Unterauftragsverarbeiter

Version 1.4 · 04.10.2026

Diese Seite nennt alle Dienstleister, denen wir die Verarbeitung von Kundendaten anvertrauen, mit Rolle, Verarbeitungsort und der Garantie für Übermittlungen außerhalb des Europäischen Wirtschaftsraums. Die Liste ist Teil des Auftragsverarbeitungsvertrags (Anlage B). Als Kunde haben Sie mit der Annahme der Nutzungsbedingungen die allgemeine Genehmigung erteilt und können Änderungen widersprechen.

1. Wie sich diese Liste ändert

Über die Aufnahme oder den Austausch eines Unterauftragsverarbeiters informieren wir mindestens 30 Tage vorher. Gibt uns unser Anbieter eine kürzere Frist, leiten wir die Mitteilung innerhalb von 7 Tagen nach Erhalt weiter.

Ein Kunde kann binnen 30 Tagen aus Datenschutzgründen widersprechen. Wir suchen dann eine Lösung; findet sich keine, kann der Kunde auf die betroffene Funktion ohne Zusatzkosten verzichten.

Für Änderungsmitteilungen schreiben Sie an dawid@pluscode.io mit dem Betreff „Unterauftragsverarbeiter“ und der Adresse für Benachrichtigungen. Wir speichern sie nur zu diesem Zweck und löschen sie auf Wunsch.

2. Infrastruktur, gesamter Dienst

Amazon Web Services EMEA SARL, Luxemburg, mit verbundenen Unternehmen. Rolle: Hosting von Anwendung und Datenbank, Dateispeicher, Versand und Empfang von E-Mail (Amazon SES), Authentifizierung (Amazon Cognito), KI-Modelle für Funktionen in der Anwendung (Amazon Bedrock). Ort: Region eu-central-1 (Frankfurt, Deutschland). Übermittlung: Speicherung in der EU; Modellanfragen können auf Basis der im AWS-Auftragsverarbeitungsvertrag enthaltenen Standardvertragsklauseln in AWS-Regionen außerhalb des EWR geleitet werden.

Amazon Web Services EMEA SARL, Luxemburg, Dienst AWS End User Messaging SMS (früher Amazon Pinpoint SMS). Rolle: Versand von Einmalcodes per SMS als zweiter Faktor bei der Anmeldung. Daten: die vom Nutzer registrierte Mobilfunknummer, die Nachricht mit dem Code, Zustellmetadaten (Zeitstempel, Zustellstatus). Ort: Region eu-central-1 (Frankfurt, Deutschland). Übermittlung: Die Verarbeitung bleibt in der EU, auf Basis des AWS-Auftragsverarbeitungsvertrags. Die Nachricht stellt anschließend der Mobilfunkanbieter der empfangenden Person zu; für die Zustellung ist er eigener Verantwortlicher und nicht unser Unterauftragsverarbeiter.

3. Zahlungen

Stripe Payments Europe, Limited, Irland, mit Stripe, Inc., USA. Rolle: Zahlungsabwicklung, Abonnements, Rechnungen. Daten: Abrechnungsdaten des Kunden und Zahlerdaten. Stripe erhält keine in Quanty eingegebenen Inhalte und keine Anrufdaten. Übermittlung: EU-US Data Privacy Framework und Standardvertragsklauseln. Soweit das Zahlungsdiensterecht es verlangt, handelt Stripe als eigener Verantwortlicher.

4. Websuche

Exa Labs, Inc., USA. Rolle: vom Nutzer in einer KI-Spalte oder im Chat ausgelöste Websuche. Daten: der Abfragetext, den der Nutzer oder seine Konfiguration erzeugt. Übermittlung: Standardvertragsklauseln; die Übermittlungsdokumentation des Anbieters prüfen wir. Bis zum Abschluss der Prüfung empfehlen wir die Suche nicht für besondere Datenkategorien und aktivieren sie nicht auf Tabellen der KI-Sekretärin.

5. KI-Sekretärin

Die folgenden Anbieter verarbeiten Daten nur, wenn ein Kunde das Modul KI-Sekretärin nutzt.

