Unterauftragnehmer und Empfänger

1. Status und Bedeutung

Diese Fassung bildet den am 19. Oktober 2026 belegten Anbieterstand und die gewählten KI- und Mailrouten ab und ist für den kontrollierten Betrieb mit bestehenden und ausdrücklich freigeschalteten Testkonten veröffentlicht. Ein kostenpflichtiger Abschluss über Stripe ist nicht Gegenstand dieser Freigabe. Noch ausstehende technische Abnahmen und konkrete Anbieterbelege werden nachfolgend benannt; die Veröffentlichung ersetzt keinen Nachweis ihrer Durchführung.

Ein Anbieter kann je nach Zweck Auftragsverarbeiter oder selbst Verantwortlicher sein. Die folgenden Angaben unterscheiden diese Rollen. Anbieterunterlagen erläutern den Vertragsrahmen; sie ersetzen weder eine erforderliche Transferbewertung noch die Prüfung der tatsächlich genutzten Funktionen.

2. Convex: Backend, Authentifizierung und Speicherung

Convex, Inc.: Backend, Datenbank, Authentifizierung und Dateispeicherung für Workspace-, Team-, Kampagnen-, Website- und Ereignisdaten. Belegter Produktionsstandort ist Irland (AWS eu-west-1); aktiver Tarif ist Starter (Starter Plus). Die Nutzungsbedingungen beziehen die DPA ein; sie enthält technische Maßnahmen und Regelungen zu internationalen Übermittlungen. Ein irischer Speicherstandort schließt US-bezogene Zugriffe und weitere vertragsgemäße Verarbeitung nicht pauschal aus. Quellen: https://www.convex.dev/legal/tos und https://www.convex.dev/legal/dpa sowie https://www.convex.dev/legal/subprocessors.

Bei der dokumentierten Kontoprüfung vor Aufnahme der gewählten Routine waren keine periodischen Cloud-Backups konfiguriert und keine manuell angelegten Cloud-Backups vorhanden. Die dokumentierte verschlüsselte Betreiber-Sicherung und isolierte Wiederherstellung vom 18. Oktober 2026 ist in der TOM-Anlage beschrieben. Die gewählte tägliche manuelle Routine und ihre Aufbewahrungsgrenzen sind in der TOM-Anlage beschrieben; die Festlegung belegt keinen bereits ausgeführten Lauf.

3. Vercel: Hosting, CDN, Sandbox und AI Gateway

Vercel Inc.: Website- und App-Hosting, CDN, API-Verarbeitung, isolierte Website-Erfassung in Sandboxes und AI Gateway. Verarbeitet werden je nach Funktion Verbindungsdaten, URLs, Website-Ausschnitte, Screenshots, Prompts, Antworten und technische Metadaten. Genutzt wird ein aktiver Pro-Tarif. Ziffer 10.1 der Standardbedingungen bezieht die DPA ein; diese enthält technische Maßnahmen und Übermittlungsregelungen. Quellen: https://vercel.com/legal/terms und https://vercel.com/legal/dpa.

Vercel verwendet globale Infrastruktur; Verarbeitung und Zugriffe einschließlich USA sind möglich. Es gibt keine EU-only-Zusage. Eine Region einzelner Funktionen oder Anbieter begrenzt nicht automatisch CDN, Gateway-Verarbeitung, Logs und Supportzugriffe. Das Gateway löscht nach seiner veröffentlichten Richtlinie Prompts und Antworten nach Abschluss; technische Nutzungs-, Fehler- und Routingmetadaten bleiben hiervon zu unterscheiden. Routingdetails werden nach Anbieterangabe 30 Tage vorgehalten, ältere Anfrageeinträge können weiter bestehen. Quelle: https://vercel.com/docs/ai-gateway/observability-and-spend/logs.

