Unterauftragsverarbeiter

Diese Liste gehört zu unserem Auftragsverarbeitungsvertrag (Anlage 3). Sie nennt die Unternehmen, die in unserem Auftrag personenbezogene Daten aus deinen Kundendaten verarbeiten. Das sind vor allem Daten über die Besucher deiner Websites und Apps und der Inhalt deiner Chats mit Mira.

Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung	Übermittlungsgrundlage
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Server für die App, die API, den Collector, den Worker und die Datenbank (Cloud-Server in Nürnberg). Unser Tool-Server (Fehler-Monitoring, Monitoring, Git-Server und Deploy-Steuerung) in Falkenstein. Hetzner ist für seine Hosting-Dienste und Rechenzentren, einschließlich Nürnberg und Falkenstein, nach ISO/IEC 27001:2022 zertifiziert. Wir haben mit Hetzner einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen.	Nürnberg und Falkenstein, Deutschland	Nicht nötig (Europäische Union)
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA	Empfängt alle Anfragen an app.mirafive.io, api.mirafive.io und collect.mirafive.io. Es beendet die verschlüsselte Verbindung nahe beim Besucher, leitet die Anfragen durch einen Tunnel an unseren Server weiter, wendet Sicherheitsregeln an und fügt einer Anfrage Region und Stadt hinzu. Es sieht IP-Adressen der Besucher, Sitzungs-Cookies, Chat-Inhalte und API-Schlüssel. Es liefert auch die Website mirafive.io und die öffentlichen Skriptdateien von cdn.mirafive.io aus. Sein Data Processing Addendum ist Teil unserer Vereinbarung. Cloudflare hält Zertifizierungen nach ISO/IEC 27001 und SOC 2 Type II.	Weltweites Edge-Netzwerk, USA	EU-U.S. Data Privacy Framework (Cloudflare, Inc. ist zertifiziert); die Standardvertragsklauseln des Cloudflare Data Processing Addendum als Rückfall
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg	Verschlüsselte Datenbank-Backups. Speicher für Exportdateien, Logos und Icons. KI-Modelle (Amazon Bedrock): Die Antworten von Mira erzeugen Claude-Modelle, die AWS für uns in Amazon Bedrock betreibt (Abschnitt 3 Abs. 8 des AVV). Die Backups werden auf unserem Server verschlüsselt, bevor sie AWS erreichen, und AWS hält den Schlüssel nicht. AWS hält Zertifizierungen nach ISO/IEC 27001 und SOC 2. Das AWS GDPR Data Processing Addendum ist Teil der AWS Service Terms.	Backups und Dateien: Frankfurt, Deutschland (eu-central-1). KI: AWS-Regionen in der Europäischen Union (Frankfurt; Anfragen können zwischen AWS-Regionen in der EU geleitet werden).	Nicht nötig für Speicherung und KI in der Europäischen Union. Ein Zugriff aus den USA für Support und Betrieb lässt sich nicht ausschließen: EU-U.S. Data Privacy Framework (Amazon.com, Inc. und seine US-Tochtergesellschaften) und die Standardvertragsklauseln des AWS Data Processing Addendum
Mailjet SAS (ein Unternehmen von Sinch), 43 rue de Dunkerque, 75010 Paris, Frankreich	Versand der E-Mails aus MIRA FIVE. Digest- und Alarm-Mails können Zahlen und Namen von Referrern und Seiten aus deinen Daten enthalten. Der Auftragsverarbeitungsvertrag von Mailjet mit Standardvertragsklauseln ist Teil der Vereinbarung.	Europäische Union (Rechenzentren in Deutschland und Belgien)	Nicht nötig (Europäische Union). Eine Übermittlung in ein Drittland ist nicht geplant.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland	E-Mail-Postfächer (Google Workspace), nur wenn du uns in Support-Anfragen personenbezogene Daten sendest	EU; Übermittlung in die USA möglich	Data Privacy Framework, Standardvertragsklauseln

Die Anwendung, ihre Datenbank und die Erhebungs-Endpunkte laufen auf einem Server des Hosting-Anbieters. Der Server nimmt nur Datenverkehr aus dem Cloudflare-Tunnel an. Die Programme von MIRA FIVE speichern keine IP-Adressen von Besuchern und schreiben sie nicht in ein Protokoll. Cloudflare erhält sie, weil es alle Anfragen erhält.

