Unterauftragsverarbeiter

Anlage C zur Auftragsverarbeitungsvereinbarung (AVV)

Stand: September 2026

Diese Liste ist gemäß der Auftragsverarbeitungsvereinbarung (AVV) aktuell zu halten und dient als Nachweis der generellen Zustimmung des Auftraggebers.

KI- und Sprachmodellschicht

Funktion	Name & Adresse	Ort der Verarbeitung	DSGVO-Absicherung
Sprachmodell für Dokumenten- und Belegauswertung	Amazon Web Services EMEA SARL, Luxemburg	Frankfurt, Deutschland (EU-Inferenzprofil)	Innerhalb EU/EWR. DPA im AWS-Kundenvertrag enthalten. Die Rechtebegrenzung des Kontos verweigert die US- und die globale Modellvariante aktiv.
KI-Assistent und Prompting	Anthropic Ireland, Limited (Vertragspartei für Kunden im EWR)	USA	SCC Modul 2. DPA per Verweis in den Commercial Terms einbezogen. Kein Training auf Kundendaten. Standardaufbewahrung 30 Tage.
KI-Entwicklungsumgebung (Coding Agent)	Anthropic Ireland, Limited (Vertragspartei für Kunden im EWR)	USA	SCC Modul 2. Gleiche Bedingungen wie oben, gleicher Anbieter. Kein Training auf Kundendaten.
KI-Recherche und Websuche	Perplexity AI, Inc., San Francisco, USA	USA	SCC Modul 2. DPA verfügbar. SOC-2-Type-II-zertifiziert. Kein Training auf Enterprise-Kundendaten.

Telefonie und Sprachkanal

Funktion	Name & Adresse	Ort der Verarbeitung	DSGVO-Absicherung
Voice-KI-Plattform	Retell AI Inc., 1121 Industrial Rd, Ste 500, San Carlos, USA	USA	SCC Modul 3. DPA unterzeichnet. SOC-2-Type-II-zertifiziert. Redaktion personenbezogener Daten aktiviert. Nicht im EU-US Data Privacy Framework. Kein Training auf Kundendaten.
Telefonie-Provider, primär	Twilio Ireland Ltd. beziehungsweise Twilio Inc.	EU (Irland) für EU-Rufnummern, USA für US-seitige Verarbeitung	EU/EWR für EU-Rufnummern. SCC Modul 3 für den US-Anteil. DPA abgeschlossen.
Telefonie-Provider, deutsche Rufnummern	Telnyx LLC beziehungsweise Telnyx Ireland Limited	EU (Frankfurt), USA für US-seitige Verarbeitung	DPA mit einbezogenen Standardvertragsklauseln, Module eins bis drei. Recht und Gerichtsstand Irland. Verarbeitung auf die Region Europa gestellt.

