Unterauftragnehmer für Schaltwerk
Vorabinformation · Stand: 15. November 2026
Diese Liste ergänzt den Vertrag zur Auftragsverarbeitung (Anlage 3). Die Dienste werden nur eingesetzt, wenn die zugehörige Funktion genutzt wird (AVV Ziffer 4 Abs. 4 für KI-Funktionen). Vor dem erstmaligen produktiven Einsatz erhält der Verantwortliche die für seine konkrete Konfiguration maßgebliche Liste in Textform. Änderungen werden nach dem im AVV vereinbarten Verfahren mitgeteilt.
| Unterauftragsverarbeiter | Leistung | Sitz / Verarbeitungsorte | Transfermechanismus |
|---|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Hosting von Anwendung, Datenbank und Backups | Deutschland / EWR | Verarbeitung innerhalb des EWR |
| mail.de GmbH, Friedrich-Ebert-Straße 70, 33330 Gütersloh | E-Mail-Postfach und E-Mail-Übermittlung | Deutschland / EWR | Verarbeitung innerhalb des EWR |
| OpenAI Ireland Ltd. und deren im DPA ausgewiesene Unterauftragnehmer | Suchwerte für den Assistenten (für alle aktiven Kundenkonten, Ziffer 4 Abs. 4 a); API-Verarbeitung von KI-Eingaben und Ausgaben aus ausgelösten oder eingeschalteten KI-Funktionen, einschließlich Umwandlung von Sprachaufnahmen in Text | EWR und weitere im DPA ausgewiesene Länder | Angemessenheitsbeschluss, soweit anwendbar; andernfalls EU-Standardvertragsklauseln und ergänzende Maßnahmen |
| Anthropic PBC und deren im DPA ausgewiesene Unterauftragnehmer | API-Verarbeitung von KI-Eingaben und Ausgaben aus ausgelösten oder eingeschalteten KI-Funktionen, insbesondere Einordnen und Auslesen eingehender Mails (Ziffer 4 Abs. 4 b, c) | USA und weitere im DPA ausgewiesene Länder | Angemessenheitsbeschluss, soweit anwendbar; andernfalls EU-Standardvertragsklauseln und ergänzende Maßnahmen |
| Mistral AI SAS, Paris (Frankreich) | Sprachausgabe der Assistenten-Stimme („Funke“): kurze Antworttexte des Assistenten (höchstens 300 Zeichen) werden in gesprochene Sprache umgewandelt; nur in Betrieben, in denen der Assistent eingeschaltet ist. Texterkennung eingescannter oder fotografierter Eingangsbelege (z. B. Lieferant, Beträge, Bankverbindung, Positionen); nur in Betrieben, die diese Funktion nutzen. Spracherkennung: gesprochene Eingaben (Sprachaufnahmen aus App und Büro, z. B. Stunden, Termine, Notizen, Aufmaß) werden in Text umgewandelt. | EU (Frankreich) | Verarbeitung innerhalb des EWR |
| Functional Software, Inc. (Sentry) | Fehlerüberwachung des Servers: technische Fehlermeldungen mit Fehlertext, Programmablauf, aufgerufener Adresse sowie interner Nutzer- und Kundenkennung; ohne Inhalte von Anfragen, ohne Cookies, Namen, E-Mail-Adressen und IP-Adressen. Fehlertexte können im Einzelfall einzelne Datenwerte enthalten. | Speicherung in der EU-Region des Anbieters (Deutschland); Sitz des Anbieters USA | Angemessenheitsbeschluss, soweit anwendbar; andernfalls EU-Standardvertragsklauseln und ergänzende Maßnahmen |
| Push-Dienste der Gerätehersteller: Apple, Google (für die Android-App: Google Firebase Cloud Messaging), Mozilla, Microsoft | Zustellung von Benachrichtigungen an Endgeräte. Inhalte von Web-Push-Nachrichten sind für den Push-Dienst verschlüsselt; Benachrichtigungen der iPhone-App enthalten nur einen neutralen Text; an Firebase gehen für die Android-App nur Geräte-Kennung, eine interne technische Kennung und eine Ablaufzeit, kein Inhalt. | USA und weitere Länder der jeweiligen Anbieter | Angemessenheitsbeschluss, soweit anwendbar; andernfalls EU-Standardvertragsklauseln und ergänzende Maßnahmen |
| OpenStreetMap Foundation | Kartenausschnitte (im Büro direkt aus dem Browser, in der Mitarbeiter-App über den Server des Auftragsverarbeiters) und Umrechnung der Baustellenadresse in Koordinaten (ohne Namen) | Vereinigtes Königreich | Angemessenheitsbeschluss |
| FOSSGIS e.V. (Overpass-API) | Suche des nächstgelegenen Krankenhauses anhand der Koordinaten einer Baustelle | Deutschland | Verarbeitung innerhalb des EWR |
| Bright Sky (Wetterdaten des Deutschen Wetterdienstes) | Wetterdaten für das Gebiet von Baustellen; übermittelt werden nur grobe Koordinaten (auf etwa 10 km gerundet), keine Adressen und keine personenbezogenen Daten | vom Anbieter nicht ausgewiesen | nicht erforderlich, da keine personenbezogenen Daten übermittelt werden |
Datenminimierung bei KI-Funktionen
Die meisten KI-Funktionen laufen nur, wenn ein berechtigter Nutzer sie auslöst. Ohne Klick laufen: die Suche des Assistenten (dafür werden Texte des Kunden regelmäßig bei OpenAI in Suchwerte umgerechnet; für alle aktiven Kundenkonten eingeschaltet), das Einordnen eingehender Mails und das Auslesen von Aufträgen, Lieferbestätigungen und Rechnungs-Mails (eingeschaltet, solange der Kunde sie nicht abschaltet) sowie Antwort-Entwürfe des Mail-Assistenten für Postfächer, die der Kunde dafür freigibt. Kundendaten werden nicht für allgemeines Modelltraining verwendet. Der Kunde bleibt für die Rechtmäßigkeit der verarbeiteten Inhalte verantwortlich.
Fragen zur konkreten Konfiguration bitte an info@schaltwerk-app.de richten.