Sub-Processor-Liste

Anlage 1 zum Auftragsverarbeitungsvertrag (DPA) gemäß Art. 28 DSGVO

discontinue.dev MAS GmbH · KI-Operations-Plattform für Hotels

Version 9.10 · Stand: 2. September 2026

Diese Liste benennt die von discontinue.dev eingesetzten Unterauftragsverarbeiter (Sub-Processors) für die im Auftrag der Hotel-Kunden verarbeiteten Hoteldaten aus den angebundenen Systemen (z. B. einem Property-Management-System). Sie ist verbindliche Anlage 1 zum DPA.

Vorbemerkung

(1) Der Verantwortliche (Hotel) erteilt gem. Art. 28 Abs. 2 DSGVO eine allgemeine Genehmigung zum Einsatz der nachstehend genannten Unterauftragsverarbeiter.

(2) discontinue.dev informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf das Hinzufügen, den Wechsel oder das Entfernen von Unterauftragsverarbeitern mindestens 14 Tage vor Inkrafttreten per E-Mail.

(3) Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; Einzelheiten regelt DPA § 8 Abs. 2. Der Widerspruch bedarf der Textform und einer konkreten Begründung innerhalb der Frist; eine bloße Anbieterpräferenz, allgemeine Vorbehalte ohne Bezug auf die konkrete Verarbeitung oder ausschließlich kommerzielle Erwägungen genügen nicht. Ob ein wichtiger datenschutzrechtlicher Grund vorliegt und ob das Schutzniveau gewahrt bleibt, beurteilt sich nach DPA § 8 Abs. 2 anhand des konkreten Einzelfalls. Bei einem wirksamen Widerspruch sind die Parteien um eine einvernehmliche Lösung bemüht; andernfalls besteht ein außerordentliches Kündigungsrecht.

(4) Alle Unterauftragsverarbeiter sind vertraglich (Auftragsverarbeitungsvertrag bzw. gleichwertige Vereinbarung) zur Einhaltung der Anforderungen des Art. 28 DSGVO verpflichtet. Bei Drittlandtransfers wird vor dem Einsatz eine taugliche Grundlage nach Art. 44 ff. DSGVO sichergestellt — ein Angemessenheitsbeschluss nach Art. 45 oder geeignete Garantien nach Art. 46 DSGVO; eine Transferfolgenabschätzung wird durchgeführt, soweit sie nach der gewählten Grundlage und den Umständen der Übermittlung erforderlich ist (DPA § 8 Abs. 3). Die je Transfer maßgebliche Grundlage weist die Haupttabelle in der Spalte „Transferbasis" aus.

(5) Diese Liste ist die maßgebliche Quelle für die eingesetzten KI-Anbieter. AGB § 4 Abs. 1 verweist hierauf; die AGB selbst benennen keine KI-Anbieter. Für den selbst gehosteten Agenten-Stack gehört hierzu das Register „Freigeschaltete Modellanbieter des selbst gehosteten Agenten-Stacks” (unten); es ist Teil dieser Anlage 1. Für jeden hier geführten KI-Anbieter sind die Non-Training-Zusage sowie die geltende Regelspeicherdauer und deren Ausnahmen ausgewiesen (siehe Hinweis 4). Ein KI-Anbieter wird erst aufgenommen, nachdem diese Zusagen abgegeben sind — vertraglich oder durch dokumentierte Festlegungen des Anbieters (veröffentlichte Anbieterdokumentation oder produktseitige Konfiguration mit Weisungscharakter) — und — bei Verarbeitung in einem Drittland — eine taugliche Transfergrundlage nach Art. 44 ff. DSGVO vorliegt (siehe Hinweis 3 und DPA § 8 Abs. 3).

