Qualu - Unterauftragsverarbeiter
Version 1.0 - Stand 14.09.2026
Diese Liste gehört als Anlage 2 zum Qualu-Vertrag über die Auftragsverarbeitung (AVV). Sie nennt die für die Auftragsverarbeitung eingesetzten Anbieter. Änderungen erfolgen nach dem im AVV geregelten Verfahren; betroffene Kunden werden grundsätzlich vor dem Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters informiert.
| Anbieter | Dienst | Zweck der Verarbeitung | Primärer Standort / Hinweis | Vertrags-/Transfergrundlage |
|---|---|---|---|---|
| Supabase | Managed PostgreSQL, Auth und Object Storage | Speicherung und Verarbeitung von Workspace-, Lead-, Intake-, Listing-, Nutzer-, Audit- und Bilddaten | Qualu-Primärregion: West EU (Irland); weitere Verarbeitung nach Anbieter-DPA und Subprocessor-Liste | Supabase DPA; anwendbare SCCs bzw. sonstige zulässige Mechanismen |
| Vercel | Pro Plan - Application Hosting, Server Runtime und Deployment | Bereitstellung der Qualu-Anwendung und serverseitige Verarbeitung von Requests | Verarbeitung nach Vercel DPA und aktueller Subprocessor-Liste | Vercel DPA für Pro; anwendbare SCCs bzw. sonstige zulässige Mechanismen |
| OpenAI | API | Optionale KI-gestützte Interview-, Extraktions-, Qualifizierungs-, Zusammenfassungs- und Empfehlungsschritte | Für EEA-Kunden Vertragspartner OpenAI Ireland Ltd.; weitere Verarbeitung nach OpenAI DPA | OpenAI DPA; anwendbare Angemessenheitsbeschlüsse und/oder SCCs. API-Daten werden standardmäßig nicht zum Training verwendet. |
| Microsoft | Microsoft 365 / Exchange Online / Microsoft Graph | Transaktionaler E-Mail-Versand und Mailboxverarbeitung | Nach Microsoft 365 Tenant- und Servicekonfiguration | Microsoft Products and Services DPA; anwendbare Transfermechanismen nach DPA |
| Upstash | Redis | Rate Limiting und kurzlebige Sicherheits-/Abuse-Counter | Konfigurierte Redis-Region; weitere Verarbeitung nach Anbieter-DPA | Upstash DPA; anwendbare Transfermechanismen nach DPA |
| Cloudflare | Turnstile | Bot- und Missbrauchsschutz sowie serverseitige Tokenprüfung | Globaler Dienst; Verarbeitung nach Cloudflare DPA | Cloudflare DPA; anwendbare DPF-/SCC-Mechanismen |
Hinweise
- Stripe verarbeitet die Abrechnung des Qualu-Kundenvertrags und ist nicht als Unterauftragsverarbeiter für die regulären Lead-/Intake-Daten in dieser Liste geführt.
- Google Analytics ist eine gesonderte, einwilligungsabhängige Website-/Produktanalyse und nicht Bestandteil der regulären Auftragsverarbeitung von Lead-Daten.
- Die jeweils anwendbaren Anbieter-DPAs und Subprocessor-Listen werden von den jeweiligen Anbietern gepflegt.
Kontakt für Datenschutz- und Unterauftragsverarbeiterfragen: contact@qualu.ai