Subauftragsverarbeiter
Stand: Oktober 2026 · Version 2.4
Diese Liste ist Bestandteil unserer Auftragsverarbeitungs-Vereinbarung (AVV) und dokumentiert alle Subauftragsverarbeiter, die für den Betrieb von Smart Legal Pro eingesetzt werden. Änderungen kündigen wir mindestens 30 Tage im Voraus an; Auftraggeber können der Änderung schriftlich widersprechen.
Aktive Subprozessoren
| Anbieter | Zweck | Standort | Transfer-Mechanismus | DPA |
|---|---|---|---|---|
| Lovable Tech AB | Hosting der Webanwendung (Deployment-Plattform, Auslieferung und serverseitiges Rendering der Website) | Schweden / EU (AWS Frankfurt eu-central-1) | EU/EEA — kein Drittlandtransfer / no third-country transfer | Lovable Tech AB – DPA |
| Supabase, Inc. | Datenbank (PostgreSQL), Authentifizierung, Datei-Speicher (Storage), serverseitige Funktionen (Edge Functions) | EU (Frankfurt) | Speicherung in der EU; Anbieter mit Sitz in den USA — Auftragsverarbeitungsvertrag mit Standardvertragsklauseln / storage in the EU; provider based in the USA — data processing agreement incl. standard contractual clauses | Supabase, Inc. – DPA |
| Requesty Ltd (UK) | AI-Router/Gateway zu führenden LLM-Anbietern. EU-Routing aktiv: Verarbeitung über den Frankfurt-Endpunkt, Inferenz ausschließlich auf EU-Modellen (AWS Bedrock Frankfurt / Google Vertex EU). Zero-Retention konfiguriert (keine Speicherung von Anfragen oder Antworten), kein Training auf Kundendaten. Der Modell-Mix variiert je nach Aufgabe, bleibt aber innerhalb der EU. Ausnahme: eine kleine Auswahl an Sonder-Modellen im Anwaltsportal (nur nach ausdrücklicher Kanzlei-Freigabe) läuft ebenfalls auf einer EU-Instanz, speichert Anfragen beim jeweiligen Modell-Anbieter aber bis zu 30 Tage statt Zero-Retention (Details: Ziff. 4 der KI-Transparenzseite). | Verarbeitung EU (router.eu.requesty.ai, Frankfurt; Inferenz AWS Bedrock Frankfurt / Google Vertex EU); Gesellschaftssitz Vereinigtes Königreich | Inhalte in der EU verarbeitet — kein Transfer in unsichere Drittländer. Vertragspartner Requesty Ltd (UK) unter EU-Angemessenheitsbeschluss (Art. 45 DSGVO) / content processed in the EU; contractor Requesty Ltd (UK) under the EU adequacy decision | Requesty Ltd (UK) – DPA |
| ElevenLabs, Inc. | Sprachverarbeitung für das optionale Live-Sprachgespräch mit dem KI-Agenten (Spracherkennung, Sprachmodell, Sprachausgabe, Gesprächssteuerung), einschließlich der Inhalte, die der Agent im Gespräch aus Ihrem Konto nachschlägt und ausspricht (nur für dieses Gespräch). Nur nach ausdrücklicher Einwilligung; kein Training auf Kundendaten; Audio-Löschung nach Transkription, Metadaten max. 30 Tage. | USA | EU-SCC (2021/914) + Einwilligung Art. 49 Abs. 1 lit. a DSGVO / explicit consent. Zertifizierungen laut Anbieter (Trust-Portal compliance.elevenlabs.io): SOC 2 Type II, ISO 27001 / Certifications per provider (trust portal compliance.elevenlabs.io): SOC 2 Type II, ISO 27001 | ElevenLabs, Inc. – DPA |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (Karten, SEPA, Wallets), Rechnungs- und Steuerdaten | Irland / EU; Konzernverbund USA | Intra-EU + EU-SCC für Konzernverbund | Stripe Payments Europe, Ltd. – DPA |
| Brevo SAS (vormals Sendinblue) | Transaktionale E-Mails (Magic-Link, Quittungen, System-Benachrichtigungen) und die aus dem Anwaltsportal gesendeten Kanzlei-E-Mails (Postausgang) | Frankreich / EU | EU/EEA | Brevo SAS (vormals Sendinblue) – DPA |
