Unterauftragsverarbeiter

Anlage 3 zum Auftragsverarbeitungsvertrag — Liste der von der roleALPHA GmbH eingesetzten Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO

Jeweils geltende Fassung. Diese Liste wird unter
https://rolealpha.com/legal/unterauftragsverarbeiter veröffentlicht. Maßgeblich ist die dort
veröffentlichte Fassung; eine Aktualisierung nach Abschnitt 6 ist keine Vertragsänderung.

1. Zweck und Verbindlichkeit dieser Liste

Diese Liste führt alle Dienstleister auf, die im Auftrag der roleALPHA GmbH personenbezogene Daten unserer Kunden verarbeiten. Mit Annahme der Allgemeinen Geschäftsbedingungen erteilt der Kunde die allgemeine Genehmigung zur Inanspruchnahme der hier aufgeführten Unterauftragsverarbeiter (Abschnitt 5 des AVV).

Die Liste ist versioniert. Jede Änderung erhält eine neue Version, ein neues Datum und einen Eintrag in der Änderungshistorie (Abschnitt 7).

2. Hosting durch netcup

netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland.

Leistung: Betrieb der Serverinfrastruktur, der Datenbanken, der Netzanbindung und der Sicherungskopien — für den Core in allen Modellen M1 bis M3 und für die von roleALPHA betriebenen Data Nodes in Modell M1.

Betroffene Daten: alle in der Plattform verarbeiteten Auftragsdaten nach Anlage 1 des AVV, im Ruhezustand und in Verarbeitung.

Betreibersitz: Deutschland. Serverstandort: Wien, Österreich. Standort der Sicherungskopien: ⟨TODO: Land und gegebenenfalls Standort durch netcup bestätigen⟩.

Vertrag: Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO, abgeschlossen am 23. August 2026 (Kundennummer 415167).

Unterauftragsverarbeiter von netcup: Anexia Holding GmbH und Anexia Cloud Solutions GmbH, jeweils Feldkirchner Straße 140, 9020 Klagenfurt, Österreich, sowie Anexia Cloud Solutions GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland — Infrastrukturleistungen im Rechenzentrumsumfeld und Bereitstellung von Personal.

Drittland: keine Drittlandübermittlung; sämtliche vorgenannten Verarbeitungsorte liegen in Deutschland und Österreich.

3. Weitere ständig eingesetzte Unterauftragsverarbeiter

Diese Dienstleister werden für den Betrieb der Plattform in allen Betriebsmodellen eingesetzt.

Anbieter	Leistung und betroffene Daten	Verarbeitungsorte	Drittlandübermittlung	Einsatzbedingung
Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland (Konzern: Microsoft Corporation)	Versand von System- und Benachrichtigungs-E-Mails (Einladungen, Passwortzurücksetzung, Betriebsmeldungen, fachliche Benachrichtigungen) über die Microsoft-Graph-Schnittstelle (`graph.microsoft.com`, Anmeldung über `login.microsoftonline.com`); E-Mail-Adresse, Name, Inhalt der Nachricht	EU/EWR — Rechenzentrumsregion des Microsoft-365-Mandanten des Anbieters	innerhalb der EU/EWR keine; für Support- und Verwaltungszugriffe aus Drittländern EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) über den Microsoft-Datenschutznachtrag	immer
GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA (Konzern: Microsoft Corporation)	Betrieb des privaten Fehlerverwaltungs-Repositorys der Entwicklung; technische Fehlerbeschreibungen (Fehlermeldung, Aufrufliste, Betriebsalarme) und von Mitarbeitenden formulierte Aufgaben. Namen, E-Mail-Adressen, Benutzer- und Mandantenkennungen, Mandantennamen und Kundenadressen werden vor der Übermittlung entfernt; eine Übermittlung, die noch solche Angaben enthält, wird technisch verweigert. Kein In-App-Feedback, keine Bildschirmaufnahmen, keine Anhänge	USA	EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) über die Microsoft-Datenschutzbestimmungen	nur bei Weitergabe eines Fehlers an die Entwicklung
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Bereitstellung der Server, auf denen roleALPHA das Sprachmodell für Support-Anfragen selbst betreibt (Einstufung der Anfrage, Antwortvorschläge aus der öffentlichen Hilfe); Inhalt der Anfrage einschließlich Angaben, die personenbezogene Daten Dritter enthalten können	⟨TODO: Serverstandort bei Hetzner bestätigen⟩	keine	nur bei Nutzung der Feedbackfunktion oder einer Support-Anfrage