(6) Modell- und Stack-Auswahl; bedingt eingesetzte Unterauftragsverarbeiter. Bietet discontinue.dev dem Verantwortlichen eine Modell- oder Stack-Auswahl nach AGB § 4 Abs. 10 an, weist Hinweis 4 aus, welchen Auswahlstufen bzw. KI-Verarbeitungswegen (Agenten-Stacks) der jeweilige KI-Anbieter zugeordnet ist. In der Haupttabelle als bedingt eingesetzt gekennzeichnete Unterauftragsverarbeiter werden nur eingesetzt, wenn der betreffende KI-Verarbeitungsweg für die betreffende Nutzung maßgeblich ist (DPA § 8 Abs. 1a); die Verarbeitungswege bestehen alternativ — bei keinem einzelnen KI-Lauf werden die Unterauftragsverarbeiter beider Wege zugleich eingesetzt (Hinweis 9). Die Auswahl einer Stufe oder eines Verarbeitungswegs durch den Verantwortlichen ist keine Änderung im Sinne von Absatz 2 und löst kein Widerspruchsrecht aus, weil dabei kein zusätzlicher Rechtsträger hinzutritt. Auswahlstufen mit EU-Kennzeichnung (AGB § 4 Abs. 10) werden ausschließlich den im Register mit EU-Kennzeichnung geführten Modellanbietern zugeordnet; innerhalb der einer Stufe zugeordneten Anbieter wählt discontinue.dev je Anfrage dynamisch nach Verfügbarkeit, Preis und Geschwindigkeit (Modell-Routing zwischen den genehmigten Empfängern, DPA § 5 Nr. 8) — ein Anbieter außerhalb des Registers wird dabei nicht eingesetzt. Wird eine Modell- oder Stack-Auswahl angeboten, kann der Verantwortliche die für seinen Workspace zulässigen Auswahlstufen und Verarbeitungswege beschränken und damit steuern, welche der hier geführten KI-Anbieter für ihn eingesetzt werden. Soweit keine Auswahl angeboten wird, bestimmt discontinue.dev die eingesetzten Anbieter nach AGB § 4 Abs. 8; das Widerspruchsrecht nach Absatz (3) bleibt in jedem Fall unberührt.

Abgrenzung: Sub-Processor vs. Software-Komponente

Was ist ein Sub-Processor? Als Unterauftragsverarbeiter gilt nur, wer im Auftrag von discontinue.dev personenbezogene Hotel-/Gästedaten verarbeitet und auf den eine Verarbeitung (mit-)ausgelagert wird. Nicht als Sub-Processor gelten:

• selbst betriebene (self-hosted) Software-Komponenten, bei denen keine Daten an einen weiteren, nicht bereits in dieser Liste geführten Dritten übermittelt werden — hierzu zählt auch die Komponente, die das Einwilligungsbanner bereitstellt (siehe Hinweis 2),
• Dienste, bei denen discontinue.dev als eigener Verantwortlicher und ohne Hotel-/Gästedaten handelt (z. B. Google Analytics, siehe Hinweis 2), und
• Dienstleister, die keine Hotel-/Gästedaten aus den angebundenen Systemen verarbeiten, sondern ausschließlich Daten aus der Vertrags- und Abrechnungsbeziehung zwischen discontinue.dev und dem Kunden (siehe Abschnitt „Weitere Dienstleister außerhalb der Auftragsverarbeitung für Hotel-/Gästedaten”).