Amazon Web Services EMEA SARL, Luxemburg, bereits in Abschnitt 2 genannt. Rolle: Annahme der Anrufe der KI-Sekretärin: Quantys Telefon-Gateway auf unseren Servern in AWS, Spracherkennung (Amazon Transcribe), Gesprächsführung, Zusammenfassung und Datenextraktion mit einem Claude-Modell auf Amazon Bedrock sowie Sprachsynthese (Amazon Polly). Daten: die Stimme der anrufenden Person, das Gesprächsprotokoll, die anrufende und die angerufene Nummer, im Gespräch genannte Angaben. Ort: Region eu-central-1 (Frankfurt, Deutschland); Anfragen an das gesprächsführende Modell werden nur in AWS-Regionen in der EU verarbeitet. Übermittlung: Die Verarbeitung bleibt in der EU, auf Grundlage des AWS-Auftragsverarbeitungsvertrags. Der Ton des Anrufs wird nicht aufgezeichnet; das Gesprächsprotokoll bewahren wir in Quanty für den vom Kunden eingestellten Zeitraum auf.

Die Nummer, unter der die KI-Sekretärin abnimmt, gehört dem Kunden und liegt bei einem VoIP- oder SIP-Anbieter seiner Wahl. Dieser Anbieter leitet den Anruf auf Basis des Kundenvertrags an unser Gateway und ist nicht unser Unterauftragsverarbeiter. Damit wir uns im Namen des Kunden bei diesem Anbieter anmelden können, speichert Quanty das SIP-Passwort verschlüsselt.

6. WhatsApp

Die folgenden Dienstleister verarbeiten Daten nur, wenn ein Kunde das Modul WhatsApp nutzt.

Amazon Web Services EMEA SARL, Luxemburg, Dienst AWS End User Messaging Social (der AWS-Dienst für die WhatsApp Business API). Rolle: Transport der Nachrichten zwischen der geschäftlichen WhatsApp-Nummer des Kunden und der Gegenseite sowie Verwaltung der Verknüpfung unseres AWS-Kontos mit dem WhatsApp Business Account des Kunden. Daten: die geschäftliche WhatsApp-Nummer des Kunden und die Rufnummer der Gegenseite, der von der sendenden Person gesetzte WhatsApp-Profilname, der Nachrichtentext, ein gesendetes Foto oder Dokument, Nachrichten- und Zustellmetadaten (Kennungen, Zeitstempel, Zustell- und Lesestatus). Ort: Region eu-central-1 (Frankfurt, Deutschland). Übermittlung: Die Verarbeitung bleibt in der EU, auf Basis des AWS-Auftragsverarbeitungsvertrags. Quanty speichert für diesen Kanal keine Zugangsdaten; den Versand autorisiert die AWS-Instanzrolle.

Meta Platforms Ireland Limited, Irland, mit Meta Platforms, Inc., USA. Rolle: Betrieb von WhatsApp und der WhatsApp Business Platform; jede Nachricht wird durchgehend über die Infrastruktur von Meta zugestellt. Daten: die geschäftliche Rufnummer und die Rufnummer der Gegenseite, der von der sendenden Person gesetzte WhatsApp-Profilname, der Nachrichtentext, ein gesendetes Foto oder Dokument, Nachrichten- und Zustellmetadaten (Kennungen, Zeitstempel, Zustell- und Lesestatus sowie die Preiskategorie, die Meta je Konversation ausweist). Ort: eigene Infrastruktur von Meta, auch in den USA. Übermittlung: Standardvertragsklauseln; die Übermittlungsdokumentation des Anbieters prüfen wir. Meta handelt auf Basis eigener Bedingungen für die WhatsApp Business Platform und beauftragt eigene weitere Anbieter.

Amazon Web Services EMEA SARL, Luxemburg, Amazon Bedrock, bereits in Abschnitt 2 genannt. Rolle: Gesprächsführung und Datenextraktion, wenn eine Organisation ihre KI-Sekretärin auf eine WhatsApp-Nummer richtet. Daten: der Gesprächstext. Ort: Region eu-central-1 (Frankfurt, Deutschland). Übermittlung: wie in Abschnitt 2.

Die Verbindung eines WhatsApp Business Accounts setzt die Verifizierung des Unternehmens durch Meta voraus. Die Nummer bleibt die des Kunden.

Stand zum Zeitpunkt der Veröffentlichung: WhatsApp läuft in der Produktivumgebung über eine Nummer, die mit Quantys WhatsApp-Business-Konto verbunden ist.

7. Website-Analyse

Google Ireland Limited, Irland, mit Google LLC, USA. Rolle: Google Analytics auf quanty.ai, geladen erst nach Annahme der Analyse-Cookies. Übermittlung: EU-US Data Privacy Framework.

