Unterauftragsverarbeiter — 2026-11-05 (archiviert)

Seit dem 9. Oktober 2026 heißt System1 Models Decision Models (decisionmodels.io). Verweise auf System1 Models und system1models.ai in diesem Dokument bezeichnen Decision Models und decisionmodels.io; inhaltlich ändert sich nichts.

Stand: 5. November 2026

Diese Seite ist die aktuelle Liste, auf die Anlage 3 unseres Auftragsverarbeitungsvertrags verweist. Weicht die Fassung von Anlage 3 auf der AVV-Seite von dieser Liste ab, gilt diese Seite als aktuelle Liste (AVV § 6.2). Über Ergänzungen oder Ersetzungen von Anbietern, die API-Inhalte nach dem AVV verarbeiten, informieren wir mindestens 7 Tage im Voraus per E-Mail und auf dieser Seite (30 Tage für Kunden, die AVV-Version 1.2 oder früher akzeptiert und Version 1.3 nicht akzeptiert haben); Sie können nach § 6.2 widersprechen (die Aufnahme von UpCloud am 6. Oktober 2026 ist eine Ausnahme, siehe Änderungshistorie). Kontodaten, die wir für eigene Zwecke verarbeiten, fallen nach § 1.2 nicht unter den AVV und werden in unserer Datenschutzerklärung beschrieben.

Kann API-Inhalte verarbeiten — Tier-Geltungsbereich siehe unten

Unterauftragsverarbeiter	Dienst	Ort der Verarbeitung	Schutzmaßnahme
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting der Websites (einschließlich Dashboard), des API-Gateways, der Datenbank und verschlüsselter Backups	EU (Rechenzentrum in Helsinki, Finnland)	Standard-AVV des Anbieters nach Art. 28 DSGVO erforderlich vor der Verarbeitung von Kundendaten; ISO/IEC-27001:2022-Zertifikat Nr. ZN-2025-35 (SOCOTEC, gültig bis 26.09.2028), dessen Geltungsbereich das Rechenzentrum Helsinki (Tuusula) nennt
UpCloud Oy, Helsinki, Finnland	GPU-Server für Modellinferenz: unsere dauerhaft laufende Inferenzkapazität seit dem 7. Oktober 2026 für den EU-Tier und für die Peer-to-Peer-/Global-Grundkapazität, dazu zusätzliche Server bei ausgelasteter EU-Kapazität (diese nur für den EU-Tier)	Finnland (EU), Rechenzentrum FI-HEL2. Ab 30. November 2026 auch die weiteren EU-Rechenzentren von UpCloud: Helsinki FI-HEL1 (Finnland), Stockholm SE-STO1 (Schweden), Kopenhagen DK-CPH1 (Dänemark), Frankfurt DE-FRA1 (Deutschland), Amsterdam NL-AMS1 (Niederlande), Warschau PL-WAW1 (Polen) und Madrid ES-MAD1 (Spanien); alle in der EU	Datenverarbeitungsbedingungen nach Art. 28 DSGVO in den Nutzungsbedingungen von UpCloud (gültig ab 3. Juli 2026); EU-Rechenzentren von UpCloud Oy selbst betrieben, ohne weitere Unterauftragsverarbeiter (laut AVV von UpCloud); ISO/IEC-27001:2022-Zertifikat Nr. 13851-03 (Kiwa Sertifiointi Oy, gültig bis 20.10.2029) für den Cloud-Dienst von UpCloud; die Colocation-Rechenzentren, auch FI-HEL2, gehören laut Zertifikat nicht zum Geltungsbereich; Rechenzentrum FI-HEL2: ISO/IEC-27001:2022-Zertifikat Nr. 14821-02 (Kiwa) des Betreibers Telia Finland Oyj für den Colocation-Dienst aus dem Telia Helsinki Data Center, gültig bis 25.09.2027, von UpCloud übermittelt; weitere EU-Rechenzentren ab 30.11.2026, laut den von UpCloud übermittelten Standort-Zertifikaten: DE-FRA1 (Digital Realty FRA14, Frankfurt), DK-CPH1 (Digital Realty CPH3, Ballerup), ES-MAD1 (Digital Realty MAD3, Madrid) und NL-AMS1 (Digital Realty AMS7, Schiphol-Rijk): ISO/IEC-27001:2022-Zertifikate Nr. S171/35, 212597, S171/43 und S171/199 (NQA), gültig bis 11.10.2028; FI-HEL1, SE-STO1 und PL-WAW1 (Equinix, laut UpCloud): ISO/IEC-27001:2022-Zertifikat Nr. 1657824-3 von Equinix (Schellman Compliance), gültig bis 30.12.2026, für alle Equinix-Rechenzentren im Raum Helsinki, in Stockholm und in Warschau
Janusz Ciuruś, handelnd unter BESTCONNECT CIURUŚ JANUSZ (Marke: GPU Server Hub), Królówka, Polen, NIP 8681799622 (CEIDG). Rechenzentrum 4DataCenter Katowice, betrieben von Quicktel Sp. z o.o. (KRS 0000297311)	Seit 23. Oktober 2026 für EU-Tier-Kunden, die dem schriftlich zugestimmt haben; für alle Kunden ab 21. November 2026: dedizierte Bare-Metal-GPU-Server (nicht mit anderen Kunden des Anbieters geteilt), von uns betrieben, für Modellinferenz: EU-Tier und Peer-to-Peer-/Global-Grundkapazität, zusätzlich zu UpCloud	Kundeninhalte auf den Servern: 4DataCenter Katowice, Polen (EU). Das Bestellsystem und die Logs des Anbieters liegen auf dessen eigener Infrastruktur in Polen. Übermittlungen außerhalb des EWR nur auf unsere dokumentierte Weisung	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO: Anlage 1 der B2B-Servicebedingungen des Anbieters v1.6 r2 (8. Oktober 2026). Quicktel ist Infrastruktur-Unterauftragnehmer für Colocation, Strom, Kühlung und physische Sicherheit. Es ist nur dann Unterauftragsverarbeiter, wenn es personenbezogene Daten auf dokumentierte Weisung und aufgrund einer Vereinbarung nach Art. 28 Abs. 4 DSGVO verarbeitet. Quicktel hält das ISO/IEC-27001-Zertifikat Nr. 4414/10/2026/BI/C (PN-EN ISO/IEC 27001:2023, Polska Akademia Jakości Cert, gültig bis 18. Okt. 2029) für seine Telekommunikations- und Colocation-Dienste; das Zertifikat nennt kein einzelnes Rechenzentrum. Für GPU Server Hub selbst wird keine Zertifizierung behauptet
Lium (lium.io), mit unabhängigen GPU-Drittanbietern	GPU-Inferenz auf Bedarf für Peer-to-Peer-Schlüssel mit Zustimmung bei ausgelasteter freier EU-Kapazität	weltweit (GPU-Drittanbieter)	Übermittlungen außerhalb der EU/des EWR erfolgen nur für Schlüssel, für die Sie ausdrücklich zugestimmt haben; Sie sind dafür verantwortlich, auf solchen Schlüsseln keine personenbezogenen Daten zu senden, sofern für Ihre Nutzung keine geeignete Übermittlungsgrundlage besteht. Der Schalter selbst ist keine Übermittlungsgrundlage nach Kapitel V DSGVO.

