Unterauftragsverarbeiter.

Unterauftragsverarbeiter und internationale Datenflüsse zum Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO Version 1 – Stand: 04. September 2026 1. Gegenstand Diese Anlage beschreibt die zum Stand dieser Fassung bekannten Auftragsverarbeiter, weiteren Auftragsverarbeiter und wesentlichen internationalen Datenflüsse, die bei der Bereitstellung von CollabPoint relevant sein können. Es wird zwischen unmittelbar für CollabPoint eingesetzten Plattform- und Infrastrukturleistungen und nachgelagerten Unterauftragsverarbeitern innerhalb dieser Anbieterketten unterschieden. Die Aufnahme eines Anbieters bedeutet nicht, dass dieser bei jeder CollabPoint-Nutzung sämtliche Daten erhält. Entscheidend sind die konkret verwendete Funktion und die tatsächliche technische Routing- und Verarbeitungskette. Nicht aktivierte oder technisch fail-closed gesperrte Integrationen begründen für sich allein keinen produktiven Datenfluss. 2. Zentraler Plattformanbieter: Base44 / Wix-Unternehmensgruppe CollabPoint wird auf Base44 betrieben. Die aktuellen Providerunterlagen verwenden je nach Dokument Base44, Inc. bzw. Wix.com Ltd.; für diese Anlage wird die technische und vertragliche Anbieterbeziehung zusammenfassend als „Base44“ bezeichnet. Maßgeblich bleiben die jeweils anwendbaren Vertrags- und Datenschutzdokumente des Providers. Base44 wird insbesondere eingesetzt für: - Hosting und Betrieb der Anwendung, - Datenbank- und Backendfunktionen, - Authentifizierung und Benutzerverwaltung, - serverseitige Functions, - öffentliche und private Dateispeicherung, - kurzlebige Signed URLs für geschützte Dateien, - E-Mail-Versand über Base44-Core-Dienste, - KI- und LLM-Aufrufe über Base44 InvokeLLM, - technische Sicherheits-, Monitoring- und Betriebsprozesse. 3. Zum Stand dieser Fassung von Base44 ausgewiesene nachgelagerte Anbieter Mongo – USA – Datenspeicherung und Hosting – Plattform- und Datenspeicherung. SendGrid – USA – E-Mail-Übertragung und externe Kommunikation – relevant bei Base44 SendEmail. Render – USA – Serverdienste – technische Base44-Infrastruktur. Google Cloud / GCP – USA – Analysedienste – technische Analyse- und Infrastrukturverarbeitung. OpenAI – USA – API-Aufrufe an LLMs – möglich bei KI-Routing über Base44. Anthropic – USA – API-Aufrufe an LLMs – möglich bei KI-Routing über Base44. Wix.com Ltd. – Israel – Bereitstellung und Verbesserung der Dienste – Plattform- und Konzernbetrieb. Datadog – USA – allgemeine Protokollierung – technisches Monitoring und Logging. Langfuse – Deutschland – LLM-Protokollierung – möglich bei KI-bezogenen Verarbeitungsvorgängen. Logfire – Vereinigtes Königreich – allgemeine Protokollierung – möglich bei technischem Logging und Monitoring. Diese Liste bildet den am 04.09.2026 verifizierten öffentlichen Providerstand ab und ist als versionsgebundene Momentaufnahme zu verstehen. 4. KI-Verarbeitung CollabPoint verwendet für aktivierte KI-Funktionen den von Base44 bereitgestellten InvokeLLM-Dienst. Abhängig von der konkreten Anfrage können insbesondere Nutzerprompt, erforderlicher CollabPoint-Kontext, ausdrücklich ausgewählte oder angehängte Inhalte, technische Kontextinformationen und Modellantworten verarbeitet werden. CollabPoint begrenzt den an die KI übergebenen Kontext anwendungsseitig auf den für die jeweilige Aufgabe erforderlichen Umfang. Nicht erforderliche persistente Storage-Referenzen oder interne Felder sollen nicht Bestandteil des normalen Modellkontexts sein. Base44 weist OpenAI und Anthropic als LLM-Unterauftragsverarbeiter sowie Langfuse als LLM-Logging-Anbieter aus. Welche Komponenten bei einer konkreten Anfrage tatsächlich eingesetzt werden, hängt von der Base44-internen Routing- und Verarbeitungskette ab, soweit CollabPoint keine abweichende konkrete Providerkonfiguration technisch durchsetzt. CollabPoint sagt daher derzeit weder eine ausschließliche Verarbeitung durch einen bestimmten LLM-Anbieter noch eine nicht belegte feste LLM-, Prompt- oder Logging-Aufbewahrungsfrist zu. 5. E-Mail-Versand CollabPoint verwendet für verschiedene transaktionale Kommunikationsvorgänge den von Base44 bereitgestellten SendEmail-Dienst. Hierbei können insbesondere Empfänger-E-Mail-Adresse, Absenderinformationen, Betreff und Nachrichteninhalt verarbeitet werden. Base44 weist SendGrid in den USA als nachgelagerten Anbieter für E-Mail-Übertragung und externe Kommunikation aus. SendGrid wird damit nicht als separat von CollabPoint direkt beauftragter Dienstleister dargestellt, sondern als Teil der Base44-Verarbeitungskette. 