Qualu - Unterauftragsverarbeiter
Version 1.1 - Stand 28.10.2026
Änderungen gegenüber Version 1.0 (14.09.2026): Zwecke von OpenAI und Microsoft präzisiert (KI-gestützte Analyse auf Grundlage berechtigter Interessen des Auftraggebers, Auslegung von Antworten auf Rückfragen, E-Mails an anfragende Personen im Auftrag des Kunden). Keine neuen Anbieter.
Diese Liste gehört als Anlage 2 zum Qualu-Vertrag über die Auftragsverarbeitung (AVV). Sie nennt die für die Auftragsverarbeitung eingesetzten Anbieter. Änderungen erfolgen nach dem im AVV geregelten Verfahren; betroffene Kunden werden grundsätzlich vor dem Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters informiert.
| Anbieter | Dienst | Zweck der Verarbeitung | Primärer Standort / Hinweis | Vertrags-/Transfergrundlage |
|---|---|---|---|---|
| Supabase | Managed PostgreSQL, Auth und Object Storage | Speicherung und Verarbeitung von Workspace-, Lead-, Intake-, Listing-, Nutzer-, Audit- und Bilddaten | Qualu-Primärregion: West EU (Irland); weitere Verarbeitung nach Anbieter-DPA und Subprocessor-Liste | Supabase DPA; anwendbare SCCs bzw. sonstige zulässige Mechanismen |
| Vercel | Pro Plan - Application Hosting, Server Runtime und Deployment | Bereitstellung der Qualu-Anwendung und serverseitige Verarbeitung von Requests | Verarbeitung nach Vercel DPA und aktueller Subprocessor-Liste | Vercel DPA für Pro; anwendbare SCCs bzw. sonstige zulässige Mechanismen |
| OpenAI | API | KI-Interview (nur nach Einwilligung der anfragenden Person) sowie KI-gestützte Extraktion, Qualifizierungsunterstützung, Zusammenfassung, Empfehlungen und Auslegung von Antworten auf Rückfragen (berechtigte Interessen des Auftraggebers, Widerspruch möglich; ausgenommene Anfragen nach AVV Ziffer 3.8) | Für EEA-Kunden Vertragspartner OpenAI Ireland Ltd.; weitere Verarbeitung nach OpenAI DPA | OpenAI DPA; anwendbare Angemessenheitsbeschlüsse und/oder SCCs. API-Daten werden standardmäßig nicht zum Training verwendet. |
| Microsoft | Microsoft 365 / Exchange Online / Microsoft Graph | Transaktionaler E-Mail-Versand, einschließlich E-Mails an anfragende Personen im Namen und auf Weisung des Auftraggebers (Bestätigungen und Rückfragen zur Anfrage, keine Werbung), sowie Mailboxverarbeitung | Nach Microsoft 365 Tenant- und Servicekonfiguration | Microsoft Products and Services DPA; anwendbare Transfermechanismen nach DPA |
| Upstash | Redis | Rate Limiting und kurzlebige Sicherheits-/Abuse-Counter | Konfigurierte Redis-Region; weitere Verarbeitung nach Anbieter-DPA | Upstash DPA; anwendbare Transfermechanismen nach DPA |
| Cloudflare | Turnstile | Bot- und Missbrauchsschutz sowie serverseitige Tokenprüfung | Globaler Dienst; Verarbeitung nach Cloudflare DPA | Cloudflare DPA; anwendbare DPF-/SCC-Mechanismen |
Hinweise
- Stripe verarbeitet die Abrechnung des Qualu-Kundenvertrags und ist nicht als Unterauftragsverarbeiter für die regulären Lead-/Intake-Daten in dieser Liste geführt.
- Google Analytics ist eine gesonderte, einwilligungsabhängige Website-/Produktanalyse und nicht Bestandteil der regulären Auftragsverarbeitung von Lead-Daten.
- Die jeweils anwendbaren Anbieter-DPAs und Subprocessor-Listen werden von den jeweiligen Anbietern gepflegt.
Kontakt für Datenschutz- und Unterauftragsverarbeiterfragen: contact@qualu.ai