Unterauftragnehmer
Anlage zum Auftragsverarbeitungsvertrag: Liste der Unterauftragnehmer der Anbieterin und Dienste Dritter mit Zugangsdaten des Kunden
Stand: 27. Oktober 2026
Diese Anlage ist Bestandteil des Auftragsverarbeitungsvertrags zwischen dem Kunden und der Dr. Krey eG (nachfolgend „die Anbieterin“). Sie führt in Abschnitt 1 die Plattformdienstleister auf, die die Anbieterin als Unterauftragnehmer im Sinne des Art. 28 Abs. 2 und 4 DSGVO für den Betrieb der Plattform Leadmode einsetzt und die der Kunde mit der allgemeinen Genehmigung nach Ziffer 7.1 des Auftragsverarbeitungsvertrags genehmigt. Abschnitt 2 benennt Dienstleister und Empfänger, die keine Unterauftragnehmer für Kundendaten sind. Abschnitt 3 führt zur Information Dienste Dritter auf, die der Kunde mit eigenem Vertrag und eigenen Zugangsdaten anbindet und die nicht Unterauftragnehmer der Anbieterin sind.
Welche der aufgeführten Plattformdienstleister im Einzelfall tätig werden, hängt von den Funktionen ab, die der Kunde nutzt. Die Spalte „Datenkategorien“ nennt die Daten, die dem jeweiligen Dienstleister bei Nutzung der betreffenden Funktion zugänglich werden.
1 Plattformdienstleister (Unterauftragnehmer der Anbieterin)
| Name | Sitz / Region der Verarbeitung | Leistung | Datenkategorien | Garantien |
|---|---|---|---|---|
| Hetzner Online GmbH (Hetzner) | Sitz: Gunzenhausen, Deutschland. Hosting in den Rechenzentren des Anbieters in Falkenstein (Deutschland). Die Server sind von der Anbieterin selbst gebucht; ein Auftragsverarbeitungsvertrag besteht. | Hosting der Plattform: Server für Anwendung, Datenbanken, Objektspeicher, Identitätsdienst und Reverse Proxy. | Alle Kundendaten, die in der Plattform gespeichert werden. Inhalte liegen anwendungsseitig verschlüsselt vor. | Vertragliche Bindung nach Art. 28 DSGVO. AES-256-GCM-Verschlüsselung der Inhalte durch die Anbieterin vor der Speicherung; TLS-gesicherte Verbindungen; Zugriffsbeschränkungen auf die Server nach der Anlage „Technische und organisatorische Maßnahmen“. |
| Hetzner Online GmbH (Hetzner), Storage Box | Sitz: Gunzenhausen, Deutschland. Verarbeitung auf dem Sicherungsspeicher des Anbieters. | Externer Speicher für Datensicherungen (Backups). | Verschlüsselte Sicherungen aller Datenbanken, des Objektspeichers, der Konfiguration und der Schlüssel; die Sicherungen können bis zu zwölf Monate aufbewahrt werden. | Vertragliche Bindung nach Art. 28 DSGVO. Die Sicherungen werden vor der Übertragung durch die Anbieterin verschlüsselt (Restic, Rclone Crypt); der Anbieter hat keinen Zugriff auf die Schlüssel. |
| Hetzner Online GmbH (Hetzner), Server für den Abruf von Firmenwebsites (Crawl-Worker) | Sitz: Gunzenhausen, Deutschland. Eigener Cloud-Server der Anbieterin in einem Rechenzentrum des Anbieters in Deutschland; derselbe Auftragsverarbeitungsvertrag wie für das Hosting. | Lead-Beschaffung über Leadmode (Anlage G Ziffer 5.7 der Allgemeinen Geschäftsbedingungen): Abruf der Impressumsseite zur Bestimmung der Rechtsform und Abruf von höchstens 15 Seiten je Firmenwebsite, Umwandlung in Text und Übergabe an das Sprachmodell nach der Zeile Scaleway; Rückgabe des geprüften Ergebnisses an die Plattform. | Domain