlich (EWR) |
| Amazon Web Services | Nächtliche Sicherungen der Datenbank sowie Container-Images, die keine personenbezogenen Daten enthalten | Deutschland (eu-central-1, Frankfurt) | Im ruhenden Zustand keine erforderlich. Für eine Übermittlung gelten die Standardvertragsklauseln des AWS GDPR Data Processing Addendum |
| Amazon Web Services (SES) | Das Relay, das Transaktions-E-Mails zustellt, hinter dem eigenen selbst gehosteten Mailversand des Auftragsverarbeiters. Es sieht jede Empfängeradresse, jeden Betreff und jeden Nachrichtentext | Deutschland (eu-central-1, Frankfurt) | wie vor, gleiches Addendum und gleiches Konto |
| OpenAI Ireland Ltd | KI-gestützter Import. Nur auf Handlung des Kunden und beschränkt auf das eine Dokument oder die eine Seite, die der Kunde zum Import übergibt | Irland, mit anschließender Verarbeitung in den Vereinigten Staaten durch OpenAI OpCo, LLC | Für die Übermittlung an OpenAI Ireland keine erforderlich (EWR). Die Weiterübermittlung ist die von OpenAI Ireland selbst, auf Grundlage der Standardvertragsklauseln in deren Data Processing Addendum. OpenAI ist nicht nach dem EU-US Data Privacy Framework zertifiziert |
Jeder in der vorstehenden Tabelle genannte Anbieter hat seinen Sitz im Europäischen Wirtschaftsraum. Eine Übermittlung personenbezogener Daten in ein Drittland im Sinne des Kapitels V DSGVO findet insoweit nicht statt.
Beide Feststellungen betreffen allein die in diesem Abschnitt genannten Anbieter, also diejenigen, die der Auftragsverarbeiter selbst hinzuzieht und mit denen er einen Vertrag schließt. Ein Empfänger, den der Kunde bestimmt, gehört nicht dazu; solche Empfänger sind in Ziffer 4 aufgeführt. Die Beurteilung einer solchen Übermittlung obliegt demjenigen, der den Empfänger ausgewählt hat. Das ist hier der Kunde und nicht der Auftragsverarbeiter.
Die eine Weiterübermittlung in die Vereinigten Staaten, die in der Kette überhaupt vorkommt, ist die von OpenAI Ireland auf Grundlage von deren eigenem Vertrag. Ziffer 6 des Vertrags verpflichtet den Auftragsverarbeiter, den Kunden zu unterrichten, wenn eine von ihm in Anspruch genommene Übermittlungsgrundlage entfällt.
Der Auftragsverarbeiter hat mit jedem der genannten Anbieter einen Vertrag zur Auftragsverarbeitung geschlossen und stellt nach Ziffer 6.3 des Vertrags auf Anfrage eine Kopie zur Verfügung, geschwärzt nur soweit dies zum Schutz der Vertraulichkeit Dritter erforderlich ist.
2. Der KI-gestützte Import, gesondert dargestellt
Die letzte Zeile ist der einzige Fall in der vorstehenden Tabelle, in dem Inhalte des Kunden die eigene Infrastruktur des Auftragsverarbeiters verlassen, um von einem Modell gelesen zu werden. Deshalb steht sie hier ausgeschrieben und nicht nur in einer Tabellenzelle. Davon zu unterscheiden sind Antwortvorschläge, die ein vom Kunden selbst eingerichteter KI-Anbieter schreibt; sie sind in Ziffer 4 aufgeführt.
- Der Import erfolgt nur auf Veranlassung des Kunden. Nichts wird im Hintergrund, nach Zeitplan
oder als Teil der gewöhnlichen Nutzung des Dienstes übermittelt.
- Übermittelt wird das eine Dokument oder die eine Seite, die der Kunde zum Import übergibt, und
sonst nichts aus dem Konto.
- Es findet kein Training statt. Ziffer 2.5 des Vertrags ist die vertragliche Zusage, dass der
Auftragsverarbeiter personenbezogene Daten nicht zum Training von Modellen künstlicher Intelligenz verwendet, weder eigener noch solcher Dritter, und dass er keinem Verfahren zur Datenweitergabe oder Rückmeldung zustimmt, durch das sich das ändern würde.
- Inhalte, die an die API gehen, werden beim Anbieter höchstens 30 Tage zur Missbrauchserkennung
aufbewahrt und danach gelöscht. In diesem Zeitraum sind sie für Beschäftigte des Anbieters und für beauftragte Fachkräfte lesbar, die die Missbrauchsprüfung durchführen. Das ist eine Aussage über Aufbewahrung und Zugriff und keine über Training; beides steht hier getrennt, weil eine schnelle Lektüre es zusammenzieht.
3. Anbieter, die nach diesem Vertrag keine Unterauftragsverarbeiter sind
Ziffer 5.5 des Vertrags nimmt Anbieter aus, die personenbezogene Daten verarbeiten, für die der Auftragsverarbeiter selbst Verantwortlicher ist. Sie stehen hier, damit ihr Fehlen in der Tabelle oben nicht für ein Versehen gehalten wird:
| Anbieter | Was verarbeitet wird | Wessen Daten |
|---|---|---|
| Stripe | Zahlungen und Abrechnung des eigenen Vertrags des Kunden mit dem Auftragsverarbeiter | Die Abrechnungsbeziehung des Auftragsverarbeiters zum Kunden |
| Cloudflare | Bot-Schutz auf den Formularen der Marketing-Website des Auftragsverarbeiters | Besucher der Website des Auftragsverarbeiters |
| Google Ireland Ltd | Website-Analyse auf der Marketing-Website des Auftragsverarbeiters, abhängig von einer Einwilligung | Besucher der Website des Auftragsverarbeiters |
Sie als Unterauftragsverarbeiter zu führen, würde ihre Rolle falsch darstellen und dem Kunden ein Widerspruchsrecht über eine Verarbeitung geben, die nicht seine Daten betrifft. Sie sind in der Datenschutzerklärung des Auftragsverarbeiters benannt, wo die eigene Verarbeitung des Auftragsverarbeiters als Verantwortlicher hingehört.