Haupttabelle der Unterauftragsverarbeiter

Register: Freigeschaltete Modellanbieter des selbst gehosteten Agenten-Stacks

Für den selbst gehosteten Agenten-Stack (AGB § 2) laufen Ausführung und Orchestrierung in der von discontinue.dev kontrollierten Umgebung (Hinweis 1 und Hinweis 3); Sitzungsverläufe verbleiben dort, eine vom KI-Anbieter verwaltete Agenten-Umgebung wird nicht genutzt. Der Modellzugang erfolgt über das KI-Gateway (Eden AI SAS, Haupttabelle), das die Anfragen an die nachstehend geführten Modellanbieter weiterleitet; für Auswahlstufen mit EU-Kennzeichnung ausschließlich über dessen EU-Endpunkt (AGB § 2). Die Modellanbieter sind Unterauftragsverarbeiter von Eden AI SAS. Welche Modellanbieter dabei eingesetzt werden können, führt dieses Register abschließend; es ist Teil dieser Anlage 1. Innerhalb der einer Auswahlstufe zugeordneten Anbieter wählt discontinue.dev je Anfrage dynamisch nach Verfügbarkeit, Preis und Geschwindigkeit (Vorbemerkung Absatz 6). Ein Modellanbieter wird erst aufgenommen, nachdem Rechtsträger, Verarbeitungsort, Non-Training- und Speicher- bzw. Löschzusagen sowie — soweit einschlägig — die Transferbasis geprüft und dokumentiert sind; Grundlage sind die veröffentlichten Anbieter-Datenrichtlinien des KI-Gateways (Training, Zero Data Retention, Speicherdauer je Anbieter; Stand 27.08.2026, Evidenzdokument) und die Dokumentation des jeweiligen Anbieters. Die Aufnahme eines neuen Rechtsträgers wird nach DPA § 8 Abs. 2 mitgeteilt (14 Tage, Widerspruchsrecht). Die EU-Kennzeichnung (AGB § 4 Abs. 10) erhält nur ein Anbieter, dessen Rechtsträger personenbezogene Daten ausschließlich in der EU/im EWR verarbeitet; die bloße „EU-Verfügbarkeit” eines Modells genügt nicht. Verarbeitet der Rechtsträger eines Anbieters personenbezogene Daten außerhalb der EU/des EWR oder unterliegt der Transfer einer Drittlandgrundlage, wird dies hier je Anbieter ausgewiesen. Übermittelt werden dieselben Inhalte wie an das KI-Gateway (Haupttabelle, Zeile Eden AI SAS); bei allen nachstehenden Anbietern werden Eingaben und Ausgaben nach den Anbieter-Datenrichtlinien nicht gespeichert (Zero Data Retention) und nicht zum Training verwendet (Non-Training).

Weitere Dienstleister außerhalb der Auftragsverarbeitung für Hotel-/Gästedaten

Die nachstehenden Dienstleister sind keine Unterauftragsverarbeiter im Rahmen dieses DPA: Sie verarbeiten keine Hotel-/Gästedaten aus den angebundenen Systemen, sondern ausschließlich Daten aus der Vertrags- und Abrechnungsbeziehung zwischen discontinue.dev und dem Kunden oder technische Betriebsdaten der Plattform. Sie sind hier zur Vollständigkeit und zur klaren Abgrenzung der Rollen ausgewiesen.

Hinweise

1. Run-Tracing in eigener Infrastruktur; Agenten-Ausführung je Verarbeitungsweg (kein zusätzlicher Unterauftragsverarbeiter). Das interne KI-/Run-Tracing führt discontinue.dev als eigene Aufzeichnung in der selbst betriebenen Umgebung bei Oracle Cloud Infrastructure (Frankfurt, EU); dort verbleiben die Run-Traces und die deterministischen Lauf-Protokolle. Agenten-Ausführung und Orchestrierung laufen je nach Verarbeitungsweg (Hinweis 9): auf dem selbst gehosteten Agenten-Stack in der von discontinue.dev kontrollierten Umgebung; auf dem Verarbeitungsweg über den KI-Anbieter in dessen verwalteter Agenten-Umgebung — dort werden je Agent der Sitzungsverlauf (Ereignishistorie) und etwaige Aufgaben-Ressourcen gespeichert (Haupttabelle und Hinweis 4). Neben den gelisteten Anbietern wird hierfür kein weiterer, gesonderter Anbieter eingesetzt; es entsteht insoweit kein zusätzlicher Unterauftragsverarbeiter (siehe Hinweis 3). Die Run-Traces können Inhalte aus Reports und Läufen einschließlich Gästenamen enthalten und unterliegen der Aufbewahrung nach DPA § 10. Laufübergreifende Wiederverwendung bei Agents: Bei Agents werden bei Folgeläufen die Ergebnisse vorangegangener Läufe erneut herangezogen — über den Run-Trace und, auf dem Verarbeitungsweg über den KI-Anbieter, über den dort geführten Sitzungsverlauf —, um die Ausführung zu validieren und zu verbessern; dabei werden diese Inhalte erneut KI-gestützt verarbeitet und insoweit an den KI-Anbieter des gewählten Verarbeitungswegs übermittelt — auf dem selbst gehosteten Agenten-Stack über das KI-Gateway an einen im Register geführten Modellanbieter. Die Wiederverwendung erfolgt ausschließlich innerhalb desselben Mandanten (Tenant) und desselben Agents; die eigenen Run-Traces werden 90 Tage aufbewahrt, der Sitzungsverlauf besteht bis zur Löschung des Agents.