und Auftragsart je Firma; während der Verarbeitung der Text der abgerufenen Seiten einschließlich der dort genannten Namen, Rollen und dienstlichen Kontaktdaten von Ansprechpartnern sowie die Modellausgabe. Der Server kennt weder Organisation noch Lead; er hält keine Mandantenschlüssel und speichert nichts über die Anfrage hinaus. | Vertragliche Bindung nach Art. 28 DSGVO. Verschlüsselte, authentifizierte Verbindung zur Plattform; die Ergebnisse werden erst in der Plattform im Kontext der Organisation verschlüsselt und abgelegt. Keine Speicherung von Seitentexten, kein Zwischenspeicher über Organisationen hinweg. |
| Scaleway S.A.S. (Scaleway), Generative APIs | Sitz: 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich (R.C.S. Paris 433 115 904). Verarbeitung in der Europäischen Union (Region Paris). Vertragsnehmerin bei Scaleway ist die Anbieterin. | Sprachmodell (DeepSeek V4.1 Flash) für die Aufbereitung von Firmenwebsites in der Lead-Beschaffung über Leadmode: Auswertung des Seitentexts zu strukturierten Firmen- und Personenfeldern mit Quellenangabe. Nur für diese Funktion; die übrigen KI-Funktionen der Plattform laufen nicht über Scaleway. | Text der abgerufenen Firmenwebseiten (Team-, Über-uns-, Presse-, Leistungs-, Kontakt- und Impressumsseiten), darin Namen, Rollen und dienstliche Kontaktdaten von Ansprechpartnern; die Modellausgabe (strukturierte Firmen- und Personenfelder mit Adresse der Quellseite). | Vertragliche Bindung nach Art. 28 DSGVO (Data Processing Agreement von Scaleway, Fassung vom 1. Juni 2024). Verarbeitung in der Europäischen Union; Unterauftragnehmer von Scaleway sind auf dessen Website veröffentlicht und werden mit 30 Tagen Vorankündigung geändert; bei Sitz in einem Drittland Standardvertragsklauseln. Nach den Besonderen Bedingungen von Scaleway für KI-Dienste (Fassung vom 21. September 2026) speichert Scaleway Anfragen und erzeugte Inhalte nach der Verarbeitung nicht, nutzt sie nicht zum Training und macht sie weder Modellanbietern noch Dritten zugänglich; Ausnahme: Bei erkannter missbräuchlicher Aktivität kann der Inhalt einer Anfrage vorübergehend zur Ursachenanalyse behalten werden. Im Stapelmodus hält Scaleway die Eingaben höchstens 24 Stunden. |
| Google Cloud (Vertex AI, Modelle der Gemini-Familie) | Verarbeitung über den Endpunkt der Region Europäische Union. Der Anbieter gehört zu einem Konzern mit Sitz in den USA; ein Zugriff aus einem Drittland ist deshalb nicht ausgeschlossen. Vertragsnehmerin bei Google ist die Anbieterin (Dr. Krey eG). | Sprachmodell für KI-Funktionen: Assistent, Textüberarbeitung, Gesprächs- und Mailanalyse, Berichtstexte, Terminerkennung, Belegerkennung, Funnel- und Ablaufentwürfe sowie Auswertung von Support-Nachrichten, jeweils soweit der Kunde die Funktion nutzt. | Inhalte der genutzten Funktion: Transkripte von Gesprächen, Mailtexte, Kontaktkontext (zum Beispiel Firma, Phase, eigene Felder ohne E-Mail-Adresse und Telefonnummer), Belege (PDF und Bild), vom Nutzer eingegebene Texte, Support-Nachrichten. | Vertragliche Bindung nach Art. 28 DSGVO. Verarbeitung im EU-Endpunkt; Zugriff über Workload Identity ohne Schlüssel. Google weist für die Google Cloud ein Testat nach dem Kriterienkatalog C5 des Bundesamts für Sicherheit in der Informationstechnik aus. Soweit eine Übermittlung in ein Drittland erfolgt, nur auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder von Standardvertragsklauseln. Keine Verwendung der Daten zum Training von Modellen. KI-Anfragen werden je nach Auslastung zusätzlich über das eigene Sprachmodell der Anbieterin nach Ziffer 1.3 verarbeitet. |