| Microsoft Ireland Operations Ltd. (Azure AI Translator) | Optionale Dokumentübersetzung im DMS (Anwaltsportal + Consumer-Tresor). Nur Dokumente, die Sie ausdrücklich zur Übersetzung auswählen, werden übermittelt. Text-Übersetzung wird ausschließlich im Arbeitsspeicher verarbeitet, nicht gespeichert; Dokumentübersetzung speichert die Datei nur transient während der Verarbeitung und löscht sie danach unwiderruflich (Hard-Delete). Kein Training auf Kundendaten. Bewusst kein LLM: eine PII-Maskierung würde Namen/Beträge/Aktenzeichen unkenntlich machen und die Übersetzung unbrauchbar machen. | EU (Azure-Region West Europe / Niederlande) | Verarbeitung in der EU-Region; keine dauerhafte Speicherung / processing within the EU region; no persistent storage | Microsoft Ireland Operations Ltd. (Azure AI Translator) – DPA |
| Cloudflare, Inc. | CDN, DDoS-Schutz, TLS-Terminierung (über Hosting-Provider) sowie Turnstile-Bot-Schutz auf dem Registrierungsformular und im Kontaktformular für nicht angemeldete Besucher (IP, anonymisierte Browser-/Geräte-Signale, kein Tracking-Cookie). Außerdem nimmt Cloudflare E-Mails an unsere Adressen und an die Eingangsadressen des Kanzlei-Posteingangs entgegen und leitet sie an uns weiter (E-Mail-Routing, z. B. Support-Anfragen per E-Mail). | USA mit EU-Pops | EU-SCC + EU-US DPF | Cloudflare, Inc. – DPA |
| Perplexity AI, Inc. | Optionale KI-gestützte Web-Recherche mit Quellenbelegen — Funktion „Quellen ergänzen“ im Anwalts-Chat (Marker [[research:...]]) und ein eigener Recherche-Modus; das Agenten-Werkzeug „Web-Recherche“, das mehreren Hintergrund-Agenten zur Verfügung steht; der Web-Fallback der Register-Abfrage (Marker [[lookup:company|trademark|...]]), wenn Handelsregister-/Markenregisterquellen keinen Treffer liefern; daneben eine separate, admin-interne Rechts-Konzept-Recherche zur Wissensgraph-Kuratierung ohne Mandantenbezug. In allen aktennahen Flächen verlässt standardmäßig nur eine anonymisierte Fachanfrage ohne Personen-, Mandanten- oder Aktenbezug die Plattform — durchgesetzt serverseitig durch einen Abfrage-Filter (derselbe Mechanismus wie bei Brave, s. u.); eine Anfrage mit Personenbezug wird nur nach ausdrücklicher, protokollierter und jederzeit widerrufbarer Freigabe der Anwältin/des Anwalts im Einzelfall übermittelt (siehe Datenschutz §5, Abschnitt „Websuche“). Laut Anbieter-Dokumentation gilt für die genutzte API eine strikte Zero-Data-Retention-Richtlinie (keine Speicherung von Anfrage/Antwort über die Verarbeitung hinaus) und kein Training auf API-Kundendaten. | USA | EU-SCC (Modul 2/3) + EU-US Data Privacy Framework (zertifiziert) / EU-SCC (Modules 2/3) + EU-US Data Privacy Framework (certified) | Perplexity AI, Inc. – DPA |
| Brave Software, Inc. | Optionale, je Kanzlei über eine eigene Einstellung aktivierbare Websuche zur Quellenrecherche: Zitat-Verifikation gegen amtliche Fundstellen als schnelle, günstige Zwischenstufe vor einer langsameren KI-Recherche; das Werkzeug „Web-Recherche“ im Anwalts- und Mandanten-Chat sowie für mehrere Hintergrund-Agenten; eine kostengünstige Domain-Vorauswahl für die optionale Tiefen-Recherche. Standardmäßig verlässt nur eine anonymisierte Fachanfrage ohne Personen-, Mandanten- oder Aktenbezug die Plattform — durchgesetzt serverseitig durch einen Abfrage-Filter; eine Anfrage mit Personenbezug wird nur nach ausdrücklicher, protokollierter und jederzeit widerrufbarer Freigabe der Anwältin/des Anwalts im