1. Anwendungsbereich
Diese Liste beschreibt die Dienstleister, die Amerged B.V. für die nachstehend genannten Verarbeitungen einsetzt. Sie ist Bestandteil des Auftragsverarbeitungsvertrags (DPA), soweit der jeweilige Dienstleister personenbezogene Daten im Auftrag eines Kunden verarbeitet. Eine Nennung bedeutet nicht, dass jeder Anbieter bei jedem Projekt Zugriff auf alle Daten hat.
Für die öffentliche Website und unsere eigene Geschäftsverwaltung kann amerged selbst Verantwortlicher und der Anbieter Auftragsverarbeiter sein. Diese Verarbeitung ist in der Datenschutzerklärung beschrieben. Ein vom Kunden unmittelbar beauftragter Anbieter wird nicht allein durch eine technische Integration zu unserem Unterauftragsverarbeiter; die Verantwortlichkeiten werden im Auftrag festgelegt.
2. Infrastruktur, E-Mail und Rechnungsstellung
| Anbieter | Dienst und Daten | Standort und Übermittlungen |
|---|---|---|
| Contabo GmbH, Deutschland | Hosting und Infrastruktur für vereinbarte Kundenumgebungen. Kann je nach Auftrag Kundendateien, Datenbanken, Anwendungsdaten, Betriebsprotokolle und Sicherungskopien umfassen. | Das standardmäßige Kernhosting für Kundendienste befindet sich in München, Deutschland. Dieser Speicherort ist keine allgemeine Garantie für sämtliche Zugriffe des Anbieters oder seiner weiteren Auftragsverarbeiter. Für die gewählten Dienste gelten die abgeschlossenen Verarbeitungsvereinbarungen; etwaige Zugriffe aus Drittländern müssen Abschnitt 4 entsprechen. |
| Cloudflare, Inc., Vereinigte Staaten | Netzwerkschutz, Sicherheit und Verarbeitung des Datenverkehrs für betroffene Dienste. Für die öffentliche amerged-Website außerdem Auslieferung über Edge-Infrastruktur. Verarbeitet werden können IP-Adressen, Anfrage-Metadaten, Sicherheitsereignisse und bei entschlüsseltem Proxyverkehr auch Anfrageinhalte. | Internationales Netzwerk, unter anderem im EWR und in den USA; Länder und aktivierte Funktionen bestimmen den konkreten Verarbeitungsweg und Zugriff. Keine allgemeine Zusage ausschließlich europäischer Verarbeitung. Es gelten das anwendbare Cloudflare-DPA, Übermittlungsgarantien und eine gegebenenfalls ausdrücklich vereinbarte regionale Konfiguration. |
| Google — vertraglich genutzter E-Mail-/Cloudmaildienst | Geschäftliche E-Mail, Empfang von Kontaktformularnachrichten und Supportkorrespondenz. Verarbeitet E-Mail-Adressen, Nachrichteninhalte, etwaige Anhänge sowie Zustellungs- und Sicherheitsmetadaten. Auftragsverarbeiter für unsere eigene Korrespondenz; Unterauftragsverarbeiter für Kundeninhalte nur, wenn deren Verarbeitung über den vereinbarten Supportkanal zulässig ist. | Googles aktuelle Gesellschaftsübersicht nennt Google Cloud EMEA Limited, Irland, in der Regel als Vertragspartner für niederländische Workspace- und Cloud-Konten; maßgeblich ist der tatsächliche Kontovertrag. Infrastruktur und Supportketten können weltweit sein. Es gelten das anwendbare Google-CDPA, Übermittlungsgarantien und die tatsächlich eingestellten regionalen Funktionen. |
| Resend — Plus Five Five, Inc., Vereinigte Staaten | Zustellung von Kontaktformularnachrichten über das von amerged betriebene ohmyho.st-Mailgateway an das Google-Postfach. Verarbeitet Absender- und Empfängerangaben, Nachrichteninhalte und Zustellungsmetadaten. Bei diesem allgemeinen Formular ist Resend Auftragsverarbeiter für amerged als Verantwortlichen. | US-Anbieter mit weiteren Dienstleistern; keine allgemeine EU-Beschränkung für die E-Mail-Zustellung. Es gelten das Resend-DPA und die anwendbaren Übermittlungsgarantien. |
Cloudflares Rolle bei der Websiteauslieferung ist von der Wahl von Contabo für das Kernhosting von Kundendiensten zu unterscheiden. ohmyho.st ist für die amerged-Website ein von Amerged B.V. selbst betriebener Dienst und hier kein eigenständiger externer Unterauftragsverarbeiter. Die externe Infrastrukturrolle von Cloudflare bleibt relevant.