| AssemblyAI, Inc. | Sitz: USA. Verarbeitung über den Endpunkt der Europäischen Union (api.eu.assemblyai.com). | Transkription von Gesprächsaufnahmen und Diktaten (Spracheingabe) in Text, je nach Betriebszustand als Hauptweg oder als Rückfall, wenn das eigene Transkriptionsmodell der Anbieterin nach Ziffer 1.3 ausfällt oder ausgelastet ist. | Audio beider Gesprächsseiten (Mitarbeiter und Gesprächspartner einschließlich Stimme) und Diktate des Nutzers; Transkripte. | Vertragliche Bindung nach Art. 28 DSGVO. Verarbeitung im EU-Endpunkt; der Auftrag wird nach dem Abruf des Ergebnisses beim Anbieter gelöscht. Soweit eine Übermittlung in ein Drittland erfolgt, nur auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder von Standardvertragsklauseln. Keine Verwendung der Daten zum Training von Modellen. |
| trainity GmbH (Betrieb der eigenen KI-Rechner) | Sitz: Deutschland. Verarbeitung auf Rechnern der trainity GmbH in Elleben (Thüringen, Deutschland). | Betrieb dedizierter Rechner (Hardware, Räume, Netzanbindung), auf denen das eigene Sprachmodell und das eigene Transkriptionsmodell einschließlich Sprechertrennung nach Ziffer 1.3 laufen. Es handelt sich nicht um einen Cloud-Dienst und nicht um skalierbare Ressourcen: Die Rechner sind fest installiert, ihre Kapazität ist begrenzt, und bei höherer Last werden keine weiteren Ressourcen zugeschaltet. | Je nach Betriebszustand die Inhalte der genutzten KI-Funktion nach der Zeile Google Cloud sowie Audio beider Gesprächsseiten und Diktate des Nutzers; Transkripte. Die Daten werden bei der trainity GmbH nicht gespeichert, sondern nur für die Dauer der jeweiligen Anfrage zu deren Verarbeitung genutzt. | Vertragliche Bindung nach Art. 28 DSGVO. Die Rechner stehen in geschützten Bereichen und sind nur über verschlüsselte, authentifizierte Verbindungen (WireGuard, Schlüssel) an die Plattform angebunden. Keine Speicherung der Daten über die Anfrage hinaus. Keine Verwendung der Daten zum Training von Modellen. |
| IONOS SE (SMTP-Dienst der Plattform) | Sitz: Montabaur, Deutschland. Ein Auftragsverarbeitungsvertrag besteht. | Versand von Systemnachrichten und Einladungen der Plattform: Einladungen, Registrierungs- und Bestätigungscodes, Systemhinweise. Operative Mails des Kunden (Termine, Nachfassen, Kampagnen) laufen nie über diesen Dienst, sondern ausschließlich über das Postfach des Mitarbeiters. | E-Mail-Adresse der Empfänger und Nachrichteninhalt (zum Beispiel Einladungstext, Code), gegebenenfalls Name des Empfängers. | Vertragliche Bindung nach Art. 28 DSGVO. Verschlüsselte Übertragung (STARTTLS oder TLS) zum Dienst. Verarbeitung in Deutschland. |
