Liste der Subunternehmer
Anlage: Liste der Unterauftragsverarbeiter
Stand: 11.08.2026
Diese Anlage ist Bestandteil der Auftragsverarbeitungsvereinbarung (AVV). Der Auftraggeber stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:
| Anbieter | Zweck der Verarbeitung | Standort | Nachweis |
|---|---|---|---|
| Hetzner Online GmbH | Hosting, Infrastruktur, Object Storage (Medien) | Deutschland (Falkenstein) | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| Elestio (Elest.io) | Managed-Datenbank (MySQL) | Deutschland (Falkenstein) | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| bunny.net (BunnyWay d.o.o.) | Content Delivery Network (Auslieferung von Medien-/statischen Inhalten aus dem Object Storage) | EU (Ljubljana, Slowenien); Auslieferung ausschließlich über EU-Edge-Server | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| Amazon Web Services (AWS) | KI-Inferenz (Anthropic-Modelle via AWS Bedrock) | EU (Frankfurt, eu-central-1) | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| Mistral AI | KI-Funktionen (API) sowie OCR / Dokumentenparsing | EU (Frankreich) | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| OpenAI | KI-Funktionen (API), Sprachausgabe (Vorlesen von Antworten) sowie Berechnung der Vektordarstellungen (Embeddings) für die Suche | USA | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| Lettermint | E-Mail-Versand | EU (Niederlande) | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| IONOS SE | Speicherung der verschlüsselten Datensicherungen | Deutschland (Berlin) | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
| Anthropic PBC (optional – nur bei Einrichtung durch den Auftraggeber) | Betrieb der externen Anwendung, aus der heraus Trainer und Dozenten die MCP-Schnittstelle nutzen | USA | AVV/DPA abgeschlossen – liegt beim Auftragnehmer vor, auf Anfrage einsehbar |
Hinweis zur Datensicherung: Die bei IONOS gespeicherten Sicherungen werden bereits vor der Übertragung clientseitig verschlüsselt (AES-256). IONOS verarbeitet ausschließlich verschlüsselte Datenblöcke und hat zu keinem Zeitpunkt Zugriff auf Klartextdaten. Speicherort ist ausschließlich Deutschland (Berlin); eine Übermittlung in ein Drittland findet nicht statt.
Hinweis zu den Anthropic-Modellen: Die Anthropic-Sprachmodelle werden für die KI-Funktionen der Plattform ausschließlich über AWS Bedrock in der EU-Region Frankfurt (eu-central-1) betrieben. Eine Übermittlung von Inhalten an die Anthropic PBC (USA) findet dabei nicht statt. Hiervon zu unterscheiden ist die nachstehend beschriebene MCP-Schnittstelle.
Hinweis zur MCP-Schnittstelle: Die Plattform stellt eine Schnittstelle bereit, über die Trainer und Dozenten des Auftraggebers Plattformfunktionen aus einer externen Anwendung heraus nutzen können. Sie ist standardmäßig nicht aktiv und wird erst wirksam, wenn der Auftraggeber sie freigibt und eine berechtigte Person sie in der externen Anwendung einrichtet. Erst dann werden die dabei abgerufenen Inhalte an den Betreiber dieser Anwendung übermittelt. Lernende haben keinen Zugang zu dieser Schnittstelle. Richtet der Auftraggeber die Schnittstelle nicht ein, findet keine Verarbeitung durch diesen Unterauftragsverarbeiter statt.
Hinweis zum Content Delivery Network: bunny.net (BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien) hat seinen Sitz in der EU. Die eingesetzte Zone ist auf europäische Edge-Server beschränkt; die Auslieferung – einschließlich der dabei verarbeiteten technischen Verbindungsdaten (insb. IP-Adressen) – erfolgt ausschließlich innerhalb der EU/des EWR. Eine Übermittlung in ein Drittland findet nicht statt.
Hinweis zu Drittlandtransfers: Soweit Daten an Anbieter in Drittländern (hier: OpenAI sowie – nur im Fall der Einrichtung – Anthropic PBC) übermittelt werden, erfolgt dies auf Grundlage des EU-US Data Privacy Frameworks (sofern der Anbieter zertifiziert ist) oder auf Grundlage der EU-Standardvertragsklauseln (SCC).
Nicht mehr eingesetzt: Microsoft Azure (Sprachdienste) und Speechify wurden am 10.08.2026 vollständig entfernt; die Sprachausgabe erfolgt seither allein über OpenAI. LlamaIndex/LlamaCloud (Dokumentenparsing) wurde am 10.08.2026 entfernt; OCR und Dokumentenparsing erfolgen seither über Mistral AI.