Unterauftragnehmer
Fassung 2026-10-05-v1Alle Vertragsunterlagen
Fassung vom 3. Oktober 2026
Diese Anlage betrifft Dienstleister, die personenbezogene Daten im Auftrag des bimetrics-Kunden für die vereinbarte Leistung verarbeiten. Eigene Dienstleister von bimetrics für Vertragsverwaltung oder Produktanalyse und selbstständig verantwortliche Banken, Zahlungsdienste oder Berater sind davon zu unterscheiden. Die Einordnung richtet sich nach der jeweiligen Tätigkeit.
1. Direkte Unterauftragnehmer für die Kundenleistung
| Anbieter | Aufgabe und Datenumfang | Verarbeitungsort und Übermittlung |
|---|---|---|
| netcup GmbH, Deutschland (bis 3. Oktober 2026) | Hosting der bimetrics-Anwendung einschließlich hierfür gespeicherter Kundeninhalte, Datenbank- und Dateibestände sowie notwendiger Betriebsdaten. Nach dem Wechsel zu Render bleibt der bisherige Bestand vorübergehend für eine mögliche Rückverlagerung gespeichert. | Eingesetzte Anwendungsserver: Wien, Österreich. |
| Render Services, Inc., USA (ab 3. Oktober 2026) | Hosting der bimetrics-Anwendung einschließlich Datenbank, Dokumentenspeicher, hierfür gespeicherter Kundeninhalte und notwendiger Betriebsdaten; HTTP-Anfrage- und Dienstprotokolle mit aufgerufener Adresse und IP-Adresse bis zu 14 Tage. | Dienste und Datenbank in der Region Frankfurt, Deutschland; Zugriffe aus den USA, etwa für Betrieb und Support, sind möglich. Die in die Nutzungsbedingungen einbezogene Render-DPA sieht für Übermittlungen das EU-US Data Privacy Framework vor, ersatzweise EU-Standardvertragsklauseln (Modul 3 für die Unterauftragsverarbeitung). Nachgelagerte Unterauftragnehmer von Render sind nach der Render-Liste Amazon Web Services, Google Cloud Platform, Cloudflare und ClickHouse, jeweils USA. |
| Hetzner Online GmbH, Deutschland | Zusätzliche Infrastruktur, Sicherung von Datenbank und Dateien; Betrieb des Belegpostfachs. Insoweit Kundeninhalte, Absender-/Empfängerangaben, Nachrichten/Anhänge und notwendige Betriebsdaten. | Eingesetzte Storage Box für Sicherungen: Helsinki, Finnland. Webhosting-/Mail-Infrastruktur für das Belegpostfach: Deutschland. Das gesonderte Analytics-Object-Storage in Helsinki ist in Abschnitt 3 eingeordnet. |
| OpenRouter, Inc., USA | Vermittlung der KI-Anfragen und Ergebnisse für Belegerkennung, Zuordnung, Such- und Ähnlichkeitsvektoren (Embeddings) und weitere Backend-KI-Funktionen. Erforderliche Dokumentbilder/-texte und Ergebnisse einschließlich Namen, Anschriften, Rechnungspositionen, Beträgen, Steuerangaben und Bankverbindungen; für Embeddings zusätzlich Suchtexte, Vertrags- und Seriennamen sowie Positionsbezeichnungen aus der Kategorieauswahl. | EU-Endpunkt; nachgelagert die Azure-EU-Inferenzroute azure/eu (Belegerkennung, Zuordnung und weitere KI-Auswertung) und die Google-Vertex-EU-Route google-vertex/eu (Embeddings), jeweils mit ZDR-Vorgabe und deaktiviertem automatischem Wechsel zu anderen Anbietern oder Regionen. Für azure/eu ist einzige Ausweichroute das eigene Azure-Deployment von bimetrics (Zeile Microsoft); für Embeddings besteht keine Ausweichroute. Gesonderte Betriebsmetadaten sind nicht von einer allgemeinen EU-Orts- oder ZDR-Zusage umfasst. Grundlage sind die OpenRouter-DPA und, für Belegerkennung, Zuordnung und weitere KI-Auswertung über azure/eu, die ergänzende Vereinbarung für Finanz- und Steuerdaten; Einzelheiten unten. |