| Apple (Apple Push Notification Service, APNs), Google (Firebase Cloud Messaging, FCM, und der Web-Push-Dienst von Chrome), Microsoft (Web-Push-Dienst von Edge) und Mozilla (Web-Push-Dienst von Firefox) | Verarbeitung durch die Anbieter der Push-Dienste; die Konzerne haben ihren Sitz in den USA, eine Verarbeitung in Drittländern ist deshalb nicht ausgeschlossen. | Zustellung von System-Benachrichtigungen an die nativen Apps der Plattform und an Browser, soweit der Nutzer System-Benachrichtigungen aktiviert hat. | Gerätekennung (Token) oder Browser-Abonnement des Nutzers (Endpunkt und Schlüssel), ein neutraler Hinweistext („Aufgabe in 5 Min. fällig“, „Neue Chat-Nachricht“) und eine Zielreferenz. Namen und Inhalte werden nicht übermittelt; die Nutzlast an Browser ist Ende-zu-Ende verschlüsselt. | Vertragliche Bindung nach Art. 28 DSGVO, soweit erforderlich. Übermittlung in ein Drittland nur auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder von Standardvertragsklauseln. Datensparsame Nachricht ohne Inhalte. |
Selbst betriebene Komponenten
Der Identitätsdienst (Keycloak) für Anmeldung, Registrierung, Passkeys und Sitzungen sowie Datenbank, Objektspeicher und Reverse Proxy werden von der Anbieterin selbst betrieben. Sie laufen auf den Servern des Hosting-Anbieters nach Ziffer 1.1. Ein weiterer Unterauftragnehmer ist dafür nicht eingesetzt. Auch der Adressdienst, der Vorschläge für Anschriftsfelder in Funnels liefert (Photon mit Kartendaten von OpenStreetMap), wird von der Anbieterin selbst betrieben; Besucher verbinden sich nie unmittelbar mit ihm, und es werden keine Daten an Dritte weitergegeben. Den Server für den Abruf von Firmenwebsites (Crawl-Worker, Ziffer 1.1) betreibt die Anbieterin ebenfalls selbst auf einem eigenen Server ihres Hosting-Anbieters; er hat keinen Zugriff auf die Datenbanken, den Objektspeicher oder die Schlüssel der Organisationen und erhält von der Plattform nur Domain und Auftragsart.
Eigene Modelle der Anbieterin (Sprachmodell, Transkription, Sprechertrennung)
Zusätzlich setzt die Anbieterin ein eigenes Sprachmodell (Qwen) ein. Es läuft auf Rechnern der trainity GmbH in Elleben (Thüringen, Deutschland), die als Unterauftragnehmer nach Ziffer 1.1 für den Betrieb der Rechner eingesetzt ist. Es sind dedizierte, fest installierte Rechner und keine Cloud-Ressourcen; sie skalieren nicht mit der Last. Die Rechner befinden sich in geschützten Bereichen und sind über verschlüsselte, authentifizierte Verbindungen an die Plattform angebunden. KI-Anfragen der Plattform werden je nach Auslastung über dieses eigene Modell oder über Google Vertex AI nach Ziffer 1.1 verarbeitet. Für die Verarbeitung über das eigene Modell gelten die Pflichten des Auftragsverarbeitungsvertrags und die Anlage „Technische und organisatorische Maßnahmen“ unverändert; Kundendaten werden dabei nicht zum Training von Modellen verwendet.
Auf denselben Rechnern betreibt die Anbieterin ein eigenes Transkriptionsmodell einschließlich Sprechertrennung für Gesprächsaufnahmen und Diktate. Je nach Betriebszustand läuft die Transkription zuerst über dieses eigene Modell oder über AssemblyAI nach Ziffer 1.1; die jeweils andere Quelle übernimmt, wenn die gewählte ausfällt oder ausgelastet ist. Aufnahmen und Diktate werden nicht zum Training von Modellen verwendet.
