Stand: 2026-08-01 · Version 2026-08 · Änderungsprotokoll
Über diese Liste
Diese Seite listet alle Unterauftragsverarbeiter (Subprozessoren), die Gorilia zur Erbringung der Plattformleistung einsetzt — als verbindliche Grundlage für Anlage 2 des Auftragsverarbeitungsvertrags. Sie wird laufend aktuell gehalten.
Änderungen kündigen wir Kontoinhabern 30 Tage vorab per E-Mail an. Der Änderungsmechanismus (allgemeine Genehmigung, Vorabinformation, Widerspruchsrecht) ist in Anlage 2 des AVV geregelt.
„DPF" bezeichnet die Zertifizierung nach dem EU-U.S. Data Privacy Framework. Ein DPF-Status steht nie für sich allein — er ergänzt, ersetzt aber nicht die zugrunde liegenden Standardvertragsklauseln als vertragliche Absicherung. Wo ein DPF-Status „nach Anbieterangabe" genannt ist, beruht er auf der Selbstauskunft des jeweiligen Anbieters und wurde von uns nicht im DPF-Register nachgeprüft. Für die KI-Modellanbieter stützen wir die Übermittlung bewusst allein auf die Standardvertragsklauseln — unabhängig davon, ob ein DPF-Eintrag besteht.
Unterauftragsverarbeiter
| Rechtsträger & Sitz | Zweck | Datenkategorien | Ort der Verarbeitung | Transfermechanismus | Seit |
|---|---|---|---|---|---|
| Vercel Inc. (USA) | Hosting, Serverless-Funktionen, KI-Gateway-Routing | Sämtliche über die Plattform verarbeiteten Inhalte (Transit) | Dublin, EU (Region dub1) | DPF-Selbstzertifizierung nach Anbieterangabe aktiv (bis 2027-04-29), von uns nicht im DPF-Register nachgeprüft; zusätzlich Standardvertragsklauseln (SCC) | Seit Launch (2026-08) |
| Supabase, Inc. (USA) | Datenbank, Authentifizierung, Datei-Speicher | Konto-, Authentifizierungs- und Workspace-Daten | eu-west-1 (Irland) | Standardvertragsklauseln (SCC), kein DPF | Seit Launch (2026-08) |
| Mistral AI SAS (Frankreich) | Standardmodell für Chat-Antworten, Titel-Generierung aller Threads, Dokument-Texterkennung (OCR, direkter API-Weg) | Chat-Prompts und -Antworten, Dokumentinhalte | EU/EWR (Frankreich) | Innergemeinschaftliche Verarbeitung, kein Drittlandtransfer | Seit Launch (2026-08) |
| Anthropic PBC (USA) | Optional wählbare KI-Modelle (Claude) | Chat-Prompts und -Antworten | USA | Standardvertragsklauseln (SCC) — auf eine DPF-Zertifizierung stützen wir die Übermittlung nicht | Seit Launch (2026-08) |
| OpenAI (USA) | Optional wählbare KI-Modelle (GPT) | Chat-Prompts und -Antworten | USA | Standardvertragsklauseln (SCC) — auf eine DPF-Zertifizierung stützen wir die Übermittlung nicht | Seit Launch (2026-08) |
| Google (USA/EU) | Optional wählbare KI-Modelle (Gemini); festes Modell des optionalen Modus „Planer" (nur bei aktiver Auswahl durch den Nutzer). Kein Training auf Kundeninhalten nach Anbieterangabe für den genutzten kostenpflichtigen Zugang | Chat-Prompts und -Antworten | USA/EU (modellabhängig) | Standardvertragsklauseln (SCC) — auf eine DPF-Zertifizierung stützen wir die Übermittlung nicht | Seit Launch (2026-08) |
| xAI / X.AI LLC (USA) | Optional wählbare KI-Modelle (Grok) | Chat-Prompts und -Antworten | USA | Kein DPF, nur Standardvertragsklauseln (SCC). Für das Alltagsmodell (Grok 4.1 Fast) ist verifiziert Zero Data Retention erzwungen; für das Flaggschiff-Modell (Grok 4.5) steht keine Zero Data Retention zur Verfügung (offengelegte Ausnahme) — dort gilt laut Anbieterangabe eine 30-tägige Standard-Aufbewahrung mit Vorbehalt der Nutzung de-identifizierter Daten. | Seit Launch (2026-08) |