2. Google Analytics und Consent-Management (kein DPA-Sub-Processor). Soweit discontinue.dev Google Analytics 4 zur Analyse der eigenen Website- und Plattform-Nutzung einsetzt, handelt discontinue.dev insoweit als eigener Verantwortlicher (nicht als Auftragsverarbeiter des Hotels). Google verarbeitet dabei keine Gästedaten oder Daten aus den angebundenen Systemen, sondern misst ausschließlich das Bedienverhalten der Plattform-Nutzer/Website-Besucher. Google ist daher kein Unterauftragsverarbeiter im Rahmen dieses DPA. Das Einwilligungsbanner wird über eine quelloffene, von discontinue.dev selbst gehostete Komponente bereitgestellt; die Einwilligungsentscheidung verbleibt ausschließlich im Browser der betroffenen Person und wird nicht an Dritte übermittelt. Insoweit ist kein Dienstleister eingeschaltet und entsteht kein Unterauftragsverarbeiter (siehe Abgrenzung, erster Spiegelstrich). Diese Hinweise dienen der Klarstellung; die Verarbeitung ist in der Datenschutzerklärung geregelt (Google: Einwilligung, EU-US Data Privacy Framework + SCCs).

3. Dynamisches Modell-Routing / Wechsel des Frameworks. Wird künftig ein weiterer KI-Anbieter eingesetzt, wird dieser vorab gegen Non-Training, begrenzte Speicherdauer oder jederzeitige Löschbarkeit bzw. gleichwertige Garantien und das Vorliegen einer tauglichen Transfergrundlage nach Art. 44 ff. DSGVO geprüft (Angemessenheitsbeschluss oder geeignete Garantien). Erst danach wird er als Unterauftragsverarbeiter in diese Liste aufgenommen und den Verantwortlichen mindestens 14 Tage vor Inkrafttreten angekündigt. Dies gilt entsprechend für andere API-Anbieter sowie für einen Wechsel des Agenten-/Orchestrierungs-Frameworks, soweit dabei ein weiterer Rechtsträger personenbezogene Daten verarbeitet. Werden ein Modell, ein Framework oder eine sonstige Betriebskomponente — etwa das Run-Tracing — ausschließlich in der von discontinue.dev kontrollierten Umgebung beim bereits gelisteten Hosting-Unterauftragsverarbeiter ausgeführt (self-hosted), wird hierfür kein zusätzlicher Rechtsträger eingesetzt; es entsteht dann kein neuer Unterauftragsverarbeiter, und eine Mitteilung nach Absatz (2) der Vorbemerkung wird dadurch nicht ausgelöst. Ein solcher Schritt ist eine technische Änderung nach AGB § 4 Abs. 8. Der Wechsel ist eine gewöhnliche Betriebsmaßnahme; das datenschutzrechtliche Widerspruchsrecht des Verantwortlichen bleibt unberührt, ein darüber hinausgehendes Sonderkündigungsrecht entsteht dadurch nicht; die Kündigungsrechte nach AGB § 16 Abs. 2 und nach DPA § 8 Abs. 2 bleiben unberührt.

4. KI-Anbieter: Non-Training, Speicherdauer, Modell- und Stack-Auswahl. Für jeden eingesetzten KI-Anbieter gelten eine vertragliche Non-Training-Zusage und eine begrenzte Speicherdauer bzw. gleichwertige Garantien; die je Anbieter geltenden Fristen, Ausnahmen und — soweit eine Modell- oder Stack-Auswahl nach AGB § 4 Abs. 10 angeboten wird — die zugeordneten Auswahlstufen bzw. KI-Verarbeitungswege sind nachstehend ausgewiesen.

