Unterauftragsverarbeiter
Für den Betrieb von Kummerkasten setzen wir sorgfältig ausgewählte Dienstleister ein. Sie verarbeiten personenbezogene Daten ausschließlich in unserem Auftrag, an unsere Weisungen gebunden und auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.
Die Tabelle „Übersicht“ auf dieser Seite ist Anlage 2 unseres Auftragsverarbeitungsvertrags. Sie richtet sich an Kunden, deren Datenschutzbeauftragte und an Betriebsräte.
Übersicht
Mit optional gekennzeichnete Dienstleister kommen nur zum Einsatz, wenn Ihr Unternehmen die jeweilige Funktion selbst aktiviert oder bucht. Ohne diese Freischaltung findet keine Übermittlung statt.
| Dienstleister | Zweck | Sitz | Verarbeitungsort | Garantie |
|---|---|---|---|---|
| Vercel Inc. | Betrieb und Auslieferung der Anwendung (Hosting) | San Francisco, USA | Rechenfunktionen in der EU-Region Frankfurt am Main (fra1); Auslieferung statischer Seiten über ein weltweites Netz | SCC + DPF |
| Neon Inc. | Datenbank-Hosting (Feedbacks, Umfragen, Konten) | San Francisco, USA | EU-Region (Frankfurt am Main) | SCC |
| Resend, Inc. | Versand transaktionaler E-Mails (Einladungen, Passwort-Links, Benachrichtigungen) sowie Versand von Umfrage-Einladungen und Erinnerungen an vom Kunden hinterlegte Empfängerlisten | USA | USA | SCC + DPF |
| Upstash, Inc. | Schutz vor Missbrauch und Überlastung (Rate-Limiting) — ohne Feedback-Inhalte | USA | USA (ausschließlich gehashte Zählerschlüssel, keine Inhalte) | SCC + DPF |
| Functional Software, Inc. (Sentry) optional |
Technisches Fehler-Monitoring; Inhalte werden vor Übermittlung serverseitig entfernt — derzeit nicht aktiviert | San Francisco, USA | USA (derzeit inaktiv — kein Datenfluss) | SCC + DPF |
| Anthropic Ireland, Limited / Anthropic PBC | Übersetzung eingehender Texte in die Firmensprache sowie — bei gebuchter KI-Funktion — Auswertung von Feedback-Texten (Berichte, Themen- und Risikoanalyse) und Gesprächsführung im KI-Dialog | Dublin, Irland / San Francisco, USA | USA | SCC |
| Google Ireland Limited (Gemini) optional |
Ausfalloption für die KI-Auswertung | Dublin, Irland | EU und USA (derzeit nicht eingerichtet — kein Datenfluss) | SCC + DPF |
| OpenAI Ireland Ltd. / OpenAI, L.L.C. optional |
Ausfalloption für die KI-Auswertung sowie Umwandlung von Sprachaufnahmen in Text | Dublin, Irland / San Francisco, USA | Abhängig von der eingerichteten Projektregion (EU oder USA); derzeit nicht eingerichtet — kein Datenfluss | SCC |
Weitere Empfänger
Die folgenden Dienste erhalten Daten, verarbeiten aber keine Daten der Beschäftigten in unserem Auftrag. Sie gehören deshalb nicht zu Anlage 2 des Auftragsverarbeitungsvertrags und stehen hier der Vollständigkeit halber.
| Dienstleister | Zweck | Sitz | Verarbeitungsort | Garantie |
|---|---|---|---|---|
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Zahlungsabwicklung und Abo-Verwaltung des Kundenvertrags — nur Vertrags- und Zahlungsdaten des Kunden, keine Daten der Beschäftigten | Dublin, Irland / San Francisco, USA | EU und USA | SCC + DPF |
| Slack Technologies, LLC / Microsoft Corporation optional |
Kanal-Benachrichtigung bei Eskalationen in den Arbeitsbereich, den der Kunde selbst einrichtet — übermittelt wird nur Kategorie und Link, niemals Feedback-Text | USA | USA | SCC + DPF |
Was die Abkürzungen bedeuten
- SCC
- EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Vertragliche Garantie für ein angemessenes Schutzniveau bei einer Verarbeitung außerhalb der EU.
- DPF
- EU-U.S. Data Privacy Framework. Angemessenheitsbeschluss der EU-Kommission für zertifizierte Unternehmen in den USA.