Rechnungsstellung über Revolut Business. Für Rechnungen und Zahlungsverwaltung nutzen wir Revolut Business. Die Verarbeitung kann Kontakt- und Rechnungsangaben, Rechnungspositionen, Zahlungsreferenzen und Transaktionsstatus umfassen. Für eigene Bank-, gesetzliche und Betrugspräventionszwecke ist Revolut eigenständig Verantwortlicher. Die niederländischen Datenschutzinformationen nennen Revolut Bank UAB als primär Verantwortlichen im EWR; die anwendbaren Kontobedingungen bestimmen die beteiligte Gesellschaft und die Rolle bei einzelnen Rechnungsfunktionen. Revolut ist nicht allein deshalb Unterauftragsverarbeiter von Kundenanwendungsinhalten, weil wir es für unsere Rechnungsstellung nutzen. Die internationale Dienstleistung kann Übermittlungen außerhalb des EWR umfassen.
Support und Kundeninhalte. Gewöhnliche Support-E-Mails laufen über Google und sind für administrative Korrespondenz und Problembeschreibungen vorgesehen. Produktionsdaten oder Dateien mit personenbezogenen Kundendaten dürfen nur über einen vorher vereinbarten, geeigneten Supportkanal geteilt werden. Google wird für solche Inhalte nur als Unterauftragsverarbeiter eingesetzt, wenn das vereinbarte Verfahren und die Löscheinstellungen die DPA-Fristen gewährleisten. Eine allgemeine Löschfrist eines Anbieters verlängert unsere vertraglichen Fristen nicht automatisch.
3. Optionale KI-Ausführung über orq.ai
orq.ai wird für einen Kunden ausschließlich aktiviert, wenn der Auftrag dies umfasst. Die öffentlichen Datenschutzinformationen nennen Orq.AI Holding B.V., Niederlande als Plattformanbieter. Die tatsächlich vertraglich eingebundene Gesellschaft wird vor der Verarbeitung personenbezogener Daten im Auftrag oder im zugehörigen Verarbeitungsverzeichnis festgehalten.
Die Funktion besteht in der Steuerung und Verwaltung vereinbarter LLM-Aufrufe. amerged nutzt über orq.ai Modelle, die den anwendbaren Verpflichtungen des EU AI Act entsprechen, auf in der EU gehosteter Infrastruktur; die Modellausführung findet in der EU statt. Je nach Konfiguration können Prompts, Kontext, Modellantworten, Benutzer- oder Anfragekennungen, Nutzungsmetadaten und Ausführungsprotokolle verarbeitet werden. Der Auftrag bestimmt die EU-Endpunkte und zulässigen Ausweichwege innerhalb der EU. Unterstützung, Telemetrie und weitere Anbieter werden gesondert geprüft; die Zusage zur Modellausführung macht getrennte E-Mail-, Netzwerk- oder Verwaltungsverarbeitungen nicht automatisch ausschließlich europäisch.
Vor der Aktivierung enthält der Auftrag oder die zugehörige, dem Kunden bereitgestellte Liste mindestens:
- die vertraglich eingebundene orq.ai-Gesellschaft und die relevanten weiteren Dienstleister;
- die gewählten Modellanbieter, Modelle, Endpunkte und Verarbeitungsregionen;
- welche personenbezogenen Daten übermittelt werden dürfen und ob Inhalte protokolliert werden;
- die Aufbewahrungsfristen für Prompts, Antworten, Telemetrie und Wiederherstellungskopien;
- die Vereinbarungen zur Nutzung für Modelltraining und zum Supportzugriff;
- zulässige Ausweichwege für die Modellausführung innerhalb der EU, etwaige zusätzliche Support- oder Telemetrieverarbeitungen außerhalb des EWR und die zugehörigen Garantien.