Zum E-Mail-Versand: Der Versandweg der Plattform ist eine plattformweite Betriebseinstellung. Aufgeführt ist der tatsächlich eingesetzte Weg über Microsoft Graph. Wird stattdessen ein eigener SMTP-Dienstleister eingerichtet, ist dieser hier aufzunehmen und den Kunden nach Abschnitt 6 anzuzeigen; ein selbst betriebener SMTP-Server begründet keinen zusätzlichen Unterauftragsverarbeiter. Der Kunde kann für seinen Mandanten stattdessen einen eigenen Versandweg einrichten oder den Versand abschalten; Mails dieses Mandanten gehen dann über sein Mailsystem und nicht über den hier genannten Dienstleister (siehe Abschnitt 5). Über jeden Versandversuch wird ein Zustellprotokoll geführt (Empfängeradresse, Zeitpunkt, Anlass, Weg, Ergebnis) — ohne Nachrichtentext, Aufbewahrung 90 Tage.

Zur Feedbackfunktion: Meldungen aus der Plattform landen im selbst betriebenen Helpdesk der roleALPHA GmbH (Zammad, auf der Infrastruktur nach Abschnitt 2); Benachrichtigungen dazu werden über den E-Mail-Versand nach dieser Tabelle zugestellt. Vor dem Absenden werden Bildschirmaufnahme und Seitenexport zur Prüfung und Bearbeitung angezeigt. Die Administration eines Mandanten kann die Feedbackfunktion selbst abschalten; Meldungen gehen dann per E-Mail an den Support.

4. Anbieter von KI-Diensten

Diese Anbieter werden nur eingesetzt, wenn der Kunde die KI-Funktionen aktiviert und den betreffenden Datenbereich freigegeben hat. Ohne diese Freigabe findet keine Übermittlung statt (fehlerabweisende Voreinstellung, Abschnitt 5 des AVV).

Anbieter	Leistung und betroffene Daten	Verarbeitungsorte	Drittlandübermittlung	Einsatzbedingung
Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA	Sprachmodelle für Assistent und Chat, Zusammenfassungen, Vorschläge, Klassifikation, Übersetzung; Anfrageinhalte, Gesprächsverlauf, freigegebene Kontextdaten, Dateianhänge (Bilder, PDF)	USA	EU-Standardvertragsklauseln; ⟨TODO: Zertifizierung unter dem EU-U.S. Data Privacy Framework prüfen und eintragen⟩	vom Kunden gewählter Anbieter
OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland (verbundenes Unternehmen: OpenAI, L.L.C., USA)	Sprachmodelle und Vektorrepräsentationen (Embeddings) für die semantische Suche; wie vorstehend, zusätzlich Textinhalte freigegebener Objekte zur Berechnung von Embeddings	Irland, USA	EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln	vom Kunden gewählter Anbieter
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (verbundenes Unternehmen: Google LLC, USA)	Sprachmodelle und Embeddings als alternative KI-Verarbeitung; Daten wie bei OpenAI	Irland, USA	EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln	vom Kunden gewählter Anbieter
Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich	Sprachmodelle und Embeddings als alternative KI-Verarbeitung; Daten wie bei OpenAI	Frankreich (EU)	keine; AVV nach Art. 28 DSGVO	vom Kunden gewählter Anbieter

Auswahl durch den Kunden. Der Kunde bestimmt, welcher dieser Anbieter für seinen Mandanten verwendet wird. Wer eine Drittlandübermittlung vollständig ausschließen möchte, wählt einen Anbieter mit Verarbeitung ausschließlich in der EU (derzeit Mistral AI) oder lässt die KI-Funktionen deaktiviert.

