Infrastruktur und Zugriffsschutz
Fassung 03.10.2026Alle Vertragsunterlagen
Stand: 3. Oktober 2026
Diese Übersicht beschreibt die für bimetrics eingesetzten Infrastrukturen und die Behandlung internationaler Zugriffe. Sie ergänzt die Unterauftragnehmeranlage, den Auftragsverarbeitungsvertrag und die Datenschutzhinweise. Ein europäischer Speicherort bedeutet nicht automatisch, dass sämtliche beteiligten Unternehmen ausschließlich europäischem Recht unterliegen.
1. Anbieter, Orte und Rechtsordnungen
| Einsatz | Anbieter und relevante Rechtsordnungen | Eingesetzte Orte |
|---|---|---|
| Anwendung, Datenbank und Kundendateien | Bis 3. Oktober 2026: netcup GmbH, Deutschland; für die eingesetzte Infrastruktur auch Österreich. Ab 3. Oktober 2026: Render Services, Inc., USA; für die eingesetzte Infrastruktur auch Deutschland | Bis 3. Oktober 2026: Anwendungsserver in Wien, Österreich. Ab 3. Oktober 2026: Region Frankfurt, Deutschland |
| Belegpostfach und Sicherungen | Hetzner Online GmbH, Deutschland; für finnische Infrastruktur auch Finnland | Mail-Infrastruktur Deutschland; Storage Box Helsinki, Finnland |
| KI-gestützte Belegerkennung und Zuordnung einschließlich der zugehörigen KI-Aufrufe des Backends | OpenRouter, Inc., USA, als Vermittlungsdienst; Microsoft Azure als nachgelagerter Modellanbieter; als Ausweichroute, insbesondere bei Kapazitätsengpässen, eigenes Azure-Deployment von bimetrics (Microsoft Ireland Operations Limited, Irland) | Festgelegter EU-Endpunkt mit der Azure-EU-Route azure/eu; Zero-Data-Retention-Vorgabe für Anfrage- und Antwortinhalte. Ausweichroute: Data-Zone-Standard-Deployment in der EU-Datenzone von Microsoft, Ressource West Europe, ohne ZDR-Einstufung. Gesonderte Betriebsmetadaten sind hiervon zu unterscheiden, siehe Abschnitt 2. |
| Such- und Ähnlichkeitsvektoren (Embeddings) für Suche, Kategorisierung und Kategorievorschläge | OpenRouter, Inc., USA, als Vermittlungsdienst; Google Vertex AI als nachgelagerter Modellanbieter | Festgelegter EU-Endpunkt mit der Route google-vertex/eu, ohne Ausweichroute; Zero-Data-Retention-Vorgabe für Anfrage- und Antwortinhalte. Vektoren in der Anwendungsdatenbank, siehe Zeile „Anwendung, Datenbank und Kundendateien“. Gesonderte Betriebsmetadaten sind hiervon zu unterscheiden, siehe Abschnitt 2. |
| Support per E-Mail, Chat und KI | Not Just Tickets Ltd / Plain, Vereinigtes Königreich; nachgelagerte Anbieter unter anderem in den USA | Primäres Hosting London; internationale Verarbeitung einschließlich OpenAI/USA und Anthropic/Global |
| Transaktionsmails | Plus Five Five, Inc. / Resend, USA | Primäre Verarbeitung und Speicherung USA |
| Fehlerdiagnose und Überwachung | Functional Software, Inc. / Sentry, USA | EU-Organisation; weitere Konto-/Dienstverarbeitung und Zugriffe können international erfolgen |
| Eigene Kunden- und Produktanalyse | PostHog Inc. und MotherDuck Corporation, USA; Hetzner Online GmbH, Deutschland | PostHog und MotherDuck Frankfurt; Analytics-Zwischenablage Helsinki |
| Website und Suche | Vercel Inc. und Neon, USA; Microsoft für das verwendete Embeddingmodell | International verteilte Infrastruktur; eigene Umami-Serverfunktionen in Washington, D.C., USA |
Die Zuordnung unterscheidet Anbieterstandorte, eingesetzte Infrastruktur und die technische Begrenzung eines Verarbeitungspfads. Sie ist keine Aussage, dass Behörden tatsächlich auf Daten zugegriffen haben oder jeder nachgelagerte Dienst sämtliche Kundendaten erhält. Aufgaben und Datenumfang sind in den jeweils verlinkten Unterlagen genauer beschrieben.
2. Technischer und organisatorischer Schutz
Wir begrenzen Datenübermittlungen auf die jeweilige Aufgabe und schützen Verbindungen sowie Zugänge durch die in den technischen und organisatorischen Maßnahmen beschriebenen Vorkehrungen. Dazu gehören Berechtigungs- und Mandantentrennung, geschützte Übertragungswege, Filter für technische Diagnosedaten sowie verschlüsselte eigene Sicherungsarchive. Diese Maßnahmen bedeuten keine durchgehende Ende-zu-Ende-Verschlüsselung gegenüber allen eingesetzten Dienstleistern.