   • Verarbeitungsweg über den KI-Anbieter (Anthropic): Vertragspartner und unmittelbarer Unterauftragsverarbeiter ist Anthropic Ireland, Limited (Dublin, Irland); die Verarbeitung der KI-Anfragen und die verwaltete Agenten-Umgebung laufen in den USA bei Anthropic PBC und weiteren Konzern-/Infrastrukturgesellschaften als deren Unterauftragsverarbeitern (Hinweis 6). Anthropic bedient auf diesem Verarbeitungsweg sämtliche Funktionen und, soweit eine Modellauswahl angeboten wird, sämtliche Auswahlstufen. Anthropic hat in den Commercial Terms vertraglich zugesagt, dass über die API verarbeitete Inhalte nicht zum Training der Modelle verwendet werden („Anthropic may not train models on Customer Content from Services.”); für die bei den zustandslosen Funktionen (Builder, Chat, Validierungen) übermittelten Inhalte gilt nach der veröffentlichten Retention-Dokumentation des Anbieters (Prüfung 29.07.2026): max. 30 Tage (Missbrauchserkennung); Ausnahmen bei Markierung bis 24 Mon./Klassifikationswerte bis 7 J. Nach Ablauf der Frist erfolgt die automatische Löschung; unberührt bleiben gesetzlich zwingende Aufbewahrungen und die Aufbewahrung zur Streitbeilegung gemäß Anthropic-DPA Abschnitt H. Für Agent-Läufe nutzt discontinue.dev die verwaltete Agenten-Umgebung des Anbieters (Agent-Harness, Orchestrierung, Sitzungsverwaltung, sitzungsbezogene Ausführungsumgebung): Der je Agent geführte Sitzungsverlauf und etwaige Aufgaben-Ressourcen sind nach der Anbieterdokumentation zustandsbehaftet, von der Regelspeicherdauer und von Zero-Data-Retention-Vereinbarungen ausgenommen und bestehen, bis discontinue.dev sie löscht; die Löschung erfolgt mit der Löschung des Agents durch den Verantwortlichen, spätestens nach DPA § 10. Die Löschung einer Sitzung erfasst getrennt geführte Aufgaben-Ressourcen nicht automatisch; discontinue.dev löscht diese über gesonderte Löschroutinen. discontinue.dev nutzt den Standard-Geschäftszugang von Anthropic; eine Sondervereinbarung über abweichende Speicherfristen (Zero Data Retention) besteht insoweit nicht. Der Direktfluss an die irische Vertragspartnerin ist kein Drittlandtransfer; der Drittlandbezug entsteht durch den Weitertransfer innerhalb der Anthropic-Kette in die USA. Dessen Datenexporteurin ist Anthropic Ireland — ihrerseits unmittelbar an Art. 44 ff. DSGVO gebunden; die Schutzpflichten werden nach Anthropic-DPA Abschnitt C vertraglich an die Unterauftragsverarbeiter weitergegeben (Anthropic bleibt haftbar); die Bestätigung des von Anthropic Ireland für die USA-Kette konkret verwendeten Art.-46-Instruments ist beim Anbieter angefragt. Vorsorglich — soweit die Übermittlung im Einzelfall als Direkttransfer von discontinue.dev in die USA zu qualifizieren wäre — gelten die im Anthropic-DPA inkorporierten SCCs als abgeschlossen („deemed executed”, soweit erforderlich; für Hoteldaten Modul 3 — Processor-to-Processor), samt Transfer-Impact-Assessment; eine DPF-Zertifizierung von Anthropic besteht nach Prüfung vom 05.07.2026 nicht (dataprivacyframework.gov; siehe TIA-Hinweis und Evidenzdokument).
   • Selbst gehosteter Agenten-Stack (Eden AI SAS + Register): Der Modellzugang erfolgt über das KI-Gateway; für Auswahlstufen mit EU-Kennzeichnung ausschließlich über dessen EU-Endpunkt (api.eu.edenai.run/v3), der nach Anbieterdokumentation ausschließlich an für die Verarbeitung in der EU freigegebene Anbieter weiterleitet und nicht auf den globalen Endpunkt zurückfällt. Nach Anbieterdokumentation speichert Eden AI die übermittelten Eingaben und Ausgaben nicht (Zero Data Retention; es verbleiben begrenzte technische Metadaten für Abrechnung und Sicherheit) und verwendet die Daten nicht zum Training (Non-Training); Grundlage ist das Eden-DPA (Art. 28 DSGVO). Welche Modellanbieter eingesetzt werden können und welche Zusagen, Verarbeitungsorte, Transferbasen und EU-Kennzeichnungen je Anbieter gelten, weist das Register „Freigeschaltete Modellanbieter des selbst gehosteten Agenten-Stacks” abschließend aus. Auswahlstufen mit EU-Kennzeichnung werden ausschließlich Anbietern mit EU-Kennzeichnung zugeordnet; innerhalb der zugeordneten Anbieter erfolgt das Routing je Anfrage dynamisch (Vorbemerkung Absatz 6). Für alle Anbieter des Registers gelten nach den Anbieter-Datenrichtlinien des KI-Gateways (Stand 27.08.2026) Non-Training und Zero Data Retention; eine Regelspeicherdauer besteht dort nicht.

