Rechtliches
Unterauftragsverarbeiter-Liste
Stand: 27. Juli 2026
Übersicht
Diese Liste ist Anlage 2 zum Vertrag zur Auftragsverarbeitung (AVV) zwischen dem Kunden (Verantwortlicher) und Alexander Zakharov (Einzelunternehmer, Turmweg 31, 20148 Hamburg, USt-IdNr. DE455314355, hello@sageobot.com), Betreiber der Plattform „SAGEOBOT" (nachfolgend „Auftragsverarbeiter"), und wird durch Bezugnahme Bestandteil des AVV.
Sie benennt sämtliche Unterauftragsverarbeiter, die im Rahmen der Bereitstellung der SAGEOBOT-Plattform personenbezogene Daten des Verantwortlichen im Auftrag des Auftragsverarbeiters verarbeiten. Der Verantwortliche hat gemäß § 6 des AVV eine allgemeine Genehmigung zum Einsatz der nachstehenden Unterauftragsverarbeiter erteilt.
Aktuelle Unterauftragsverarbeiter
Stand (Prüfung Transfermechanismen/DPF-Status): 27. Juli 2026.
| Dienst / Unternehmen | Zweck | Datenkategorien | Ort | Transfergrundlage |
|---|---|---|---|---|
| OpenAI — OpenAI Ireland Ltd. (EWR-Vertragspartner); OpenAI OpCo, LLC (USA) | KI-Artikel-/Headline-Generierung, Qualitäts-Gate, Bildgenerierung (Standardoption) | Prompts + kundenseitige Website-/Business-Inhalte (können personenbezogene Daten Dritter enthalten, z. B. genannte Mitarbeiter) | Irland / USA | Standardvertragsklauseln (SCC) gemäß OpenAI-Auftragsverarbeitungsvertrag (kein EU-US DPF) |
| Google Generative Language API (Gemini) — Google Ireland Limited; Google LLC (USA) | Bildgenerierung — ausschließlich als pro Site explizit konfigurierbare Option | Prompts + kundenseitige Website-/Business-Inhalte, soweit für Bildgenerierung genutzt | Irland / USA | Konditional — aktuell für keinen Kunden aktiv; bei Aktivierung: EU-US Data Privacy Framework (DPF), soweit zertifiziert, ergänzend Standardvertragsklauseln (SCC) |
| Stripe — Stripe Payments Europe, Ltd. (Irland); Stripe, Inc. (USA) | Zahlungsabwicklung, Abo, Rechnung | E-Mail, Name, Rechnungsadresse, USt-ID, Zahlungsdaten (Stripe-gehostet) | Irland / USA | EU-US Data Privacy Framework (DPF) aktiv; ergänzend Standardvertragsklauseln als Fallback |
| Resend — Plus Five Five, Inc. (USA) | Transaktions-E-Mail (Diagnose-Report, Double-Opt-in) | Empfänger-E-Mail, Report-Link | USA | EU-US Data Privacy Framework (DPF) aktiv, inkl. UK-Extension |
| DataForSEO — DataForSEO OÜ (Estland) | SERP-/Keyword-Daten, KI-Sichtbarkeit, Gap-Analyse | Keywords/Domains/Suchanfragen (i. d. R. keine direkten Kunden-PII) | Estland (EU) | EU-Entität, kein Drittlandtransfer; eigene Sub-Auftragsverarbeiter des Anbieters unterliegen dessen Datenschutzerklärung (Standardvertragsklauseln/Angemessenheit) |
| Google / Firebase (Firestore, Firebase Auth) — Google Cloud EMEA Ltd. (Irland); Google LLC (USA) | Authentifizierung, primärer Datenspeicher, Hosting-Dienste | Konto-E-Mail, Firebase-UID, Auth-Provider, Google-Sign-in-Profil, sämtliche App-Daten | Firestore-Europa-Multi-Region eur3 (St. Ghislain/Belgien, Eemshaven/Niederlande) | EU-US Data Privacy Framework (DPF) aktiv; Daten selbst ruhen in der EU, Transfer nur soweit Support/Betrieb US-seitig erfolgt |
