Unterauftragnehmer und Datenflüsse

Zweck: Hosting von Website und API sowie cookielose aggregierte Webanalyse. Verarbeitete Daten: technische Zugriffs- und Laufzeitdaten. Die dokumentierte Produktionsregion ist unter „Aktuelle Betriebsangaben" ausgewiesen. Die öffentliche Freigabe setzt einen DPA-berechtigten Produktionstarif und einen abgelegten Vertragsnachweis voraus.

Zweck: Datenbank, Authentifizierung und Sicherungen. Verarbeitete Daten: Betreiberkonten, Bot-Konfiguration, Vertragsnachweise, Chatfragen, Antworten sowie bestätigte Kontaktanfragen einschließlich des zu einer bestätigten Anfrage gespeicherten Gesprächsverlaufs. Die dokumentierte Projektregion ist unter „Aktuelle Betriebsangaben" ausgewiesen. Globale Unterauftragnehmer und Drittlandübermittlungen richten sich nach dem einbezogenen Supabase-DPA.

Zweck: Erzeugung der KI-Antwort. Übermittelt werden die Besucherfrage, der erforderliche Chatverlauf und der für die Antwort notwendige Vereinskontext. Kontaktdaten sollen nicht in den Modellkontext aufgenommen werden. Standard-API-Ein- und Ausgaben werden nach Anbieterangaben grundsätzlich innerhalb von 30 Tagen gelöscht; abweichende Aufbewahrungsmodi müssen gesondert belegt werden.

Zweck: Transaktions-E-Mails und Weiterleitung ausdrücklich bestätigter Anfragen. Übermittelt werden Empfänger, Betreff und die erforderlichen Kontakt- und Anfragedaten. Aufbewahrung, Backups und Unterauftragnehmer richten sich nach dem einbezogenen Resend-DPA.

Stripe wird erst bei einer separat freigegebenen kostenpflichtigen Fortführung für die Zahlungsabwicklung eingesetzt. Besucher-Chats und Kontaktanfragen werden nicht an Stripe übermittelt. Die jeweilige datenschutzrechtliche Rolle richtet sich nach dem konkreten Zahlungsvorgang und dem Stripe-Vertrag.

Soweit kein Angemessenheitsbeschluss anwendbar ist, werden Übermittlungen insbesondere auf EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen gestützt. Neue oder ersetzte Unterauftragnehmer werden dem Verein vorab in Textform mitgeteilt. Der Verein kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.