Das KI-Modell erhält Daten nur, wenn ein Mitglied deiner Organisation Mira eine Frage stellt. Das Modell läuft in Amazon Bedrock in der Europäischen Union. Wir konfigurieren Amazon Bedrock so, dass AWS keinen Prompt und keine Antwort dauerhaft speichert (Zero Data Retention). Anthropic, der Hersteller der Modelle, hat keinen Zugriff auf die Prompts und Antworten und erhält sie nicht. Die Daten werden nicht genutzt, um ein Modell zu trainieren. Die Verarbeitung für die KI bleibt in der Europäischen Union. Welche Daten die KI anfordern kann, beschreibt Abschnitt 3 Abs. 8 des Auftragsverarbeitungsvertrags.

Für Google Workspace stützt sich eine Übermittlung in die USA auf die Zertifizierung von Google LLC nach dem EU-U.S. Data Privacy Framework und auf die Standardvertragsklauseln der Europäischen Kommission. Sende uns personenbezogene Daten über deine Besucher nur, wenn eine Support-Anfrage sie wirklich braucht.

Keine Unterauftragsverarbeiter

Wir nutzen diese Dienstleister, aber sie verarbeiten in unserem Auftrag keine Kundendaten:

Dienstleister	Aufgabe	Warum kein Unterauftragsverarbeiter
Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irland, und Sold through Link, LLC	Zahlung für deinen Tarif. Wir verkaufen Pro über Stripe Managed Payments. Sold through Link, LLC, ein Unternehmen im Stripe-Konzern, ist der Merchant of Record: Es wickelt den Checkout ab, belastet dich, berechnet, erhebt und führt Umsatzsteuer und andere Verkaufssteuern ab und stellt Belege und Rechnungen in eigenem Namen aus.	Stripe und Sold through Link, LLC verarbeiten Zahlungsdaten über deine Organisation, also Kontodaten, für eigene Zwecke als eigenständige Verantwortliche (Datenschutzerklärung: https://stripe.com/privacy). Für Übermittlungen in die USA ist Stripe, LLC nach dem EU-U.S. Data Privacy Framework zertifiziert, und der Auftragsverarbeitungsvertrag von Stripe enthält Standardvertragsklauseln.

Cloudflare liefert auch die Seiten der Website mirafive.io und die Skriptdateien von cdn.mirafive.io aus. Diese Anfragen enthalten keine Kundendaten.

Plattformen, die du selbst verbindest, etwa Google Ads, Google Search Console, Meta Ads, Microsoft Advertising, Bing Webmaster Tools und dein eigenes Stripe-Konto, sind ebenfalls keine Unterauftragsverarbeiter. Dasselbe gilt für API-Clients und KI-Assistenten, die du über die REST-API oder das Model Context Protocol (MCP) verbindest. Du wählst diese Empfänger, und Daten fließen nur auf deine Weisung zu ihnen.

Unsere eigenen Werkzeuge sind keine Unterauftragsverarbeiter. Wir betreiben Fehler-Monitoring (Sentry) und Monitoring auf unserem eigenen Server in Falkenstein, Deutschland. Fehlerberichte enthalten keine Nutzerdaten, Cookies, Header, Anfragekörper oder Query-Strings, und wir bewahren sie 14 Tage auf.

Änderungen dieser Liste

Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informieren wir die Owner aller Organisationen mindestens 30 Tage im Voraus per E-Mail und aktualisieren diese Seite. Du kannst der Änderung innerhalb von 14 Tagen aus berechtigten datenschutzrechtlichen Gründen widersprechen. Abschnitt 5 des Auftragsverarbeitungsvertrags regelt die Einzelheiten.

Fragen zu dieser Liste: hello@mirafive.io