Auftragsverarbeiter

Diese Seite listet alle von [no:naime] eingesetzten Auftragsverarbeiter (Sub-Processors) gemäß Art. 28 DSGVO. Mit jedem dieser Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV/DPA) auf Basis der Standard­vertrags­klauseln (SCC) der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO, soweit die Verarbeitung außerhalb der EU/EWR erfolgt.

Stand: 25. August 2026

1. Infrastruktur und Hosting

Vercel Inc.

• Zweck: Hosting der Webanwendung, Edge Functions, CDN
• Verarbeitete Daten: Sämtliche HTTP-Requests, IP-Adressen, Cookies, Sitzungs-Tokens
• Sitz: 340 S Lemon Ave #4133, Walnut, CA 91789, USA
• Verarbeitungsregion: EU (Frankfurt am Main, fra1)
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• DPA: vercel.com/legal/dpa

Supabase Inc.

• Zweck: Datenbank (PostgreSQL), Authentifizierung, Datei-Storage, Realtime
• Verarbeitete Daten: Sämtliche Anwendungsdaten (Kontakte, Deals, E-Mail-Daten, Kontodaten, Zugriffstokens verschlüsselt)
• Sitz: 970 Toa Payoh North #07-04, Singapur 318992
• Verarbeitungsregion: EU (Frankfurt am Main, eu-central-1)
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• DPA: supabase.com/legal/dpa

2. KI-Verarbeitung

Anthropic PBC (Claude API)

• Zweck: Text-Generierung, Zusammenfassung, Lead-Recherche und Lead-Bewertung, E-Mail-Entwürfe, Klassifizierung, ICP-Extraktion aus gewonnenen Deals, Win/Loss-Pattern-Analyse, Out-of-Office-Erkennung, Reply-Intent-Klassifizierung, Chat-Assistent (Q). Für die Lead-Suche nutzt [no:naime] zusätzlich die serverseitige Websuche der Claude API — dabei werden nur Suchanfragen zu Zielbranche/-region übermittelt und öffentlich verfügbare Firmendaten ausgewertet
• Verarbeitete Daten: E-Mail-Inhalte (eingehend & ausgehend), Lead-Daten, Kontakt-Daten, Deal-Metadaten (Branchen, Werte, Stages), gewonnene/verlorene Deal-Email-Verläufe (in Auftrag des Kunden), Chat-Verläufe
• Sitz: 548 Market St, PMB 90375, San Francisco, CA 94104, USA
• Verarbeitungsregion: USA
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• Besondere Garantien: Daten aus API-Anfragen werden nicht zum Training von Modellen verwendet (Commercial-API-Standard); Aufbewahrung ausschließlich gemäß der Anthropic-API-Richtlinie
• DPA: anthropic.com/legal/dpa

TypeSafe AI, Inc. (Jev API)

• Zweck: Strukturierte Klassifikation ohne Textgenerierung: Passungsprüfung gefundener Firmen gegen die Zielkundendefinition der Organisation, bevor Recherche oder E-Mail-Entwurf beginnen (Lead-Suche)
• Verarbeitete Daten: Zielkundendefinition der Organisation (ICP, Kalibrierungs- und Ausschlussregeln, Suchfokus) sowie öffentlich verfügbare Firmendaten des Kandidaten (Firmenname, Branche, Größe, Sitz, Funktionsbezeichnung der Ansprechperson). Keine E-Mail-Inhalte, keine Kontaktdaten von Personen
• Sitz: TypeSafe AI, Inc., USA
• Verarbeitungsregion: USA
• Transfermechanismus: EU-Standardvertragsklauseln (SCC) gemäß Data Processing Addendum
• Besondere Garantien: Daten aus API-Anfragen werden nicht zum Training von Modellen verwendet (TypeSafe-Datenschutzerklärung)
• DPA: typesafe.ai/legal/data-processing

OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.)

• Zweck: Embeddings (Vektorrepräsentationen) für die semantische Suche in der Wissensdatenbank des Kunden — kein Text-Generierungs-Einsatz
• Verarbeitete Daten: Textauszüge aus vom Kunden hochgeladenen bzw. verbundenen Wissensdokumenten (Website, Dateien, Notion, Drive) sowie Suchanfragen an die Wissensdatenbank
• Sitz: OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland (Vertragspartner EU); Verarbeitung durch OpenAI, L.L.C., San Francisco, CA, USA
• Verarbeitungsregion: USA
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• Besondere Garantien: API-Daten werden nicht zum Training von Modellen verwendet
• DPA: openai.com/policies/data-processing-addendum

ElevenLabs Inc.

