annibox · Subprozessoren

Vollständiges Verzeichnis der Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO – damit die Compliance-Prüfung ohne Rückfrage durchlaufen kann.

Eingesetzte Subprozessoren

Unternehmen	Leistung	Verarbeitungsort	Datenkategorien	Grundlage
dogado GmbH Dortmund, Deutschland	Virtueller Server, Rechenzentrum, Netzanbindung	Deutschland	Sämtliche im Dienst verarbeiteten Daten (Speicher und Arbeitsspeicher des Servers)	AVV nach Art. 28 DSGVO
IONOS SE Montabaur, Deutschland	Umrechnung von Textabschnitten in Zahlenvektoren, damit Dokumente durchsuchbar werden („AI Model Hub“, Modell `bge-m3`)	Deutschland	Nur Textabschnitte aus eingestellten Dokumenten, jeweils für die Dauer des Aufrufs. Keine Konto-, Zugangs- oder Metadaten.	AVV nach Art. 28 DSGVO

Das ist die vollständige Liste – es gibt keine weiteren Subprozessoren. Kein Mail-Versanddienst, kein Analyse-Dienst, kein Content-Delivery-Netzwerk, kein Zahlungsdienstleister im Produktbetrieb.

Wozu der zweite Eintrag dient – und wozu nicht. Damit ein Dokument durchsuchbar wird, muss sein Text in Zahlenreihen übersetzt werden; dasselbe gilt für jede Suchanfrage, weil sie sonst nicht mit den Abschnitten verglichen werden kann. Genau dafür, und nur dafür, wird IONOS aufgerufen. Es findet keine Textgenerierung statt: kein Chatbot, keine Zusammenfassung, keine Bewertung von Inhalten. Der Dienst bekommt einen Textabschnitt oder einen Suchtext und gibt eine Zahlenreihe zurück.

Die Umwandlung von Dateien in Text, die Texterkennung bei Scans und die Suche nach Wortlaut laufen unverändert vollständig lokal auf unserem Server. Wer den Dienst ohne diesen Aufruf nutzen möchte, kann die bedeutungsbasierte Suche für seinen Mandanten abschalten lassen – dann verlässt kein Byte den Server.

Keine Drittlandübermittlung

Sämtliche Verarbeitung durch uns und unsere Subprozessoren findet in der Bundesrepublik Deutschland statt. Wir nehmen keine Übermittlung in Drittstaaten im Sinne der Art. 44 ff. DSGVO vor. Es werden daher weder Standardvertragsklauseln noch ein Angemessenheitsbeschluss benötigt, und es besteht keine Exponierung gegenüber Zugriffsbefugnissen nach US-amerikanischem Recht (etwa CLOUD Act oder FISA 702).

Kein Subprozessor: eine KI, die Sie selbst verbinden

Über die lesende MCP-Schnittstelle können Sie eine KI Ihrer Wahl mit Ihrem Datenraum verbinden. Deren Anbieter erhält dann Suchtreffer und Dokumentinhalte, die Ihre KI anfordert – auf Ihre Weisung, mit einem Schlüssel, den Sie erzeugen, auf einen Store beschränken und jederzeit widerrufen können. Dieser Anbieter ist nicht unser Subprozessor und steht deshalb nicht in der Liste oben: Sie wählen ihn, Sie schließen mit ihm ab, und eine Übermittlung in ein Drittland – etwa bei einem Anbieter in den USA – verantworten Sie. Ohne eine solche Verbindung findet dieser Weg nicht statt.

Ausdrücklich nicht eingesetzt

Diese Liste ist Teil der Zusicherung, nicht nur Beschreibung. Keiner der folgenden Dienste ist eingebunden:

KI-Dienste

OpenAI, Anthropic, Google (Gemini, Vertex AI), Microsoft Azure OpenAI, Azure Document Intelligence, AWS Bedrock. Es ist kein Sprachmodell zur Textgenerierung eingebunden – auch kein deutsches. Die Texterkennung bei Scans läuft vollständig lokal auf dem eigenen Server.

Web und Auswertung

Google Analytics, Google Fonts, Google Tag Manager, Meta-Pixel, Cloudflare oder ein anderes CDN, Fehler-Telemetrie, Session-Recording, eingebettete Karten oder Videos.

Geplant, derzeit nicht im Einsatz

Derzeit ist kein weiterer Subprozessor vorgesehen. Sollte für einen späteren Ausbau ein zusätzlicher Dienst nötig werden, kommen ausschließlich Anbieter mit Verarbeitung in der Bundesrepublik Deutschland in Betracht. Dieses Verzeichnis wird vor jeder Inbetriebnahme aktualisiert, und das Verfahren nach Art. 28 Abs. 2 DSGVO wird eingehalten (siehe unten).

Verfahren bei Änderungen

Auftraggeber erteilen mit Abschluss des Auftragsverarbeitungsvertrags eine allgemeine Genehmigung für die hier gelisteten Subprozessoren. Beabsichtigte Änderungen – Hinzunahme oder Austausch – teilen wir mindestens 30 Tage im Voraus in Textform mit. Innerhalb dieser Frist kann der Auftraggeber aus sachlichem, datenschutzrechtlichem Grund widersprechen; lässt sich der Einwand nicht ausräumen, besteht ein Sonderkündigungsrecht.

Um über Änderungen an dieser Liste benachrichtigt zu werden, genügt eine formlose Nachricht an datenschutz@bjoern-habegger.de.