Unterauftragsverarbeiter

Host Europe GmbH, Hansestraße 111, 51149 Köln, Deutschland

Zweck und Umfang

Betrieb des Servers für Anwendung, Schnittstelle, Datenbank und Website; Rechenzentrumsleistungen, Netzanbindung, Sicherungen. Betrifft alle Kunden; Konto-, Projekt- und Abrechnungsdaten liegen in der Datenbank auf diesem Server.

Ort

Deutschland

Grundlage

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland

Zweck und Umfang

Versand der E-Mails der Anwendung (Anmeldecodes, Einladungen, Bestätigungen, Benachrichtigungen) und unser Postfach mail@klickdemo.com. Übermittelt werden Empfängeradresse, Name, Betreff und Inhalt der jeweiligen Nachricht.

Ort

Deutschland

Grundlage

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland

• Vertex AI (Anthropic Claude)
• Cloud Text-to-Speech (Chirp 3 HD)
• Cloud Run Jobs
• Secret Manager
• Artifact Registry

Zweck und Umfang

Vertex AI (nach Freigabe der Kontingente vorrangiger Weg der KI-Verarbeitung, derzeit nicht in Nutzung): Sprachmodelle der Modellfamilie Claude (Anthropic) für Erkundung, Drehbuch, Übersetzung, Zusammenfassung von Wissensquellen und Prüfung; Cloud Text-to-Speech: Sprecherstimmen; Cloud Run: Ausführung der Aufnahme- und Render-Aufträge; Secret Manager und Artifact Registry für den Betrieb der Aufträge. Eingaben und Ausgaben werden nicht zum Training verwendet und nach der Verarbeitung nicht dauerhaft gespeichert; bei der Nutzung über Vertex AI erhält Anthropic, PBC nach den Zusagen von Google keinen Zugriff. Betrifft jedes Projekt, in dem ein Lauf gestartet wird. Zugangsdaten erreichen diese Dienste nie. An Text-to-Speech gehen nur die zu sprechenden Texte und die Stimmeinstellungen.

Ort

Vertex AI und Cloud Run: Regionen in der Europäischen Union; Text-to-Speech: EU-Endpunkt (Speicherung und Verarbeitung nach den Angaben von Google innerhalb Europas) Drittland

Grundlage

Google Cloud Data Processing Addendum (Art. 28 DSGVO); für einen möglichen Zugriff aus den USA Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und Zertifizierung der Google LLC unter dem EU-US Data Privacy Framework (Art. 45 DSGVO)

Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Ireland

• Claude API (currently the only route of language-model processing; fallback once Vertex AI is approved)

Zweck und Umfang

Claude API, derzeit einziger Weg (solange die für Vertex AI beantragten Kontingente nicht freigegeben sind) und danach ersatzweise (bei Nichtverfügbarkeit von Vertex AI): Sprachmodelle der Modellfamilie Claude für Erkundung anhand von Screenshots und Seitenstruktur, Zusammenfassung von Wissensquellen, Entwurf von Drehbüchern und Plänen, Übersetzung und Textprüfung. Vertragspartner ist Anthropic Ireland, Limited; die Verarbeitung erfolgt durch das verbundene Unternehmen Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA. Anthropic darf Inhalte aus der Nutzung der Dienste nicht zum Training von Modellen verwenden; Eingaben und Ausgaben werden bei Anthropic bis zu 30 Tage zur Prüfung auf Missbrauch und Sicherheitsverstöße gespeichert und danach gelöscht. Ausgenommen sind Eingaben und Ausgaben, die die automatisierten Systeme von Anthropic als Verstoß gegen die Nutzungsrichtlinie (Usage Policy) einstufen: Sie werden bis zu zwei Jahre, die Ergebnisse der Einstufung bis zu sieben Jahre aufbewahrt. Außerdem bewahrt Anthropic Daten auf, soweit gesetzliche Pflichten es verlangen. Betrifft jedes Projekt, in dem ein Lauf über diesen Weg verarbeitet wird (derzeit jeder Lauf mit Sprachmodell). Übermittelt werden Seitentexte und Seitenstrukturen (Zugangsdaten und typische sensible Muster wie E-Mail-Adressen, IBAN und Kartennummern durch Platzhalter ersetzt), Screenshots (diese Angaben und alles, was die Unkenntlichmachungsregeln des Kunden treffen, geschwärzt), Projektbeschreibung, Hinweise, Hinweise zum Überarbeiten des Drehbuchs, Drehbuch, Markenregeln, Aussprachewörterbuch, Struktur, Formeln und Texte von Tabellendateien (Zahlen durch ihre Art ersetzt) sowie Texte zusätzlicher Wissensquellen. Zugangsdaten und Dateien als solche erreichen den Dienst nie.