| Microsoft Ireland Operations Limited / Microsoft Azure AI, Irland — eigene Azure-Ressource von bimetrics (Ausweichroute und direkter Ersatzbetrieb) | (a) Ausweichroute: Belegerkennung, Zuordnung und weitere KI-Auswertung, wenn azure/eu eine Anfrage nicht bedienen kann, insbesondere wegen einer Kapazitätsgrenze; OpenRouter leitet die Anfrage dann mit dem Schlüssel von bimetrics an das eigene Deployment von bimetrics weiter. Dieselben Inhalte wie bei OpenRouter. (b) Bisheriger direkter Azure-Zugang ohne OpenRouter für dieselben KI-Funktionen, als manuell umstellbare Konfiguration erhalten; kein automatischer Rückfall auf diesen Zugang. | (a) Data-Zone-Standard-Deployment in der EU-Datenzone von Microsoft, Ressource in der Region West Europe (Niederlande). Die ZDR-Einstufung von OpenRouter gilt für diesen Weg nicht; Microsoft kann Anfrage- und Antwortinhalte zur Missbrauchserkennung bis zu 30 Tage speichern, sofern für die Ressource keine geänderte Missbrauchsüberwachung genehmigt ist. (b) Das hinterlegte Global-Deployment erlaubt weltweite Inferenz und ist keine zugesagte EU-/ZDR-Ersatzroute. Ein gesonderter Wechsel bleibt an Weisungen und Verfahren des AVV gebunden. Für beide Wege gelten der Microsoft-Vertragsrahmen und dessen DPA; sie sind von der nachgelagerten Azure-Route bei OpenRouter zu unterscheiden. |
| Not Just Tickets Ltd / Plain, Vereinigtes Königreich | E-Mail- und Chat-Support einschließlich KI-gestützter Bearbeitung. Kundeninhalte nur im Umfang der beauftragten Unterstützung; insbesondere Nachrichten, erforderliche Anhänge, Kontakt-, Zuordnungs- und Bearbeitungsdaten. | Primäres Hosting London, Vereinigtes Königreich; nachgelagerte internationale Verarbeitung einschließlich KI, siehe Abschnitt 2. Die DPA ist in die Nutzungsbedingungen einbezogen. Für Übermittlungen nach UK gilt der Angemessenheitsbeschluss; die DPA regelt die nachgelagerte Transferkette einschließlich Standardvertragsklauseln und UK-Zusatz. |
| Plus Five Five, Inc. / Resend, USA | Versand der im Kundenauftrag erforderlichen Nachrichten einschließlich Absender, Empfänger und erforderlicher Inhalte. Nachrichten zur eigenen Kontoführung/Abrechnung von bimetrics sind davon zu unterscheiden. | Primäre Verarbeitung und Speicherung USA. Die regulär einbezogene DPA enthält EU-Standardvertragsklauseln: Modul 3 für die Unterauftragsverarbeitung, Modul 2 für eigene Verantwortlichenzwecke von bimetrics. Eine europäische Versandregion ist keine EU-Speichergarantie. |
| Functional Software, Inc. / Sentry, USA | Fehlerdiagnose und technische Überwachung, soweit hierbei für die beauftragte Leistung notwendige personenbezogene Betriebsdaten verarbeitet werden. Insbesondere technische Klassifikationen, Zeit-/Versionsinformationen und pseudonyme Vorgangskennungen; kein vorgesehener Transfer von Belegrohinhalt. | EU-Organisation; zusätzliche Verarbeitung insbesondere von Konto-/Überwachungsdaten und Dienstleisterzugriffe können außerhalb EU/EWR erfolgen. Die angebotene Sentry-DPA sieht das EU-US Data Privacy Framework sowie ergänzend rollenbezogene EU-Standardvertragsklauseln für nicht davon erfasste Übermittlungen vor. |
OpenRouter und nachgelagerte Azure-Inferenz
Für Belegerkennung, Zuordnung und weitere KI-Auswertung ist der eingesetzte Inferenzdienst Microsoft Azure, vermittelt durch OpenRouter über die festgelegte Route azure/eu. Dieser Routingname bezeichnet den technischen Dienst; er bezeichnet keinen eigenen Azure-Vertrag von bimetrics für diese Anfragen. Der Rechtsträger des bestehenden direkten Azure-Vertrags wird deshalb nicht als belegter Vertragspartner der nachgelagerten OpenRouter-Kette ausgegeben.
Die EU-Begrenzung gilt für die über diesen Pfad gesendeten Anfrage- und Antwortinhalte. ZDR betrifft deren Aufbewahrung nach der Verarbeitung; notwendige kurzzeitige Verarbeitung, Arbeitsspeicher-Caches und gesetzliche Ausnahmen bleiben zu unterscheiden. Freiwilliges Inhaltslogging und eine Freigabe der Inhalte zur Produktverbesserung sind für diesen Pfad nicht aktiviert. Es werden keine optionalen externen Tools zugeschaltet. Diese Vorgaben ändern nicht die Speicherung von Belegen, Ergebnissen oder Sicherungen bei bimetrics.