2 Dienstleister und Empfänger ohne Auftragsverarbeitung für Kundendaten
Die folgenden Dienstleister und Empfänger erhalten keine Kundendaten im Auftrag des Kunden oder verarbeiten Daten in eigener Verantwortung. Sie sind deshalb keine Unterauftragnehmer im Sinne von Ziffer 7 des Auftragsverarbeitungsvertrags und werden zur Information aufgeführt.
| Name | Sitz / Region | Leistung | Daten | Hinweis |
|---|---|---|---|---|
| IONOS SE | Sitz: Montabaur, Deutschland | Namensauflösung (DNS) für die Domains der Plattform (zusätzlich zum SMTP-Dienst nach Ziffer 1.1) | Domaineinträge (zum Beispiel Adressen der Server, Mail-Einträge); keine Kundendaten | Für die Namensauflösung kein Zugriff auf Kundendaten. |
| Zertifizierungsstellen für TLS-Zertifikate (ACME) | Anbieter der Zertifizierungsstelle | Ausstellung von TLS-Zertifikaten für die Adressen der Plattform und für vom Kunden eingerichtete eigene Adressen (Website-Funktion) | Domainnamen | Keine Kundeninhalte; Domainnamen sind keine Daten, die der Kunde im Auftrag zur Verarbeitung überlässt. |
| Google (Anmeldung mit Google) | Google-Konzern | Optionale Anmeldung eines Nutzers mit seinem Google-Konto über den Identitätsdienst der Plattform | Google-Kennung, E-Mail-Adresse und Name des Nutzers | Google verarbeitet das Google-Konto des Nutzers in eigener Verantwortung; Anmeldung nur auf Veranlassung des Nutzers. |
| Outscraper (Datenanbieter der Lead-Beschaffung über Leadmode) | Registered Office: Dubai Internet City, Dubai, Vereinigte Arabische Emirate; es gilt das Recht des Dubai International Financial Centre | Lieferung öffentlicher Unternehmensprofile aus Google Maps (Firma, Anschrift, Telefonnummer, Website, Branche, Bewertung, Öffnungszeiten, Koordinaten) sowie, wenn der Kunde sie zubucht, Zusatzdaten je Firma (Unternehmensdaten, Prüfung der Telefonnummern, Werbeaktivität) für Aufträge „Leads holen“ (Anlage G Ziffer 5.7 der Allgemeinen Geschäftsbedingungen) | Von der Anbieterin an Outscraper: nur Suchbegriffe (Branche, Ort, Land, Filter, Anzahl); keine Kundendaten, keine Namen, keine Kennungen der Organisation. Von Outscraper an die Anbieterin: die Unternehmensprofile ohne Angaben zum Inhaber des Profils. | Outscraper erhält keine personenbezogenen Daten des Kunden und ist deshalb kein Unterauftragnehmer; für seine eigene Erhebung ist er eigener Verantwortlicher (AVV Ziffer 12.5). Die gelieferten Daten legt die Anbieterin nur im Lead-Stamm der Organisation ab, die den Auftrag erteilt hat. Google ist bei diesem Abruf nicht Empfänger. |
| Zahlungsdienstleister (zum Beispiel Stripe) | Sitz des jeweiligen Zahlungsdienstleisters | Abwicklung von Zahlungen für Tarife und Credits der Plattform, soweit die Anbieterin einen solchen Dienst einsetzt | Zahlungsmitteldaten, Beträge und Zahlungsreferenzen des Kunden als Vertragspartner der Anbieterin | Der Zahlungsdienstleister verarbeitet Zahlungsdaten in eigener Verantwortung; Kundendaten aus der Plattform (Kontakte, Aufnahmen, Inhalte) werden nicht übermittelt. |
3 Dienste Dritter mit Zugangsdaten des Kunden (nicht Unterauftragnehmer der Anbieterin)
Die folgenden Dienste bindet der Kunde mit eigenem Vertrag und eigenen Zugangsdaten an die Plattform an. Der Kunde ist Verantwortlicher und beauftragt diese Dienste selbst; Vertrag, Kosten, Rechtmäßigkeit, Auftragsverarbeitungs- und Drittlandregelungen sowie Datenschutz bei diesen Diensten liegen beim Kunden. Die Anbieterin ist nicht Vertragspartei dieser Dienste und nicht deren Auftraggeberin. Sie speichert die Zugangsdaten des Kunden verschlüsselt und leitet Daten im Auftrag und auf Weisung des Kunden an den jeweiligen Dienst weiter oder nimmt Daten von ihm entgegen. Die Aufzählung ist beispielhaft und nicht abschließend; sie richtet sich nach den Diensten, die der Kunde konfiguriert.
