Maßgebliche Quelle: dieselbe Liste wie in der Datenschutzerklärung (Abschnitt „Subverwerker"); eine automatisierte Prüfung hält die beiden Listen gleich.
Dieses Dokument gibt für jede Partei an, was sie tut, wo sie Daten verarbeitet und wie der Stand der Auftragsverarbeitungsvereinbarung ist — auch wo dieser offen ist. Es steht nirgends „DPA unterzeichnet", es sei denn, dies ist als Nachweis im Compliance-Register festgehalten; am 16-10-2026 ist das nur für die Server von Hetzner der Fall. Der AVV für das Mailhosting bei Hetzner wurde am 16-10-2026 geschlossen; der Nachweis dafür wird noch im Register festgehalten.
| Partei | Zweck | Land | Auftragsverarbeitungsvereinbarung (Stand 17-10-2026) |
|---|---|---|---|
| Anthropic | Ausführung von Agent-Aufgaben (das Sprachmodell hinter jedem Agenten) über die Dienste von Anthropic. | Vereinigte Staaten | Bietet einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln an; Annahme durch Stilops noch nicht als Nachweis festgehalten — offen. |
| Hetzner Online GmbH | Hosting der Server, auf denen Stilops und Kundendaten laufen. | Deutschland (EU) | Verarbeitung innerhalb der EU. AVV (Art. 28 DSGVO) Version 1.2 über das Hetzner-Konto geschlossen, von Hetzner datiert auf 22-9-2026; die PDF ist als Nachweis archiviert und im Register festgehalten — angenommen, Nachweis archiviert. |
| Hetzner Online GmbH (E-Mail) | E-Mail-Hosting von Stilops selbst (Hetzner Webhosting): das Absenderkonto für transaktionale E-Mails an Kunden (Passwort-Reset, Anmeldebestätigung, Einladungen, Ticketantworten, Entscheidungsmitteilungen) und die Postfächer der internen Agenten von Stilops. Kunden-Agenten haben kein Postfach und versenden keine E-Mails. Kalte Outreach-Mails an Interessenten über diesen Host sind nicht selbstverständlich (Hetzner Webhosting erlaubt keine Massenmails) und erfordern einen gesonderten Beschluss. | Deutschland (EU) | Verarbeitung innerhalb der EU. AVV (Art. 28 DSGVO) über das Hetzner-Konto für das Mailhosting am 16-10-2026 geschlossen, einschließlich Kommunikationsdaten (E-Mail) — geschlossen; Nachweis noch im Register festzuhalten. |
| Cloudflare, Inc. | DNS und Verkehrssicherung für die Domains von Stilops. | Vereinigte Staaten | Bietet einen DPA mit EU-Standardvertragsklauseln an; Annahme noch nicht als Nachweis festgehalten — offen. |
| Stripe | Zahlungen und Rechnungsdaten bei einem kostenpflichtigen Abonnement. | Vereinigte Staaten / Irland | Bietet einen DPA mit EU-Standardvertragsklauseln an; Annahme noch nicht als Nachweis festgehalten — offen. |
| Kadaster (PDOK Locatieserver) | Umwandlung niederländischer Adressen in Koordinaten, wenn ein Kunden-Agent mit Routenplanung mit dem Routentool eine Route berechnet; nur die Adresszeile, keine Namen (seit 17-10-2026). | Niederlande (EU) | Öffentlicher Behördendienst; kein Auftragsverarbeitungsvertrag angeboten. Erhält nur Adresszeilen ohne Namen — beschlossen durch Fabian am 17-10-2026. |
Was ein Kunde hiervon erwarten darf
- Ändert sich diese Liste (neue Partei, anderes Land, andere Vereinbarung), so ändert sich die Datenschutzerklärung mit und erhält eine neue Versionsnummer. Ein Test im Repository stellt sicher, dass die Namen in beiden Quellen gleich bleiben.
- Ein Kunde, der Einwände gegen einen Subverarbeiter hat, kann diese über [email protected] melden.
- Bis zum 16-10-2026 lief die E-Mail von Stilops über MXroute (Vereinigte Staaten), ohne Auftragsverarbeitungsvertrag und ohne Übermittlungsmechanismus. Seit diesem Datum läuft die gesamte E-Mail über Hetzner in Deutschland. Bei MXroute liegen noch die E-Mails aus der Zeit vor dem Wechsel. Eine letzte Übertragung und die Kündigung laufen noch; danach wird MXroute nicht mehr für personenbezogene Daten verwendet, und Stilops bittet MXroute dann, die Löschung von Postfächern und Domain schriftlich zu bestätigen.
- Der Browseranbieter (Google bei Chrome, Microsoft bei Edge) verarbeitet Audio für die Sprachfunktionen (Diktieren, Besprechungsaufzeichnung) auf dem Gerät des Nutzers selbst; dieses Audio erreicht Stilops nicht. Dies steht in der Datenschutzerklärung, ist aber kein Subverarbeiter von Stilops im Sinne von Art. 28 DSGVO und steht daher nicht in der Tabelle.
Was geschehen muss, um die offenen Punkte zu schließen
- Für Anthropic, Cloudflare und Stripe (Hetzner-Server sind am 11-10-2026 abgeschlossen, Hetzner-Mail am 16-10-2026): den angebotenen DPA annehmen (meistens ein Klick im Kundenportal des Anbieters), die angenommene Version als PDF archivieren und den Verweis als Nachweis bei den Controls
iso27001:A.5.23,nis2:art.21(2)(d)undnen7510:5.22hinterlegen. - MXroute ist abgeschlossen: Am 16-10-2026 wurde die E-Mail zu Hetzner (EU) mit einem Auftragsverarbeitungsvertrag übertragen. Was noch folgt: den AVV-Nachweis für das Mailhosting im Register festhalten; die letzte Übertragung und die Kündigung bei MXroute abschließen und danach die Löschung von Postfächern und Domain schriftlich bestätigen lassen.