OpenRouter speichert gesonderte Nutzungs- und Betriebsdaten. Für diese wird keine vollständige EU-Lokalisierung oder einheitliche Löschfrist behauptet. Die Anbieterbeschreibung behandelt auch anonyme Stichprobenkategorisierung und Sicherheitsprüfungen. Einzelheiten und Abgrenzungen stehen im Abschnitt „KI und automatisierte Verarbeitung“ der Datenschutzhinweise. Nachweise für erforderliche internationale Übermittlungen sind nach AVV § 8.2 bereitzustellen; die bestehenden Prüf-, Informations- und Widerspruchsrechte bleiben bestehen.
Öffentliche Anbieterinformationen: EU-Routing, ZDR, Datenerhebung, OpenRouter-DPA. Diese Beschreibungen sind keine unabhängige Prüfung der Dienstleister.
OpenRouter und nachgelagerte Google-Vertex-Embeddings
Für Such- und Ähnlichkeitsvektoren (Embeddings) ist der eingesetzte Inferenzdienst Google Vertex AI mit dem Modell Gemini Embedding 2, vermittelt durch OpenRouter über die festgelegte Route google-vertex/eu. Wie bei azure/eu bezeichnet der Routingname den technischen Dienst; bimetrics hat für diese Anfragen keinen eigenen Vertrag mit Google. Der Google-Rechtsträger der nachgelagerten OpenRouter-Kette wird deshalb nicht als belegter Vertragspartner ausgegeben.
Zweck sind die semantische Suche, die Auswahl ähnlicher früherer Belege als Beispiele für die KI-Kategorisierung und Kategorievorschläge. Übermittelt werden strukturierte Belegangaben neuer und bereits vorhandener Belege (Belegart, Rechnungsnummer und -datum, Aussteller mit Anschrift, Empfänger, Positionen und Unterpositionen mit Beträgen, Zahlungsbedingungen, zugeordnete Kategorien), der erkannte Belegtext (OCR) sowie Suchtexte, Vertrags- und Seriennamen und Positionsbezeichnungen aus der Kategorieauswahl. EU-Begrenzung und ZDR-Vorgabe gelten wie im vorstehenden Abschnitt; Inferenzanbieter, die Inhalte für eigene Datensammlung verwenden, sind ausgeschlossen; ein automatischer Anbieter- oder Regionswechsel ist deaktiviert, eine Ausweichroute besteht nicht. Die zurückgegebenen Vektoren speichert bimetrics in der eigenen Anwendungsdatenbank und löscht sie spätestens mit der endgültigen Löschung des Belegs oder des Firmenbereichs. Vektoren von Such- und Eingabetexten werden ohne den Text bis zu 30 Tage zwischengespeichert und laufen danach ab.
Eigenes Azure-Deployment als Ausweichroute
Kann die Route azure/eu eine Anfrage zur Belegerkennung, Zuordnung oder weiteren KI-Auswertung nicht bedienen, insbesondere wegen einer Kapazitätsgrenze, kann OpenRouter sie mit dem Schlüssel von bimetrics an das eigene Azure-OpenAI-Deployment von bimetrics weiterleiten. Das Deployment ist als Data Zone Standard auf die EU-Datenzone von Microsoft festgelegt; die Ressource liegt in der Region West Europe. OpenRouter prüft nach eigener Beschreibung die Region eines solchen eigenen Deployments nicht; maßgeblich sind der Deployment-Typ und der bei OpenRouter hinterlegte Endpunkt dieses Deployments. Für diesen Weg gelten der Microsoft-Vertragsrahmen und die Microsoft-DPA von bimetrics, nicht die ZDR-Einstufung von OpenRouter. Microsoft kann Anfrage- und Antwortinhalte zur Missbrauchserkennung bis zu 30 Tage speichern, sofern für die Ressource keine geänderte Missbrauchsüberwachung genehmigt ist. Die Angaben zu gesonderten Betriebsdaten von OpenRouter gelten auch für diese Anfragen.
BYOK und regionale Verarbeitung, Azure-Datenverarbeitung.
2. Nachgelagerte Verarbeitung bei Plain
Die Plain-Unterauftragnehmerliste wurde am 14./15. September 2026 unmittelbar im Trust Center geprüft. bimetrics nutzt nach bestätigter Betreiberangabe E-Mail, Chat und Support-KI. Die Liste umfasst Dienste für unterschiedliche Aufgaben; daraus folgt nicht, dass jeder dieser Anbieter alle bimetrics-Supportinhalte erhält. Für den eingesetzten Umfang sind insbesondere diese acht veröffentlichten Angaben relevant:
| Bezeichnung in der Plain-Liste | Veröffentlichte Aufgabe | Veröffentlichter Ort |
|---|---|---|
| Amazon Web Services | Hosting/Infrastruktur | Vereinigtes Königreich |
| OpenAI | KI/LLM | USA |
| Anthropic | KI/LLM | Global |
| Postmark | E-Mail-Infrastruktur | USA |
| Vercel | Hosting/Infrastruktur | Verteilt |
| Cloudflare | Infrastruktur, Firewall und DDoS-Schutz | Verteilt |
| Liveblocks | Zusammenarbeit in Echtzeit | USA |
| Turbopuffer | Datenbank/Hosting | EU |
Die KI-Beschreibung von Plain nennt OpenAI und Anthropic für die Verarbeitung von Gesprächsinhalten. Sie beschreibt kein Modelltraining und OpenAI-ZDR für den dort erläuterten Pfad. Dies ist keine Aussage über eine vollständige Löschung aller bei Plain gespeicherten Nachrichten oder eine ausschließlich europäische KI-Verarbeitung.
