Unterauftragnehmer und Empfänger

1. Status und Bedeutung

Diese Entwurfsanlage benennt die im Code vorgesehenen Dienstkategorien. Sie ist noch keine bestätigte Liste tatsächlich aktiver Produktionsrouten. Vor Vertragsfreigabe müssen die konkreten Vertragseinheiten, Leistungen, Länder, Transfergrundlagen und relevanten Anbieterbedingungen in einer neuen freigegebenen Fassung feststehen. Bis dahin ist der produktive Einsatz personenbezogener Auftragsdaten nicht freigegeben.

Ein Anbieter kann je nach Verarbeitung Unterauftragnehmer oder eigener Verantwortlicher sein. Marketing-Analytics und Zahlungsabwicklung werden nicht pauschal zu Unterauftragnehmern für die Besucherdaten der Kunden erklärt. Die jeweilige Leistung entscheidet.

2. Convex: Backend, Authentifizierung und Speicherung

Vorgesehene Leistung: Datenbank, Backend-Funktionen, Authentifizierung und Dateispeicherung für Workspace-, Team-, Kampagnen- und Ereignisdaten. Vorgesehener Anbieter: Convex, Inc.; die konkrete Vertragsentität ist vor Freigabe anhand des Vertrags zu bestätigen.

Convex bietet auswählbare Regionen, darunter Irland und USA. Die verfügbare Auswahl belegt die Region des Graftkit-Deployments nicht. Region, Zugriffsorte, Aufbewahrung, Sicherungen, gebuchter Umfang und geltendes DPA sind vor Freigabe konkret nachzuweisen. Quelle: https://docs.convex.dev/production/regions und https://www.convex.dev/legal/dpa.

3. Vercel: Hosting, CDN, Sandbox und AI Gateway

Vorgesehener Anbieter: Vercel Inc. Leistungen: Website und App bereitstellen, globale Auslieferung, API-Verarbeitung, isolierte Website-Erfassung und Weiterleitung von KI-Anfragen. Daten können technische Verbindungsdaten, URLs, Website-Ausschnitte, Screenshots, Prompts und Antworten sowie Zuordnungsmetadaten umfassen.

Globale Infrastruktur und US-Verarbeitung sind möglich. Funktions- und Sandboxregionen, Logs, Caches, Gateway-Routen und tatsächlich anwendbares DPA sind gesondert zu bestätigen. Ein DPA-Dokument oder EU-Funktionsstandort begründet keine pauschale EU-only-Zusage. Quelle: https://vercel.com/legal/dpa. Gateway-Kontrollen für Aufbewahrung und Training sind konfigurationsabhängig; ihre Existenz beweist keine Aktivierung für Graftkit.

4. KI-Anbieter über das Gateway

Der Code erlaubt je nach Aufgabe Modelle von Google, OpenAI und Anthropic. Verarbeitet werden können vom Kunden beauftragte Texte, bereinigte Website-Ausschnitte und Metadaten. Keine dieser Codeoptionen belegt, welcher rechtliche Anbieter, Inferenzdienst oder Standort tatsächlich eingesetzt wird.

Vor Freigabe müssen aktive Modelle, ausführende Anbieter einschließlich möglicher Failover, Vertragsentitäten, Länder, Training, Logging und Aufbewahrung aus Gateway-Konfiguration und Vertragsbelegen festgehalten werden. Eine Freigabe unbekannter Alternativrouten wird mit dieser Entwurfsanlage nicht erteilt. Personenbezogene Inhalte dürfen bis zur Klärung nicht an solche Routen übermittelt werden.

5. Resend: Systemmails und Empfang

Vorgesehener Anbieter: Plus Five Five, Inc. (Resend). Leistung: Verifikations-, Wiederherstellungs-, Einladungs- und sonstige Systemmails sowie technischer E-Mail-Empfang und Weiterleitung. Daten: E-Mail-Adresse, nötiger Nachrichteninhalt und Zustell-/Empfangsmetadaten.

Soweit dies im Auftrag des Kunden geschieht, ist Resend als Unterauftragnehmer zu behandeln; eigene Betreiberkommunikation ist gesondert zu bewerten. Tatsächliche Nachrichtenaufbewahrung, Empfangsrouten, Länder und Vertrag müssen vor Freigabe bestätigt werden. Quellen: https://resend.com/legal/dpa und https://resend.com/legal/subprocessors.

6. Weitere Empfänger in eigener Verarbeitung

Cloudflare, Inc.: Turnstile zur Abwehr automatisierter missbräuchlicher Anfragen; dabei können IP-Adresse, Browser- und Challenge-Daten verarbeitet werden. Einsatz und Rolle richten sich nach dem Turnstile Privacy Addendum und der konkreten Formularintegration. Es besteht keine pauschale Genehmigung zur Verarbeitung sämtlicher Kundeninhalte.

Stripe: Zahlungs-, Abonnement- und Rechnungsabwicklung. Stripe verarbeitet Zahlungsdaten je nach Vorgang in eigener datenschutzrechtlicher Verantwortung oder nach einschlägigen Auftragsbedingungen. Graftkit übermittelt hierfür notwendige Vertrags-, Kontakt- und Abrechnungszuordnungen. Google Analytics/Tag Manager dienen nur einwilligungsbasierter eigener Website-/App-Analyse und gehören nicht zum beauftragten Kampagnenbetrieb des Kunden.

7. Änderungen und Nachweise

Für neue beziehungsweise ersetzte Unterauftragnehmer gelten Vorabinformation, Widerspruch und gegebenenfalls Beendigung nach Abschnitt 6 der AVV. Nachweise über Verträge und Transfergrundlagen können unter hello@graftkit.dev angefragt werden. Die nächste freigegebene Fassung muss tatsächliche Länder und Vertragsverhältnisse konkretisieren; die hier verlinkten Dokumente sind Primärquellen zur Prüfung und keine Bestätigung eines bereits geschlossenen Anbieter-DPA.