5. Transfer-Impact-Assessment (USA). Für den Weitertransfer in die USA innerhalb der Anthropic-Kette (Vertragspartner: Anthropic Ireland, Limited) liegt ein Transfer-Impact-Assessment (TIA) gem. „Schrems II” (EuGH C-311/18) vor. Es kann unter [email protected] angefordert werden.

6. Weitere Unterauftragsverarbeiter der gelisteten Anbieter (Kette). Jeder der in der Haupttabelle genannten Unterauftragsverarbeiter setzt seinerseits eigene Unterauftragsverarbeiter ein. Maßgeblich und stets aktuell ist die vom jeweiligen Anbieter geführte Liste; soweit sie veröffentlicht ist, ist sie nachstehend benannt. discontinue.dev stellt dem Verantwortlichen die insoweit erforderlichen Informationen auf Anfrage zur Verfügung und gibt ihm mitgeteilte Änderungen unverzüglich weiter (DPA § 8 Abs. 2). Stand der letzten Prüfung: 29.07.2026.

   • Anthropic (Kette): Vertragspartner ist Anthropic Ireland, Limited; die Verarbeitung erfolgt bei Anthropic, PBC und AI Infrastructure OpCo, LLC (USA) sowie weiteren Konzern-/Infrastrukturgesellschaften als deren Unterauftragsverarbeitern; die Konzern-Entitäten mit Zugriff auf Kundendaten und die weiteren Subprozessoren sind unter trust.anthropic.com veröffentlicht (FAQ bzw. Subprozessorenliste; abgerufen 30.07.2026).
   • Eden AI SAS: veröffentlichte Aufstellung der über das Gateway verfügbaren Modelle und Modellanbieter unter app.edenai.run/models sowie der Anbieter-Datenrichtlinien (Training, Zero Data Retention, Speicherdauer je Anbieter) unter www.edenai.co/docs/v3/data-governance/provider-data-policies; für den Einsatz durch discontinue.dev ist ausschließlich das Register „Freigeschaltete Modellanbieter des selbst gehosteten Agenten-Stacks” dieser Anlage maßgeblich. Die dort geführten Modellanbieter sind Unterauftragsverarbeiter von Eden AI SAS; ihre eigenen Ketten ergeben sich aus den jeweils veröffentlichten Listen (z. B. TensorX Ltd.: tensorx.ai/sub-processors) und werden auf Anfrage weitergegeben.
   • Oracle Cloud Infrastructure: Die eingesetzten Konzern- und Drittdienstleister ergeben sich aus dem Oracle-DPA (Data Processing Agreement for Oracle Cloud Services, in Evidenz/Oracle-DPA_2026-07/); die jeweils aktuelle Aufstellung wird bei Oracle abgerufen und auf Anfrage weitergegeben.
   • Cloudflare, Inc.: veröffentlichte Liste unter www.cloudflare.com/gdpr/subprocessors/.

