Für den Betrieb der Ocestra-Plattform setzen wir eine begrenzte Anzahl externer Dienstleister als Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO ein. Die folgende Liste zeigt den aktuellen, tatsächlichen Stand — inklusive Anbietern, mit denen der Auftragsverarbeitungsvertrag noch in Abstimmung ist. Änderungen kündigen wir Kunden gemäß AVV mit angemessener Frist an.
| Anbieter | Aufgabe | Standort | Übermittlungsgrundlage | Status |
|---|---|---|---|---|
| Easybell GmbH | SIP-Provider (eingehende Anrufe) | Deutschland | EU-intern, kein Drittlandtransfer | AVV geschlossen |
| Hetzner Online GmbH | Hosting-Provider | Deutschland (Falkenstein, Nürnberg) | EU-intern, kein Drittlandtransfer | AVV geschlossen |
| Deepgram, Inc. | Speech-to-Text-Provider | EU-Endpoint (Frankfurt) | EU-Endpunkt, US-Mutterunternehmen mit Standardvertragsklauseln (SCC) | Auftragsverarbeitungsvertrag in Abstimmung. |
| Cartesia, Inc. | Text-to-Speech-Provider | USA (globaler Endpunkt) | Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO | Die Sprachsynthese läuft derzeit über den globalen Endpunkt des Anbieters; eine EU-Konfiguration ist in Umsetzung. |
| Google LLC (Vertex AI) | LLM-Provider (Echtzeit + asynchrone Verarbeitung) | EU — Frankfurt (europe-west3) für Echtzeit, EU-Multiregion für asynchrone Verarbeitung | Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO; Google Workspace Data Processing Addendum | Die zulässigen Verarbeitungsregionen sind systemseitig auf EU-Regionen begrenzt; eine nicht zugelassene Region führt zum sofortigen Abbruch der Verarbeitung. |
| OpenAI, OpCo, LLC | Text-to-Speech-Provider (Ausweichpfad) | US (mit EU-Routing wenn verfügbar) | Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO; OpenAI Data Processing Addendum | AVV geschlossen |
| Resend, Inc. | Transaktional-E-Mail-Provider | EU (Irland) — Verarbeitungsregion im Resend-Account für ocestra.ai konfiguriert | Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO; Resend Inc. ist ein US-Unternehmen (Delaware); EU-Verarbeitung über irisches Rechenzentrum | AVV geschlossen |
| PostHog, Inc. | Produktanalyse (Website-/Dashboard-Nutzung) | EU (Frankfurt) | Auftragsverarbeitungsvertrag; Verarbeitung in der EU (Frankfurt) | Keine Anrufer- oder Gesprächsdaten; ausschließlich anonyme Website-Nutzungsdaten. |
| Functional Software, Inc. (Sentry) | Fehler- und Performance-Monitoring (Anwendungsdiagnose) | USA (Anbietersitz); Datenregion wird verifiziert | Kein Transfer personenbezogener Daten vorgesehen; Fehlerdiagnose ist systemseitig ohne personenbezogene Daten konfiguriert | Kein Auftragsverarbeitungsvertrag erforderlich: Anrufer- und Gesprächsdaten werden nicht übermittelt. |
| SIA Monkey See Monkey Do (Healthchecks.io) | Cron-Monitoring (Heartbeat-Überwachung) | EU — Betreibersitz Lettland; Verarbeitung auf Hetzner-Infrastruktur | EU-intern, kein Drittlandtransfer im Hauptpfad. | Kein Auftragsverarbeitungsvertrag erforderlich: Überwachung von Systemsignalen ohne personenbezogene Daten. |
Aktuell nicht eingesetzt
- Twilio, Inc. — Frühere Telefonie-Anbindung aus der Aufbauphase; nicht mehr im Einsatz.
- DIDWW — Technisch vorbereitet, noch kein Anrufverkehr; vor der Umstellung Aufnahme als Verantwortlicher-zu-Verantwortlicher-Verhältnis.
- Telnyx, Inc. — Alternativer Telefonie-Anbieter; derzeit nicht im Einsatz und nicht für den Produktivbetrieb evaluiert.
- ElevenLabs, Inc. — Alternative Sprachsynthese; derzeit nicht im Einsatz.