Unterauftragsverarbeiter (Subprocessors)
Registerversion: 1.0Stand: 4. September 2026
Diese Seite führt die Dienstleister, die die LirAI Technology GmbH als Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO einsetzt, um personenbezogene Daten im Auftrag ihrer Kunden zu verarbeiten. Sie ist der dauerhaft erreichbare Ort für die jeweils aktuelle Liste.
Aktuell eingesetzte Unterauftragsverarbeiter
Die Liste wird aus dem tatsächlichen Datenfluss abgeleitet, nicht aus der Datenschutzerklärung übernommen: Ein dort genannter Dienstleister ist nicht automatisch Unterauftragsverarbeiter.
Hetzner Online GmbH
- Rechtsträger
- Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen
- Leistung und Zweck
- Hosting-, Compute-, Datenbank- und Objektspeicherdienstleister, einschließlich der Replikation für Backup und Disaster Recovery.
- Verarbeitungsort
- Rechenzentren des Anbieters innerhalb der EU: primär fsn1, Backup- und Disaster-Recovery-Replikation in nbg1 (zweites Rechenzentrum desselben Anbieters, kein zusätzlicher Unterauftragsverarbeiter für Backups).
- Drittlandtransfer
- Nein
- Transfergrundlage nach Kapitel V DSGVO
- Für den genutzten Umfang besteht kein Drittlandbezug; beide Standorte liegen in der EU. Eine Transfergrundlage nach Kapitel V DSGVO ist daher nicht erforderlich, solange ausschließlich diese Standorte genutzt werden.
- Vertrag nach Art. 28 DSGVO
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen am 6. August 2026.
STACKIT GmbH & Co. KG
- Rechtsträger
- STACKIT GmbH & Co. KG, Stiftsbergstraße 1, 74172 Neckarsulm
- Leistung und Zweck
- KI-Dienstleister für die Extraktion und Klassifikation von Belegdaten sowie für Q&A und Embeddings.
- Verarbeitungsort
- EU-Endpunkt eu01.onstackit.cloud, Region „Germany South“.
- Drittlandtransfer
- Nein
- Transfergrundlage nach Kapitel V DSGVO
- Für den genutzten EU01-Datenpfad wurde kein Drittlandbezug festgestellt. Setzt der Anbieter künftig einen Unterauftragsverarbeiter in einem Drittland ein, sieht sein Auftragsverarbeitungsvertrag hierfür Standardvertragsklauseln (Modul 3) beziehungsweise Art. 44 ff. DSGVO vor.
- Vertrag nach Art. 28 DSGVO
- Auftragsverarbeitungsvertrag bestätigt: Data Processing Agreement in der Fassung Version 2.1.
Brevo GmbH
- Rechtsträger
- Brevo GmbH, Köpenicker Str. 126, 10179 Berlin (Handelsregister Berlin-Charlottenburg, HRB 133191)
- Leistung und Zweck
- SMTP- und Transaktionsmail-Dienst. Tatsächlich aktiv genutzt für Einladungen, Account-Verifikation und Passwortprozesse. Weitere Funktionen nehmen wir erst dann in diese Liste auf, wenn wir sie aktivieren.
- Verarbeitungsort
- Der aktive E-Mail-Versand läuft laut der Unterauftragsverarbeiter-Liste der Brevo-Datenschutzvereinbarung über OVH SAS (Frankreich/Deutschland) und Google Cloud France SARL (Belgien) — beide innerhalb der EU.
- Drittlandtransfer
- Nein für den aktiv genutzten Umfang
- Transfergrundlage nach Kapitel V DSGVO
- Der aktiv genutzte E-Mail-Kernversand läuft über die genannten EU-Standorte. Brevo führt darüber hinaus feature-abhängige Unterauftragsverarbeiter außerhalb der EU für Funktionen, die LirAI nicht nutzt (Support-Ticketing, CDN, SMS/WhatsApp, KI-Systeme). Für diese sind durchgehend Standardvertragsklauseln vorgesehen, bei mehreren US-Anbietern zusätzlich das EU-US Data Privacy Framework; die vollständige Zuordnung je Anbieter enthält Anlage 2 der Brevo-Datenschutzvereinbarung.
- Vertrag nach Art. 28 DSGVO
- Auftragsverarbeitungsvertrag bestätigt: Die Datenschutzvereinbarung (Anhang 3 der Allgemeinen Nutzungsbedingungen der Brevo-Dienste) ist integraler Vertragsbestandteil — Fassung vom 16. Oktober 2025, technische und organisatorische Maßnahmen (Anhang 4) mit Stand 17. Juli 2026. Ziffer 3.1 der Datenschutzvereinbarung legt die Rollen fest: LirAI ist Verantwortlicher, Brevo Auftragsverarbeiter.
Geprüft und nicht als Unterauftragsverarbeiter eingesetzt
Die folgenden Dienstleister und Schnittstellen wurden geprüft und sind keine Unterauftragsverarbeiter von LirAI. Sie stehen hier, damit die Einordnung nachvollziehbar ist:
- finAPI GmbH (Kontoinformationen und Zahlungsauslösung nach PSD2): Für die genutzten PSD2-Kernleistungen ist finAPI als BaFin-reguliertes Zahlungsinstitut eigenständig Verantwortlicher mit eigenen gesetzlichen Zwecken, nicht weisungsgebundener Unterauftragsverarbeiter von LirAI.
- DATEV-Export: Der DATEV-Vertrag besteht zwischen Kunde und DATEV. LirAI überträgt nur in die vom Kunden bereitgestellte beziehungsweise autorisierte DATEV-Umgebung und setzt DATEV nicht selbst als weiteren Auftragsverarbeiter ein.
- Push-Benachrichtigungen im Browser: Browser und Betriebssystem des Nutzers bestimmen den Push-Dienst und liefern nur einen dynamischen Endpunkt. LirAI wählt keinen zentralen Push-Anbieter als eigenen Vertragspartner aus.
- Microsoft 365 / Entra ID und sonstige Postfächer des Kunden: Bindet ein Kunde sein eigenes Postfach an, ist er dort selbst Vertragspartner des Anbieters.
- Let’s Encrypt: Verarbeitet ausschließlich technische Zertifikatsdaten, keine Kundendaten.
Änderungen an dieser Liste
Der Einsatz weiterer Unterauftragsverarbeiter setzt eine Genehmigung des Kunden nach Art. 28 Abs. 2 DSGVO voraus. Welche Genehmigung erteilt ist und in welcher Frist und Form wir über eine beabsichtigte Hinzunahme oder Ersetzung informieren und Sie widersprechen können, regelt der mit Ihnen geschlossene Auftragsverarbeitungsvertrag; er verweist für die jeweils aktuelle Liste auf diese Seite.
Jede Änderung erhält eine neue Registerversion mit Datum. Historische Fassungen archivieren wir intern einschließlich Gültigkeitszeitraum.
Änderungsverlauf
| Version | Stand | Änderung |
|---|
| 1.0 | 4. September 2026 | Erste veröffentlichte Fassung mit drei bestätigten Unterauftragsverarbeitern (Hetzner, STACKIT, Brevo). |