Anlage zum Auftragsverarbeitungsvertrag zwischen Renting & Renting GbR und dem jeweiligen Kunden (Art. 28 Abs. 2 und 4 DSGVO)
A. Von venvy eingesetzte Unterauftragsverarbeiter
| Sub-Prozessor | Zweck | Datenstandort | Grundlage einer Übermittlung |
|---|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dateispeicher | EU (Frankfurt, AWS eu-central) | AVV; kein Drittland |
| Vercel Inc. | Betrieb der Anwendung, zeitgesteuerte Aufgaben | EU (fra1, Frankfurt am Main) | AVV; kein Drittland |
| Anthropic PBC | KI-Funktionen: Textvorschläge, Zusammenfassungen, Assistent und die Feldzuordnung im Eingang. Die automatische Einschätzung eingehender Anfragen (Lead-Scoring) über Anthropic ist beendet: bis 04.11.2026; seitdem rechnet venvy die Lead-Prognose regelbasiert bei sich, ohne KI-Dienst und ohne Übergabe an Anthropic. Bis zum Ende konnten betroffene Personen der Einschätzung widersprechen (Art. 21 DSGVO) | USA (Aufbewahrung beim Anbieter 30 Tage, keine Nutzung zum Training) | DPA + Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| OpenAI, L.L.C. | Sprachfunktionen (Transkription, Sprachausgabe, Sprachdialog des Assistenten) nur nach Einwilligung bzw. Einschalten durch den Kunden; Text-Embeddings für die Suche in hinterlegten Inhalten | USA (api.openai.com; keine Nutzung zum Training) | DPA + Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Hetzner Online GmbH | Hintergrundprozesse des Assistenten, Umwandlung von Dokumenten, Mail-Relay für Signaturen, verschlüsselte Datensicherung | DE (Falkenstein); Sicherungsarchiv FI (Helsinki) | AVV; kein Drittland |
| Sentry | Fehlererfassung — im Code vorbereitet, derzeit nicht aktiv; vor Aktivierung wird diese Zeile mit Region ergänzt und nach Abschnitt C mitgeteilt | Region nicht belegt (Konfiguration prüfen) | AVV |
| Upstash (Redis) | Begrenzung von Anfragen zur Missbrauchsabwehr, u. a. bei der Anmeldung — aktiv | Region nicht belegt (Konfiguration prüfen) | AVV |
Resend, Inc. (SMTP-Relay smtp.resend.com) | Versand von E-Mails des Kunden an dessen Kunden, nur bei Kunden, deren Postfach über das Relay von venvy sendet | USA | AVV (Resend DPA) + SCC (Art. 46 Abs. 2 lit. c DSGVO) |
| Cloudflare (R2 Object Storage) | Ausliefern der Bilder und Medien von 360-Grad-Rundgängen, nur bei Kunden mit aktiviertem Rundgang | EU (Speicherort auf die EU festgelegt) | AVV (Cloudflare DPA) |
Hinweis zu Stripe. Stripe Payments Europe, Ltd. (Irland; Konzern-Transfers in die USA per SCC, Stripe DPA) ist kein Unterauftragsverarbeiter für Gästedaten der Kunden. Stripe wickelt ausschließlich die Abrechnung zwischen venvy und dem Kunden ab; Zahlungen von Gästen laufen nicht über Stripe.
Hinweis zu Rundgang-Bildern. Bilder der Rundgänge können erkennbare Personen zeigen. Sie sind öffentlich abrufbar, weil sie auf der öffentlichen Seite des Kunden erscheinen, liegen aber unter nicht erratbaren Pfaden. Die Einwilligung der abgebildeten Personen holt der Kunde ein.
B. Dienste, die der Kunde selbst anbindet
Diese Empfänger wählt der Kunde selbst; venvy hat mit ihnen keinen eigenen Vertrag und sie sind keine Unterauftragsverarbeiter von venvy:
- der eigene Mailserver des Kunden (IMAP/SMTP),
- vom Kunden angebundene Fachdienste (zum Beispiel Lohn- oder Buchhaltungsdienste),
- die Übermittlung von Conversions an Google oder Meta, wenn der Kunde sie einschaltet.
C. Verfahren bei Änderungen
- venvy informiert den Kunden mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, per E-Mail an die Adresse des Inhabers und auf dieser Seite.
- Der Kunde kann bis zum Ablauf dieser Frist in Textform widersprechen, wenn er einen sachlichen Grund hat.
- Widerspricht der Kunde, setzt venvy den neuen Unterauftragsverarbeiter für dessen Daten nicht ein. Ist das technisch nicht möglich, bleibt die betroffene Funktion für den Kunden ausgeschaltet; betrifft die Änderung eine wesentliche Funktion, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen.
- venvy verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie im AVV und haftet dem Kunden gegenüber für deren Einhaltung (Art. 28 Abs. 4 DSGVO).