Nicht benannte Modellanbieter sind durch diese allgemeine Nennung nicht genehmigt. Der Wechsel zu einem neuen Anbieter oder einem wesentlich anderen Verarbeitungsweg unterliegt dem DPA und dem nachstehenden Änderungsverfahren. Es erfolgt kein stillschweigendes Ausweichen in eine nicht vereinbarte Region. Ohne vereinbarte KI-Option bleibt diese Lieferkette außerhalb der betreffenden Dienstleistung.
4. Weitere Auftragsverarbeiter und Übermittlungsgarantien
Unsere Anbieter können zur Leistungserbringung weitere Auftragsverarbeiter einsetzen. Die relevante Kette wird anhand des tatsächlich genutzten Dienstes und der anwendbaren Verarbeitungsvereinbarung geprüft. Ein Link zu einer allgemeinen Anbieterliste bedeutet nicht, dass alle dort genannten Parteien personenbezogene Daten jedes amerged-Kunden verarbeiten, und erteilt keine unbegrenzte Genehmigung neuer Verarbeitungen.
Verarbeitung außerhalb des EWR erfordert eine gültige Grundlage nach Kapitel V DSGVO. Dies kann ein anwendbarer Angemessenheitsbeschluss oder die europäischen Standardvertragsklauseln mit einer Bewertung und erforderlichen ergänzenden Maßnahmen sein. Das EU–US Data Privacy Framework wird nur für einen aktuell zertifizierten Empfänger und eine Verarbeitung innerhalb des Geltungsbereichs dieser Zertifizierung genutzt. Siehe unsere SCC-Informationen. Eine Kundenvereinbarung über ausschließlich europäische Verarbeitung muss die gesamte relevante Kette einschließlich Unterstützung, Protokollen und Ausweichwegen abdecken.
Relevante Anbieterinformationen:
- Contabo — Informationen zur Auftragsverarbeitungsvereinbarung. Die Vereinbarung für die tatsächlich ausgewählten Dienste wird über das Contabo-Kundenportal abgeschlossen.
- Cloudflare — Data Processing Addendum und weitere Auftragsverarbeiter.
- orq.ai — Datenschutzinformationen und Trust Center. Für Kundeninhalte sind die vereinbarten Verarbeitungsbedingungen und die konkrete Modellkette maßgeblich.
- Google — Cloud Data Processing Addendum, Vertragsgesellschaften, Workspace-Unterauftragsverarbeiter und Cloud-Unterauftragsverarbeiter. Der tatsächlich genutzte Dienst bestimmt, welche Liste relevant ist.
- Resend — Data Processing Addendum und weitere Auftragsverarbeiter.
- Revolut Business — niederländische Datenschutzinformationen.
5. Änderungen und Fragen
Wir informieren den vertraglich benannten Kundenkontakt über den vereinbarten Kanal mindestens 30 Tage, bevor ein neuer oder ersetzender Unterauftragsverarbeiter für die betreffende Verarbeitung eingesetzt wird. Die Mitteilung nennt seine Identität, Tätigkeiten und relevanten Standorte. Der Kunde kann innerhalb der Mitteilungsfrist aus angemessenen datenschutzbezogenen Gründen begründet widersprechen. Die Behandlung von Widersprüchen und etwaige Folgen für den betroffenen Dienst richten sich nach dem DPA. Eine bloße Aktualisierung dieser Webseite ersetzt die erforderliche Mitteilung nicht.
Fragen können über unser Kontaktformular, an die benannte Vertragskontaktperson oder an Amerged B.V., zu Händen Datenschutz, Op de Smelen 1, 5863 BN Blitterswijck, Niederlande gerichtet werden. Die niederländische Fassung ist die Hauptfassung; die englische und deutsche Fassung sind Übersetzungen. Die oben angegebene Version gilt sowohl für die Webseite als auch für die aus derselben Quelle erzeugte PDF.