Diese Übersicht listet die Unterauftragsverarbeiter (Subprozessoren), die die asyoube GmbH zur Erbringung der asyoube-Plattform einsetzt oder für den Einsatz zugelassen hat. Zugelassene, noch nicht eingesetzte Anbieter erhalten keine Daten, bis sie in Betrieb genommen werden. Die Liste kann ergänzt oder verringert werden; über Änderungen informieren wir unsere Auftraggeber gemäß dem Auftragsverarbeitungsvertrag (AVV).
Mit den Dienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Einträge mit dem Hinweis „Eintrag in Prüfung“ sind davon ausgenommen, bis sie bestätigt sind: Vertragspartei, Vertragsgrundlage, Verarbeitungsregion oder Garantien für eine Übermittlung in ein Drittland stehen dort noch aus (AVV Anlage 3 Absatz 6).
RootITUp GmbH
- Anschrift / Land
- Ratiborer Str. 16, 44795 Bochum, Deutschland
- Gegenstand der Leistung
- Bereitstellung und Betrieb des E-Mail-Systems (Microsoft 365), über das die Plattform ihre E-Mails versendet und über das asyoube unter hello@asyoube.de erreichbar ist; Betrieb des zentralen Protokoll- und Überwachungssystems (Logging und Monitoring), an das die Server der Plattform ihre technischen Protokolle, Kennzahlen und Ablaufverfolgungen übertragen
- Verarbeitete Daten
- E-Mail-Adresse und Name der Empfängerinnen und Empfänger sowie Inhalt der E-Mails der Plattform (z. B. Benachrichtigungen, Wochenüberblicke, Bestätigungen und Rechnungen) und der an hello@asyoube.de gerichteten E-Mails; technische Protokolle, Kennzahlen und Ablaufverfolgungen mit pseudonymen Nutzerkennungen, IP-Adressen und Fehlertexten, die 90 Tage gespeichert werden
- Garantien
- Verarbeitung in Deutschland; setzt für das E-Mail-System die Microsoft Ireland Operations Ltd und für das Überwachungssystem die Hetzner Online GmbH und die IONOS SE als weitere Unterauftragsverarbeiter ein (siehe dort)
- Vertragsgrundlage
- Auftragsverarbeitungsvertrag vom 06.11.2026
Microsoft Ireland Operations Ltd
- Anschrift / Land
- One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
- Gegenstand der Leistung
- Versand der E-Mails der Plattform und Empfang der an hello@asyoube.de gerichteten E-Mails über Microsoft Exchange Online, eingesetzt über die RootITUp GmbH
- Verarbeitete Daten
- E-Mail-Adresse und Name der Empfängerinnen und Empfänger sowie Inhalt der E-Mails der Plattform (z. B. Benachrichtigungen, Wochenüberblicke, Bestätigungen und Rechnungen) und der an hello@asyoube.de gerichteten E-Mails
- Garantien
- Zugesicherter Speicherort der Postfachdaten: Deutschland; E-Mail-Filterung (Exchange Online Protection) zugesichert in der EU/EFTA; EU-Standardvertragsklauseln als Bestandteil des Microsoft-DPA; ISO/IEC 27001 zertifiziert
- Vertragsgrundlage
- Microsoft Products and Services Data Protection Addendum (DPA), Bestandteil des Microsoft-365-Vertrags der RootITUp GmbH
Hetzner Online GmbH
- Anschrift / Land
- Industriestr. 25, 91710 Gunzenhausen, Deutschland
- Gegenstand der Leistung
- Hosting und Betrieb der Server, auf denen die Web-App und die Backend-API laufen; außerdem Bereitstellung von Servern, auf denen die RootITUp GmbH das zentrale Protokoll- und Überwachungssystem betreibt (insoweit eingesetzt über die RootITUp GmbH)
- Verarbeitete Daten
- Sämtliche über die API verarbeiteten Anwendungsdaten der Plattform (bei der Verarbeitung auf dem Server; dauerhaft gespeichert werden sie in der Datenbank des Datenbank-Dienstleisters); technische Protokolle, Kennzahlen und Ablaufverfolgungen mit pseudonymen Nutzerkennungen, IP-Adressen und Fehlertexten
- Garantien
- Verarbeitung in Rechenzentren in Deutschland
- Vertragsgrundlage
- Auftragsverarbeitungsvertrag nach den Bedingungen der Hetzner Online GmbH (Hetzner AVV), für die Server der Plattform mit der asyoube GmbH, für das Überwachungssystem mit der RootITUp GmbH
IONOS SE
- Anschrift / Land
- Elgendorfer Str. 57, 56410 Montabaur, Deutschland
- Gegenstand der Leistung
- Bereitstellung von Servern, auf denen die RootITUp GmbH das zentrale Protokoll- und Überwachungssystem der Plattform betreibt (eingesetzt über die RootITUp GmbH)
- Verarbeitete Daten
- Technische Protokolle, Kennzahlen und Ablaufverfolgungen der Plattform mit pseudonymen Nutzerkennungen, IP-Adressen und Fehlertexten
- Garantien
- Verarbeitung in Rechenzentren in Deutschland
- Vertragsgrundlage
- Auftragsverarbeitungsvertrag zwischen der RootITUp GmbH und der IONOS SE
Supabase Pte. Ltd.