| Dienst | Leistung | Daten, die zwischen Plattform und Dienst fließen | Hinweis zu Region und Vertrag |
|---|---|---|---|
| WhatsApp (Meta Platforms Ireland Limited, Cloud-API des WhatsApp Business-Kontos des Kunden) | Nachrichten an Kontakte und Leads (freier Text innerhalb von 24 Stunden nach der letzten Nachricht des Kontakts, sonst bei Meta freigegebene Vorlagen); Empfang von Antworten und Zustellstatus über einen Webhook der Plattform | Rufnummer, Nachrichtentext, Vorlagenangaben, Zustellstatus; Bilder, Dateien und Sprachnachrichten lädt die Plattform nicht, sie vermerkt nur den Eingang | Vertrag zwischen Kunde und Meta nach den Geschäftsbedingungen von WhatsApp Business. Meta verarbeitet Daten nach eigenen Bedingungen und kann sie in Drittländern verarbeiten. Die Anbieterin ist nicht Technologieanbieter bei Meta. |
| Instagram, Facebook, LinkedIn und TikTok (Konten des Kunden) | Beiträge veröffentlichen und planen, Beiträge und Kennzahlen lesen, Kommentare und Nachrichten lesen und beantworten | Beitragstexte, Bilder und Videos, Kennzahlen, Kennung und angezeigter Name des Absenders, Text und Zeitpunkt von Kommentaren und Nachrichten (bei LinkedIn nur zur Anzeige mit höchstens 48 Stunden Zwischenspeicher); das Zugriffstoken liegt verschlüsselt | Vertrag zwischen Kunde und Anbieter nach dessen Bedingungen; die Anbieter verarbeiten Daten auch in Drittländern. Der Umfang hängt vom Anbieter, vom Kontotyp und von der Region ab (zum Beispiel keine TikTok-Nachrichten für Konten in der EU). Es gilt Abschnitt 2.10 der Datenschutzerklärung. |
| Meta (Meta Pixel und Conversion API) | Messung und Optimierung von Werbung auf Seiten des Kunden: Pixel im Browser des Besuchers und, wenn eingerichtet, serverseitige Übermittlung von Ereignissen | Im Browser: Kennungen und Seitenaufrufe nach Einwilligung. Serverseitig: gehashte E-Mail-Adresse, Telefonnummer, Name, Ort und Postleitzahl, IP-Adresse, Browserkennung und Ereigniskennung, nur nach Zustimmung zum Marketing | Vertrag und Einstellungen zwischen Kunde und Meta (Meta Platforms Ireland Limited; Verarbeitung auch in den USA). Der Kunde ist Verantwortlicher, einschließlich einer etwaigen gemeinsamen Verantwortlichkeit nach den Bedingungen von Meta. |
| Google Analytics 4, Google Tag Manager, TikTok Pixel, LinkedIn Insight Tag, Hotjar | Reichweiten-, Verhaltens- und Marketingmessung auf Seiten des Kunden | Kennungen, Seitenaufrufe, IP-Adresse und Browserdaten des Besuchers, die der Browser nach der Einwilligung unmittelbar an den Anbieter sendet; die Plattform leitet sie nicht weiter | Vertrag zwischen Kunde und Anbieter. Der Dienst lädt erst nach der Zustimmung des Besuchers zur Gruppe Statistik oder Marketing. Die Anbieter verarbeiten Daten auch in Drittländern. |
| Eingebettete Dienste (YouTube, Vimeo, Loom, Google Maps, Calendly, Cal.com, HubSpot, GoHighLevel, iClosed) | Anzeige von Videos, Karten und Terminkalendern auf Seiten des Kunden | IP-Adresse und Browserdaten des Besuchers, bei Kalendern Eingaben im Kalender; der Austausch läuft zwischen Browser und Dienst | Der Dienst lädt erst nach einem Klick des Besuchers. Der Kunde ist Verantwortlicher und weist in seiner Datenschutzerklärung darauf hin. |