Die eigene Steuerungsebene des Auftragsverarbeiters und sein selbst gehosteter Mailversand laufen auf eigener Infrastruktur in Deutschland und werden vom Auftragsverarbeiter selbst betrieben. Sie sind damit keine Dritten und werden nicht als Unterauftragsverarbeiter geführt.
4. Offenlegungen, die keine Auftragsverarbeitung sind
Keiner der folgenden Punkte ist ein Unterauftragsverarbeiter. Jeder ist ein Weg, auf dem personenbezogene Daten den Dienst verlassen können, weil der Kunde oder einer seiner Nutzer etwas tut. Sie stehen hier, damit eine Sicherheitsprüfung sie in diesem Dokument findet und nicht im Produkt.
| Was | Was an wen abfließt |
|---|---|
| Abruf des Website-Symbols | Trägt ein Nutzer die Adresse einer Website zu einer Organisation ein, so ruft der Server des Auftragsverarbeiters das Symbol dieser Website ab. Der Betreiber jener Website sieht diese Anfrage. Sie kommt vom Server des Auftragsverarbeiters. Es werden keine Nutzerkennung und kein Cookie übermittelt |
| Ein vom Kunden verbundenes Postfach | Die Zugangsdaten des Postfachs übermittelt der Auftragsverarbeiter über erzwungenes TLS an den Mailserver, den der Kunde bestimmt. Ein bestimmter Anbieter ist dafür nicht vorgegeben |
| Ein vom Kunden eingerichteter KI-Anbieter für Antwortvorschläge | Hat der Kunde eigene KI-Zugangsdaten hinterlegt und fordert ein Nutzer einen Antwortvorschlag an, so übermittelt der Auftragsverarbeiter den Nachrichtenverlauf an den Endpunkt, den der Kunde angegeben hat: höchstens zwölf Nachrichten daraus, jeweils nur in der Textfassung und nicht als HTML, jeweils mit Datum und, sofern vorhanden, mit Betreff. Bei einer empfangenen Nachricht kommt die Adresse des Absenders hinzu. Trug die Nachricht einen Anzeigenamen, so geht auch dieser mit. Eine Nachricht, die der Nutzer selbst gesendet hat, ist nur als solche gekennzeichnet und trägt weder Namen noch Adresse. Der Verlauf ist auf 12.000 Zeichen begrenzt, der Text je Nachricht auf 3.000 Zeichen; wird gekürzt, so weist ein Vermerk in der betroffenen Nachricht darauf hin. Übermittelt werden ferner die Anweisung des Nutzers, die Angaben, die in der Antwort erscheinen sollen (Verfügbarkeit, Ort und Arbeitsform), sowie aus den eigenen Daten des Kunden der Titel des verknüpften Projekts, der Name der Organisation und ihre Rolle in diesem Projekt und der Name des Kontakts. Dazu kommen Ton und Länge der Antwort: Beide wählt der Nutzer aus, übermittelt wird aber je eine fest vorgegebene Stilanweisung des Auftragsverarbeiters und nicht der Text des Nutzers. Soll die Antwort ein Honorar nennen, so gehen der Betrag, seine Währung und die Angabe mit, ob er pro Tag, pro Stunde oder als Festpreis gilt. Gehört das Honorar einem Kollegen und nicht dem Nutzer selbst, so geht auch dessen Name mit, sofern einer hinterlegt ist. Die Inhalte von Anhängen werden nicht gelesen, weitere Daten aus dem Konto nicht übermittelt. Ein Antwortvorschlag wird nur auf Anforderung eines Nutzers erstellt, und zwar mit dem Schlüssel des Kunden und auf dessen Kosten. Der Endpunkt kann in jedem Land liegen. Ein bestimmter Anbieter ist dafür nicht vorgegeben |
| Abgleich von Kontakten | Verbindet ein Nutzer ein Adressbuchprogramm, so fließen vollständige Kontaktdatensätze einschließlich Fotos zu dem Programm ab, das der Nutzer verbunden hat. Steerd ist dabei der Server und nicht der Client |
| Die Browser-Erweiterung | Liest die Seite, die der Nutzer gerade ansieht, wenn der Nutzer sie darum bittet. An die gelesene Website geht dabei nichts über das gewöhnliche Surfen dieses Nutzers hinaus |
5. Wie sich diese Liste ändert
Der Auftragsverarbeiter informiert den Kunden mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, unter Angabe des Anbieters, des Zwecks, des Orts der Verarbeitung, des geplanten Beginns und der Möglichkeit zum Widerspruch. Die Mitteilung ergeht an die Adressen nach Ziffer 11.4 des Vertrags, und der Kunde kann innerhalb dieser Frist aus berechtigten, den Datenschutz betreffenden Gründen widersprechen. Ziffer 5 des Vertrags regelt, was einem Widerspruch folgt, einschließlich des Kündigungsrechts des Kunden.
Die aktuelle Fassung dieser Anlage ist unter der Adresse veröffentlicht, die der Vertrag nennt, und der Auftragsverarbeiter hält sie aktuell.