8. Nur vom Kunden gestartete Dienstleister

Google Ireland Limited (Gmail, Google Tabellen) und Microsoft Ireland Operations Limited (Microsoft 365: Outlook, SharePoint, OneDrive): Daten gelangen nur dorthin, wenn der Kunde sein eigenes Konto verbindet und eine Automatisierung aufbaut oder eigene Dateien importiert. Er handelt dann auf Basis seines eigenen Vertrags; es sind nicht unsere Unterauftragsverarbeiter.

Ein eigener VoIP- oder SIP-Anbieter des Kunden, auch derjenige, der die Nummer der KI-Sekretärin führt: arbeitet auf Basis des Kundenvertrags.

Ein über IMAP und SMTP verbundenes Postfach bei einem anderen Anbieter: arbeitet auf Basis des Kundenvertrags.

9. Änderungsprotokoll

18.09.2026, Version 1.0: erste Veröffentlichung der vollständigen Liste. Gegenüber den zuvor in der Datenschutzerklärung verstreuten Angaben kommen hinzu: Stripe, Exa, Eleven Labs, die von Eleven Labs beauftragten Modellanbieter, Twilio und Amazon Cognito aufseiten von AWS.

22.09.2026, Version 1.1: zwei neue Nutzungen von Amazon Web Services kommen hinzu. AWS End User Messaging SMS versendet Einmalcodes per SMS als zweiten Faktor bei der Anmeldung (Abschnitt 2). Amazon Chime SDK Voice Connector übergibt einen eingehenden Anruf an die KI-Sekretärin, wenn der Kunde eine Nummer über AWS verbindet (Abschnitt 5). Beide laufen in der Region eu-central-1 (Frankfurt), die Verarbeitung bleibt in der EU. Ergänzt wurde außerdem, dass der zustellende Mobilfunkanbieter und der Anbieter, der eine Nummer auf den SIP-Trunk leitet, als eigene Verantwortliche handeln und nicht unsere Unterauftragsverarbeiter sind.

23.09.2026, Version 1.2: WhatsApp kommt hinzu. Nutzt ein Kunde das Modul WhatsApp, laufen die Nachrichteninhalte über AWS End User Messaging Social in der Region eu-central-1 (Frankfurt) und über Meta, die WhatsApp und die WhatsApp Business Platform betreibt. Meta Platforms Ireland Limited mit Meta Platforms, Inc. ist damit ein neuer Unterauftragsverarbeiter (Abschnitt 6). Richtet eine Organisation ihre KI-Sekretärin auf eine WhatsApp-Nummer, verarbeitet zusätzlich Amazon Bedrock den Gesprächstext; der Kanal ist Text und nutzt den Sprachanbieter nicht. Die Abschnitte nach der KI-Sekretärin wurden neu nummeriert: Website-Analyse ist jetzt Abschnitt 7, nur vom Kunden gestartete Dienstleister Abschnitt 8 und dieses Änderungsprotokoll Abschnitt 9.

28.09.2026, Version 1.3: SharePoint und OneDrive kommen zu den Microsoft-Diensten hinzu, die ein Kunde selbst verbinden kann (Abschnitt 8). Daraus importierte Dateien werden zusammen mit den übrigen Dateien des Kunden in Amazon Web Services in der Region eu-central-1 (Frankfurt) gespeichert. Es gibt keinen neuen Unterauftragsverarbeiter.

04.10.2026, Version 1.4: Eleven Labs, Inc., die von ihr beauftragten Modellanbieter (Google Cloud und OpenAI), Twilio und der Amazon Chime SDK Voice Connector entfallen. Die KI-Sekretärin läuft jetzt vollständig in Amazon Web Services in der EU (Abschnitt 5): Amazon Transcribe erkennt die Sprache, ein Claude-Modell auf Amazon Bedrock führt das Gespräch ausschließlich in EU-Regionen, und Amazon Polly spricht. Amazon Web Services EMEA SARL ist bereits Unterauftragsverarbeiter, es kommt also keiner hinzu. Abschnitt 8 nennt nun den eigenen VoIP- oder SIP-Anbieter des Kunden, und die Statusangabe zu WhatsApp wurde aktualisiert.

Spätere Änderungen werden hier mit Datum und Beschreibung ergänzt.