6. Datei- und Medienspeicherung CollabPoint nutzt Base44-Funktionen für private und öffentliche Datei-Uploads sowie kurzlebige Signed URLs. Die konkrete physische Zuordnung einzelner Dateiobjekte zu einem bestimmten Base44-Unterauftragsverarbeiter ist aus den verfügbaren Providerunterlagen nicht belastbar ableitbar und wird deshalb nicht behauptet. 7. Internationale Datenübermittlungen Der derzeitige CollabPoint-Betrieb wird nicht als vollständig EU-only dargestellt. Der verifizierte Providerstand beinhaltet Verarbeitungsketten mit Bezügen insbesondere zu den USA, Deutschland, dem Vereinigten Königreich und Israel. Base44 beschreibt Data Residency als plan- und appabhängige Speicherregion. Nach dem dokumentierten Supportstand gilt eine gewählte Region nicht rückwirkend für bereits bestehende Apps; bestimmte Datenkategorien wie Media, Base44-Accountdaten und Billing können unabhängig davon in den USA verbleiben. Data Residency wird deshalb nicht als Synonym für ausschließliche EU-Verarbeitung verwendet. Für Drittlandübermittlungen gelten die jeweils anwendbaren Transfermechanismen der vorgelagerten Providerverträge, insbesondere Angemessenheitsbeschlüsse, soweit anwendbar, sowie Standardvertragsklauseln oder andere gesetzlich zulässige Mechanismen. 8. Derzeit nicht aktive Integrationen Im aktuell verifizierten Early-Adapter-Scope sind insbesondere folgende Produktpfade technisch deaktiviert oder fail-closed und werden deshalb nicht allein wegen vorhandenen Programmcodes als aktive Unterauftragsverarbeiter geführt: - Stripe Payments, - Product Checkout, - Google Calendar, - Google Drive, - DATEV-Export, - Lexoffice-Export, - Newsletter, - Custom Domains. Vor Aktivierung eines solchen Dienstes sind Rolle, Datenumfang, Länder, Transfermechanismus, Vertragsgrundlage und erforderliche Aktualisierungen dieser Anlage zu prüfen. 9. WhatsApp Early-Adapter-Kontakt Bei der Early-Adapter-Anmeldung kann mit ausdrücklicher Einwilligung eine Telefonnummer und der Wunsch nach WhatsApp-Kontakt gespeichert werden. Im derzeit geprüften Produktstand ist kein automatisierter WhatsApp-API-Datenfluss als aktive technische Integration nachgewiesen. Meta bzw. WhatsApp wird deshalb in dieser Fassung nicht als aktiver Unterauftragsverarbeiter von CollabPoint ausgewiesen. 10. Änderungen der Unterauftragsverarbeiter Der Auftraggeber erteilt im AVV eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. CollabPoint wird relevante Änderungen nach Kenntniserlangung so früh wie praktisch möglich über den vorgesehenen Legal- oder Compliance-Kanal oder einen anderen geeigneten Kommunikationsweg mitteilen. Der Auftraggeber kann aus nachvollziehbaren datenschutzbezogenen Gründen gegen eine Änderung widersprechen. Die Parteien prüfen dann insbesondere, ob der betroffene Verarbeitungsvorgang ohne den neuen Anbieter fortgeführt, anders konfiguriert oder deaktiviert werden kann. Ist keine angemessene Lösung möglich, kann der betroffene Leistungsumfang beziehungsweise erforderlichenfalls das Vertragsverhältnis beendet werden. Eine Änderung eines nachgelagerten Unterauftragsverarbeiters erfordert nicht in jedem Fall den Neuabschluss des gesamten AVV, sofern der vereinbarte Informations- und Widerspruchsprozess eingehalten wird. 11. Versionierung Diese Anlage wird insbesondere bei neuen Anbietern, relevanten Base44-Subprocessor-Mitteilungen, Aktivierung bislang deaktivierter externer Integrationen sowie wesentlichen Änderungen von KI-, E-Mail-, Hosting-, Storage- oder Loggingpfaden aktualisiert. In AVV Version 1 einbezogene Fassung: Unterauftragsverarbeiter und internationale Datenflüsse, Version 1 vom 04.09.2026.