• Zweck: Text-to-Speech (Sprachausgabe der Q-Stimme in der Anwendung und in der Voice-Demo)
• Verarbeitete Daten: Die zu sprechenden Texte (Antworten von Q, Erklärtexte); keine Kontakt- oder E-Mail-Daten der Endkunden, sofern sie nicht Teil einer gesprochenen Antwort sind
• Sitz: New York, NY, USA
• Verarbeitungsregion: USA
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• DPA: elevenlabs.io/dpa

3. Zahlungsabwicklung

Stripe Payments Europe Ltd.

• Zweck: Abonnement-Verwaltung, Zahlungsabwicklung, Rechnungsstellung
• Verarbeitete Daten: Name, E-Mail, Rechnungsadresse, Zahlungsmittel-Daten (PCI-DSS-konform)
• Sitz: 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland
• Verarbeitungsregion: EU (mit US-Stripe Inc. als Sub-Processor für Risk-Scoring)
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• DPA: stripe.com/legal/dpa

4. Lead-Akquise und Anreicherung

Apify Technologies s.r.o.

• Zweck: Abruf öffentlich verfügbarer Firmen- und Profildaten (Firmenwebsites, Google-Maps-Einträge, LinkedIn-Profile) im Auftrag des Kunden, wenn der eigene Abruf durch [no:naime] nicht ausreicht
• Verarbeitete Daten: Öffentlich verfügbare Lead-URLs, extrahierte Profil­daten (Name, Position, Firma)
• Sitz: Vodičkova 704/36, 110 00 Prag, Tschechische Republik
• Verarbeitungsregion: EU
• Transfermechanismus: AVV gemäß Art. 28 DSGVO (innerhalb EU)
• DPA: apify.com/legal/data-processing-addendum

Anymailfinder S.L.

• Zweck: Ermittlung von Geschäfts-E-Mail-Adressen zu recherchierten Ansprechpersonen (inkl. Statusangabe des Anbieters zur Zustellbarkeit)
• Verarbeitete Daten: Vor- und Nachname, Domain
• Sitz: Spanien (EU)
• Verarbeitungsregion: EU
• Transfermechanismus: AVV gemäß Art. 28 DSGVO (innerhalb EU)

5. E-Mail-Versand

Google Ireland Ltd. (Google Workspace / Gmail SMTP)

• Zweck: Versand transaktionaler E-Mails von [no:naime] an Nutzer (Kontoaktivierung, Login-Codes, Erinnerungs- und Berichtsmails von Q) über das Google-Workspace-Postfach von nonaime
• Verarbeitete Daten: E-Mail-Adressen der Empfänger, Betreff, E-Mail-Inhalt
• Sitz: Gordon House, Barrow Street, Dublin 4, Irland
• Verarbeitungsregion: EU / global (Google Workspace)
• Transfermechanismus: EU-Standardvertragsklauseln (SCC), EU-US Data Privacy Framework
• DPA: workspace.google.com/terms/dpa_terms.html

Browser-Push-Dienste (Google, Apple, Mozilla)

• Zweck: Zustellung von Web-Push-Benachrichtigungen (z. B. „Antwort eingegangen“, „Lead-Suche fertig“), sofern der Nutzer Browser-Benachrichtigungen aktiviert hat
• Verarbeitete Daten: Push-Endpunkt des Browsers; der Benachrichtigungsinhalt wird nach dem Web-Push-Standard Ende-zu-Ende verschlüsselt übertragen und ist für den Push-Dienst nicht lesbar
• Verarbeitungsregion: abhängig vom Browser-Anbieter (USA / global)

6. Hintergrund-Verarbeitung

Inngest Inc.

• Zweck: Job-Queue, Hintergrund-Funktionen, Event-Routing für Lead-Recherche und CRM-Synchronisation
• Verarbeitete Daten: Event-Payloads (interne IDs, Lead-IDs, ggf. E-Mail-Adressen für Routing)
• Sitz: 2261 Market Street #4667, San Francisco, CA 94114, USA
• Verarbeitungsregion: USA
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• DPA: inngest.com/legal/dpa

Upstash Inc.

