Stand: 23.10.2026 Auftragsverarbeiter: Sat-iTec Systemhaus GmbH Plattform: ChatiTec
Bevor Inhalte an externe KI-Provider übermittelt werden, werden personenbezogene Daten und Berufsgeheimnisse automatisiert anonymisiert (PII-Tokenisierung). Diese Anonymisierung ist standardmäßig erzwungen (PII_FORCE_FOR_EXTERNAL=true). An die nachfolgend genannten externen Unterauftragsverarbeiter werden somit ausschließlich anonymisierte Inhalte ohne identifizierende Klartext-Personendaten übermittelt. Die Rück-Zuordnung der Platzhalter ist nur lokal (Fernet-verschlüsselt) auf der deutschen Infrastruktur möglich.
Transferfreie Alternative: Bei Nutzung rein lokaler Modelle (Ollama/vLLM) werden keine externen Unterauftragsverarbeiter eingeschaltet; es findet kein Datentransfer an Dritte und kein Drittlandtransfer statt.
| Nr. | Unterauftragsverarbeiter | Zweck der Verarbeitung | Verarbeitete Daten | Standort / Drittland | Transfergrundlage (Kapitel V DSGVO) |
|---|---|---|---|---|---|
| 1 | OpenAI OpenAI Ireland Ltd. (für Kund:innen im EWR) | KI-/LLM-Inferenz (Verarbeitung anonymisierter Eingaben, Erzeugung von Antworten) | Ausschließlich anonymisierte Inhalte | USA | Standardvertragsklauseln (SCC) gem. Art. 46 DSGVO und/oder EU-US Data Privacy Framework (Art. 45 DSGVO), soweit zertifiziert |
| 2 | Anthropic Anthropic Ireland, Limited (für Kund:innen im EWR) | KI-/LLM-Inferenz (Verarbeitung anonymisierter Eingaben, Erzeugung von Antworten) | Ausschließlich anonymisierte Inhalte | USA | Standardvertragsklauseln (SCC) gem. Art. 46 DSGVO und/oder EU-US Data Privacy Framework (Art. 45 DSGVO), soweit zertifiziert |
| 3 | Google (Gemini) Google Ireland Ltd. | KI-/LLM-Inferenz (Verarbeitung anonymisierter Eingaben, Erzeugung von Antworten) | Ausschließlich anonymisierte Inhalte | USA | Standardvertragsklauseln (SCC) gem. Art. 46 DSGVO und/oder EU-US Data Privacy Framework (Art. 45 DSGVO), soweit zertifiziert |
Hinweis zur Transfergrundlage: Maßgeblich ist die jeweils gültige vertragliche Grundlage des konkreten Anbieters. Für US-Anbieter kommen vorrangig die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 in Betracht; soweit der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist und ein Angemessenheitsbeschluss anwendbar ist, kann auch dieser herangezogen werden. Die Aktualität ist regelmäßig zu prüfen.
| Provider | Status | Grund |
|---|---|---|
| DeepSeek | standardmäßig DEAKTIVIERT | Drittland-/Risikobetrachtung China; ohne ausdrückliche, gesonderte Risikoabwägung und Freischaltung nicht nutzbar |
| Nr. | Unterauftragsverarbeiter | Zweck | Standort | Transfergrundlage |
|---|---|---|---|---|
| 4 | Sat-iTec Systemhaus GmbH – eigenes Rechenzentrum Augsburg | Hosting, Housing, physischer Rechenzentrumsbetrieb | Deutschland / EU | Kein Drittlandtransfer; AVV nach Art. 28 DSGVO |
| 5 | Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland | Abwicklung von Zahlungen kostenpflichtiger Tarife | Irland (EU); Übermittlung an Stripe, Inc. (USA) möglich | Stripe handelt bei der Zahlungsabwicklung als eigener Verantwortlicher; keine Inhaltsdaten. Drittlandübermittlung auf Grundlage des EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln |
| 6 | Internet Security Research Group (Let's Encrypt), San Francisco, USA | Ausstellung von TLS-Zertifikaten (keine Inhaltsdaten) | USA | Keine Verarbeitung personenbezogener Inhaltsdaten; nur technische Domain-Validierung |
Änderungen dieser Liste (Hinzuziehung/Ersetzung von Unterauftragsverarbeitern) werden dem Verantwortlichen gemäß § 5 des Auftragsverarbeitungsvertrags rechtzeitig vorab in Textform mitgeteilt; dem Verantwortlichen steht das dort geregelte Widerspruchsrecht zu.
Stand: 23.10.2026