| HubSpot, Brevo, ActiveCampaign, GoHighLevel, Zoho CRM, Personio, Recruitee, Google Sheets (Apps-Skript des Kunden), Zapier und Make | Direkte Übergabe neuer Leads und Bewerbungen aus Funnels an das System des Kunden | Angaben des Leads (Name, Kontaktdaten, Antworten, Quelle), bei Personio und Recruitee Bewerberdaten mit Stelle | Vertrag, Auftragsverarbeitung und Drittlandregelung zwischen Kunde und Dienst. Die Plattform speichert die Zugangsdaten verschlüsselt, überträgt auf Weisung des Kunden und wiederholt bei Störungen. |
| Google Drive (Konten des Kunden) | Dateien ansehen, hochladen, umbenennen, kopieren und verschieben zwischen Plattform und Google Drive; für freigegebene Ordner lesender Zugriff über die Leadmode-Adresse | Dateien, Ordnernamen und Metadaten, Google-Adresse des Kontos (verschlüsselt gespeichert) | Vertrag zwischen Kunde und Google; Anmeldung bei Google mit dem Recht „drive.file“. Es gilt Abschnitt 2.5 der Datenschutzerklärung (Limited Use). |
| Bewertungsplattformen (Trustpilot, ProvenExpert, kununu, Google) | Darstellung einer Karte mit Durchschnitt, Anzahl und Link zum Profil des Kunden | Keine; der Kunde trägt die Zahlen von Hand ein, die Plattform ruft keine Daten bei der Bewertungsplattform ab | Der Kunde verantwortet Richtigkeit und Aktualität der Angaben. |
| Twilio | Telefonie im Browser und in den Apps, Gesprächsaufnahmen, Konferenz, Mithören, eingehende Anrufe | Rufnummern, Gesprächsaudio, Verbindungsdaten, Aufnahmen (nach dem Import in die Plattform werden sie beim Dienst gelöscht) | Bei Telefonie mit eigenem Konto: Vertrag zwischen Kunde und Twilio, die Region des Dienstes (zum Beispiel Irland, USA, Australien) wählt der Kunde bei der Einrichtung seines Zugangs; die eigene Rufnummer als Absender bietet Twilio nur in der Region USA an. Beim Telefoniedienst über Leadmode (Anlage F Ziffer 1.5): Twilio ist Vorleister und Auftragsverarbeiter der Anbieterin; die Anbieterin führt für jeden Kunden ein eigenes Unterkonto unter ihrem Twilio-Konto in der Region USA (US1), Verarbeitung in den Vereinigten Staaten von Amerika. Grundlage: Auftragsverarbeitungsvertrag mit Twilio (Twilio Data Protection Addendum), Zertifizierung der Twilio Inc. unter dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln der Europäischen Kommission. |
| Telnyx | Telefonie-Anbindung (Zugangsdaten hinterlegbar) | Zugangsdaten des Kunden | Vertrag zwischen Kunde und Anbieter. |
| seven.io | SMS-Versand | Empfängernummer, Nachrichtentext | Vertrag zwischen Kunde und seven.io. |
| Instantly | Import von Kampagnen, Leads, Antworten und Mailtexten | Leads, Mailverkehr | Vertrag zwischen Kunde und Instantly. |
