Verzeichnis der Auftragsverarbeiter
Die von der rattle mng GmbH zur Erbringung von ARCNM eingesetzten Auftragsverarbeiter (Subprozessoren) – jeweils mit Zweck, den erhaltenen Daten, dem Verarbeitungsstandort und, bei Drittlandtransfers, der Garantie nach Art. 46/45 DSGVO. Referenziert von Anlage 1.2 der AGB und § 7 der Datenschutzerklärung; maßgeblich ist die deutsche Fassung.
Stand: 2026-08-20.
Hetzner Online GmbH
Kategorie: Hosting
Zweck: Hosting der Webanwendung, der API, der Worker-Infrastruktur sowie der von uns selbst betriebenen Datenbank-, Cache- und Suchdienste.
Verarbeitete Daten: Sämtliche Plattform- und Verbindungsdaten (insbesondere IP-Adressen, gespeicherte Kunden- und Inhaltsdaten).
Standort der Verarbeitung: Ausschließlich Rechenzentrum Falkenstein, Deutschland (EU); kein Zugriff aus Nicht-EU-Ländern. Nach ISO/IEC 27001 zertifizierte Rechenzentren.
Drittlandtransfer / Garantie: Kein Drittlandtransfer (Verarbeitung in der EU/im EWR).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer professionellen, in der EU gehosteten Infrastruktur).
Stripe Payments Europe, Ltd. (Dublin, Ireland)
Kategorie: Zahlungsabwicklung
Zweck: Zahlungsabwicklung und Verwaltung der Abonnements. Zahlungsdaten werden direkt von Stripe erhoben und verarbeitet; wir speichern selbst keine vollständigen Zahlungsdaten, sondern lediglich Referenzen auf den Stripe-Vorgang (Kunden-ID, Subscription-Status, Belegnummern).
Verarbeitete Daten: Zahlungsdaten (z. B. Kreditkarteninformationen, SEPA-Daten), direkt von Stripe erhoben.
Standort der Verarbeitung: Irland (EU), mit Datenflüssen auch in die USA.
Drittlandtransfer / Garantie: EU-Standardvertragsklauseln (Art. 46 DSGVO) bzw. — soweit einschlägig — EU-US Data Privacy Framework (Art. 45 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Sendinblue Germany GmbH („Brevo“), Berlin (parent: Sendinblue SAS, Paris)
Kategorie: Transaktionale E-Mails & CRM
Zweck: Versand transaktionaler E-Mails (Registrierungsbestätigungen, Passwort-Zurücksetzungen, Account-Benachrichtigungen) sowie — als Kundenbeziehungssystem — Verwaltung von Kontakten, Anfragen und Kundenlebenszyklus (Onboarding, Produktneuigkeiten, Opt-in-Newsletter).
Verarbeitete Daten: Für E-Mail: Empfängeradresse, Name, Nachrichteninhalt. Für das CRM: Geschäftskontakt-Identität (Name, E-Mail, Firma, Land, Sprache) sowie Account-Kennzahlen (Organisationsname, Plan-Tarif, Nutzungszähler, Lifecycle-Stufe, Consent-Status). Bewusst NICHT übermittelt werden Rechnungsbeträge, USt-IdNr., Rechnungs-/Zahlungsdaten, Teil-/Material-/Geometriedaten, IP-Adressen und Nachrichteninhalte aus dem Kontaktformular.
Standort der Verarbeitung: Deutschland und Frankreich (EU); Drittlandtransfers finden nicht statt.
Drittlandtransfer / Garantie: Kein Drittlandtransfer (Verarbeitung in der EU/im EWR).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässiger Zustellung und Kundenbetreuung); Marketing-Versand nur bei Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (Double-Opt-in).
Scaleway S.A.S. (8 rue de la Ville l'Évêque, 75008 Paris, France)
Kategorie: KI-Zeichnungsauswertung (Primärpfad)
Zweck: Automatisierte Auswertung technischer Zeichnungen (Maße, Toleranzen, Werkstoff- und Titelblockangaben). Die hochgeladene 2D-Zeichnung wird gerastert und das Zeichnungsbild (nebst Auswerte-Prompt) unmittelbar an die KI-API von Scaleway übermittelt, die darauf ein quelloffenes Vision-Modell im Rechenzentrum Paris ausführt. Die Verarbeitung dient ausschließlich der für Sie erbrachten Analyse.
Verarbeitete Daten: Das gerasterte Zeichnungsbild und der Auswerte-Prompt (transient, für die Dauer der Inferenz).
Standort der Verarbeitung: Frankreich (EU), Rechenzentrum Paris.
Drittlandtransfer / Garantie: Kein Drittlandtransfer (Verarbeitung in der EU/im EWR).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) auf dokumentierte Weisung des Verantwortlichen; der Scaleway-Auftragsverarbeitungsvertrag ist ausweislich seiner Präambel automatisch Vertragsbestandteil (Art. 28 Abs. 9 DSGVO) und schließt eine Nutzung der übermittelten Inhalte zum Training der Modelle aus.
