Subprozessoren (Anlage 1 zum AVV)

Vertragsbestandteil, nicht bloße Information

Diese Liste ist Anlage 1 des Auftragsverarbeitungsvertrags und damit Bestandteil des Vertrags, dem Sie im Konto zustimmen. Mit der Zustimmung erteilen Sie die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 S. 2 DSGVO zur Hinzuziehung der hier genannten Auftragsverarbeiter.

1. Übersicht

Anbieter	Zweck	Datenkategorien	Ort der Verarbeitung
Vercel Inc. Sitz: USA	Hosting der Anwendung, Ausführung der Serverfunktionen, Auslieferung der Seiten	Zugriffsdaten (IP-Adresse, Zeitpunkt, Route, User-Agent); sämtliche Inhaltsdaten, während sie verarbeitet werden — Konto-, Objekt-, Einheiten- und Mieterdaten, Belegdaten	Funktionsausführung in `fra1` (Frankfurt am Main); Konzernsitz und möglicher Fernzugriff aus den USA
Vercel Blob (Vercel Inc.) Sitz: USA	Privater Objektspeicher für hochgeladene Belege und erzeugte Abrechnungs-PDFs	Dateiinhalte der Belege und Abrechnungen — je nach Beleg Namen, Anschriften, Zählernummern, Verbrauchs- und Betragsangaben, unter Umständen Bankverbindungen	`fra1` (Frankfurt am Main); der Speicher ist als privatangelegt — die Datei-URL allein gewährt keinen Zugriff. Konzernsitz USA
Vercel AI Gateway (Vercel Inc.) Sitz: USA	Ausweichbetrieb der Belegauslesung — nur bei Ausfall des primären Inferenz-Servers und nur bei aktiviertem Failover	Vollständige Belegdokumente einschließlich aller darin enthaltenen Angaben	Vermittlung an einen Modellanbieter, für den technisch Zero Data Retention und der Ausschluss der Nutzung zu Trainingszwecken erzwungen wird; findet sich kein solcher Anbieter, bricht die Verarbeitung ab
Hetzner Online GmbH Sitz: Gunzenhausen, Deutschland — ⟨ausfüllen: vollständige Anschrift und Registereintrag⟩	Betrieb der Server, auf denen die PostgreSQL-Datenbank einschließlich Sicherungskopien und die Belegauslesung laufen. Die Datenbank wird von uns selbst betrieben; Hetzner stellt Räumlichkeiten, Hardware und Anbindung	Konto- und Vertragsdaten, Objekte, Einheiten, Mietverhältnisse, Mieterstammdaten, Abrechnungsergebnisse, Zustimmungsbelege, Protokolle sowie die vollständigen Belegdokumente während der Auslesung	Rechenzentrum Nürnberg (nbg1), Deutschland
`ollama.neko.immo` Betreiber: ⟨ausfüllen: Betreiber, Rechtsform und Sitz von ollama.neko.immo⟩	Primäre KI-gestützte Auslesung der Belege. Übergeben wird das vollständige Dokument, kein Auszug und keine pseudonymisierte Fassung	Vollständige Belegdokumente einschließlich aller darin enthaltenen Angaben	Rechenzentrum Nürnberg (nbg1), Hetzner Online GmbH, Deutschland
Stripe Payments Europe, Ltd. Sitz: Irland — unter Einbindung der Stripe, Inc., USA	Zahlungsabwicklung, Abonnementverwaltung, Rechnungsstellung, Ermittlung der Umsatzsteuer, Betrugsprävention	Name bzw. Firmierung, E-Mail-Adresse, Rechnungsanschrift, Umsatzsteuer-ID, interne Nutzerkennung, Zahlungs- und Vertragsdaten. Kartendaten und SEPA-Mandate geben Sie unmittelbar bei Stripe ein — wir sehen und speichern sie nicht	Irland; Konzernbezug in die USA
Resend Rechtsform und Sitz: ⟨ausfüllen: Rechtsform und Sitz des E-Mail-Anbieters Resend⟩	Versand von Transaktions-E-Mails und Verarbeitung der Zustellereignisse (zugestellt, unzustellbar, als Spam markiert)	Empfängeradresse, Name, Betreff und Inhalt der Nachricht, Zustellereignisse. Wir versenden keine E-Mails an Ihre Mieterinnen und Mieter	`eu-west-1` (Irland). Resend setzt seinerseits Amazon SES als Unterauftragsverarbeiter ein
Sentry Functional Software, Inc. (Sentry) Sitz: USA — genutzt wird die US-Instanz	Fehler- und Ausfallüberwachung. Nur aktiv, wenn ein Sentry-DSN konfiguriert ist	Fehlermeldung, Stapelüberwachung, aufgerufene Route, Anfragekennung und Nutzerkennung. Dokumentinhalte, Formulareingaben, Kopf- und Cookie-Werte werden vor dem Versand entfernt; die Übermittlung personenbezogener Standarddaten ist abgeschaltet	Vereinigte Staaten (`ingest.us.sentry.io`). Übermittelt werden ausschließlich bereinigte Fehlerereignisse: `sendDefaultPii` ist abgeschaltet, IP-Adressen und Kopfzeilen werden nicht gesendet, Performance-Ereignisse gar nicht erzeugt

Die vollständigen postalischen Anschriften der vorgenannten Auftragsverarbeiter: ⟨ausfüllen: vollständige Anschriften aller Subprozessoren aus den unterzeichneten AV-Verträgen übernehmen⟩.

2. Wen wir nicht einsetzen

Wir binden keine Analyse-, Tracking- oder Werbedienste ein, kein Zählpixel, keine Schriftarten und keine Skripte von fremden Servern. Deshalb gibt es auf unseren Seiten auch keinen Cookie-Banner. Wir setzen keine Callcenter, kein ausgelagertes Support-System und keinen Dienstleister für Datenanreicherung ein.

3. Übermittlung in Drittländer

Die Verarbeitung findet in der Europäischen Union statt. Ein Drittlandbezug besteht gleichwohl, weil Vercel Inc. seinen Sitz in den USA hat und ein Zugriff von dort — etwa im Rahmen von Fernwartung — nicht ausgeschlossen werden kann. Gleiches gilt für Stripe, das die Stripe, Inc. (USA) einbindet.

Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Schutzmaßnahmen (Transportverschlüsselung, private Speicherbereiche, Zugriffsbeschränkung, kurze Protokollhaltung). Ob und für welche Anbieter zusätzlich der Angemessenheitsbeschluss zum EU-US Data Privacy Framework greift: ⟨ausfüllen: DPF-Zertifizierungsstatus je US-Anbieter prüfen und je Zeile eintragen⟩. Die Risikoabwägung (Transfer Impact Assessment) stellen wir Ihnen als Verantwortlichem auf Anfrage zur Verfügung.

4. Änderungen dieser Liste

Beabsichtigte Änderungen — Hinzunahme oder Austausch eines Auftragsverarbeiters — teilen wir Ihnen nach § 6 Abs. 2 AVV mindestens 30 Tage im Voraus in Textform an die im Konto hinterlegte E-Mail-Adresse mit. Sie können der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen; die Folgen regelt § 6 Abs. 3 AVV.

Maßgeblich ist die Fassung, die zum Zeitpunkt der Verarbeitung gilt. Die aktuelle Fassung trägt die Kennung 2026-07-01. Fragen zu dieser Liste beantworten wir unter datenschutz@kommers.io.