Einzelfall übermittelt (siehe Datenschutz §5, Abschnitt „Websuche“). Der Anbieter behandelt Suchanfragen laut eigenem Vertrag nicht als personenbezogene Daten und speichert sie planunabhängig 90 Tage (keine Zero-Data-Retention im Standardtarif, nur gesondert im Enterprise-Plan) — unser Abfrage-Filter stellt aktiv sicher, dass in aller Regel kein Personenbezug übermittelt wird. Kein Training auf Kundendaten. | USA (San Francisco) | EU-SCC Modul 2/3, Clause 17 Option 1 (Recht des Mitgliedstaats des Exporteurs, hilfsweise irisches Recht) + UK-Addendum + Schweizer Variante — deckt vertraglich nur unsere Kontodaten, NICHT die Suchanfrage selbst (s. Zweck-Spalte) / EU SCCs Module 2/3, Clause 17 Option 1 (governing law of the exporter's member state, subsidiarily Irish law) + UK Addendum + Swiss variant — contractually covers only our account data, NOT the search query itself (see Purpose column) | Brave Software, Inc. – DPA |
| Signa (signa.so) | Markenregister-Recherche (EUIPO- und WIPO-Global-Brand-DB-Datenbestand) für die optionale Register-Abfrage im Anwalts-Chat (Marker [[lookup:trademark|...]]). Übermittelt wird ausschließlich die Marken-/Firmenbezeichnungs-Suchanfrage, kein Dokumentenupload. Lizenzierter Dritt-Anbieter mit synchronisierter Datenkopie statt einer Direktabfrage bei WIPO (dessen eigene Nutzungsbedingungen automatisierte Abfragen untersagen). | Norwegen / EWR (Oslo) | EU/EWR — kein Drittlandtransfer / EU/EEA — no third-country transfer | Signa (signa.so) – DPA |
| Companies House (Regierung des Vereinigten Königreichs) | Firmenregister-Abfrage im Vereinigten Königreich (England, Wales, Schottland, Nordirland) für die optionale Register-Abfrage im Anwalts-Chat (Marker [[lookup:company|...]]). Übermittelt wird ausschließlich die Firmennamens-/Registernummer-Suchanfrage. Amtliches, öffentliches Handelsregister der britischen Regierung; die zurückgelieferten Daten (Firmenname, -nummer, -status, Adresse) sind nach dem Companies Act 2006 gesetzlich zur öffentlichen Einsichtnahme bestimmt. | Vereinigtes Königreich | Öffentliches Register in einem Drittland unter EU-Angemessenheitsbeschluss (Art. 45 DSGVO) / public register in a third country covered by the EU adequacy decision (Art. 45 GDPR) | Companies House (Regierung des Vereinigten Königreichs) – DPA |
| Mistral AI | Optionale, dedizierte Texterkennung (OCR) für gescannte PDFs und Bilder — ersetzt bei Aktivierung die bisherige generische Vision-Chat-Transkription für diese Dokumente. Übermittelt wird das Dokumentbild/-PDF zur Texterkennung; personenbezogene Daten im Dokumentinhalt können enthalten sein (dieselbe Abwägung wie bei der bisherigen Vision-OCR — eine Maskierung vor der Bilderkennung ist technisch nicht möglich). Nur aktiv, wenn der Betreiber diesen Pfad ausdrücklich per Feature-Flag freischaltet. Zusätzlich optionale Transkription von Tonaufnahmen im Anwaltsportal (Voxtral), nur auf ausdrücklichen Klick der Anwältin oder des Anwalts: Die Aufnahme wird unverändert übermittelt, Ton lässt sich nicht pseudonymisieren; das Transkript wird danach wie jedes andere Dokument behandelt (s. Datenschutzerklärung Abschnitt 4m). Auf demselben Weg entsteht das Transkript von Besprechungs-Mitschnitten (Abschnitt 4n); große Aufnahmen liest der Dienst dabei über einen zeitlich begrenzten, signierten Link. | Laut Anbieterangabe EU-gehostet standardmäßig ("EU-hosted by default", La Plateforme) — kein vertraglich gepinnter Regions-Endpunkt wie bei den übrigen EU-Zeilen dieser Tabelle; noch nicht abschließend juristisch verifiziert. | Laut Anbieterangabe EU-Verarbeitung; formale Prüfung der aktuellen DPA-/Sub-Prozessor-Bedingungen steht noch aus / per provider statement, EU processing; formal review of current DPA/subprocessor terms still pending | Mistral AI – DPA |