4. KI-Anbieter über das Gateway

Für die Startfreigabe vorbereitet: Google Gemini 3.5 Flash Lite über den Inferenzdienst Google Vertex AI für Farb- und HTML-Vorschläge sowie GPT 5.6 Luna über den nativen OpenAI-Dienst für Zuordnungsvorschläge, jeweils vermittelt durch Vercel AI Gateway. Die genaue Google-/OpenAI-Vertragseinheit innerhalb der von Vercel beauftragten Leistung wird nicht durch einen Modellnamen belegt; maßgeblich sind Vercels anwendbare Anbieter- und Unterauftragnehmerbedingungen. Eine technisch zulässige Anthropic-Modelloption wird nicht als aktiv genutzte Route bezeichnet.

Alle drei vorbereiteten Aufgaben verlangen anfragebezogen Zero Data Retention und Ausschluss von Prompt-Training nach den vom Gateway geprüften Anbietervereinbarungen. Die Route ist auf Vertex beziehungsweise OpenAI begrenzt; automatische Alternativmodelle oder ein Wechsel zu schwächeren Datenschutzregeln sind nicht vorgesehen. Fehlt eine zulässige Route, soll die Aufgabe sichtbar fehlschlagen und manuelle Bearbeitung ermöglichen. Eine EU-Inferenzregion wurde nicht ausgewählt. Aktivierung und tatsächliche Verarbeitung sind vor Freigabe mit einer synthetischen Produktionsprüfung abzugleichen. Quellen: https://vercel.com/docs/ai-gateway/security-and-compliance/zdr und https://vercel.com/docs/ai-gateway/security-and-compliance/disallow-prompt-training.

ZDR bezeichnet hier die Routinganforderung nach den Anbietervereinbarungen, keine ausnahmslose Zusage sofortiger Löschung jeder technischen Kopie. Anbieterbedingungen können Cache- und Sicherheitsausnahmen enthalten. Die veröffentlichten Google-Bedingungen beschreiben unter anderem zeitlich begrenzte implizite Caches und Missbrauchsschutz; OpenAI beschreibt insbesondere Cache-Zustände und Prüfung auffälliger Bild-/Dateieingaben auch bei ZDR. Vercels ausgehandelte Bedingungen können von öffentlichen Standardbedingungen abweichen. Technische Gateway-Metadaten und die in Graftkit gespeicherten Ergebnisse sind gesondert zu behandeln. Quellen: https://docs.cloud.google.com/gemini-enterprise-agent-platform/resources/zero-data-retention und https://developers.openai.com/api/docs/guides/your-data.

5. Resend: Systemmails und Empfang

Plus Five Five, Inc. (Resend): Versand von Verifikations-, Wiederherstellungs-, Einladungs- und weiteren Systemmails sowie technischer Empfang und Weiterleitung. Verarbeitet werden Adressen, erforderliche Nachrichteninhalte und Zustell-/Empfangsmetadaten. Eine unterzeichnete DPA liegt vor. Belegt sind US-Speicherung, 30 Tage Nachrichtenaufbewahrung und bis zu sieben weitere Tage in Sicherungen. Verarbeitung im Kundenauftrag fällt unter diese Anlage; eigene Betreiberkommunikation ist hiervon zu unterscheiden. Quellen: https://resend.com/legal/dpa und https://resend.com/legal/subprocessors.