Für die Belegerkennung, Zuordnung und weitere KI-Auswertung führt der KI-Pfad von bimetrics über OpenRouter zu Microsoft Azure. Übermittelt werden die für die Funktion benötigten Dokumentbilder, Texte und Ergebnisse. Wir beschränken diese Anfragen auf den EU-Endpunkt und die dort als Zero Data Retention ausgewiesene Azure-Route. Einzige automatische Ausweichroute ist unser eigenes Azure-Deployment in der EU-Datenzone von Microsoft; für diesen Weg gilt die ZDR-Einstufung von OpenRouter nicht, und Microsoft kann Inhalte zur Missbrauchserkennung bis zu 30 Tage speichern, sofern für die Ressource keine geänderte Missbrauchsüberwachung genehmigt ist. Andere Modellanbieter oder Regionen sind für diesen Pfad nicht freigegeben. Such- und Ähnlichkeitsvektoren berechnet Google Vertex AI über die Route google-vertex/eu des EU-Endpunkts, ebenfalls mit Zero-Data-Retention-Vorgabe, unter Ausschluss von Inferenzanbietern, die Inhalte für eigene Datensammlung verwenden, und ohne Ausweichroute; die Vektoren speichern wir in unserer eigenen Anwendungsdatenbank. Eine Nutzung der Inhalte zur Produktverbesserung wird für diese Anfragen nicht freigegeben; zusätzliche externe Tools oder eine Inhaltsprotokollierung werden dafür nicht aktiviert.
Diese Vorgaben betreffen die Anfrage- und Antwortinhalte dieses KI-Pfads. Sie sind keine Zusage, dass OpenRouter keinerlei Daten verarbeitet oder speichert. Insbesondere sind technische Konto-, Abrechnungs- und Sicherheitsmetadaten gesondert zu betrachten; eine ausschließlich europäische Verarbeitung dieser Metadaten ist hier nicht nachgewiesen. Die notwendige Zwischenverarbeitung der Inhalte und anwendbare gesetzliche Ausnahmen werden durch die ZDR-Vorgabe nicht ausgeschlossen. Die Speicherung Ihrer Belege und Ergebnisse in bimetrics sowie die eigenen Sicherungen richten sich weiterhin nach den vereinbarten Aufbewahrungs-, Rückgabe- und Löschregeln.
Der bisherige direkte Azure-Zugang ohne OpenRouter bleibt als getrennte, manuell umschaltbare Konfiguration erhalten. Es gibt keinen automatischen Rückfall auf dieses Azure-Global-Deployment. Seine bisherige globale Verarbeitung wird durch die EU-Route von OpenRouter nicht zu einer EU- oder ZDR-Zusage. Ein Wechsel unterliegt weiterhin dem vereinbarten Änderungsverfahren und den für den jeweiligen Kunden geltenden Weisungen.
Die hier beschriebene EU-/ZDR-Vorgabe erstreckt sich nicht auf die gesonderte Website-Suche, Support-KI oder andere in dieser Übersicht genannte Dienste. Deren beschriebene Verarbeitung wird durch die Umstellung des Belegpfads nicht geändert.
3. Behördliche und internationale Zugriffsverlangen
Für Anfragen an bimetrics prüfen wir zuständige Stelle, Rechtsgrundlage, Verbindlichkeit und den konkret verlangten Umfang. Eine ausländische Anordnung schafft für sich allein keine unbegrenzte Berechtigung zur Herausgabe. Unklare oder übermäßige Verlangen werden rechtlich geprüft und im verfügbaren rechtlichen Rahmen begrenzt beziehungsweise angefochten. Herausgegeben werden nur rechtmäßig erforderliche Informationen. Soweit zulässig, informieren wir den betroffenen Kunden vor einer Herausgabe; eine gesetzliche Geheimhaltungspflicht wird berücksichtigt.
Für in der Union gespeicherte nicht personenbezogene Daten beachten wir die Schutzanforderungen des Art. 32 der EU-Datenverordnung. Für personenbezogene Daten gelten zusätzlich die DSGVO und die vereinbarten Übermittlungsgarantien. Ein Angemessenheitsbeschluss oder Standardvertragsklauseln ersetzen weder die Prüfung eines konkreten Zugriffsverlangens noch erforderliche ergänzende Schutzmaßnahmen.
Die eingesetzten Auftragsverarbeitungsvereinbarungen regeln Vertraulichkeit, Weisungen, Sicherheit und den Umgang mit rechtlich erzwungener Verarbeitung. Bei erforderlichen Drittlandübermittlungen werden die für die jeweilige Übermittlung anwendbaren Garantien zugrunde gelegt. Wir verlangen keine Vertraulichkeit, die berechtigte Mitteilungen an Aufsichtsbehörden oder die Wahrnehmung gesetzlicher Rechte verhindert.
4. Informationen und Änderungen
Fragen zu einer konkreten Verarbeitung, zu Übermittlungsgarantien oder einem Anbieterwechsel richten Sie bitte an support@bimetrics.de. Informationen und einschlägige Garantien stellen wir unter Wahrung fremder Daten und berechtigter Geschäftsgeheimnisse zur Verfügung. Änderungen eingesetzter Unterauftragnehmer werden nach dem Verfahren des AVV mitgeteilt; diese Übersicht allein ersetzt eine vorgeschriebene Mitteilung nicht.
Diese aktuelle Betriebsinformation ändert keine bereits einbezogene Vertragsfassung und dokumentiert keine Zustimmung des Kunden. Die versionierten Vertragsunterlagen bleiben unverändert abrufbar. Das Informations- und Widerspruchsverfahren nach § 7 des AVV sowie die übrigen Kundenrechte bleiben bestehen.
Rechtsgrundlage für den Schutz nicht personenbezogener Daten: EU-Datenverordnung, insbesondere Art. 28 und 32. Für personenbezogene Daten: DSGVO, insbesondere Art. 44–49.