Unterauftragsverarbeiter und Anbieter

Bevor ein Anbieter personenbezogene Daten für Sie verarbeitet, vereinbaren wir mit ihm schriftlich, welche Rolle er hat, wofür die Daten verwendet werden dürfen, um welche Daten und welche Personen es geht, welche technische Einrichtung genutzt wird, aus welchen Ländern die Verarbeitung und jeder Fernzugriff erfolgen, welche Unterauftragnehmer es gibt, wie lange die Daten gespeichert werden, wie sie abgesichert werden, welche Grundlage für eine etwaige Übermittlung außerhalb der EU und des EWR gilt und wie wir aus dem Vertrag wieder herauskommen. Ist das nicht geklärt, setzen wir den Anbieter für diese Aufgabe nicht ein. Die Liste zeigt die Anbieter, die wir tatsächlich einsetzen.

Wir betreiben die Produktion bei Kinsta (Sevalla) in Rechenzentren von Google Cloud. Das umfasst die API, die Datenbank und die Buchungsseiten, und die Datenbank liegt in Frankfurt. Die Web-App ist eine statische Site bei Sevalla. Cloudflare steht vor allen Sevalla-Apps und liefert Objektspeicher für Medien und Datenbanksicherungen in Cloudflare R2 sowie den Schutz vor Robotern.

Unsere Vertragspartei bei Amazon Web Services ist Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg, zusammen mit den AWS-Gesellschaften, die Teil der geltenden Vertragsgrundlage sind. Wir nutzen diese AWS-Dienste in der EU:

Das meiste bleibt in der EU und im EWR. Die Datenbank liegt in Frankfurt, und die AWS-Dienste laufen in der EU. Einige Verarbeitungen finden dennoch außerhalb der EU und des EWR statt:

• Video über LiveKit. Jede Session geht an den nächstgelegenen Server, und die Verarbeitung ist nicht an die EU gebunden. Grundlage ist der Auftragsverarbeitungszusatz von LiveKit: EU-US Data Privacy Framework, soweit LiveKit zertifiziert ist, andernfalls die EU-Standardvertragsklauseln.
• Edge und Turnstile von Cloudflare. Sie laufen auf einem globalen Netz, und die Grundlage richtet sich nach den Vertragsbedingungen von Cloudflare.
• Hosting bei Kinsta (Sevalla). Eine etwaige Übermittlung erfolgt nach den Vertragsbedingungen des Anbieters.
• Fernsupport und Zugriff aus dem Konzern eines Anbieters oder von dessen Unterauftragnehmern. Er kann aus einem Land außerhalb der EU und des EWR erfolgen, auch wenn die Daten hier gespeichert sind.

Grundlage einer Übermittlung ist entweder ein Beschluss der Europäischen Kommission, dass das Land ein angemessenes Schutzniveau bietet, das EU-US Data Privacy Framework für den zertifizierten Rechtsträger oder die EU-Standardvertragsklauseln mit einer Übermittlungsfolgenabschätzung, auf Englisch Transfer Impact Assessment, und den ergänzenden Maßnahmen, die erforderlich sind.

Ihre eigenen Einstellungen in der Plattform bilden zusammen mit dem Auftragsverarbeitungsvertrag Ihre Weisung an uns, und sie umfassen die Übermittlungen, die sich aus den Modulen ergeben, die Sie eingeschaltet haben, darunter Video über LiveKit.

Wir nutzen Anthropic Claude über Amazon Bedrock in einer Einrichtung, die nur in EU-Regionen verarbeitet (EU-Inferenzprofil). Wir haben deshalb kein unmittelbares Auftragsverarbeitungsverhältnis zu Anthropic, und unser Vertragspartner ist Amazon Web Services. Welche Daten gesendet werden, steht in der Tabelle in Ziffer 3.

Die KI-Funktionen im Journal sind Teil des Journalmoduls und stehen zur Verfügung, wenn Sie das Journalmodul eingeschaltet haben. Es gibt keinen gesonderten Schritt, in dem Sie jede einzelne KI-Funktion einschalten. Die meisten KI-Ergebnisse sind Entwürfe, die eine fachlich kompetente Person prüfen muss, bevor sie im Journal gespeichert oder geteilt werden. Einige Ergebnisse werden nicht einzeln freigegeben, unter anderem das automatische Notiz-Feedback an die behandelnde Person und die maschinelle Übersetzung geteilter Inhalte für die Klientin oder den Klienten, siehe die KI-Informationen. Wir verwenden KI nicht für Diagnose, Triage, Behandlungsentscheidungen oder den Zugang zu Leistungen, und Ihre Daten werden weder zum Training von Modellen verwendet noch für andere Zwecke weiterverwendet.

Sie erteilen über den Auftragsverarbeitungsvertrag eine allgemeine Genehmigung für die Unterauftragsverarbeiter, die in der Fassung dieser Liste stehen, die Sie angenommen haben. Planen wir, einen direkten Unterauftragsverarbeiter hinzuzufügen oder auszutauschen, kündigen wir dies mindestens 30 Tage vor dem Wirksamwerden an.

Innerhalb der Frist können Sie über privacy@flowdule.com Widerspruch erheben. Der Widerspruch muss konkret und sachlich mit dem Datenschutz begründet sein. Finden wir gemeinsam keine angemessene Lösung, können Sie den betroffenen Dienst nach dem Auftragsverarbeitungsvertrag kündigen. Änderungen weiter unten in der Kette verfolgen wir, und wir informieren Sie darüber, wenn die Änderung für die Verarbeitung, das Risiko, die Regionen oder Ihre Weisung wesentlich ist.