Aufbewahrung beim Anbieter. Es gelten die Bedingungen des jeweiligen Anbieters für Programmierschnittstellen (API). Diese sehen üblicherweise vor, dass API-Daten nicht zum Training der Modelle verwendet und nach kurzer Zeit gelöscht werden; ⟨TODO: konkrete Aufbewahrungsfristen und Trainingsausschluss je Anbieter anhand der aktuellen Bedingungen bestätigen und hier eintragen⟩.

5. Ausdrücklich keine Unterauftragsverarbeiter

Zur Vermeidung von Missverständnissen im Datenschutz-Review:

Von roleALPHA selbst betrieben — es findet keine Übermittlung an einen Dienstleister statt: GlitchTip (Fehler-Erfassung) läuft auf eigener Infrastruktur in einem eigenen Netz mit eigener Datenbank; der Browser sendet nicht dorthin, sondern an den Server von roleALPHA, der die Meldung vor dem Weiterleiten schwärzt. Umami (Nutzungsstatistik) läuft ebenfalls selbst betrieben, ist cookielos, respektiert „Do Not Track" und verwendet ausschließlich gesalzene Hashwerte als Kennungen.

Auftragsverarbeiter des Kunden, nicht von roleALPHA: Hinterlegt der Kunde bei den KI-Funktionen einen eigenen Anbieterzugang („BYOK"), besteht die Vertragsbeziehung zwischen Kunde und Anbieter; roleALPHA leitet die Anfrage lediglich technisch weiter, und Vertragsschluss wie Drittland-Beurteilung obliegen dem Kunden. Dasselbe gilt für von Nutzern angebundene eigene KI-Anwendungen: sie werden für das eigene Konto angebunden, nachdem das Unternehmen die Funktion freigeschaltet hat; übermittelt eine solche Anwendung Inhalte an einen KI-Anbieter, geschieht das außerhalb der Plattform. Ebenso sind der Hoster der Data Nodes in den Modellen M2 und M3 und der Identitätsanbieter des Kunden (Single Sign-On) vom Kunden beauftragt.

Systeme des Kunden in dessen Verantwortungsbereich: das eigene Mailsystem des Kunden (eigener SMTP-Server oder eigener Microsoft-365-Mandant), wenn er für seinen Mandanten einen eigenen Versandweg einrichtet, die Vorsysteme, aus denen Konnektoren Daten übernehmen (Entra ID, LDAP, SAP HCM, SAP FI, Microsoft Dynamics), die Quellsysteme der Interaktionssignale (Microsoft Graph, Jira, SharePoint, Kalender, Dateisysteme) und die Systeme, in denen verlinkte Dokumente liegen (Dokumentenmanagement, SharePoint, Netzlaufwerke). roleALPHA liest nur mit den vom Kunden bereitgestellten Zugängen; bei verlinkten Dokumenten speichert roleALPHA ausschließlich die Web-Adresse, das Dokument ruft der Browser des Nutzers unmittelbar beim Quellsystem ab.

Ohne Bezug zu Kundendaten: Let's Encrypt und andere Zertifizierungsstellen stellen TLS-Zertifikate aus, ohne personenbezogene Daten unserer Kunden zu verarbeiten. Container-Registry und Bauumgebung verarbeiten Programmcode und Auslieferungsartefakte, keine Kundendaten. Steuerberatung, Rechtsberatung und Wirtschaftsprüfung sind Berufsgeheimnisträger und handeln als eigene Verantwortliche.

6. Verfahren bei Änderungen

Information. roleALPHA teilt die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage vorher in Textform mit — per E-Mail an die vom Kunden benannte Kontaktadresse und als Hinweis in der Plattform. Die Mitteilung nennt Name, Anschrift, Leistung, Datenkategorien, Verarbeitungsort und Übermittlungsmechanismus.

Widerspruch und Folge. Der Kunde kann innerhalb dieser Frist aus wichtigem, datenschutzbezogenem Grund widersprechen (Abschnitt 5 des AVV). Die Parteien suchen dann eine einvernehmliche Lösung; ist eine solche nicht möglich und kann die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in vereinbarter Qualität erbracht werden, kann jede Partei den betroffenen Leistungsteil mit einer Frist von einem Monat kündigen.

