Unterauftragsverarbeiter
Für den Betrieb von Kummerkasten setzen wir sorgfältig ausgewählte Dienstleister ein. Sie verarbeiten personenbezogene Daten ausschließlich in unserem Auftrag, an unsere Weisungen gebunden und auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.
Diese Seite ist Anlage 2 unseres Auftragsverarbeitungsvertrags. Sie richtet sich an Kunden, deren Datenschutzbeauftragte und an Betriebsräte.
Übersicht
Mit optional gekennzeichnete Dienstleister kommen nur zum Einsatz, wenn Ihr Unternehmen die jeweilige Funktion selbst aktiviert oder bucht. Ohne diese Freischaltung findet keine Übermittlung statt.
| Dienstleister | Zweck | Sitz | Verarbeitungsort | Garantie |
|---|---|---|---|---|
| Vercel Inc. | Betrieb und Auslieferung der Anwendung (Hosting) | San Francisco, USA | Rechenfunktionen in der EU-Region Frankfurt am Main (fra1); Auslieferung statischer Seiten über ein weltweites Netz | SCC + DPF |
| Neon Inc. | Datenbank-Hosting (Feedbacks, Umfragen, Konten) | San Francisco, USA | EU-Region (Frankfurt am Main) | SCC + DPF |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Zahlungsabwicklung und Abo-Verwaltung des Kundenvertrags | Dublin, Irland / San Francisco, USA | EU und USA | SCC + DPF |
| Resend, Inc. | Versand transaktionaler E-Mails (Einladungen, Passwort-Links, Benachrichtigungen) sowie Versand von Umfrage-Einladungen und Erinnerungen an vom Kunden hinterlegte Empfängerlisten | USA | USA | SCC + DPF |
| Upstash, Inc. | Schutz vor Missbrauch und Überlastung (Rate-Limiting) — ohne Feedback-Inhalte | USA | USA (ausschließlich gehashte Zählerschlüssel, keine Inhalte) | SCC |
| Functional Software, Inc. (Sentry) optional |
Technisches Fehler-Monitoring; Inhalte werden vor Übermittlung serverseitig entfernt — derzeit nicht aktiviert | San Francisco, USA | USA (derzeit inaktiv — kein Datenfluss) | SCC + DPF |
| Anthropic PBC | Übersetzung eingehender Texte in die Firmensprache sowie — bei gebuchter KI-Funktion — Auswertung von Feedback-Texten (Berichte, Themen- und Risikoanalyse) | San Francisco, USA | USA | SCC |
| Google Ireland Limited (Gemini) optional |
Ausfalloption für die KI-Auswertung | Dublin, Irland | EU und USA | SCC + DPF |
| OpenAI Ireland Ltd. / OpenAI, L.L.C. optional |
Ausfalloption für die KI-Auswertung sowie Umwandlung von Sprachaufnahmen in Text | Dublin, Irland / San Francisco, USA | Abhängig von der eingerichteten Projektregion (EU oder USA) | SCC + DPF |
| Slack Technologies, LLC / Microsoft Corporation optional |
Kanal-Benachrichtigung bei Eskalationen — übermittelt wird nur Kategorie und Link, niemals Feedback-Text | USA | USA | SCC + DPF |
Was die Abkürzungen bedeuten
- SCC
- EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Vertragliche Garantie für ein angemessenes Schutzniveau bei einer Verarbeitung außerhalb der EU.
- DPF
- EU-U.S. Data Privacy Framework. Angemessenheitsbeschluss der EU-Kommission für zertifizierte Unternehmen in den USA.
- Verarbeitungsort
- Der Ort, an dem die Daten tatsächlich verarbeitet werden – nicht zu verwechseln mit dem Unternehmenssitz des Anbieters.
Vertragsgrundlage: die Auftragsverarbeitungsverträge
Mit jedem aktiv eingesetzten Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; bei den mit optional gekennzeichneten Anbietern wird er vor der ersten Aktivierung geschlossen. Bei den folgenden, im Grundbetrieb eingesetzten Anbietern ist der Vertrag laut deren eigenen Vertragsbedingungen automatisch Bestandteil des Nutzungsverhältnisses — er gilt mit Vertragsschluss, ohne gesonderte Unterschrift (Art. 28 Abs. 9 DSGVO erlaubt den Abschluss in elektronischem Format):
- Vercel — Data Processing Addendum („legally binding upon Customer entering into the Agreement")
- Neon — Data Processing Addendum (Bestandteil des Vertragswerks, seit 08/2026 unter dem Databricks Master Cloud Services Agreement)
- Upstash — Data Processing Addendum („incorporated into and forms a binding and effective part of the Agreement")
- Resend — Data Processing Addendum („legally binding upon Customer entering into the Agreement")
- Stripe — Datenverarbeitungsvereinbarung („ist Bestandteil der Vereinbarung"; Stripe handelt für Betrugsprävention und Compliance zusätzlich als eigenständiger Verantwortlicher)
- Anthropic — Data Processing Addendum („incorporated into these Terms by reference", Vertragspartner für EWR-Kunden: Anthropic Ireland, Limited)
Google (Gemini), OpenAI, Slack/Microsoft und Sentry kommen nur zum Einsatz, wenn die jeweilige Funktion aktiviert ist; vor einer Aktivierung wird der zugehörige Auftragsverarbeitungsvertrag abgeschlossen und diese Seite aktualisiert.
Änderungen: 30 Tage Vorlauf und Widerspruchsrecht
Art. 28 Abs. 2 DSGVO verlangt, dass wir Sie über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters vorab informieren. Wir tun das mindestens 30 Tage im Voraus per E-Mail an die im Konto hinterlegte Adresse.
Innerhalb dieser Frist können Sie aus wichtigem, datenschutzrechtlichem Grund widersprechen. Finden wir dann keine einvernehmliche Lösung, steht Ihnen ein Sonderkündigungsrecht zu. Ein Widerspruch genügt formlos per E-Mail an kontakt@deinkummerkasten.com.
KI-Funktionen und Spracheingabe abschalten
Die KI-gestützte Auswertung und die Spracheingabe sind gesondert buchbare Zusatzfunktionen. Die automatische Übersetzung eingehender fremdsprachiger Texte läuft dagegen in allen Tarifen — sie ist der Grund, warum Anthropic auch ohne gebuchte KI-Auswertung in dieser Liste steht. Alle drei hängen am selben KI-Schalter in den Einstellungen und lassen sich dort jederzeit gemeinsam vollständig abschalten. Danach verlässt kein Feedback-Text und keine Sprachaufnahme mehr die Verarbeitungskette in Richtung der KI-Dienstleister.
Weitere Unterlagen
Kunden finden im Dashboard unter Einstellungen → Datenschutz-Unterlagen den Vertrag zur Auftragsverarbeitung, das Dokument zu den technischen und organisatorischen Maßnahmen, einen Baustein für das eigene Verarbeitungsverzeichnis, eine Muster-Betriebsvereinbarung sowie ein mehrsprachiges Informationsblatt für die Belegschaft.
Ergänzend: Datenschutzerklärung, Sicherheit & Anonymität und AGB.
Stand: 1. September 2026