Ort

Vereinigte Staaten (Drittland; Verarbeitung durch Anthropic, PBC) Drittland

Grundlage

Anthropic Commercial Terms mit dem darin einbezogenen Data Processing Addendum (Art. 28 DSGVO); Standardvertragsklauseln aus dem Data Processing Addendum (Art. 46 Abs. 2 lit. c DSGVO); kein EU-US Data Privacy Framework

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (Cloudflare Germany GmbH, Rosental 7, 80331 München, als europäischer Ansprechpartner)

• R2 (jurisdiction EU)
• CDN delivery of videos and player
• Turnstile
• DNS
• Email Routing

Zweck und Umfang

Objektspeicher R2 für Videos, Screenshots, Audiodateien, hochgeladene Dateien und Dokumente (Gerichtsbarkeit „EU“, Speicherung nur in der EU); Auslieferung freigegebener Videos und des Einbett-Players über das Cloudflare-Netz; Turnstile zum Schutz des Teaser-Formulars; DNS der Domains klickdemo.com und klickdemo-mail.com; Email Routing: Empfang der E-Mails an die Projekt-Mailadressen (Anmeldecodes und Einladungen der aufgenommenen Software), die sofort an unseren Server weitergeleitet und bei Cloudflare nicht gespeichert werden. Betrifft alle Kunden. Bei der Auslieferung verarbeitet der dem Zuschauer nächstgelegene Cloudflare-Standort dessen IP-Adresse; gespeichert wird nur in der EU. Beim Mail-Empfang verarbeitet Cloudflare Absender, Empfänger und Inhalt der Nachricht nur für die Weiterleitung; das Aktivitätsprotokoll von Email Routing enthält Absender, Empfänger, Zeitpunkt und Zustellstatus.

Ort

Speicherung: Europäische Union; Auslieferung und Mail-Empfang: Cloudflare-Netz (Standort nahe dem Zuschauer bzw. dem sendenden Server) Drittland

Grundlage

Cloudflare Data Processing Addendum (Art. 28 DSGVO); Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und Zertifizierung der Cloudflare, Inc. unter dem EU-US Data Privacy Framework (Art. 45 DSGVO)

Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland

• Checkout
• Billing
• Tax
• Customer Portal
• Connect

Zweck und Umfang

Zahlungsabwicklung, Rechnungsstellung, Steuerberechnung, Kundenportal, Partnerauszahlungen. Für die Zahlungsabwicklung handelt Stripe als eigener Verantwortlicher, für die Rechnungsstellung als Auftragsverarbeiter. Betrifft nur Vertrags- und Zahlungsdaten des Kunden selbst (Name, Firma, Rechnungsanschrift, E-Mail-Adresse, USt-IdNr.), keine Daten aus Projekten.

Ort

Irland; Übermittlung an Stripe, Inc. (USA) möglich Drittland

Grundlage

Stripe Data Processing Agreement (Art. 28 DSGVO); Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und Zertifizierung der Stripe, Inc. unter dem EU-US Data Privacy Framework (Art. 45 DSGVO)