- Verarbeitungsort
- Der Ort, an dem die Daten tatsächlich verarbeitet werden – nicht zu verwechseln mit dem Unternehmenssitz des Anbieters.
Vertragsgrundlage: die Auftragsverarbeitungsverträge
Mit jedem aktiv eingesetzten Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; bei den mit optional gekennzeichneten Anbietern wird er vor der ersten Aktivierung geschlossen. Bei den folgenden, im Grundbetrieb eingesetzten Anbietern ist der Vertrag laut deren eigenen Vertragsbedingungen automatisch Bestandteil des Nutzungsverhältnisses — er gilt mit Vertragsschluss, ohne gesonderte Unterschrift (Art. 28 Abs. 9 DSGVO erlaubt den Abschluss in elektronischem Format):
- Vercel — Data Processing Addendum („legally binding upon Customer entering into the Agreement")
- Upstash — Data Processing Addendum („incorporated into and forms a binding and effective part of the Agreement")
- Resend — Data Processing Addendum („legally binding upon Customer entering into the Agreement")
- Stripe — Datenverarbeitungsvereinbarung („ist Bestandteil der Vereinbarung"; gilt für unseren eigenen Vertrag mit Ihnen, Stripe handelt für Betrugsprävention und Compliance zusätzlich als eigenständiger Verantwortlicher)
- Anthropic — Data Processing Addendum („incorporated into these Terms by reference"; Vertragspartner für Kunden im EWR ist Anthropic Ireland, Limited, verarbeitet wird bei Anthropic PBC in den USA)
Für die Datenbank (Neon) ist nach den Neon-Produktbedingungen Databricks, Inc. Vertragspartner. Das Databricks Master Cloud Services Agreement bezieht das Databricks Data Processing Addendum per Verweis ein; das Addendum selbst sieht zusätzlich eine Unterzeichnung über den Signatur-Workflow von Databricks vor. Den Drittlandtransfer stützen wir dort auf die im Addendum enthaltenen EU-Standardvertragsklauseln.
Google (Gemini), OpenAI und Sentry sind derzeit nicht eingerichtet; vor einer Einrichtung wird der zugehörige Auftragsverarbeitungsvertrag abgeschlossen, diese Seite aktualisiert und die Änderung mit 30 Tagen Vorlauf angekündigt. Slack oder Microsoft Teams richtet Ihr Unternehmen für seinen eigenen Arbeitsbereich selbst ein.
Änderungen: 30 Tage Vorlauf und Widerspruchsrecht
Art. 28 Abs. 2 DSGVO verlangt, dass wir Sie über den Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters vorab informieren. Wir tun das mindestens 30 Tage im Voraus per E-Mail an die im Konto hinterlegte Adresse.
Innerhalb dieser Frist können Sie aus wichtigem, datenschutzrechtlichem Grund widersprechen. Finden wir dann keine einvernehmliche Lösung, steht Ihnen ein Sonderkündigungsrecht zu. Ein Widerspruch genügt formlos per E-Mail an kontakt@deinkummerkasten.com.
KI-Funktionen und Spracheingabe abschalten
KI-Auswertung, KI-Dialog und Spracheingabe sind gesondert buchbare bzw. freizuschaltende Zusatzfunktionen. Die automatische Übersetzung eingehender fremdsprachiger Texte läuft dagegen in allen Tarifen — sie ist der Grund, warum Anthropic auch ohne gebuchte KI-Auswertung in dieser Liste steht. Alle vier hängen am selben KI-Schalter in den Einstellungen und lassen sich dort jederzeit gemeinsam vollständig abschalten. Danach verlässt kein Feedback-Text und keine Sprachaufnahme mehr die Verarbeitungskette in Richtung der KI-Dienstleister.
Weitere Unterlagen
Kunden finden im Dashboard unter Einstellungen → Datenschutz-Unterlagen den Vertrag zur Auftragsverarbeitung, das Dokument zu den technischen und organisatorischen Maßnahmen, einen Baustein für das eigene Verarbeitungsverzeichnis, eine Muster-Betriebsvereinbarung sowie ein mehrsprachiges Informationsblatt für die Belegschaft.
Ergänzend: Datenschutzerklärung, Sicherheit & Anonymität und AGB.
Stand: 6. Oktober 2026