- Anschrift / Land
- 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, Singapur
- Gegenstand der Leistung
- Datenbank und Datenspeicherung (Anwendungsdaten)
- Verarbeitete Daten
- Anwendungs- und Nutzungsdaten der Plattform
- Garantien
- Projekt-Hosting in der EU (AWS eu-central-1, Frankfurt am Main); EU-Standardvertragsklauseln (Module 2/3) als Bestandteil des DPA
- Vertragsgrundlage
- Data Processing Addendum (Version 1 vom 01.08.2026), supabase.com/legal/customer-resources/data-processing-addendum
Kinde Australia Pty Ltd
- Anschrift / Land
- Sydney NSW 2000, Australien; EU-Vertreter nach Art. 27 DSGVO: EDPO, 71 Lower Baggot Street, Dublin, Irland
- Gegenstand der Leistung
- Authentifizierung sowie Registrierung und Verwaltung des Nutzerkontos (Login); Versand der Einladungs-E-Mails an von Betrieben eingeladene Personen; Verwaltung der Betriebe als Organisationen mit Rollen; Anbindung der Anmeldung über den Identitätsdienst eines Betriebs (Single Sign-on), soweit der Betrieb sie einrichtet
- Verarbeitete Daten
- Konto- und Anmeldedaten (z. B. Name, E-Mail-Adresse, Authentifizierungsdaten), Zugehörigkeit zu einem Betrieb und Rolle; bei Single Sign-on bestätigte E-Mail-Domains und Verbindungsdaten zum Identitätsdienst des Betriebs
- Garantien
- Datenregion EU: Dublin, Irland (AWS eu-west-1), ohne regionsübergreifende Replikation; EU-Standardvertragsklauseln
- Vertragsgrundlage
- Auftragsverarbeitungsvertrag (über trust.kinde.com)
RevenueCat, Inc.
- Anschrift / Land
- 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA
- Gegenstand der Leistung
- Verwaltung und Prüfung von Abonnements und In-App-Käufen (Premium) und der Berechtigungen aller angemeldeten Nutzerinnen und Nutzer; nicht die Modulbuchung eines Ausbildungsbetriebs
- Verarbeitete Daten
- Abonnement- und Kaufstatus, pseudonyme Nutzer-/Gerätekennungen; die Kennung des Nutzerkontos wird für jede angemeldete Person übermittelt, auch ohne Kauf
- Garantien
- EU-Standardvertragsklauseln (2021/914, Modul 2); Verarbeitung in den USA (AWS)
- Vertragsgrundlage
- Data Processing Agreement (Stand Juni 2026), revenuecat.com/dpa
Google Cloud EMEA Limited (Gemini API)
- Anschrift / Land
- 70 Sir John Rogerson's Quay, Dublin 2, Irland
- Gegenstand der Leistung
- KI-gestütztes Feedback zu Übungs- und Prüfungsantworten, Erzeugung von Übungsaufgaben aus Lehrplaninhalten, Strukturierung von Berichtsheft-Einträgen in Tätigkeiten und Entfernen von Namen und ähnlichen Angaben aus Berichtsheft-Einträgen vor deren Übernahme in eine interne statistische Auswertung (generative KI)
- Verarbeitete Daten
- An die KI übermittelte Übungsantworten mit den Kompetenzwerten der lernenden Person je Lernziel, für die Aufgabenerzeugung Lehrplaninhalte mit den Kompetenzwerten der anfragenden Person je Lernziel (ohne Antworten), Prüfungsantworten sowie Berichtsheft-Texte (Inhaltsdaten; Namen, E-Mail-Adressen oder Nutzerkennungen werden nicht als eigene Angaben übermittelt, in den Texten enthaltene Angaben unverändert)
- Garantien
- Aufruf über einen globalen Endpunkt ohne Festlegung auf die EU, eine Verarbeitung auch in den USA ist möglich: EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) als Bestandteil des Google-Auftragsverarbeitungsvertrags sowie zusätzlich das EU-U.S. Data Privacy Framework (zertifiziert: Google LLC)
- Vertragsgrundlage
- Google Data Processing Addendum (Version 10 vom 07.05.2026), einbezogen über die Gemini API Additional Terms (Paid Services)
Anthropic Ireland, Limited (Claude API)
- Anschrift / Land
- 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland
- Gegenstand der Leistung
- Vorgesehen für KI-gestütztes Feedback zu Übungs- und Prüfungsantworten, Erzeugung von Übungsaufgaben aus Lehrplaninhalten, Strukturierung von Berichtsheft-Einträgen in Tätigkeiten und Entfernen von Namen und ähnlichen Angaben aus Berichtsheft-Einträgen vor deren Übernahme in eine interne statistische Auswertung (generative KI); noch nicht im Einsatz: Daten werden erst übermittelt, wenn asyoube den Anbieter für einen dieser Zwecke aktiviert
- Verarbeitete Daten
