Unterauftragsverarbeiter

Diese Liste ist Anlage 3 zum Auftragsverarbeitungsvertrag und Bestandteil der technischen und organisatorischen Maßnahmen.

1. Die kurze Antwort

An der Beantwortung einer Frage ist kein Dritter beteiligt. Das Skript answely.js sendet ausschließlich an die eigene Infrastruktur von Answely, und das Sprachmodell läuft auf eigener Hardware in Łódź, Polen – die KI arbeitet ausschließlich auf Servern in der EU, und an einen externen KI-Dienst geht nichts. Einen Hosting- oder Cloud-Anbieter für den Betrieb gibt es nicht.

Daten, die Answely im Auftrag seiner Kunden verarbeitet, erreichen Dritte nur in zwei Fällen:

Eine nächtliche ausgelagerte Kopie aller Datenbanken des Servers liegt bei Google Cloud Storage in Warschau. Sie wird vor der Übertragung auf dem eigenen Server verschlüsselt, einschließlich der Datei- und Verzeichnisnamen; die Schlüssel liegen nur beim Betreiber. Google kann den Inhalt nicht lesen, bleibt aber Unterauftragsverarbeiter – die Verschlüsselung nimmt Google den Inhalt, nicht die Rolle.
E-Mails an Kunden laufen über Namecheap Private Email in den USA. Daten im Auftrag enthält vor allem der monatliche Wissenslücken-Bericht, den Kunden einschalten können: Er enthält Gruppen maskierter Fragen. Mit diesem Bericht verlassen maskierte Fragetexte die EU, auf Grundlage der EU-Standardvertragsklauseln. Ohne den Bericht verlassen Fragen und Antworten aus der Antwortbox die EU nicht.

Alle übrigen Einträge betreffen das Kundenkonto (Zahlung, E-Mails) oder den technischen Betrieb – nicht die Daten der Besucher auf den Websites unserer Kunden.

2. Derzeitige Unterauftragsverarbeiter und Empfänger

Empfänger	Zweck	Datenkategorien	Ort	Grundlage
Google Ireland Limited (Google Cloud Storage)	Ausgelagerte Kopie der nächtlichen Sicherung des Servers	Vollständige Kopie aller Datenbanken und des Webverzeichnisses: Konten, Einstellungen und Index der Sites, Auswertungen der Antwortbox, Firmenlogos. Vor der Übertragung verschlüsselt (rclone crypt, Schlüssel nur beim Betreiber), Datei- und Verzeichnisnamen eingeschlossen.	Polen (EU) – nicht öffentlicher Speicher in der Region europe-central2 (Warschau), Speicherklasse Standard	Auftragsverarbeitung nach den Google Cloud Datenverarbeitungsbedingungen, die für das Cloud-Projekt angenommen sind.
Namecheap, Inc., Phoenix, Arizona, USA (Namecheap Private Email)	Versand der Transaktions-E-Mails an Kunden und des Wissenslücken-Berichts; Empfang eingehender E-Mails an Adressen unter @answely.com	Name und E-Mail-Adresse des Empfängers, Inhalt der Nachricht: Bestätigungen, Passwort zurücksetzen, Kontingentwarnungen, Zahlungshinweise, Löschbestätigung; beim Wissenslücken-Bericht Gruppen maskierter Fragen und das Firmenlogo des Kunden; bei eingehenden Mails deren Inhalt	USA (Drittland)	Data Processing Addendum von Namecheap mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), angenommen am 01.08.2026 für das Konto des Rechtsträgers.
Stripe Payments Europe, Ltd.	Zahlungsabwicklung, Rechnungen, Steuerberechnung und Kundenportal für bezahlte Tarife und Zusatzpakete	Nur Daten des Kundenkontos: E-Mail-Adresse, Name bzw. Firma, Anschrift bei Unternehmen, Land, Kundenart, Sprache, Kontonummer bei Answely, geprüfte USt-IdNr. Karten- und Kontodaten werden auf Seiten von Stripe eingegeben und erreichen Answely nie. Nie Daten von Besuchern.	Irland (EU); Übermittlung an Stripe, Inc., USA	Stripe Data Processing Agreement, angenommen am 01.08.2026 mit den Bedingungen bei Kontoeröffnung; für die USA EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln.
Let's Encrypt (ISRG)	Ausstellung und Erneuerung der TLS-Zertifikate	Nur Domainnamen; keine personenbezogenen Daten von Kunden oder Besuchern	USA	Öffentliche Zertifizierungsstelle; keine Verarbeitung personenbezogener Daten im Auftrag
Namecheap, Inc., Phoenix, Arizona, USA (Registrar)	Registrierung der Domain answely.com und autoritatives DNS	Nur Domaindaten des Betreibers; keine Daten von Kunden oder Besuchern. Eingehende E-Mail läuft nicht über die Domainverwaltung, sondern über Namecheap Private Email (Zeile oben).	USA	Registrar-Vertrag; keine Verarbeitung personenbezogener Daten im Auftrag
Keiner – Betrieb auf eigener Hardware in Łódź, Polen, einschließlich der Rechner mit Sprachmodell und Einbettungsmodell	Betrieb von Website, Konto, Antwort-Dienst, Datenbanken und KI	Sämtliche von Answely verarbeiteten Daten	Polen (EU)	Entfällt: keine Übermittlung an einen Hosting-Dritten. Die Internetanbindung (Toya sp. z o.o., AS16342) ist reiner Transport und durchgehend TLS-verschlüsselt; ihr Anbieter ist kein Unterauftragsverarbeiter.

