Subunternehmerliste - ImmoVision AI

Diese Subunternehmerliste ergänzt die vertraglichen Unterlagen zu ImmoVision AI, insbesondere die Auftragsverarbeitungsvereinbarung (AVV), Leistungsbeschreibung und Datenschutzdokumentation.

Sie dient der transparenten Darstellung derjenigen Drittanbieter und Unterauftragnehmer, die im Rahmen der Leistungserbringung für ImmoVision AI eingesetzt werden können, soweit diese personenbezogene Daten im Auftrag verarbeiten.

1. Allgemeine Hinweise

Wir setzen Unterauftragsverarbeiter nur ein, soweit dies für Hosting, Infrastruktur, KI-Funktionen, Transkription, Support, Sicherheit, Kommunikation, Monitoring oder sonstige technische Leistungen erforderlich ist.

Soweit Unterauftragsverarbeiter personenbezogene Daten im Auftrag verarbeiten, werden diese auf Grundlage geeigneter vertraglicher Regelungen eingebunden.

Nicht jeder Drittanbieter ist automatisch Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO. Bestimmte Anbieter können – je nach Leistungsbereich – auch eigenständig Verantwortliche oder datenschutzrechtlich eigenständig handelnde Stellen sein. Dies gilt insbesondere in Teilbereichen der Zahlungsabwicklung, der regulatorischen Prüfung, der Fraud-Prevention oder gesetzlich verpflichtender Offenlegungen.

2. Aktuell eingesetzte oder vorgesehene Unterauftragsverarbeiter

2.1 Hetzner Online GmbH

Leistung:

Hosting, Server-, Speicher- und Infrastrukturleistungen

Zweck:

Technische Bereitstellung der Website, Plattform, Datenhaltung, Applikationsbetrieb, Medienauslieferung, Datenbank- und Serverbetrieb

Ort der Verarbeitung:

Deutschland / Europäische Union, je nach eingesetzter Infrastruktur

Rolle:

Unterauftragsverarbeiter, soweit personenbezogene Daten im Auftrag verarbeitet werden

Anmerkung: Hetzner stellt Auftragsverarbeitungsunterlagen und Informationen zu Datenschutz und Hosting bereit. Die konkret eingesetzten Server- und Speicherressourcen richten sich nach der tatsächlichen technischen Architektur von ImmoVision.

2.2 Google Cloud / Google Cloud Platform / Vertex AI

Leistung:

Cloud-, KI- und Transkriptionsinfrastruktur

Zweck:

Verarbeitung von Inhalten und Daten im Rahmen von KI-Funktionen, generativer Text- und Bildverarbeitung, strukturierten KI-Prozessen, Vertex-AI-basierten Funktionen sowie Speech-/Transkriptionsfunktionen, soweit diese im Auftrag aktiviert sind

Ort der Verarbeitung:

Je nach gebuchter Region und Konfiguration

Rolle:

Unterauftragsverarbeiter, soweit personenbezogene Daten im Auftrag verarbeitet werden

Anmerkung: Google veröffentlicht eine laufend aktualisierte Subprocessor-Liste für Google Cloud Platform. Diese umfasst auch Aktivitäten im Zusammenhang mit AI Platform/Vertex AI, Generative AI Services und weitere unterstützende Leistungen. Google beschreibt dort außerdem, welche Drittunternehmen etwa für Technical Support, Data Labeling oder spezielle Support-Szenarien eingesetzt werden.

Soweit ImmoVision Vertex AI regional konfiguriert, kann die Verarbeitung insbesondere in einer europäischen oder deutschen Region erfolgen, z. B. je nach konkret gebuchtem Setup. Die tatsächliche Verarbeitungsregion richtet sich nach der produktiven Konfiguration.

Wichtiger Hinweis zu Speech-to-Text:

Auf der Google-Subprocessor-Seite ist für Speech-to-Text auch eine gesonderte Aktivität „Voice Transcription“ genannt, die nur in besonderen Konstellationen relevant ist. Google weist dort ausdrücklich darauf hin, dass menschliche Transkriptionstätigkeiten nur bei einem entsprechenden Opt-in in das Speech-to-Text Data Logging Program stattfinden. Wenn ein solches Opt-in in ImmoVision nicht aktiviert ist, sollte dies auch intern dokumentiert werden.

2.3 Weitere technische Unterauftragsverarbeiter

Leistung:

Sicherheits-, Support-, Kommunikations-, Speicher-, Monitoring-, Integrations- oder Versanddienstleistungen

Zweck:

Unterstützung des technischen Betriebs, der Fehleranalyse, der Systemüberwachung, der Infrastrukturverwaltung oder einzelner Systemintegrationen

Ort der Verarbeitung:

Je nach eingesetztem Dienstleister

Rolle:

Unterauftragsverarbeiter, soweit personenbezogene Daten im Auftrag verarbeitet werden

Anmerkung: Solche Dienstleister werden nur insoweit eingebunden, wie dies technisch oder organisatorisch erforderlich ist. Soweit neue Unterauftragsverarbeiter eingesetzt werden, erfolgt dies nach Maßgabe der vertraglichen Regelungen zur Unterauftragsverarbeitung.

