Unterauftragsverarbeiter

1 Grundsätze

Die anymize GmbH setzt zur Erbringung des Services anymize die nachfolgend genannten Unterauftragsverarbeiter ein. Mit allen bestehen Verträge nach Art. 28 Abs. 4 DSGVO. Die ständig eingesetzten Unterauftragsverarbeiter mit möglichem Zugang zu Inhalten (Abschnitt A, soweit dort ausgewiesen) sind nach § 203 Abs. 4 StGB in Textform zur Verschwiegenheit verpflichtet. Das AI-Gateway und die LLM-Anbieter (Abschnitt B) sind über Verträge nach Art. 28 DSGVO gebunden, jedoch nicht nach § 203 Abs. 4 StGB verpflichtet.

• A. Ständig eingesetzte Unterauftragsverarbeiter: Sie sind an jeder Nutzung des Services beteiligt (Hosting, Sicherungen, Konto- und Abrechnungsverwaltung, Zahlungsabwicklung).
• B. Nutzungsabhängige Unterauftragsverarbeiter (AI-Gateway und LLM-Anbieter): Sie werden nur tätig, wenn der Kunde oder seine Nutzer ein externes Modell auswählen. Bei aktivierter Pseudonymisierung erhalten sie ausschließlich pseudonymisierte Inhalte; die Zuordnungstabelle und der Workspace-Schlüssel verbleiben bei anymize in Deutschland.
• C. Keine Unterauftragsverarbeiter: Eigene Modelle von anymize, vom Kunden angebundene Modelle und vom Kunden freigegebene Drittdienste.

2 Änderungen und Widerspruchsrecht

Über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert anymize alle Kunden mindestens 30 Tage vor dem Wirksamwerden per E-Mail an die im Nutzerkonto hinterlegte Adresse. Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang der Information in Textform widersprechen; eine Begründung ist nicht erforderlich. Das weitere Verfahren regelt § 5.4 des Auftragsverarbeitungsvertrags.

3 A. Ständig eingesetzte Unterauftragsverarbeiter

4 B. Nutzungsabhängige Unterauftragsverarbeiter (AI-Gateway und LLM-Anbieter)

anymize nutzt ausschließlich die Geschäftskunden-Schnittstellen (API) der Anbieter, für die ein Auftragsverarbeitungsvertrag besteht, nie Verbraucherprodukte. Nach den für diese Schnittstellen geltenden Bedingungen verwenden die Anbieter Eingaben und Ausgaben nicht zum Training ihrer Modelle und speichern sie nur zeitlich begrenzt; die Frist je Anbieter nennt die Spalte „Garantien“. Für Anbieter mit Sitz in den USA stützt sich die Übermittlung auf das EU-US Data Privacy Framework, soweit der Anbieter dort zertifiziert ist, und im Übrigen auf EU-Standardvertragsklauseln; die Grundlage je Anbieter nennt die Spalte „Garantien". Die Anbindung hängt von der Modellgruppe ab: In der EU gehostete Modelle (im Service als „EU-gehostete Modelle“ gekennzeichnet) sind über das AI-Gateway der Requesty Ltd angebunden. Das Gateway arbeitet ausschließlich über seinen EU-Endpunkt in Frankfurt am Main, leitet die Anfragen an den vom Kunden oder seinen Nutzern gewählten Anbieter weiter und speichert deren Inhalte nicht. Die Inferenz dieser Modelle erfolgt auf Cloud-Plattformen in EU-Regionen, die Requesty als eigene Unterauftragnehmer einsetzt (siehe Tabelle). Internationale Modelle mit Verarbeitung in den USA, die Websuche und die Modelle von Mistral AI (Verarbeitung in Frankreich) sind direkt über die Schnittstelle des jeweiligen Anbieters angebunden. Für die Requesty Ltd mit Sitz im Vereinigten Königreich gilt der Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich.

Der bis Version 1.4 des AVV genannte Vermittlungsdienst OpenRouter, Inc. wird nicht mehr eingesetzt; für die in der EU gehosteten Modelle ist an seine Stelle das AI-Gateway der Requesty Ltd getreten. Welche Modelle in einem Workspace verfügbar sind, legen die Administratoren des Kunden fest; nicht freigegebene Anbieter erhalten keine Daten des Kunden.

5 C. Keine Unterauftragsverarbeiter

• Eigene Modelle von anymize: Betrieb bei den in Abschnitt A genannten Betreibern Hetzner und OVH in Rechenzentren in Deutschland. Kein externer Modellanbieter ist beteiligt.
• Vom Kunden angebundene Modelle (Bring Your Own Model): Vertragspartner des Kunden; Sicherheit, Standort und Vertragslage des Endpunkts verantwortet der Kunde.
• Vom Kunden freigegebene Drittdienste (z. B. Google Workspace, Microsoft 365 über Connectoren): Vertragspartner des Kunden; anymize verarbeitet die abgerufenen Daten im Auftrag des Kunden nach dem AVV.
• Website und Marketing-Systeme: nicht Gegenstand der Auftragsverarbeitung; für sie gilt die Datenschutzerklärung unter https://anymize.ai/datenschutz.

6 Änderungshistorie