Dringende Ersetzung. Muss ein Unterauftragsverarbeiter aus zwingenden Gründen (Ausfall, Sicherheitsvorfall, Insolvenz) kurzfristig ersetzt werden, informiert roleALPHA unverzüglich nach der Umstellung; das Widerspruchsrecht bleibt bestehen.

Kontaktadresse. Der Kunde benennt die Adresse für diese Mitteilungen in den Vertragsdaten des AVV (Abschnitt 9). Ohne gesonderte Benennung gilt die im Kundenkonto hinterlegte Administratoradresse.

7. Änderungshistorie

Version	Datum	Änderung
1.0	30. Juli 2026	Erstfassung
1.1	30. Juli 2026	Abschnitt „keine Unterauftragsverarbeiter" ergänzt: Systeme, in denen über Dokumentenlinks verwiesene Dokumente liegen, sind Systeme des Kunden. Kein Unterauftragsverarbeiter hinzugefügt, ersetzt oder entfernt — die 14-Tage-Mitteilung ist dadurch nicht ausgelöst.
1.2	5. September 2026	E-Mail-Versand präzisiert: der Versandweg ist eine plattformweite Betriebseinstellung; Hinweis auf das Zustellprotokoll ohne Nachrichtentext ergänzt. Nachgetragen am 12. September 2026 — diese Zeile fehlte bisher.
1.3	6. September 2026	E-Mail-Versand benannt: Microsoft Ireland Operations Limited mit Anschrift, Verarbeitungsort und Übermittlungsmechanismus. Das ist die Hinzuziehung eines Unterauftragsverarbeiters; die 14-Tage-Mitteilung war damit ausgelöst. Nachgetragen am 12. September 2026; ob die Mitteilung erfolgt ist, ist außerhalb dieses Dokuments zu klären.
1.4	12. September 2026	GlitchTip (Fehler-Erfassung) als selbst betrieben ausgewiesen. Kein Unterauftragsverarbeiter hinzugefügt, ersetzt oder entfernt — die 14-Tage-Mitteilung ist dadurch nicht ausgelöst.
1.5	14. September 2026	Von Nutzern angebundene eigene KI-Anwendungen als keine Unterauftragsverarbeiter ausgewiesen. Kein Unterauftragsverarbeiter hinzugefügt, ersetzt oder entfernt — die 14-Tage-Mitteilung ist dadurch nicht ausgelöst.
2.0	25. September 2026	Liste auf die Feldstruktur der Vertragsvorlage umgestellt und gestrafft. netcup GmbH ist mit Anschrift, Betreibersitz Deutschland, Serverstandort Wien, Vertragsdatum und den eigenen Unterauftragsverarbeitern (Anexia Holding GmbH, Anexia Cloud Solutions GmbH) benannt — bisher stand dort „voraussichtlich, bitte bestätigen". Der Hoster war bereits seit Fassung 1.0 als Unterauftragsverarbeiter geführt; es wurde keiner hinzugefügt, ersetzt oder entfernt — die 14-Tage-Mitteilung ist dadurch nicht ausgelöst. Verweise auf den AVV auf dessen neue Abschnittsnummern umgestellt.
2.2	5. Oktober 2026	Feedback über das eigene Helpdesk statt GitHub: In-App-Feedback wird nicht mehr an GitHub übermittelt, sondern im selbst betriebenen Helpdesk bearbeitet; an GitHub gehen nur noch bereinigte technische Fehlerbeschreibungen. Hetzner Online GmbH als Anbieter der Server für das selbst betriebene Sprachmodell der Support-Bearbeitung hinzugefügt — das ist die Hinzuziehung eines Unterauftragsverarbeiters, die 14-Tage-Mitteilung ist ausgelöst.
2.1	4. Oktober 2026	Eigener Versandweg je Mandant: Der Kunde kann für seinen Mandanten Mails über sein eigenes Mailsystem versenden lassen oder den Versand abschalten; sein Mailsystem ist als System des Kunden (Abschnitt 5) ausgewiesen. Kein Unterauftragsverarbeiter hinzugefügt, ersetzt oder entfernt — die 14-Tage-Mitteilung ist dadurch nicht ausgelöst.

Weitere Dokumente

English version: Subprocessors