Anfragen des EU-Tiers bleiben immer in der EU. Ohne Zustimmung zur weltweiten Verarbeitung und ohne Netzwerkverarbeitung (siehe unten) bleiben auch Peer-to-Peer-Anfragen in der EU. Inhalte von Anfragen und Antworten werden auf unserem Gateway und unseren Inferenzservern bei UpCloud nicht gespeichert. Das gilt nicht für Lium-GPU-Anbieter und nicht für unabhängige Anbieter des Peer-to-Peer-Netzwerks (siehe unten). UpCloud betreibt unseren dauerhaft laufenden GPU-Server und bei ausgelasteter EU-Kapazität zusätzliche Server, die nach Gebrauch gelöscht werden; dedizierte GPU-Server bei GPU Server Hub in Katowice (Polen) führen außerdem Modellinferenz aus, seit dem 23. Oktober 2026 für EU-Tier-Kunden, die schriftlich zugestimmt haben, und für alle Kunden ab dem 21. November 2026 (siehe Tabelle oben). Bis zum 29. November 2026 stehen alle UpCloud-Server ausschließlich im Rechenzentrum FI-HEL2. Ab dem 30. November 2026 können sie auch in den weiteren EU-Rechenzentren von UpCloud laufen, die in der Tabelle genannt sind, nie außerhalb der EU. Alle UpCloud-Server haben verschlüsselte Datenträger und keine Anfrage-Logs; Inhalte von Anfragen und Antworten liegen nur für die Dauer der Anfrage im Arbeitsspeicher.