Die regulär einbezogene Plain-DPA erfasst in § 2.1 auch die Unterauftragsverarbeitung, verpflichtet nachgelagerte Anbieter in § 4.5 zu entsprechenden Datenschutzpflichten und regelt Drittlandtransfers in § 5. Zusätzlich gelistete Entwicklungs-, Vertriebs- und optionale Integrationsdienste werden nicht als Empfänger sämtlicher Kundensupportdaten ausgewiesen. Die laufende Kontrolle und Mitteilung tatsächlicher Änderungen richtet sich nach dem AVV; die bei Vertragsschluss einbezogene Fassung bleibt dokumentiert.
3. Abgrenzung zu eigenen Verarbeitungen und Kundendiensten
- PostHog Inc. und MotherDuck Corporation unterstützen bimetrics bei eigener Produktanalyse und Kundenbetreuung. Die hierfür beschriebenen Datenbestände und Rechtsgrundlagen stehen in den Datenschutzhinweisen. Diese Anlage genehmigt keine zusätzliche Verwendung von Kundeninhalten für eigene Zwecke.
- Hetzner Object Storage, Helsinki, Finnland, enthält im Analytics-Pfad zwischengespeicherte PostHog-Exporte. Das ist eine gesonderte Verarbeitung für die interne Kunden-/Nutzungsübersicht und nicht allein aufgrund des Hostinganbieters Teil des Sicherungswegs für Kundenbelege.
- Vercel Inc., USA, Neon und die Websiteanalyse sind im tatsächlich eingesetzten Website-/Suchumfang in den Datenschutzhinweisen beschrieben. Für das eingesetzte Vercel-Pro-Team ist die DPA regulär einbezogen; sie enthält Standardvertragsklauseln für internationale Übermittlungen. Ihre Website-Nutzung begründet keinen pauschalen Unterauftrag über sämtliche App-Kundendaten.
- Stripe verarbeitet eigene Abrechnungsdaten von bimetrics und erfüllt je Dienst eigene regulierte Aufgaben. GoCardless Bank Account Data und die kontoführenden Banken erbringen gesonderte Kontoinformations-/Bankleistungen auf Freigabe des Kunden. Steuerberater können unabhängig verantwortlich sein. Sie werden nicht pauschal als weitere Auftragsverarbeiter unter diesen AVV gestellt.
- Vom Kunden verbundene KI-Anwendungen (MCP-Verbindungen) erhalten Daten auf Weisung des Kunden nach der Anlage „MCP-Verbindungen“ zum Auftragsverarbeitungsvertrag. Ihre Anbieter wählt der Kunde; bimetrics beauftragt sie nicht. Sie werden deshalb nicht als weitere Auftragsverarbeiter geführt. Die in Abschnitt 2 genannten KI-Dienste sind nachgelagerte Dienstleister von Plain für den Support und stehen mit solchen Verbindungen nicht in Zusammenhang. Die Schnittstelle selbst läuft auf der in Abschnitt 1 genannten Infrastruktur; die KI-Dienste aus Abschnitt 1 sind an MCP-Abrufen nicht beteiligt.
- Weitere Dienste werden nicht allein deshalb genehmigt, weil ihre künftige Nutzung geplant ist. Für eine tatsächliche Hinzuziehung gelten Informations-, Prüf- und Widerspruchsverfahren des AVV.
4. Änderungen und Nachweise
Änderungen der weiteren Auftragsverarbeiter und relevante Änderungen von Aufgaben oder Verarbeitungsorten werden nach dem Verfahren des AVV mitgeteilt. Die bei einem Vertragsschluss einbezogene Anlagenfassung bleibt im Versionsarchiv nachvollziehbar. Datenschutzanfragen und Einwendungen können an support@bimetrics.de gerichtet werden.
Öffentliche Grundlagen: netcup-AVV, Render-DPA, Hetzner, Azure-Vertragspartner und Vertragsrahmen, Microsoft-DPA, Microsoft-Standardvertragsklauseln, Azure-Datenverarbeitung, Plain-DPA, Resend-DPA, Sentry-DPA, Vercel-DPA.