Unterauftragsverarbeiter

Überblick

anycast.io UG (haftungsbeschränkt) setzt für den Betrieb von 2342.ai die nachfolgend aufgeführten Unterauftragsverarbeiter und technischen Dienstleister ein. Diese Liste ist Anlage B der Vereinbarung zur Auftragsverarbeitung und wird wie diese versioniert: Für eine Organisation gilt die mit ihrer Akzeptanz per Fingerprint festgehaltene Fassung, die unter ihrer versionierten Adresse abrufbar bleibt. Änderungen werden den Organisations-Ownern und -Admins vor Wirksamwerden per E-Mail angekündigt.

GLM 5.3 und GLM 5.3 Flash laufen auf dem Datenweg EU über In-Region-Routing bei EU-Endpunkten mit Zero Data Retention. GLM 5.2 und der Mistral-Weg für GLM sind externe Datenwege mit Trainingsvorbehalt und standardmäßig gesperrt. Welche Anbieter ein Modell im Einzelnen verarbeiten und welche Speicher- und Trainingsbedingungen gelten, nennt das Modell-Datenblatt (Anlage C) unter https://2342.ai/de/modell-datenblatt.

KI-Modellanbieter (Inferenz)

Je nach gewähltem Modell und Datenweg werden Anfragen über folgende Anbieter verarbeitet. Für jeden Anbieter ist die Vertragsgrundlage und bei Sitz außerhalb der EU die Übermittlungsgrundlage nach Kapitel V DSGVO genannt.

• Microsoft Ireland Operations Limited, Dublin, Irland — ChatGPT-Modelle und Text-Embeddings über Azure OpenAI in der EU Data Zone sowie Bilderzeugung und Sprachsynthese für Werbevideos in EU-Regionen; kein Training mit Ein- und Ausgaben, Missbrauchsüberwachung mit Speicherung bis zu 30 Tage innerhalb der EU — Microsoft Products and Services Data Protection Addendum; Verarbeitung in der EU
• Amazon Web Services EMEA SARL, Luxemburg — Claude-Modelle über Amazon Bedrock in den Regionen eu-central-1, eu-west-1 und eu-north-1; keine Speicherung von Ein- und Ausgaben, kein Training — AWS GDPR Data Processing Addendum; Verarbeitung in der EU
• Google Cloud EMEA Limited, Dublin, Irland — Gemini-Modelle über Vertex AI in EU-Regionen sowie Videoerzeugung für Werbevideos; kein Training mit Ein- und Ausgaben — Google Cloud Data Processing Addendum; Verarbeitung in der EU
• OpenRouter, Inc., USA — Vermittlung von Anfragen ausschließlich an Endpunkte mit Zero Data Retention; Datenweg EU über die EU-Domain mit In-Region-Routing und Verarbeitung nur in der EU (unter anderem GLM 5.3 und GLM 5.3 Flash), als extern gekennzeichnete Modelle über globales Routing — OpenRouter Data Processing Agreement mit EU-Standardvertragsklauseln (Modul 2, Durchführungsbeschluss (EU) 2021/914); keine Zertifizierung nach dem EU-U.S. Data Privacy Framework; Transfer-Folgenabschätzung dokumentiert: OpenRouter speichert als Vermittler keine Inhalte dauerhaft
• Mistral AI, Paris, Frankreich — GLM 5.2 und GLM über den europäischen Endpunkt (EU/EFTA) als externer Datenweg; Public Preview mit Trainingsvorbehalt, keine Zero-Data-Retention-Zusage; nur nach Freischaltung durch die Organisation — Mistral Data Processing Agreement
• orgn.dev, inc., USA (BlackBit VOID) — Inferenz mit Zero Data Retention für externe Pentesting- und Abliterated-Modelle; Verarbeitung in Norwegen, Island und den USA; externer Datenweg nur nach Freischaltung durch die Organisation und nicht für personenbezogene Daten vorgesehen — EU-Standardvertragsklauseln mit dem Anbieter sind in Abstimmung; bis zu deren Abschluss ist dieser Datenweg ausschließlich für Inhalte ohne Personenbezug freigegeben
• Features & Labels, Inc. (fal.ai), San Francisco, USA — Videoerzeugung (Seedance) für Werbevideos als externer Datenweg, nur nach Freischaltung durch die Organisation; übermittelt werden ausschließlich KI-erzeugte Bilder und vom Modell formulierte Szenenbeschreibungen, die vor dem Versand automatisiert auf Personenbezug geprüft werden, keine Konto- oder Nutzerdaten — fal Data Processing Addendum mit EU-Standardvertragsklauseln (Modul 2, Durchführungsbeschluss (EU) 2021/914); Verarbeitung in den USA
• Eleven Labs Inc., New York, USA — Sprachsynthese mit Qualitätsstimmen für Werbevideos als externer Datenweg, nur nach Freischaltung durch die Organisation; übermittelt wird ausschließlich der Sprechtext, der vor dem Versand automatisiert auf Personenbezug geprüft wird, keine Konto- oder Nutzerdaten — ElevenLabs Data Processing Addendum mit EU-Standardvertragsklauseln (Modul 2) und Zertifizierung nach dem EU-U.S. Data Privacy Framework; Verarbeitung in den USA

Weitere Dienstleister

• Mollie B.V., Amsterdam, Niederlande — Zahlungsabwicklung (EU)
• ActiveCampaign, LLC (Postmark), Chicago, USA — Versand von Transaktions-E-Mails (Empfängeradresse, Betreff und Inhalt der Benachrichtigung) — EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln
• Apple Distribution International Limited, Cork, Irland — Push-Benachrichtigungen (APNs) für mobile Apps; übermittelt werden nur Gerätetoken und neutrale Statusangaben, keine Prompt- oder Antwortinhalte
• Brave Software, Inc., San Francisco, USA — Web-Suche für Recherche-Funktionen (Suchanfragen ohne Nutzerkennungen) — EU-Standardvertragsklauseln
• Core-Backbone GmbH, Deutschherrnstraße 15–19, 90429 Nürnberg, Deutschland — Colocation und Netzanbindung für die 2342.ai-Kernplattform

Änderungen und Einspruchsrecht

Beabsichtigte Hinzufügungen oder Ersetzungen von Unterauftragsverarbeitern werden vor Wirksamwerden per E-Mail an die Owner und Admins jeder Organisation mit AVV angekündigt und als neue Fassung dieser Liste veröffentlicht. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, besteht ein Sonderkündigungsrecht nach Ziffer 5 der AVV. Bis zum Wirksamwerden bleibt die akzeptierte Fassung maßgeblich.

Die Vereinbarung zur Auftragsverarbeitung ist abrufbar unter https://2342.ai/de/auftragsverarbeitung, das Modell-Datenblatt unter https://2342.ai/de/modell-datenblatt.