Konto-, Abrechnungs- und Identitätsanbieter — keine API-Inhalte

Die unten genannten Anbieter können Konto-, Abrechnungs-, Kontakt- oder Anmeldedaten erhalten, aber keine API-Anfrageinhalte aus dem Dienst. Wenn Sie solche Inhalte in eine E-Mail an uns kopieren, erreichen sie unsere E-Mail-Anbieter. Ihre Rollen richten sich nach dem jeweiligen Dienst: einige handeln als Auftragsverarbeiter nach unserer Weisung; Stripe und Google sind für ihre eigenen Zahlungs- oder Identitätsdienste eigenständige Verantwortliche. Einzelheiten stehen in der Datenschutzerklärung.

Anbieter	Dienst	Ort	Rolle
Stripe Payments Europe, Ltd., Dublin, Irland	Zahlungen, Steuerberechnung und Rechnungen	EU; Übermittlungen an Stripe, Inc. (USA) nach dem EU-U.S. Data Privacy Framework und den Standardvertragsklauseln	Eigenständiger Verantwortlicher für Zahlungsabwicklung; Auftragsverarbeiter für Rechnungen
Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich	Dienstbezogene E-Mails (Anmeldelinks, Belege und Mitteilungen); geplant, derzeit nicht im Einsatz	EU (Paris, Frankreich)	Auftragsverarbeiter, sobald aktiviert; die Vereinbarung nach Art. 28 DSGVO wird vor der ersten Nutzung geschlossen
Resend (Plus Five Five, Inc., San Francisco, USA)	Versand unserer E-Mails: Anmeldelinks; Mitteilungen zu Konto, Hosting und Aktionsguthaben; Mitteilungen über Änderungen unserer Dokumente; Bestätigungen und Antworten auf Anfragen; geschäftliche Erstkontakt-E-Mails; Aufladungs- und Widerrufsbestätigungen. Keine Google-Anmeldedaten, Kartendaten oder API-Inhalte	Versandregion Irland; Nachrichten und Zustell-/Kontodatensätze in den USA gespeichert	Auftragsverarbeiter für Konto- und Kontaktdaten mit DPA; Standardvertragsklauseln und EU-U.S. Data Privacy Framework
Google Ireland Limited, Dublin, Irland	Google-Anmeldung (nur verifizierte E-Mail und stabile Konto-ID); unser Postfach für E-Mails, die Sie an unsere Adressen senden, und für einige von uns versandte Mitteilungen	EU; Übermittlungen an Google LLC (USA) können nach dem EU-U.S. Data Privacy Framework erfolgen	Eigenständiger Verantwortlicher für Identitätsdienste
Cloudflare, Inc., San Francisco, USA	DNS für unsere Domains; leitet E-Mails an unsere Adressen an unser Postfach weiter (Absender, Empfänger, Nachricht während der Zustellung). Unsere Websites und die API laufen nicht über Cloudflare	Weltweites Netz; USA	Auftragsverarbeiter mit DPA; Standardvertragsklauseln und EU-U.S. Data Privacy Framework

Peer-to-Peer-Tier — aktueller Status

Das Peer-to-Peer-Tier nutzt zunächst freie EU-Kapazität mit niedrigerer Priorität als Anfragen des EU-Tiers. Ist diese Kapazität ausgelastet, können Peer-to-Peer-Anfragen nach Bedarf angemietete GPU-Kapazität von Lium (lium.io) nutzen. Unabhängige Drittanbieter betreiben die GPU-Hardware in verschiedenen Ländern, einschließlich außerhalb der EU/des EWR. Eine Verarbeitung außerhalb der EU erfolgt nur für API-Schlüssel, für die der Kunde den Schalter „Allow worldwide processing“ (weltweite Verarbeitung erlauben) ausdrücklich aktiviert hat. Ohne diese Zustimmung bleiben Peer-to-Peer-Anfragen auf EU-Kapazität und können bei Auslastung in eine Warteschlange gestellt oder mit einem wiederholbaren Fehler abgelehnt werden. Anfragen des EU-Tiers bleiben immer in der EU und haben Vorrang. Bestandskunden behalten die Verarbeitung ausschließlich in der EU, sofern sie nicht für den jeweiligen Schlüssel zustimmen. Inhalte von Anfragen und Antworten werden auf unserem Gateway und unseren Inferenzservern bei UpCloud nicht gespeichert; Lium-GPU-Anbieter sind Dritte außerhalb dieser Zusage. Das Mitteilungs- und Widerspruchsverfahren nach Ziffer 6.2 des AVV gilt weiterhin für neue Unterauftragsverarbeiter für Inhalte. Diese Liste behauptet keine Zertifizierungen von Lium und keine unterzeichneten Standardvertragsklauseln.

