Diese Übersicht listet die weiteren Auftragsverarbeiter (Subunternehmer) auf, die der Anbieter zur Erbringung des Citatron-Dienstes einsetzt (Art. 28 Abs. 2 und 4 DSGVO). Sie ist Bestandteil der allgemeinen Genehmigung nach § 6 des Auftragsverarbeitungsvertrags und wird bei Änderungen aktualisiert. Über beabsichtigte Änderungen wird der Kunde nach Maßgabe des AVV informiert; ihm steht das dort geregelte Widerspruchsrecht zu.
Eingesetzte Dienste
| Dienst / Anbieter | Zweck | Sitz | Transfergrundlage |
|---|---|---|---|
| Hetzner Online GmbH | Hosting und Betrieb der Anwendung; Speicherung der Daten | Gunzenhausen, Deutschland | Verarbeitung innerhalb der EU (kein Drittlandtransfer); Auftragsverarbeitung nach Art. 28 DSGVO |
| Supabase (Supabase Inc.) | Authentifizierung und Konto-/Nutzerverwaltung | USA | EU-Standardvertragsklauseln (Art. 46 DSGVO) |
| DataForSEO | Suchvolumen- und SERP-Daten für die Keyword-Recherche | USA | EU-Standardvertragsklauseln (Art. 46 DSGVO) |
| Perplexity (Perplexity AI, Inc.) | KI-gestützte Recherche | USA | EU-Standardvertragsklauseln (Art. 46 DSGVO) |
| Google / Gemini (Google) | KI-gestützte Text- und Bildgenerierung | Irland / USA | EU-Standardvertragsklauseln (Art. 46 DSGVO) |
| OpenRouter | Routing von Anfragen an KI-Sprachmodelle | USA | EU-Standardvertragsklauseln (Art. 46 DSGVO) |
| GitHub (GitHub, Inc.) | Veröffentlichung von Inhalten via Pull-Request in ein Git-Repository des Kunden (nur bei Nutzung dieses Publikationswegs) | USA | EU-Standardvertragsklauseln (Art. 46 DSGVO) |
| Strato AG | Betrieb des E-Mail-Postfachs (Kontaktkommunikation) | Berlin, Deutschland | Verarbeitung innerhalb der EU (kein Drittlandtransfer) |
Hinweise zum Drittlandtransfer
Für die in den USA ansässigen Dienste besteht kein pauschaler Angemessenheitsbeschluss, der ohne Weiteres jeden Empfänger erfasst. Der Anbieter stützt Übermittlungen an diese Dienste daher auf die EU-Standardvertragsklauseln (Standard Contractual Clauses, Art. 46 Abs. 2 lit. c DSGVO). Sofern ein Anbieter zusätzlich unter dem EU-US Data Privacy Framework zertifiziert ist, erfolgt die Übermittlung ergänzend auf dieser Grundlage (Art. 45 DSGVO). Ergänzend werden, soweit erforderlich und möglich, zusätzliche Schutzmaßnahmen getroffen.
Der konkrete Umfang der bei einem Dienst verarbeiteten Daten hängt vom gewählten Publikationsweg und der Konfiguration des Kunden ab (z. B. wird GitHub nur beim Pull-Request-Veröffentlichungsweg genutzt). Nutzt der Kunde eigene Zugangsschlüssel (BYOK) für Drittdienste, erfolgt die Nutzung dieser Dienste im Verhältnis zum jeweiligen Drittanbieter zusätzlich nach Maßgabe der zwischen dem Kunden und dem Drittanbieter bestehenden Vereinbarungen.