• Zweck: Rate-Limiting, Caching
• Verarbeitete Daten: Anonymisierte Zähler (IP-Hashes, Org-IDs), keine Klartext-PII
• Sitz: 340 S Lemon Ave #6633, Walnut, CA 91789, USA
• Verarbeitungsregion: EU
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• DPA: upstash.com/trust/dpa.pdf

7. Monitoring und Fehlerverfolgung

Functional Software Inc. (Sentry)

• Zweck: Fehler-Tracking, Performance-Monitoring
• Verarbeitete Daten: Stack-Traces, Browser-Informationen, Request-Metadaten. E-Mail-Adressen, Authentifizierungs-Tokens und sonstige PII werden vor dem Versand automatisch entfernt (Server-seitiger PII-Scrubber)
• Sitz: 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
• Verarbeitungsregion: EU (DE-Region)
• Transfermechanismus: EU-Standardvertragsklauseln (SCC)
• DPA: sentry.io/legal/dpa

Better Stack (RWS Labs s.r.o.)

• Zweck: Uptime-Monitoring, Status-Page
• Verarbeitete Daten: HTTP-Statuscodes der öffentlichen Endpunkte, keine Endkunden-Daten
• Sitz: Mendelova 165/4, 460 15 Liberec, Tschechische Republik
• Verarbeitungsregion: EU
• Transfermechanismus: AVV gemäß Art. 28 DSGVO (innerhalb EU)
• DPA: betterstack.com/legal/dpa

8. Optionale Integrationen (nur auf Kundenwunsch)

Folgende Drittanbieter werden ausschließlich aktiv, wenn der Kunde sie in seinem Konto verbindet (z.B. eigene CRM- oder E-Mail-Konten). Die Verarbeitung erfolgt direkt zwischen [no:naime] und dem jeweiligen Anbieter im Namen des Kunden.

Google LLC (Gmail API)

• Zweck: Synchronisation der vom Kunden verbundenen Gmail-Postfächer
• Sitz: Mountain View, CA, USA
• Transfermechanismus: SCC + EU-US Data Privacy Framework

Microsoft Corporation (Microsoft Graph / Outlook)

• Zweck: Synchronisation der vom Kunden verbundenen Outlook-Postfächer und Kalender; Versand ausgehender E-Mails inkl. Anhänge
• Sitz: Redmond, WA, USA
• Transfermechanismus: SCC + EU-US Data Privacy Framework

HubSpot, Inc.

• Zweck: Bidirektionale CRM-Synchronisation, Deal-Stage-Update bei Lead-Übergabe (Stage „Nonaime“), Engagement-Sync (Notes, Email-Verläufe als Engagements)
• Sitz: 25 First Street, Cambridge, MA 02141, USA
• Transfermechanismus: SCC

Google LLC (Drive API)

• Zweck: Optionales Auto-Attach: vom Kunden verbundene Drive-Dateien werden für ausgehende Mails als Anhang vorgeschlagen und auf Kundenfreigabe heruntergeladen
• Sitz: Mountain View, CA, USA
• Transfermechanismus: SCC + EU-US Data Privacy Framework

Notion Labs Inc.

• Zweck: Synchronisation der vom Kunden verbundenen Notion-Workspaces
• Sitz: 2300 Harrison Street, San Francisco, CA 94110, USA
• Transfermechanismus: SCC

Pipedrive OÜ

• Zweck: CRM-Synchronisation für vom Kunden verbundene Pipedrive-Konten
• Sitz: Mustamäe tee 3a, 10615 Tallinn, Estland (EU)
• Transfermechanismus: AVV gemäß Art. 28 DSGVO (innerhalb EU)

Close (Elastic Inc.)

• Zweck: CRM-Synchronisation für vom Kunden verbundene Close-Konten
• Sitz: USA
• Transfermechanismus: SCC

Eigener IMAP-/SMTP-Mailserver des Kunden

Verbindet der Kunde ein Postfach per IMAP/SMTP, kommuniziert [no:naime] direkt mit dem vom Kunden benannten Mailserver. Dessen Betreiber ist Auftragsverarbeiter des Kunden, nicht von [no:naime].

Weitere Integrationen

ClickUp Inc. (USA), SumUp Limited (UK), Odoo S.A. (Belgien) — werden nur auf ausdrückliche Verbindung durch den Kunden aktiv.

9. Änderungen dieser Liste

Wir behalten uns vor, neue Auftragsverarbeiter hinzuzunehmen oder bestehende zu ersetzen. Wesentliche Änderungen werden Bestandskunden mit einer Frist von mindestens 30 Tagen per E-Mail an die im Konto hinterlegte Adresse angekündigt. Ein Widerspruchsrecht gegen neue Auftragsverarbeiter besteht gemäß den AVV-Bestimmungen.

10. Kontakt

Bei Fragen zu unseren Auftragsverarbeitern oder zur Datenverarbeitung wende dich bitte an: datenschutz@nonaime.ai