Netzwerkverarbeitung (gesonderte Zustimmung je Schlüssel). Auf Schlüsseln mit aktivierter „Peer-to-peer network processing“ gehen geeignete Anfragen zuerst an das Peer-to-Peer-Netzwerk unabhängiger Anbieter (Bittensor-Subnetz 92), weltweit, auch wenn „Allow worldwide processing“ ausgeschaltet ist. Diese Anbieter sehen Anfrageinhalte im Klartext und sind vertraglich nicht an uns gebunden; auf diesen Schlüsseln dürfen keine personenbezogenen Daten gesendet werden. Die Bedingungen stehen im Zusatz zur Peer-to-Peer-Netzwerkverarbeitung. Der Anfrage-Router des Netzwerks und die Referenz-GPU für stichprobenartige Antwortprüfungen laufen auf Servern, die wir bei DataCrunch Oy (Verda) in Finnland (EU) mieten; sie verarbeiten nur Inhalte von Schlüsseln mit Netzwerkverarbeitung. Da auf diesen Schlüsseln keine personenbezogenen Daten gesendet werden dürfen, sind diese Empfänger nicht in der Tabelle oben aufgeführt (Zusatz, Abschnitt 4).

Änderungshistorie

Datum	Änderung
27. September 2026	Erste Fassung
28. September 2026	Hetzner-Leistungsumfang und Schutzmaßnahmen-Referenz präzisiert; kein Anbieter hinzugefügt oder entfernt
30. September 2026	Google-Anmeldung und Rollen der Kontoanbieter präzisiert; Standort des Hetzner-Rechenzentrums (Helsinki) und Status von Scaleway (noch nicht im Einsatz) angegeben; kein Anbieter hinzugefügt oder entfernt
1. Oktober 2026	Lium und unabhängige GPU-Drittanbieter für Peer-to-Peer-Zusatzkapazität mit Zustimmung hinzugefügt; EU-Voreinstellung, Vorrang des EU-Tiers, keine Speicherung von Inhalten und Übermittlungsbedingungen präzisiert
2. Oktober 2026	Resend für die optionale E-Mail-Anmeldung ergänzt; US-Speicherung und Übermittlungsgarantien angegeben. Unterauftragsverarbeiter für API-Inhalte sowie Google-Anmeldung und Abrechnung unverändert.
6. Oktober 2026	UpCloud Oy (Helsinki, Rechenzentrum FI-HEL2) als zusätzliche GPU-Kapazität für Anfragen des EU-Tiers bei Lastspitzen ergänzt; Anfragen des EU-Tiers bleiben weiterhin in der EU. Mit Wirkung zum 6. Oktober 2026 ohne die damals geltende 30-tägige Vorankündigung aufgenommen; Bestandskunden wurden am selben Tag per E-Mail informiert. Sie können bis zum 5. November 2026 aus angemessenen Datenschutzgründen in Textform widersprechen; im Übrigen gelten die Rechte nach § 6.2 des AVV, einschließlich Kündigung mit Erstattung nicht verbrauchten Guthabens.
7. Oktober 2026	UpCloud Oy (Helsinki, FI-HEL2), seit dem 6. Oktober 2026 bereits gelistet, betreibt nun unsere dauerhaft laufende GPU für alle Tiers anstelle von DataCrunch Oy (Verda), das im Oktober 2026 abgelöst wird; es wird kein neuer Unterauftragsverarbeiter aufgenommen. Anfragen des EU-Tiers bleiben weiterhin in der EU; auch Peer-to-Peer-Anfragen ohne Zustimmung zur weltweiten Verarbeitung bleiben in der EU.
9. Oktober 2026	Verda (DataCrunch Oy) entfernt: Der Server wurde am 9. Oktober 2026 gelöscht und Verda wird nicht mehr für die Inferenz eingesetzt. Unsere dauerhaft laufende GPU-Inferenzkapazität läuft nun bei UpCloud (Helsinki, FI-HEL2), mit Peer-to-Peer-Zusatzkapazität über Lium nach ausdrücklicher Zustimmung wie bisher. Es wird kein neuer Unterauftragsverarbeiter aufgenommen.