- Für den jeweils aktivierten Zweck dieselben Daten wie beim Anbieter der Gemini API: Übungsantworten mit den Kompetenzwerten der lernenden Person je Lernziel, für die Aufgabenerzeugung Lehrplaninhalte mit den Kompetenzwerten der anfragenden Person je Lernziel (ohne Antworten), Prüfungsantworten sowie Berichtsheft-Texte (Inhaltsdaten; Namen, E-Mail-Adressen oder Nutzerkennungen werden nicht als eigene Angaben übermittelt, in den Texten enthaltene Angaben unverändert)
- Garantien
- Der Anbieter legt den Verarbeitungsort nicht fest, eine Verarbeitung auch in den USA ist möglich: EU-Standardvertragsklauseln (Module 2 und 3, anwendbares Recht Irland) als Bestandteil des DPA; keine Nutzung der übermittelten Inhalte zum Training von Modellen (Commercial Terms, Abschnitt B)
- Vertragsgrundlage
- Anthropic Data Processing Addendum (vom 24.02.2025), einbezogen über die Commercial Terms of Service (vom 17.06.2025); Zugang über die Anthropic API; wird vor dem ersten Einsatz abgeschlossen
Schwarz Digits Cloud GmbH & Co. KG (STACKIT AI Model Serving)
- Anschrift / Land
- Am Campus 1, 74177 Bad Friedrichshall, Deutschland
- Gegenstand der Leistung
- Vorgesehen für KI-gestütztes Feedback zu Übungs- und Prüfungsantworten, Erzeugung von Übungsaufgaben aus Lehrplaninhalten, Strukturierung von Berichtsheft-Einträgen in Tätigkeiten und Entfernen von Namen und ähnlichen Angaben aus Berichtsheft-Einträgen vor deren Übernahme in eine interne statistische Auswertung (generative KI mit offenen Sprachmodellen); noch nicht im Einsatz: Daten werden erst übermittelt, wenn asyoube den Anbieter für einen dieser Zwecke aktiviert
- Verarbeitete Daten
- Für den jeweils aktivierten Zweck dieselben Daten wie beim Anbieter der Gemini API: Übungsantworten mit den Kompetenzwerten der lernenden Person je Lernziel, für die Aufgabenerzeugung Lehrplaninhalte mit den Kompetenzwerten der anfragenden Person je Lernziel (ohne Antworten), Prüfungsantworten sowie Berichtsheft-Texte (Inhaltsdaten; Namen, E-Mail-Adressen oder Nutzerkennungen werden nicht als eigene Angaben übermittelt, in den Texten enthaltene Angaben unverändert)
- Garantien
- Verarbeitung in der EU (Ziffer 2.5 des STACKIT-Auftragsverarbeitungsvertrags), Region eu01 in Rechenzentren in Deutschland; kein Drittlandtransfer; keine Speicherung der Anfrageinhalte und keine Nutzung zum Training von Modellen
- Vertragsgrundlage
- Auftragsverarbeitungsvertrag STACKIT Cloud Services (Version 2.4.3), Bestandteil des Vertrags über STACKIT Cloud Services; wird vor dem ersten Einsatz abgeschlossen
Scaleway SAS (Generative APIs)
- Anschrift / Land
- 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich
- Gegenstand der Leistung
- Vorgesehen für KI-gestütztes Feedback zu Übungs- und Prüfungsantworten, Erzeugung von Übungsaufgaben aus Lehrplaninhalten, Strukturierung von Berichtsheft-Einträgen in Tätigkeiten und Entfernen von Namen und ähnlichen Angaben aus Berichtsheft-Einträgen vor deren Übernahme in eine interne statistische Auswertung (generative KI mit offenen Sprachmodellen); noch nicht im Einsatz: Daten werden erst übermittelt, wenn asyoube den Anbieter für einen dieser Zwecke aktiviert
- Verarbeitete Daten
- Für den jeweils aktivierten Zweck dieselben Daten wie beim Anbieter der Gemini API: Übungsantworten mit den Kompetenzwerten der lernenden Person je Lernziel, für die Aufgabenerzeugung Lehrplaninhalte mit den Kompetenzwerten der anfragenden Person je Lernziel (ohne Antworten), Prüfungsantworten sowie Berichtsheft-Texte (Inhaltsdaten; Namen, E-Mail-Adressen oder Nutzerkennungen werden nicht als eigene Angaben übermittelt, in den Texten enthaltene Angaben unverändert)
- Garantien
- Verarbeitung in einem Rechenzentrum in Paris (Frankreich); kein Drittlandtransfer; keine Nutzung zum Training von Modellen; Anfrageinhalte werden nach der Verarbeitung nicht gespeichert, außer vorübergehend für höchstens zwei Wochen, um Fehler oder Missbrauch aufzuklären
- Vertragsgrundlage
- Data Processing Agreement der Scaleway SAS als Bestandteil ihrer Vertragsbedingungen, ergänzt um die besonderen Bedingungen für KI-Dienste; wird vor dem ersten Einsatz abgeschlossen
Diese Liste ist Anlage 3 des Auftragsverarbeitungsvertrags (AVV). Fragen zur Auftragsverarbeitung? Schreib uns an hello@asyoube.de.