| SAS SPOKE (Meeting BaaS) | Mitschnitt-Agent für Online-Besprechungen (Microsoft Teams, Google Meet) im Zusatzabo „Besprechungs-Mitschnitt“ des Anwaltsportals — nur auf ausdrückliches Einplanen durch die Anwältin oder den Anwalt, nach bestätigter Einwilligung aller Teilnehmenden. Übermittelt werden Besprechungslink, Beginn, Anzeigename/Bild des Agenten, Ansagetext und zufällige interne Kennungen; der Agent nimmt nur den Ton auf und erhält die in der Besprechung angezeigten Teilnehmernamen. Die Aufnahme wird nach der Ablage in der Akte beim Anbieter gelöscht; die Transkriptionsfunktion des Anbieters ist ausgeschaltet (s. Datenschutzerklärung Abschnitt 4n). Hosting laut Auftragsverarbeitungsvertrag bei Scaleway SAS (Frankreich). | EU (Frankreich / France) — Hosting: Scaleway SAS (Frankreich / France) | EU/EWR — kein Drittlandtransfer laut Auftragsverarbeitungsvertrag; Bestätigung zur abweichenden Angabe „AWS (EU)“ in der allgemeinen Datenschutzerklärung des Anbieters angefragt / EU/EEA — no third-country transfer per the data processing agreement; confirmation requested regarding the differing statement “AWS (EU)” in the provider's general privacy policy | SAS SPOKE (Meeting BaaS) – DPA |
| LexGraph (lexgraph.de) | Optionale, kostenpflichtige Prüfung zitierter Gerichtsentscheidungen im Anwaltsportal (Existenznachweis mit Link). Übermittelt wird ausschließlich das Aktenzeichen einer Entscheidung eines deutschen Bundes- oder Obergerichts (z. B. BGH, BAG, OLG) — nie Text, Namen oder Dokumente und nie das Aktenzeichen der eigenen Akte; die Abfrage erfolgt erst, wenn die Entscheidung weder in den Unterlagen des Vorgangs noch in unserer Rechtsbibliothek, im Zitat-Cache oder bei OpenLegalData gefunden wurde. Kein Einsatz im Verbraucher-Chat. Die Rückgabe (Gericht, Datum, Art, Link, kurzer Auszug) wird nur angezeigt und nicht an ein KI-Modell weitergegeben. | LexGraph UG (haftungsbeschränkt), Berlin, Deutschland; Hosting bei Hetzner Online GmbH, Deutschland (laut Datenschutzerklärung des Anbieters) / LexGraph UG (haftungsbeschränkt), Berlin, Germany; hosting at Hetzner Online GmbH, Germany (per the provider's privacy policy) | Kein Drittlandtransfer bekannt; Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO) in Klärung — Stand der Angaben: Anbieterauskunft, Oktober 2026 / No third-country transfer known; data processing agreement (Art. 28 GDPR) being finalised — based on provider information, October 2026 | – |
| LiveKit (livekit.io) | Transport der Echtzeit-Audioverbindung (WebRTC) beim optionalen Live-Sprachgespräch mit dem KI-Agenten: Das Sprach-SDK von ElevenLabs verbindet Ihren Browser über Server von LiveKit (cloud-api.livekit.io, *.livekit.cloud) bzw. über die Verbindungsadresse livekit.rtc.elevenlabs.io, die in der Domain von ElevenLabs liegt (welche Server dahinterstehen, ist uns von ElevenLabs derzeit nicht bestätigt); dabei werden Verbindungsdaten (u. a. IP-Adresse) und der Gesprächston übertragen. Nur nach Ihrem Start eines Sprachgesprächs; die Inhaltsverarbeitung (Spracherkennung, Sprachausgabe) liegt