21. Oktober 2026	GPU Server Hub (Janusz Ciuruś / BESTCONNECT, 4DataCenter Katowice, Polen) als zusätzlicher Unterauftragsverarbeiter für GPU-Inferenz (EU-Tier sowie Peer-to-Peer-/Global-Grundkapazität) angekündigt, wirksam ab 21. November 2026. Anfragen des EU-Tiers bleiben weiterhin in der EU. Sie können bis zum Ablauf des 20. November 2026 nach § 6.2 des AVV in Textform widersprechen.
23. Oktober 2026	Korrekturen, kein Anbieter hinzugefügt oder entfernt: Die Zertifizierungsangaben zu Hetzner und UpCloud nennen jetzt das von uns geprüfte Zertifikat und seinen Geltungsbereich; die Aussage, dass Peer-to-Peer in der EU bleibt, nennt jetzt auch die gesonderte Zustimmung zur Netzwerkverarbeitung; die Empfänger der Netzwerkverarbeitung (unabhängige Anbieter sowie Router und Referenz-GPU bei Verda) sind beschrieben. Der Eintrag vom 9. Oktober 2026 zu Verda bezog sich auf EU- und Peer-to-Peer-Inferenzkapazität, nicht auf den Netzwerk-Router.
23. Oktober 2026	GPU Server Hub (4DataCenter Katowice, Polen) wird seit dem 23. Oktober 2026 für EU-Tier-Kunden eingesetzt, die dem vorab schriftlich zugestimmt haben. Für alle übrigen Kunden beginnt der Einsatz wie angekündigt am 21. November 2026; die Widerspruchsfrist bis zum Ablauf des 20. November 2026 bleibt unverändert. Es wird kein weiterer Anbieter hinzugefügt oder entfernt.
28. Oktober 2026	Korrektur, kein Anbieter hinzugefügt oder entfernt: Der UpCloud-Eintrag nennt jetzt das von uns geprüfte erneuerte ISO/IEC-27001:2022-Zertifikat Nr. 13851-03 (Kiwa, gültig bis 20.10.2029) und dass die Colocation-Rechenzentren, auch FI-HEL2, nicht zu dessen Geltungsbereich gehören; außerdem nennt er das ISO/IEC-27001:2022-Zertifikat Nr. 14821-02 des FI-HEL2-Betreibers Telia Finland Oyj (gültig bis 25.09.2027). Ebenfalls am 28. Oktober 2026: Die Vorankündigungsfrist für neue Unterauftragsverarbeiter von API-Inhalten folgt AVV-Version 1.3 (7 Tage; 30 Tage für Kunden, die AVV-Version 1.2 oder früher und nicht Version 1.3 akzeptiert haben)
30. Oktober 2026	UpCloud Oy, bereits gelistet, wird ab dem 30. November 2026 zusätzlich zu FI-HEL2 in weiteren EU-Rechenzentren eingesetzt: FI-HEL1, SE-STO1, DK-CPH1, DE-FRA1, NL-AMS1, PL-WAW1 und ES-MAD1. Es wird kein neuer Anbieter hinzugefügt; Anfragen des EU-Tiers bleiben in der EU. Der Eintrag nennt die von UpCloud übermittelten Rechenzentrums-Zertifikate für alle sieben neuen Rechenzentren. Sie können nach AVV § 6.2 bis zum Ablauf des 29. November 2026 in Textform widersprechen.
30. Oktober 2026	Korrektur, kein Anbieter hinzugefügt oder entfernt: Der Eintrag zu GPU Server Hub nennt jetzt das von uns geprüfte ISO/IEC-27001-Zertifikat Nr. 4414/10/2026/BI/C des Katowicer Rechenzentrumsbetreibers Quicktel Sp. z o.o. (Polska Akademia Jakości Cert, gültig bis 18. Okt. 2029).
5. November 2026	Angaben zu E-Mails korrigiert: Einsatz von Resend vollständig aufgeführt, einschließlich Anfrage-E-Mails, Hosting-Mitteilungen, Mitteilungen zu Aktionsguthaben, Aufladungs- und Widerrufsbestätigungen und geschäftlichen Erstkontakt-E-Mails; Postfachrolle von Google und Cloudflare (DNS, E-Mail-Weiterleitung) in die Liste aufgenommen. Alle waren bereits im Einsatz, außer den Mitteilungen zu Aktionsguthaben (neu) und den Aufladungs- und Widerrufsbestätigungen (seit dem 4. November 2026 über Resend). Aus dem Dienst gelangen keine API-Inhalte zu diesen Anbietern.

Frühere Fassungen.