Daten- und Anwendungsschicht

Funktion	Name & Adresse	Ort der Verarbeitung	DSGVO-Absicherung
Cloud-Host, Server und Container	Hetzner Online GmbH, Gunzenhausen, Deutschland	Falkenstein/Vogtland, Deutschland	Innerhalb EU/EWR, keine SCC erforderlich.
Aufbau- und Testumgebungen	Airtable, Inc., San Francisco, USA	USA	SCC in der DPA. Airtable dient bei uns dem Aufbau und dem Test; produktive Kundendaten liegen in der Datenbank des Kundenportals in Frankfurt. Europäische Datenhaltung bietet Airtable erst im Tarif Enterprise Scale an, KiCo nutzt den Tarif Team. Wo Airtable das CRM des Kunden ist, läuft es auf dessen Konto und ist Auftragsverarbeiter des Kunden, nicht von KiCo.
Datenbank des Kundenportals	Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapur	Frankfurt, Deutschland	SCC in der DPA, Recht Irland. Die Vertragspartei sitzt in einem Drittland ohne Angemessenheitsbeschluss, die Daten liegen in der EU.
Datenbank der Auswertungsanwendung	Neon, LLC, Tochtergesellschaft der Databricks, Inc., USA	Frankfurt, Deutschland	SCC in der Databricks-DPA in der Fassung der Klauseln von 2021. Neon, LLC ist darüber hinaus als benannte erfasste Gesellschaft der aktiven Zertifizierung der Databricks, Inc. im EU-US Data Privacy Framework geführt.
Hosting der Auswertungsoberflächen	Netlify, Inc., San Francisco, USA	USA	EU-US Data Privacy Framework zertifiziert. Hilfsweise SCC Modul 2 und 3, Recht und Gerichtsstand Irland.
Anmeldung und Identitätsverwaltung	Clerk, Inc., San Francisco, USA	USA, keine Zusage zur Datenhaltung in der EU	EU-US Data Privacy Framework zertifiziert, ergänzend SCC Module eins bis drei. Vertreter in der Union: VeraSafe Ireland Ltd., Cork. Diese Zeile läuft aus, sobald die Zugriffsverwaltung auf das Kundenportal umgezogen ist.
CDN, DNS-Proxy und Tunnel	Cloudflare, Inc., San Francisco, USA	global	SCC Modul 2 und 3 in der DPA, ergänzend eine aktive Zertifizierung im EU-US Data Privacy Framework.
Chatbot- und Voicebot-Entwicklung	Voiceflow Inc., 410 Adelaide St W Ste 610, Toronto, Kanada	Kanada, USA	Angemessenheitsbeschluss für Kanada. SCC Modul 2 und 3 für den US-Anteil. Kein Training auf Kundendaten.
Workflow-Automatisierung	n8n GmbH, Berlin, Deutschland	EU (Frankfurt)	Innerhalb EU/EWR. DPA in den Cloud-Bedingungen enthalten. Der Betrieb läuft primär auf eigener Infrastruktur beim Cloud-Host; die Cloud-Variante des Anbieters dient als Rückfallebene.
Erstellung und Hosting von Kunden-Websites	Lovable Labs Sweden AB, Stockholm, Schweden	EU und USA	Vertragspartei in der EU. Auftragsverarbeitungsvereinbarung im gebuchten Tarif Business enthalten. Unterauftragnehmer laut Trust Center: Google Cloud in der EU für Anwendungen und Datenbanken, Cloudflare für Edge-Dienste, sowie Anthropic und AWS in den USA.
Chatbot- und Messenger-Marketing	Manychat, Inc., 1 World Trade Center, New York, USA	USA	SCC Modul 2 und 3. DPA in die Nutzungsbedingungen integriert, Klausel 17 und 18: deutsches Recht und deutsche Gerichte. EU-US Data Privacy Framework.

Termine und Unterschrift

Funktion	Name & Adresse	Ort der Verarbeitung	DSGVO-Absicherung
Terminbuchung, europäische Variante	Cal ID, Inc.	EU	Speicherung und Verarbeitung in der EU nach Anbieterzusage.
Terminbuchung	Calendly LLC, Atlanta, USA	USA	SCC Modul 2 sowie EU-US Data Privacy Framework.
Elektronische Unterschrift	Docusign Inc., San Francisco, USA	USA	Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules for Processors) als vorrangiger Übermittlungsmechanismus, ergänzend SCC Modul 2 und 3. Recht und Gerichtsstand Irland. Vertragspartei ist die US-Gesellschaft, belegt am Rechnungskopf.

