Liste der Subunternehmer (Unterauftragsverarbeiter)

ENTWURF — vor Livegang juristisch prüfen lassen. Dieses Dokument ist kein Ersatz für eine Rechtsberatung und wird nicht als rechtlich geprüft, ausreichend oder verbindlich zugesichert.

Stand: 6. Juli 2026. Diese Liste ist Bestandteil des Auftragsverarbeitungsvertrags (AVV) zwischen dem Kunden (Verantwortlicher) und Tippel — Lukas Friedrich (Auftragsverarbeiter), Kampweg 4, 34369 Hofgeismar, Deutschland (info@tippel.ai). Sie betrifft die Verarbeitung der vom Kunden im Rahmen von KomplAI hochgeladenen Analyse-Inhalte, für die Tippel Auftragsverarbeiter des Kunden ist. Für Konto- und Nutzungsdaten (Name, E-Mail, Passwort-Hash, Session-/Log-Daten) ist Tippel dagegen selbst Verantwortlicher; hierzu siehe die Datenschutzerklärung.

Allgemeine Genehmigung sowie Ankündigungs- und Einspruchsverfahren

Mit Abschluss des AVV erteilt der Kunde die allgemeine Genehmigung zur Beauftragung der nachstehenden Subunternehmer (Art. 28 Abs. 2 Satz 1 DSGVO). Tippel stellt sicher, dass jeder Subunternehmer denselben Datenschutzpflichten unterliegt, wie sie im AVV vereinbart sind (Art. 28 Abs. 4 DSGVO).

Beabsichtigt Tippel, einen weiteren Subunternehmer hinzuzuziehen oder einen bestehenden zu ersetzen, kündigt Tippel dies vorab an (Art. 28 Abs. 2 Satz 2 DSGVO) — in der Regel per E-Mail an die hinterlegte Kontaktadresse und/oder durch Aktualisierung dieser Liste. Der Kunde kann einer Änderung aus berechtigten, datenschutzbezogenen Gründen innerhalb von 14 Tagen nach der Ankündigung widersprechen. Wird innerhalb dieser Frist kein Widerspruch erhoben, gilt die Änderung als genehmigt. Im Fall eines berechtigten Widerspruchs suchen die Parteien eine einvernehmliche Lösung; kommt keine zustande, besteht ein außerordentliches Kündigungsrecht für die betroffene Leistung.

Mit jedem der nachstehenden Subunternehmer besteht bzw. wird ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (bzw. eine gleichwertige vertragliche Grundlage) geschlossen. [Nachweis auf Anfrage / abzuschließen].

Subunternehmer	Zweck	Ort der Verarbeitung	Kategorien übermittelter Daten	Grundlage bei Drittlandübermittlung	AV-Vertrag
IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland	Hosting (Server), Datenbank, E-Mail-Versand (Verifizierungs-/Reset-Mails). Stets für den Betrieb des Dienstes eingesetzt.	Deutschland (EU)	Konto- und Nutzungsdaten (Name, E-Mail, Passwort-Hash), hochgeladene Analyse-Inhalte (PDF/TXT/MD, Quellcode/ZIP) und Analyse-Ergebnisse, Server-Logs (IP, Zeit, URL). Hochgeladene Inhalte können personenbezogene Daten enthalten.	— (keine Drittlandübermittlung)	AVV nach Art. 28 DSGVO [Nachweis auf Anfrage / abzuschließen]
OpenRouter, Inc., USA	KI-Analyse: API-Gateway, das die Analyse-Eingaben an den eingesetzten Modellanbieter weiterleitet. Anbieter-Routing „keine Speicherung / kein Training“ (`data_collection: deny`). Nur bei Ausführung einer Analyse.	USA	Vom Kunden zur Analyse übermittelte Inhalte (Dokumente PDF/TXT/MD sowie Quellcode/ZIP-Repos), die personenbezogene Daten enthalten können. Keine Konto-Zahlungs- oder Passwortdaten.	EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Zusatzmaßnahme `data_collection: deny` (keine Speicherung, kein Training). [zu prüfen, ob Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist]	AVV nach Art. 28 DSGVO [Nachweis auf Anfrage / abzuschließen]
Modellanbieter — derzeit Anthropic (USA), über OpenRouter angebunden	Ausführung der KI-Analyse auf den übermittelten Inhalten. Nur bei Ausführung einer Analyse.	USA	Vom Kunden zur Analyse übermittelte Inhalte (Dokumente PDF/TXT/MD sowie Quellcode/ZIP-Repos), die personenbezogene Daten enthalten können. Keine Konto-, Zahlungs- oder Passwortdaten.	EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Zusatzmaßnahme `data_collection: deny` (keine Speicherung, kein Training). [zu prüfen, ob Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist]	AVV nach Art. 28 DSGVO [Nachweis auf Anfrage / abzuschließen]
Stripe Payments Europe, Ltd., Dublin, Irland	Zahlungsabwicklung. Nur beim Kauf von Credits/Abos; vollständige Zahlungsdaten erhält ausschließlich Stripe.	Irland (EU)	Zahlungs- und Rechnungsdaten (vollständige Zahlungsdaten liegen ausschließlich bei Stripe). Keine Analyse-Inhalte.	— (Verarbeitung in der EU)	AVV nach Art. 28 DSGVO [Nachweis auf Anfrage / abzuschließen]

Hinweis zum Umfang: IONOS wird für den Betrieb stets eingesetzt. Die Analyse-Subunternehmer (OpenRouter und Modellanbieter) werden nur eingebunden, wenn Sie eine Analyse ausführen; Stripe nur bei einem Kauf. Die zur KI-Analyse übermittelten Inhalte werden dort nur zur Ergebniserstellung verarbeitet und nicht zum Training verwendet. Zu Zwecken, Rechtsgrundlagen und Betroffenenrechten siehe die Datenschutzerklärung.