Cloudflare, Inc. (USA; EU: Cloudflare Germany GmbH, Munich)
Kategorie: Objektspeicher + Edge (CDN/DNS/TLS)
Zweck: Objektspeicher (Cloudflare R2) für hochgeladene Dateien (z. B. Bauteilzeichnungen, Stücklisten, Anhänge an Kalkulationen) sowie CDN-, DNS- und TLS-Proxy (Edge) vor unserem Hetzner-Origin.
Verarbeitete Daten: Datei-Inhalt, Dateiname, MIME-Typ, Hash und Zugriffsmetadaten; als Edge-Proxy Verbindungs- und Anfragemetadaten (u. a. IP-Adresse, User-Agent) aller Seitenaufrufe.
Standort der Verarbeitung: Objektspeicher als Bucket mit EU-Jurisdiktion konfiguriert (technisch auf EU-Rechenzentren beschränkt); hochgeladene Dateien werden zusätzlich pro Objekt mit einem mandantenspezifischen Schlüssel verschlüsselt (Envelope-Verschlüsselung), bevor sie abgelegt werden.
Drittlandtransfer / Garantie: Da Cloudflare Inc. ein US-Unternehmen ist, sichern wir einen etwaigen Drittlandbezug ergänzend über EU-Standardvertragsklauseln (Art. 46 DSGVO) ab; soweit Cloudflare nach dem EU-US Data Privacy Framework zertifiziert ist, stützen wir uns ergänzend hierauf (Art. 45 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an ausfallsicherer und kostengünstiger Speicherinfrastruktur).
Google LLC, GitHub, Inc. (single sign-on)
Kategorie: Single Sign-On (optional)
Zweck: Optionaler Social-Login, wenn Sie „Continue with Google/GitHub“ wählen. Ohne aktive Nutzung des Single Sign-On findet zu diesem Zweck keine Datenübermittlung an diese Anbieter statt. (GitHub ist zudem unser Entwicklungs-Ticketsystem — siehe den gesonderten Eintrag unten.)
Verarbeitete Daten: Nur die von Ihnen bei der Anmeldung freigegebenen Daten (z. B. E-Mail-Adresse, Name, Anbieter-Konto-ID).
Standort der Verarbeitung: Google, GitHub: USA.
Drittlandtransfer / Garantie: Für US-Anbieter EU-Standardvertragsklauseln (Art. 46 DSGVO) und — soweit einschlägig — das EU-US Data Privacy Framework (Art. 45 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) / Ihre Einwilligung bei Nutzung des Single Sign-On.
Google LLC (Google Calendar appointment scheduling)
Kategorie: Terminplanung für Vertriebsgespräche (Weblink, optional)
Zweck: Die optionale Schaltfläche „Gespräch buchen“ ist ein einfacher Hyperlink auf eine Terminplanungsseite von Google Calendar. Die ARCNM-Anwendung übermittelt keine Daten an Google; erst wenn Sie dem Link folgen und einen Termin buchen, geben Sie Ihre Angaben unmittelbar auf der Google-Seite ein, und die Buchung landet in unserem Google-Kalender.
Verarbeitete Daten: Von der Anwendung wird nichts übermittelt. Bei einer Buchung geben Sie bei Google an: Name, E-Mail und Wunschtermin.
Standort der Verarbeitung: Google: USA.
Drittlandtransfer / Garantie: Für diese von Ihnen veranlasste Übermittlung an Google (USA): EU-Standardvertragsklauseln (Art. 46 DSGVO) und — soweit einschlägig — das EU-US Data Privacy Framework (Art. 45 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) — Sie entscheiden sich aktiv für die Terminbuchung.
GitHub, Inc. (development tracker; a Microsoft company)
Kategorie: Fehler- und Ticketverwaltung
Zweck: Internes Ticket zu jedem gemeldeten Fehler, damit dieser analysiert und behoben werden kann. Verarbeitet werden ausschließlich gemeldete Fehler und Fehlerberichte — keine Kalkulationen, Zeichnungen, Aufträge oder Kontodaten.
Verarbeitete Daten: Ihre Problembeschreibung, der automatisch bereinigte Konsolenauszug, die betroffene Seite, Zeitpunkt, App-Version und Browser-Kennung, ein eng begrenzter technischer Auszug aus verknüpften Vorgängen sowie eine etwaige Rückfrage samt Antwort. Bildschirmfotos werden NICHT übermittelt (nur deren Anzahl); ebenso wenig hochgeladene Dateien, Roh-Stacktraces oder Konto-Kennungen.
Standort der Verarbeitung: USA.
Drittlandtransfer / Garantie: EU-US Data Privacy Framework (Art. 45 DSGVO) sowie ergänzend EU-Standardvertragsklauseln (Art. 46 DSGVO).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität und Sicherheit der Plattform).