Interne Werkzeuge mit Kundenbezug

Funktion	Name & Adresse	Ort der Verarbeitung	DSGVO-Absicherung
Arbeitsplatz: Postfach, Kalender, Ablage	Google Cloud EMEA Limited, Dublin, Irland	EU	Vertragspartei in der EU. DPA und Standardvertragsklauseln in den Cloud-Bedingungen.
Modell- und Sicherheitsdienste der Cloud-Plattform	Google Cloud Canada Corporation, Toronto, Kanada	Kanada, projektabhängige Region	Angemessenheitsbeschluss für Kanada. Das Rechnungsland ist Kanada, deshalb kontrahiert nicht die irische Gesellschaft. Die Region des jeweiligen Projekts ist gesondert zu bestätigen.
Postfach- und Kalenderzugriff über Microsoft Graph	Microsoft Ireland Operations Ltd., Irland	Irland (EU)	Innerhalb EU/EWR, keine SCC erforderlich.
Kommunikation und Kundenkanäle	Slack Technologies, LLC, San Francisco, USA — eine Salesforce-Gesellschaft	USA	Verbindliche interne Datenschutzvorschriften der Salesforce-Gruppe (Processor Binding Corporate Rules) als vorrangiger Übermittlungsmechanismus, ergänzend SCC Modul 2 und 3. Slack Technologies, LLC ist zusätzlich als benannte erfasste Gesellschaft der aktiven Zertifizierung der Salesforce, Inc. im EU-US Data Privacy Framework geführt. Vertragspartei laut Rechnungskopf ist die US-Gesellschaft; die Gruppen-Vereinbarung ist von der US- und der irischen Gesellschaft gezeichnet.
Projekt- und Aufgabenverwaltung	Mango Technologies, Inc. (DBA ClickUp), 350 Tenth Ave, Ste 500, San Diego, USA	USA oder EU, wählbar	SCC Modul 2 und 3. DPA verfügbar. SOC-2-Type-II- und ISO-27001-zertifiziert. Nicht im EU-US Data Privacy Framework: die Zertifizierung des Rechtsträgers ist am 26.01.2024 ausgelaufen und seit dem 25.02.2024 durchgehend inaktiv. Die Übermittlung stützt sich allein auf die Standardvertragsklauseln.
Onboarding- und Projektdokumentation	Notion Labs, Inc., San Francisco, USA	USA, keine EU-Region verfügbar	SCC Modul 2 in der DPA.
Abrechnung und Kundenverwaltung	ZOHO Canada Corporation, Cornwall, Ontario, Kanada	Kanada	Angemessenheitsbeschluss für Kanada. Die Vertragspartei ist eine kanadische Gesellschaft, die personenbezogene Daten im Rahmen gewerblicher Tätigkeit verarbeitet und damit PIPEDA unterliegt — dem Anwendungsbereich des Beschlusses.
Verwaltung der Zugangsdaten	Doppler Technologies, Inc., 440 North Barranca Avenue #5880, Covina, USA	USA	SCC Modul 2 und 3 in der DPA. Recht und Gerichtsstand Irland.
Passwort-Tresor	Bitwarden, Inc., USA	EWR und USA	Standardvertragsklauseln sowie Data Privacy Framework nach Anbieterangabe.

Kanäle in eigener Verantwortlichkeit des Anbieters

Der folgende Dienst ist kein Unterauftragsverarbeiter und kann es nach seinen eigenen Bedingungen auch nicht werden. Er wird hier genannt, damit die Kette vollständig ist.

Dienst	Rolle	Was das bedeutet
Telegram	eigener Verantwortlicher	Der Anbieter tritt gegenüber Nutzern im EWR als eigener Verantwortlicher auf, benennt lediglich einen Vertreter nach Art. 27 DSGVO und stellt keine Auftragsverarbeitungsvereinbarung bereit. Wer den Messenger als Kanal nutzt, übermittelt an einen eigenständigen Verantwortlichen.

Nicht in dieser Liste

Dienst	Warum nicht
Microsoft Azure OpenAI als KI-Plattform	Wird nicht eingesetzt. Es besteht kein Zugang und kein Betriebsnachweis. Microsoft bleibt in der Liste, aber als Postfach- und Kalenderzugriff, nicht als Modellanbieter.
Celonis beziehungsweise Make	Wird nicht eingesetzt.
jambonz, Placetel	Laufen auf Konten des Kunden. KiCo betreibt und verwaltet sie nicht und empfiehlt sie lediglich. Es sind Auftragsverarbeiter des Kunden.
HubSpot	Das Formular liegt auf der Landingpage des Kunden und übermittelt in dessen eigenes Portal.

← Zurück zur Auftragsverarbeitung ← Zurück zu den AGB ← Zurück zum Impressum