| PostHog — PostHog, Inc. (USA), EU-Instanz | Produktanalyse (einwilligungsbasiert) | Seitenaufrufe, Geräte-/Browser-Metadaten, Session-ID, nach Login UID + E-Mail | EU (eu.i.posthog.com, Hosting AWS eu-central-1 Frankfurt) | EU-gehostet, kein Drittlandtransfer |
| Google PageSpeed / Search Console — Google Ireland Limited | Diagnose-Performance / GSC-Sync | Ziel-URL; GSC: verbundene Google-Konto-E-Mail + Performance-Daten | Irland | Wie Google/Firebase-Zeile (Bestandteil derselben Google-Vertragsbeziehung) |
| Microsoft Bing Webmaster Tools — Microsoft Ireland Operations Ltd.; Microsoft Corp. (USA) | Bing-Performance-Snapshot (nur Anzeige, isoliert) | Website-URL, API-Key | Irland / USA | EU-US Data Privacy Framework (DPF) aktiv |
| Hetzner Online GmbH | Server-/Hosting-Infrastruktur (Produktion) | alle ruhenden Daten | Rechenzentrum Nürnberg, Deutschland | Deutschland/EU, kein Drittlandtransfer |
| OpenPageRank | Domain-Authority-Score | nur Domain (keine personenbezogenen Daten) | — | — |
| Telegram — Telegram Messenger Inc. (Britische Jungferninseln) / Telegram FZ-LLC (Dubai, VAE) | Interne Betriebs-Benachrichtigung bei Neuanlage eines Kunden; optionale kundenseitig konfigurierte Client-Benachrichtigungen (Bot-API) | Website-Domain und Tarif-/Plan-Informationen bei Neuanlage (keine Namen, keine Kontaktdaten) — notify_new_client_created; bei aktiv konfigurierter Client-Benachrichtigung die jeweiligen Kundendaten | Vereinigte Arabische Emirate / Britische Jungferninseln | Kein Angemessenheitsbeschluss der EU-Kommission und keine für diese Nutzung abschließbaren Standardvertragsklauseln; Rechtsgrundlage ist das berechtigte Interesse an bzw. die Einwilligung zur jeweiligen Benachrichtigung (Art. 6 Abs. 1 lit. f bzw. lit. a DSGVO) mit ausdrücklichem Hinweis auf das Drittland-Transferrisiko (vgl. Art. 49 DSGVO) |
Telegram — Hinweis
Der interne Betriebs-Channel erhält bei Neuanlage eines Kunden ausschließlich dessen Website-Domain und Tarif-/Plan-Informationen — keine Namen, keine Kontaktdaten — siehe Tabellenzeile oben. Telegram wird daher hier weiterhin als Empfänger geführt, da eine Website-Domain im Einzelfall einer identifizierbaren Person zugeordnet werden kann. Der separate, per Kunden-Site geführte und vom Kunden selbst konfigurierte Client-Telegram-Kanal verarbeitet ausschließlich Daten des jeweiligen Kunden selbst, unterliegt aber derselben Drittland-Risikolage (siehe Tabellenzeile oben).
Mitteilungs- und Widerspruchsverfahren bei Änderungen
Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen per E-Mail an die im Kundenkonto hinterlegte Vertrags-E-Mail-Adresse, mindestens 14 Tage vor Wirksamwerden der Änderung. Der Verantwortliche kann der Änderung innerhalb dieser 14-Tage-Frist ab Zugang der Mitteilung gemäß § 6 Abs. 2 AVV widersprechen.
Stand / Änderungshinweis
Diese Liste ist versioniert und wird bei Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters aktualisiert. Der Verantwortliche wird über Änderungen nach dem vorstehend beschriebenen Verfahren informiert und kann innerhalb der dort genannten Frist widersprechen (Widerspruchsrecht). Die jeweils unter der oben genannten Datei geführte Fassung ist maßgeblich; frühere Fassungen werden im Versionsverlauf des Repositories nachvollziehbar gehalten.
Aktueller Stand: 27. Juli 2026.