bei ElevenLabs (s. o.). | LiveKit, Inc., San Francisco (USA); Verarbeitung der Verbindungsdaten laut Anbieter in den USA; Region beim Einsatz über ElevenLabs von uns nicht wählbar / LiveKit, Inc., San Francisco (USA); connection data processed in the USA per the provider; region not selectable by us when used via ElevenLabs | Drittlandübermittlung USA: Anbieter ist laut Selbstauskunft nach dem EU-US Data Privacy Framework zertifiziert; ergänzend Standardvertragsklauseln im Anbieter-DPA. Eingebunden über ElevenLabs (kein eigener Vertrag mit uns) — Einordnung als Unterauftragnehmer von ElevenLabs derzeit nicht bestätigt / Third-country transfer (USA): provider self-certified under the EU-US Data Privacy Framework; standard contractual clauses in the provider DPA. Integrated via ElevenLabs (no direct contract with us) — classification as ElevenLabs' sub-processor currently unconfirmed | LiveKit (livekit.io) – DPA |
| VIES (Europäische Kommission) | Prüfung der Umsatzsteuer-Identifikationsnummer beim Kauf als Unternehmen (Reverse-Charge-Verfahren) über den amtlichen Dienst VIES der Europäischen Kommission. Übermittelt wird ausschließlich die von Ihnen angegebene USt-IdNr. des Unternehmens, nur wenn Sie als Unternehmen kaufen; kein Name, keine Adresse, keine Zahlungsdaten. Das Ergebnis (gültig/ungültig, soweit der Mitgliedstaat ihn freigibt, der gemeldete Firmenname) wird den Bestelldaten beigefügt. Fällt der Dienst aus, wird der Kauf nicht blockiert. | EU (Europäische Kommission, Generaldirektion Steuern und Zollunion); keine Mandanten- oder Akteninhalte / EU (European Commission, DG Taxation and Customs Union); no client or case content | EU/EWR — kein Drittlandtransfer; öffentliche Stelle, kein Auftragsverarbeitungsvertrag erforderlich (eigene Verantwortlichkeit der Kommission) / EU/EEA — no third-country transfer; public body, no processing agreement required (the Commission acts as its own controller) | – |
Nachgelagerte KI-Modellanbieter (über Requesty)
Requesty leitet Verarbeitungsaufträge an führende LLM-Anbieter (z. B. Google, OpenAI, Anthropic) weiter; der Modell-Mix variiert je nach Aufgabe. Diese Anbieter sind Sub-Unternehmer von Requesty — nicht direkte Vertragspartner von Smart Legal Pro. Drittlandübermittlungen sind über den AVV von Requesty abgesichert, inkl. EU-Standardvertragsklauseln (2021/914, Modul 3), Zero-Retention und vertraglichem Trainingsverbot auf Kundendaten. Separate SCCs mit einzelnen LLM-Anbietern sind nicht erforderlich, solange die Processor-Kette über Requesty dokumentiert ist.
Auftragnehmer / Verantwortliche
MaSa Tech und Betriebs GmbH, Rathenaustr. 58a, 14612 Falkensee, Deutschland — info@smartlegalpro.com
Drittlandstransfer & Garantien
Sofern Subprozessoren personenbezogene Daten in Drittländer übermitteln, erfolgt dies ausschließlich auf Grundlage der EU-Standardvertragsklauseln (Beschluss (EU) 2021/914, Modul 2 und/oder Modul 3), ergänzt durch ein Transfer Impact Assessment (TIA) und – soweit verfügbar – das EU-US Data Privacy Framework. Zusätzliche technische Schutzmaßnahmen: TLS 1.3 in transit, AES-256 at rest, serverseitige PII-Maskierung vor ausgehenden KI-Calls, Zero-Retention beim AI-Gateway.
Benachrichtigung über Änderungen
Auftraggeber, die eine Vorab-Benachrichtigung bei Änderungen wünschen, abonnieren bitte unsere Subprozessor-Updates per E-Mail an info@smartlegalpro.com mit Betreff: Subprozessor-Updates.