Für den Start wird die bisherige Inhaltsweiterleitung an balint.websolutions@gmail.com durch eine inhaltsfreie Betreiberbenachrichtigung ersetzt. Für dieses Gmail-Postfach besteht kein Workspace-Abonnement; eine Workspace-DPA wird nicht als Vertragsgrundlage für Kundenmailinhalte behauptet. Vorgesehen ist eine feste Benachrichtigung mit Link zur offiziellen Resend-Konsole, ohne Absender, Betreff, Formularwerte, Nachrichtentext oder Anhänge der ursprünglichen Anfrage. Die Originalnachricht und ihre Anhänge bleiben bei Resend innerhalb der dortigen Aufbewahrung; der Betreiber bearbeitet sie über die geschützte Konsole. Google verarbeitet für die reine Betreiberbenachrichtigung weiterhin Zustell-, Konto- und technische Daten für diesen eigenen Kommunikationszweck. Die Umstellung ist zum Stand dieser Prüffassung vorbereitet und noch nicht als produktiv umgesetzt oder geprüft bestätigt; bis dahin besteht die bisherige Weiterleitung. Die Startfreigabe setzt deren tatsächliche Ablösung voraus. Es wird kein kostenpflichtiges neues Postfach vorausgesetzt.

6. Weitere Empfänger in eigener Verarbeitung

Cloudflare, Inc.: Turnstile verarbeitet Signale wie IP-Adresse, TLS-Fingerabdruck, User-Agent, Sitekey und zugehörigen Ursprung zur Botabwehr. Nach dem Turnstile Privacy Addendum vom 18. Juni 2025 ist Cloudflare für die Bereitstellung des Schutzes Auftragsverarbeiter und für die Verbesserung seiner Bot-Erkennung eigener Verantwortlicher. Diese zweite Verarbeitung ist keine weisungsgebundene Unterauftragsleistung. Internationale Verarbeitung einschließlich USA ist möglich; die konkrete rechtliche Einordnung des Graftkit-Einsatzes und erforderlicher Endgerätezugriffe bleibt Teil der Freigabe. Quellen: https://www.cloudflare.com/turnstile-privacy-policy/ und https://www.cloudflare.com/cloudflare-customer-dpa/.

Stripe dient Zahlungs-, Abonnement- und Rechnungsabwicklung. Die deutschen Standardbedingungen nennen grundsätzlich Stripe Payments Europe, Limited; weitere Einheiten können nach den jeweiligen Finanzdienstbedingungen hinzukommen. Die tatsächliche kontobezogene Zuordnung ist noch zu bestätigen; neue kostenpflichtige Abschlüsse bleiben bis zur gesonderten Freischaltung ausgeschlossen. DPA und Übermittlungszusatz sind in die Standardbedingungen einbezogen; eine neue separate Unterschrift wird nicht allein deshalb als fehlend behandelt. Stripe ist je nach Zweck Auftragsverarbeiter oder eigener beziehungsweise gemeinsamer Verantwortlicher, insbesondere für Zahlungs-, Betrugs- und gesetzliche Pflichten. Quellen: https://stripe.com/de/legal/ssa und https://stripe.com/legal/dpa sowie https://stripe.com/legal/dta.

Google Analytics und Tag Manager dienen ausschließlich der gesondert einwilligungsbasierten eigenen Website-/App-Analyse und sind keine pauschal beauftragte Verarbeitung der Besucherdaten von Kundenwebsites. Google Ireland Limited ist nach den deutschen Analytics-Bedingungen Anbieter; die Analytics-Datenverarbeitungsbedingungen wurden am 3. April 2024 angenommen. Diese Annahme belegt keinen gesonderten Vertrag für das Google-Postfach. Quellen: https://marketingplatform.google.com/about/analytics/terms/de/ und https://business.safety.google/adsprocessorterms/.

7. Änderungen und Nachweise

Für neue oder ersetzte Unterauftragnehmer gelten Vorabinformation, Widerspruch und gegebenenfalls Beendigung nach Abschnitt 6 der AVV. Vertragsunterlagen und Informationen über anwendbare Übermittlungsgarantien können unter hello@graftkit.dev angefragt werden. Standard-DPA-Einbeziehungen für Convex und Vercel, die unterzeichnete Resend-DPA und die belegte Analytics-Annahme werden nicht als fehlende Neuabschlüsse dargestellt. Offene kontobezogene Nachweise, technische Produktionsprüfung und Betreiberfreigaben bleiben ausdrücklich davon getrennt.