7. Support- und Konzernzugriffe bei Oracle. Nach der zum Stand 26.07.2026 geprüften Vertrags- und Anbieterdokumentation sind Support- und Konzernzugriffe bei Oracle auf die EU begrenzt; es findet insoweit kein Drittlandtransfer statt. Die in den jeweiligen Zeilen ausgewiesenen Standardvertragsklauseln bestehen insoweit als Vorsorge fort. Zur eigenen Kette der gelisteten Anbieter siehe Hinweis 6.

8. Die beiden Drittlandtransfers unterscheiden sich grundlegend. Auf Ebene der unmittelbar eingesetzten Unterauftragsverarbeiter bestehen zwei Übermittlungen in die USA, und sie sind nicht vergleichbar. Bei Anthropic werden Inhalte inhaltlich verarbeitet — das Modell liest sie, um zu antworten —, die Übermittlung erfolgt als Weitertransfer innerhalb der Anthropic-Kette (Vertragspartner: Anthropic Ireland, Limited), stützt sich auf Standardvertragsklauseln und ist durch ein Transfer-Impact-Assessment abgesichert; sie entsteht nur, wenn der Verarbeitungsweg über den KI-Anbieter maßgeblich ist (Hinweis 9). Bei Cloudflare werden dieselben Inhalte lediglich transportiert: Cloudflare terminiert die Transportverschlüsselung, prüft die Anfrage im Rahmen einer technischen Sicherheitsprüfung (Mustererkennung gegen Angriffe) und reicht sie weiter — eine fachliche oder KI-gestützte Auswertung der Inhalte findet nicht statt, am Edge wird nichts gespeichert; dynamische Antworten der Plattform werden nicht zwischengespeichert. Diese Übermittlung stützt sich auf einen Angemessenheitsbeschluss und bedarf deshalb keiner Transferfolgenabschätzung. Wo in den weiteren Dokumenten von dem laufenden Drittlandtransfer die Rede ist, ist die inhaltliche Verarbeitung bei Anthropic gemeint.

9. Alternativität der KI-Verarbeitungswege. Die in der Haupttabelle als bedingt eingesetzt gekennzeichneten Unterauftragsverarbeiter (Anthropic Ireland, Limited; Eden AI SAS samt den im Register geführten Modellanbietern) werden alternativ eingesetzt: Maßgeblich ist der für die betreffende Nutzung geltende KI-Verarbeitungsweg — die Auswahl trifft der Verantwortliche, soweit eine Stack-Auswahl angeboten wird (AGB § 4 Abs. 10; DPA § 8 Abs. 1a); wird keine Stack-Auswahl angeboten, kommt der Verarbeitungsweg über den KI-Anbieter zum Einsatz. Bei keinem einzelnen KI-Lauf werden die Unterauftragsverarbeiter beider Wege zugleich eingesetzt. Die je Weg ausgewiesenen Garantien gelten nur für diesen Weg: Die Zusagen von Eden AI und der Modellanbieter des Registers (EU-Verarbeitung, Zero Data Retention, Non-Training) gelten nicht für den Verarbeitungsweg über Anthropic; umgekehrt entsteht der in Hinweis 8 beschriebene Drittlandtransfer zu Anthropic nicht auf dem selbst gehosteten Agenten-Stack — bei Auswahlstufen mit EU-Kennzeichnung verarbeitet die dort eingesetzte Kette (KI-Gateway und Modellanbieter) ausschließlich in der EU (siehe Register); der in Hinweis 8 beschriebene Transportweg über Cloudflare bleibt davon unberührt und besteht auf beiden Wegen. Die verwaltete Agenten-Umgebung des KI-Anbieters wird nur auf dem Verarbeitungsweg über den KI-Anbieter genutzt; auf dem selbst gehosteten Agenten-Stack laufen Ausführung und Orchestrierung in der von discontinue.dev kontrollierten Umgebung. Ein planmäßiger Report-Lauf löst auf keinem der beiden Wege eine KI-Verarbeitung aus.

Bei Fragen oder zur Anforderung weiterführender Dokumente (DPA, TIA, TOMs): [email protected]

discontinue.dev MAS GmbH · [email protected] · Stand: 2. September 2026