Unterauftragnehmer und Dienste
Diese Dienste setzt Kimaro Cockpit ein. „Unterauftragnehmer“ verarbeiten Kundendaten im Rahmen des Auftragsverarbeitungsvertrags. „Kimaros eigene Verarbeitung“ betrifft nur die Vertragsabwicklung mit dem Kunden. „Dienst des Kunden“ beauftragt der Kunde selbst; das Cockpit holt dort auf seinen Wunsch Daten ab.
Über neue oder geänderte Unterauftragnehmer informieren wir Kunden vorher in Textform.
| Dienst | Zweck | Sitz | Verarbeitungsort | Grundlage |
|---|---|---|---|---|
| SupabaseSupabase Pte. Ltd.Unterauftragnehmer · im Einsatz | Datenbank, Anmeldung per Link (inkl. Versand der Anmelde-Mail), Dateiablage für Belege | 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 | Projekt in der Region eu-central-1 (AWS Frankfurt am Main). Zugriffe durch Supabase aus Drittländern, etwa für Support, sowie deren eigene Unterauftragnehmer [prüfen] | Auftragsverarbeitungsvertrag (DPA) von Supabase mit EU-Standardvertragsklauseln Modul 2. Für Singapur gibt es keinen Angemessenheitsbeschluss. Zertifizierung nach EU-US Data Privacy Framework: nicht belegt [prüfen]Supabase DPASupabase Rechtsdokumente und UnterauftragnehmerSupabase Regionen |
| VercelVercel Inc.Unterauftragnehmer · im Einsatz | Hosting der Web-App, serverseitige Funktionen, Auslieferung, technische Protokolle | 440 N Barranca Ave #4133, Covina, CA 91723, USA | Serverfunktionen in der Region fra1 (Frankfurt am Main, so in vercel.json eingestellt). Auslieferung statischer Dateien über das weltweite Netz von Vercel, auch außerhalb der EU | Vercel DPA mit EU-Standardvertragsklauseln (2021). Vercel ist nach dem EU-US Data Privacy Framework zertifiziertVercel DPAVercel und DPFVercel Funktionsregionen |
| Anthropic (Claude API)Anthropic Ireland, Limited (Vertragspartner für Kunden im EWR); Konzernmutter Anthropic PBC, USAUnterauftragnehmer · im Einsatz | KI-Chat „Kimaro fragen“ und Agenten: Frage und die dafür nötigen Cockpit-Daten gehen zur Beantwortung an die API | 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland | Verarbeitungsort nicht im DPA festgelegt; Verarbeitung in den USA ist anzunehmen [prüfen] | Anthropic DPA (in die Commercial Terms einbezogen) mit EU-Standardvertragsklauseln Modul 2 und 3. DPF-Zertifizierung widersprüchlich belegt [prüfen]. Keine Trainingsnutzung von API-Inhalten laut Commercial TermsAnthropic Commercial TermsAnthropic DPASpeicherdauer API |
| WhatsApp Business Cloud APIMeta Platforms Ireland Limited (Vertragspartner außerhalb von USA, Kanada und Brasilien); Meta Platforms, Inc., USAUnterauftragnehmer · nur bei Anbindung | Belege per WhatsApp an das Cockpit schicken und kurze Antworten erhalten, nur wenn ein Nutzer seine Nummer verknüpft | Merrion Road, Dublin 4, D04 X2K5, Irland [prüfen] | Server von Meta, Übermittlung in die USA | Meta handelt als Auftragsverarbeiter nach den WhatsApp Business Data Processing Terms und dem Data Transfer Addendum; USA über EU-US Data Privacy Framework, ergänzt um EU-Standardvertragsklauseln [prüfen]Cloud API TermsWhatsApp Business Data Processing TermsWhatsApp Business Data Transfer Addendum |
| Enable BankingEnable Banking OyUnterauftragnehmer · nur bei Anbindung | Kontoabruf nach PSD2 (Kontostand und Umsätze), nur wenn der Kunde sein Konto verbindet | Otakaari 5, 02150 Espoo, Finnland | EU [prüfen: genaue Rechenzentren] | Zugelassener Kontoinformationsdienst unter Aufsicht der finnischen Finanzaufsicht (FIN-FSA). Ob Enable Banking gegenüber dem Kunden eigenständig verantwortlich oder Unterauftragnehmer ist, ist offen [prüfen]; Vertrag für Kundenkonten steht noch ausEnable Banking DatenschutzEnable Banking AGBEBA-Register |
| n8n Cloudn8n GmbH [prüfen]Unterauftragnehmer · nur bei Anbindung | Nur wenn Kimaro für den Kunden Postfach oder andere Quellen über die eigene n8n-Instanz anbindet | Berlin, Deutschland [prüfen] | [prüfen] | [prüfen: DPA von n8n] |
| StripeStripe Payments Europe, LimitedKimaros eigene Verarbeitung · geplant | Abrechnung der Tarife und Zahlungsabwicklung (in Vorbereitung). Verarbeitet nur Vertrags- und Zahlungsdaten des Kunden, keine Cockpit-Inhalte | Dublin, Irland [prüfen: genaue Anschrift] | EU und USA | Stripe DPA; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert, dazu Data Transfers AddendumStripe DPAStripe DPF |
| Google (Kalender)Google Ireland Limited [prüfen]Dienst des Kunden · nur bei Anbindung | Kalendertermine, nur wenn der Kunde seinen Kalender verbindet | Dublin, Irland [prüfen] | [prüfen] | Vertrag des Kunden mit Google. Das Cockpit holt die Termine im Auftrag des Kunden |
| Wispr FlowWispr AI, Inc.Dienst des Kunden · nur bei Anbindung | Gesprächsnotizen, die der Kunde selbst aufnimmt und ins Cockpit schickt | 444 Townsend Street, San Francisco, CA 94107, USA | USA laut Anbieter | Vertrag des Kunden mit Wispr (DPA mit EU-Standardvertragsklauseln laut Anbieter)Wispr DPA |
| Resend[prüfen]Unterauftragnehmer · geplant | Möglicher späterer Versand der Anmelde-Mails statt über Supabase | [prüfen] | [prüfen] | [prüfen] |