3. Dienste, die nicht automatisch als Unterauftragsverarbeiter im Rahmen der AVV gelten

3.1 Stripe

Leistung:

Zahlungsabwicklung, Checkout, Zahlungsdienste, Fraud-Prevention, Authentifizierung, Zahlungs- und Sicherheitsinfrastruktur

Rolle:

Je nach Verarbeitungssituation nicht ausschließlich Auftragsverarbeiter; in bestimmten Bereichen eigenständig Verantwortlicher oder datenschutzrechtlich eigenständig handelnde Stelle

Anmerkung: Stripe beschreibt im Privacy Center ausdrücklich eigene controller activities und erläutert Verarbeitungen insbesondere im Zusammenhang mit Fraud Prevention, Security, regulatorischen Anforderungen, Identitätsprüfung und Zahlungsabwicklung. Deshalb sollte Stripe in deiner Dokumentation nicht pauschal als klassischer Unterauftragsverarbeiter im engeren AVV-Sinn dargestellt werden, sondern sauber als Zahlungsdienstleister mit teilweise eigener Verantwortlichkeit bzw. eigenständiger datenschutzrechtlicher Rolle abgegrenzt werden.

3.2 Eigene self-hosted Komponenten

Dazu können insbesondere zählen:

selbst gehostete Video-Render- oder Video-Erstellungsinfrastruktur,
selbst betriebene Medienverarbeitung,
eigene interne Backend- und Queue-Systeme,
eigene Datenbanken, Worker und Job-Orchestrierung.

Diese gelten nicht als externe Unterauftragsverarbeiter, soweit sie innerhalb der vom Auftragsverarbeiter selbst kontrollierten und betriebenen Infrastruktur laufen.

4. Kategorien der Verarbeitung durch Unterauftragsverarbeiter

Je nach gebuchter und aktivierter Funktion können Unterauftragsverarbeiter insbesondere folgende Datenkategorien im Auftrag verarbeiten:

Stammdaten
Kontaktdaten
Kommunikationsdaten
Objekt- und Vorgangsdaten
Nutzerkontodaten
Rollen- und Berechtigungsdaten
Termin- und Statusdaten
Inhalte aus Formularen, Exposés, Microsites oder CRM-Einträgen
hochgeladene Medien und zugehörige Metadaten
Audioinhalte, Transkripte und daraus abgeleitete strukturierte Informationen, soweit entsprechende Funktionen aktiviert sind
technische Nutzungs- und Protokolldaten, soweit diese der auftragsbezogenen Bereitstellung dienen

5. Änderung der Unterauftragsverarbeiter

Wir behalten uns vor, Unterauftragsverarbeiter zu ergänzen, zu ersetzen oder technisch neu zu strukturieren, soweit dies für die Leistungserbringung, Sicherheit, Skalierung oder Weiterentwicklung von ImmoVision AI erforderlich ist.

Soweit eine Auftragsverarbeitungsvereinbarung mit einem Kunden besteht, erfolgen Änderungen nach Maßgabe der dort vereinbarten Regelungen, insbesondere zu Informationspflichten und Widerspruchsmöglichkeiten.

6. Verweis auf aktuelle externe Dokumentationen

Soweit Anbieter eigene, laufend aktualisierte Unterlagen zu Datenschutz, Subprocessors, Sicherheitsmaßnahmen oder Cloud-Regionen veröffentlichen, sind diese ergänzend maßgeblich.

Dies gilt insbesondere für:

Google Cloud Platform / Vertex AI / Gemini / Speech-to-Text.
Stripe im Bereich Zahlungsdienste, Fraud-Prevention und Privacy Center.

7. Zusammenfassende Liste

Als Unterauftragsverarbeiter vorgesehen / einsetzbar

Leistung:	Ort der Verarbeitung:
1. Hetzner Online GmbH Hosting, Server-, Speicher- und Infrastrukturleistungen	Deutschland / EU
2. Google Cloud / Google Cloud Platform / Vertex AI Cloud-, KI- und Transkriptionsinfrastruktur	Region je nach tatsächlicher Konfiguration
3. Weitere technische Dienstleister Sicherheits-, Support-, Monitoring-, Integrations- oder Kommunikationsleistungen	Nur soweit tatsächlich eingesetzt und erforderlich

Gesondert einzuordnen, nicht pauschal als klassischer AVV-Unterauftragsverarbeiter behandeln

Leistung:	Ort der Verarbeitung:
1. Stripe Zahlungsabwicklung, Fraud-Prevention, Sicherheits- und Regulierungsfunktionen	je nach Verarbeitungssituation eigenständige datenschutzrechtliche Rolle

8. Dokumentationshinweis für interne Nutzung

Intern sollte zusätzlich dokumentiert werden:

ob Vertex AI regional in Deutschland / EU konfiguriert ist,
ob Speech-to-Text Data Logging deaktiviert ist,
ob Grounding/Search standardmäßig deaktiviert ist,
welche self-hosted Komponenten rein intern laufen,
welche weiteren technischen Dienstleister tatsächlich produktiv eingesetzt werden.

Das gehört nicht zwingend alles wörtlich in die Kundenversion der Subunternehmerliste, sollte aber in deiner internen Datenschutz- und Systemdokumentation stehen.