| Google Places, Apollo, Hunter und weitere Lead-Quellen mit eigenem Zugang des Kunden | Leadsuche mit dem eigenen Zugangsschlüssel des Kunden | Suchparameter, Treffer (Firmen, Ansprechpartner, Kanäle) | Vertrag zwischen Kunde und dem jeweiligen Anbieter. Die Lead-Beschaffung über Leadmode, bei der die Anbieterin mit eigenen Konten abruft, ist in Ziffer 1.1 (Hetzner Crawl-Worker, Scaleway) und Abschnitt 2 (Outscraper) beschrieben. |
| Postfachanbieter des Kunden (IMAP/SMTP, zum Beispiel GMX, IONOS, Google Mail) | Mailversand, Posteingang und Kampagnenmail über das Postfach des Mitarbeiters | Mailinhalte, Adressen | Vertrag zwischen Kunde und Postfachanbieter. Operative Mails des Kunden gehen nie über den SMTP-Dienst der Anbieterin. |
| Kalenderanbieter (Google Kalender, Outlook, iCloud, CalDAV-Dienste, ICS-Links) | Synchronisation von Terminen, Videolink bei Buchungsseiten | Termine mit Titel, Teilnehmern und Orten | Vertrag zwischen Kunde und Kalenderanbieter. |
| KI- und Transkriptionsdienste mit eigenem Schlüssel des Kunden | Verwendung eigener KI-Zugänge des Kunden, soweit er solche hinterlegt | Inhalte der genutzten Funktion | Vertrag zwischen Kunde und Anbieter. |
| Videokonferenz- und Terminlinks (zum Beispiel Zoom, WhatsApp-Link) | Öffnen eines Links im Browser oder in der App des Nutzers | Link beziehungsweise vorbereiteter Text; kein Versand durch die Plattform | Nutzung nach den Bedingungen des jeweiligen Anbieters. |
| Ziele ausgehender Webhooks und angebundene Systeme des Kunden | Weitergabe von Ereignissen der Plattform an Systeme, die der Kunde bestimmt | Ereignisdaten nach Auswahl des Kunden | Auswahl, Rechtmäßigkeit und Datenschutz beim Zielsystem liegen beim Kunden. |
4 Änderungen und Widerspruchsverfahren
Die Anbieterin informiert den Kunden über jede beabsichtigte Änderung der Liste in Abschnitt 1, durch die ein Unterauftragnehmer hinzukommt oder ersetzt wird, mindestens vier Wochen vor dem Einsatz. Die Information erfolgt in Textform durch Mitteilung an die Organisationsadministratoren des Kunden und durch Veröffentlichung der geänderten Fassung dieser Anlage. Sie enthält Namen, Sitz, Leistung, Verarbeitungsort, Datenkategorien und Garantien des neuen Unterauftragnehmers.
Der Kunde kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Der Widerspruch ist zu begründen und an die Datenschutz-Adresse der Anbieterin zu richten. Widerspricht der Kunde nicht fristgerecht, gilt die Änderung als genehmigt. Bei fristgerechtem Widerspruch gelten Ziffer 7.5 und 7.6 des Auftragsverarbeitungsvertrags: Die Parteien bemühen sich um eine einvernehmliche Lösung; gelingt sie nicht, kann der Kunde den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes außerordentlich kündigen.
Widersprüche und Fragen zu dieser Anlage sind an datenschutz@leadmode.de zu richten. Änderungen der Abschnitte 2 und 3 sowie rein redaktionelle Änderungen, die keinen Unterauftragnehmer hinzufügen oder ersetzen, bedürfen keiner Genehmigung; die Anbieterin aktualisiert die Anlage in diesen Fällen ohne Widerspruchsfrist.
Diese Anlage ist in der Fassung vom 27.10.2026 Bestandteil des Auftragsverarbeitungsvertrags. Die jeweils aktuelle Fassung ist auf der Website und in der Plattform abrufbar.