Zur Aufbewahrung der ausgelagerten Kopien: Tageskopien 7 Tage, Wochenkopien 364 Tage. Im laufenden System gelöschte Daten können darin bis zu ihrem Ablauf enthalten sein, verschlüsselt und nur für eine Wiederherstellung nach einem Verlust; Einzelheiten im Auftragsverarbeitungsvertrag, Abschnitt 12.3.

Stripe ist für die Abrechnung genau genommen kein Unterauftragsverarbeiter im Auftrag der Kunden, weil Answely für die Abrechnung selbst verantwortlich ist. Die Zeile steht hier trotzdem, damit die Liste vollständig zeigt, wer Daten aus dem Umfeld von Answely erhält.

3. Was bewusst nicht auf dieser Liste steht, und warum

KI-Modelle: Sprachmodell und Einbettungsmodell laufen auf eigener Hardware im selben internen Netz wie der Server. Es gibt keinen KI-Anbieter, der Fragen, Antworten oder Inhalte erhält.
Ausweich-Anbieter für das Sprachmodell: Ein Anbieter mit Sitz und Rechenzentrum in Frankreich ist technisch vorbereitet, aber nicht in Betrieb; seine Freigabe ist gesperrt. Er käme erst auf diese Liste, wenn er ausschließlich in der EU verarbeitet, vertraglich kein Training und keine Speicherung über die Anfrage hinaus zusagt und die Kunden 30 Tage vorher informiert wurden. Anbieter außerhalb der EU sind ausgeschlossen.
reactive.chat: Für Sites aus reactive.chat kommen Antworten aus dessen Wissensbasis. reactive.chat wird vom selben Rechtsträger betrieben und ist deshalb kein Dritter. Datenschutzerklärung, Auftragsverarbeitungsvertrag und Liste der Unterauftragsverarbeiter von reactive.chat nennen diese Antworten („Smart Answer“) ausdrücklich als Dienst von Answely.
consented.eu: Das Einwilligungsbanner auf answely.com ist ein eigenes Produkt desselben Rechtsträgers. Auf den Websites der Kunden liest Answely nur das Einwilligungssignal im Browser; an den Anbieter des Einwilligungswerkzeugs eines Kunden wird nichts gesendet. consented.eu läuft auf demselben Server in Łódź wie Answely.
formconfirmed: Der Formularschutz auf den öffentlichen Formularen von answely.com (Anmeldung, Registrierung, Passwort, Support, Schnellcheck) ist ein Produkt von formexposed desselben Rechtsträgers und läuft auf demselben Server in Łódź wie Answely. Er betrifft nur Daten, für die wir selbst verantwortlich sind, keine Daten aus der Antwortbox auf den Websites der Kunden; Einzelheiten in Abschnitt 3.7 der Datenschutzerklärung.
Gegenstellen, die Kunden selbst bestimmen: WordPress-Installation, öffentliche Datenquellen für Live-Daten, Ziele von Aktions- und Supportlinks, KI-Clients am öffentlichen MCP-Zugang und – sobald freigegeben – Anmeldeanbieter für geschützte Bereiche. Sie werden nur auf Weisung des Kunden angebunden; das Vertragsverhältnis besteht zwischen dem Kunden und dem jeweiligen Betreiber.
Europäische Kommission (VIES): Bei Unternehmen prüft Answely die USt-IdNr. über VIES. Die Kommission ist dabei eigenständig verantwortlich, kein Auftragsverarbeiter.
Standortbestimmung: Das Land in der Seitenstatistik von answely.com wird aus einer lokalen Datenbankdatei auf dem eigenen Server abgeleitet. An einen Geodienst geht keine IP-Adresse.
Telegram: Bei Störungen und bei neuen Supportanfragen kann ein festes Signal ohne Inhalt an das Telefon des Betreibers gehen – ohne Absender, Nachrichtentext, Frage oder IP-Adresse. Da keine personenbezogenen Daten übermittelt werden, ist Telegram kein Unterauftragsverarbeiter.
Google reCAPTCHA (Google Ireland Ltd., Dublin): Nur bei einer Störung des Formularschutzes formconfirmed prüft reCAPTCHA ersatzweise das nächste Absenden des betroffenen Formulars auf answely.com (Datenschutzerklärung 3.8). Google ist dabei für die eigene Verarbeitung selbst verantwortlich, kein Unterauftragsverarbeiter; Besucherdaten der Websites unserer Kunden erreichen Google auf diesem Weg nie. Vergleichbare Dienste Dritter werden nicht eingesetzt.

4. Änderungen dieser Liste

Answely zieht Unterauftragsverarbeiter auf Grundlage der allgemeinen Genehmigung im Auftragsverarbeitungsvertrag hinzu. Bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung beginnt oder ein bestehender ersetzt wird, informiert Answely die Kunden mindestens 30 Tage im Voraus per E-Mail an die Adresse des Kontos. Innerhalb dieser Frist kann der Kunde aus berechtigtem Datenschutzgrund widersprechen; lässt sich der Widerspruch nicht ausräumen, kann er die betroffene Leistung kündigen.

Rein technische Einträge ohne personenbezogene Daten im Auftrag (etwa Zertifizierungsstelle oder Registrar) werden ohne Vorlauf aktualisiert und hier vermerkt.

5. Stand und Fassung

Fassung 1.0, Stand 18.10.2026 – erste veröffentlichte Fassung; Fassung 1.1, Stand 31.10.2026: formconfirmed in Abschnitt 3 ergänzt.

Bei Abweichungen zwischen den Sprachfassungen ist die englische Fassung maßgeblich.