Subprocessor-Liste (Sub-Auftragsverarbeiter)

Produkt: OSOS / Omega

Anbieter: Osos AI GmbH, Cosimastraße 121, 81925 München, Germany

Stand: 12.06.2026

Verhältnis zu anderen Dokumenten: Diese Liste ist Anlage 2 zum Auftragsverarbeitungsvertrag (AVV) (Art. 28 Abs. 2, 4 DSGVO). Der Stand zum Zeitpunkt des Vertragsschlusses ist als Snapshot Bestandteil des jeweiligen AVV. Notifikations- und Widerspruchsrechte ergeben sich aus Ziffer 5 des AVV.

> Hinweis: Wir benennen jeden Sub-Auftragsverarbeiter mit Sitz, Zweck, Datenkategorien, Verarbeitungsregion und – bei Drittlandbezug – dem Transfer-Mechanismus nach Art. 46 DSGVO.

1. Aktive Sub-Auftragsverarbeiter

Sub-Auftragsverarbeiter	Sitz	Zweck	Datenkategorien	Verarbeitungsregion	Drittland-Transfer-Mechanismus
Supabase Inc.	USA (Infrastruktur auf AWS, EU)	Datenbank, Authentifizierung, Datei-Speicher	Account-/Profildaten, Projektinhalte, Chat-Verläufe, Datei-Uploads	EU (AWS `eu-central-1`, Frankfurt am Main)	Verarbeitung in der EU; für etwaige Support-Zugriffe der US-Muttergesellschaft: EU-Standardvertragsklauseln (SCC)
Hetzner Online GmbH	Deutschland	Hosting der Anwendung (Compute, Container)	Sämtliche von der Anwendung verarbeiteten Daten (in transit / in compute)	EU (Deutschland)	Keine Drittlandübermittlung
Mistral AI SAS	Frankreich (EU)	KI-Inferenz (Standard-Modell-Provider)	An die KI übermittelte Eingaben (Projektinhalte, Anforderungen, Chat-Eingaben)	EU (Frankreich)	Keine Drittlandübermittlung
OpenAI, L.L.C.	USA	KI-Inferenz – nur bei kundenseitig aktivierter OpenAI-Konfiguration (opt-in; Standard ist Mistral/EU)	An die KI übermittelte Eingaben (Projektinhalte, Anforderungen, Chat-Eingaben)	USA	EU-Standardvertragsklauseln (Art. 46 DSGVO); EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist
Stripe Payments Europe Ltd.	Irland (EU)	Zahlungsabwicklung (Subscription, Boost-Käufe)	Name, E-Mail, Stripe-Customer-ID, Zahlungsmittel-Token (kein Klartext beim Anbieter)	EU (Irland)	Verarbeitung in der EU; bei Übermittlung an Stripe, Inc. (USA): SCC / EU-US Data Privacy Framework. Stripe ist PCI-DSS-Level-1-zertifiziert
Upstash Inc.	USA (Infrastruktur in der EU)	Schnelle Zähler und Sitzungs-Caches (Rate-Limiting, Redis-basiert)	Technische Zähler mit User-/IP-Bezug	EU	Verarbeitung in der EU; für die US-Muttergesellschaft: EU-Standardvertragsklauseln (SCC)
Resend, Inc.	USA	Versand transaktionaler System-E-Mails (Willkommen, Benachrichtigungen, Kündigungen)	E-Mail-Adresse und Inhalt der System-E-Mail	USA	EU-Standardvertragsklauseln (Art. 46 DSGVO); EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist

2. KI-Subdienstleister: Verarbeitungsregeln

Für alle KI-Subdienstleister gilt ergänzend die AI Data Policy:

Standard-Modell-Provider ist Mistral (EU) – die Verarbeitung erfolgt ohne Drittlandbezug.
OpenAI (USA) wird nur verarbeitet, wenn der Kunde die OpenAI-Konfiguration aktiv wählt (opt-in). Ohne diese Wahl werden keine Daten an OpenAI übermittelt. Eine EU-only-Beschränkung der KI-Inferenz ist im Order Form vereinbar.
Kein Training auf Kundendaten: Weder Mistral noch OpenAI nutzen die übermittelten Inhalte zum Training eigener Modelle; der Zugriff erfolgt ausschließlich über die jeweilige API. Dies ist vertraglich zugesichert (AI Data Policy, Ziffer 3.1).

3. Infrastruktur ohne Verarbeitung personenbezogener Kundendaten

Die folgenden Dienstleister sind Teil unserer Entwicklungs- und Betriebs-Infrastruktur, verarbeiten jedoch keine personenbezogenen Kundendaten und sind daher keine Sub-Auftragsverarbeiter im Sinne des Art. 28 DSGVO:

GitHub, Inc. (USA, Microsoft) – Quellcode-Verwaltung und CI/CD-Pipeline. Es werden ausschließlich Quellcode und Build-Artefakte verarbeitet, keine Kundendaten.

4. Aktualität und Änderungen

Diese Liste wird aktuell gehalten. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Sub-Auftragsverarbeiters informiert der Anbieter mit einer Vorlauffrist von mindestens 30 Tagen; das Widerspruchsrecht ergibt sich aus Ziffer 5.2 des AVV. Die jeweils aktuelle Fassung ist über das Trust Center abrufbar.

Kontakt für Datenschutzfragen: info@ososomega.com