| Perplexity AI, Inc. (USA) | Websuche-Werkzeug innerhalb des Chats | Suchanfragen (können aus dem Chat-Inhalt abgeleitet sein) | USA | Standardvertragsklauseln (SCC), soweit vertraglich vermittelt — auf eine DPF-Zertifizierung stützen wir die Übermittlung nicht. Verifiziert keine Zero Data Retention verfügbar (offengelegte Ausnahme). Für diesen Anbieter liegt uns keine vertragliche Trainings-Ausschlusszusage vor; die Suchanfrage ist daher auf das zu beschränken, was du tatsächlich suchen möchtest. | Seit Einführung des Websuche-Werkzeugs (2026-07) |
| Upstash, Inc. (USA, via Vercel Marketplace) | Kurzlebiger Stream-Zwischenpuffer für unterbrochene Chat-Antworten (Wiederverbindung) | Chat-Antwortinhalte im Durchlauf (Pub/Sub, nicht gespeichert); dauerhaft gespeichert wird nur ein technischer Sentinel-Schlüssel pro Stream, 24 Stunden TTL | Über den Vercel Marketplace bereitgestellt; die konkrete Speicherregion klären wir derzeit mit dem Anbieter. Wir behandeln die Verarbeitung bis zur Klärung als Drittlandübermittlung (USA). | Standardvertragsklauseln (SCC); DPF-Teilnahme nur nach Selbstauskunft des Anbieters, nicht registerseitig bestätigt | Seit Umstellung des Chat-Streamings (2026-07) |
| Resend / Plus Five Five, Inc. (USA) | Transaktionale E-Mails (Bestätigungen, Belehrungen, Konto-Mails) | E-Mail-Adresse, E-Mail-Inhalt der jeweiligen Nachricht | eu-west-1 (Irland, Versanddomain) | DPF-Selbstzertifizierung nach Anbieterangabe aktiv, von uns nicht im DPF-Register nachgeprüft; zusätzlich Standardvertragsklauseln (SCC) | Seit Launch (2026-08) |
| Sentry / Functional Software, Inc. (USA) | Technische Fehlerüberwachung (ausschließlich Fehlerereignisse) | Fehlerereignisse, Stacktraces, technische Metadaten; keine IP-Adressen, kein Session-Replay | EU-Ingest (Frankfurt) für Ereignisdaten; Konto-/Supportdaten USA | DPF-Selbstzertifizierung nach Anbieterangabe aktiv, von uns nicht im DPF-Register nachgeprüft; zusätzlich Standardvertragsklauseln (SCC) | Seit 2026-08-01 (Livegang Monitoring) |
Open-Meteo (Deutschland): das Wetter-Werkzeug im Chat ruft die Wetter-API von Open-Meteo mit einer Ortsangabe auf. Der Aufruf erfolgt anonym, ohne Nutzerkennung und ohne Vertragsverhältnis mit Open-Meteo — daher hier als Fußnote statt als vollständige Tabellenzeile geführt.
Stripe — unabhängiger Verantwortlicher
Für die Zahlungsabwicklung setzt Gorilia Stripe ein: vertraglicher Partner ist die Stripe Payments Europe, Limited (Irland), die Zahlungsdaten teilweise an die Stripe, LLC (USA) weitergibt. Stripe ist hierbei kein Unterauftragsverarbeiter von Gorilia, sondern verarbeitet Zahlungs- und Betrugspräventionsdaten als eigenständiger Verantwortlicher nach seinen eigenen Datenschutzbestimmungen (Stripe LLC ist DPF-zertifiziert, ergänzt um Standardvertragsklauseln). Details: stripe.com/privacy.
Weitere Informationen
Details zu den einzelnen Verarbeitungen, Rechtsgrundlagen und Speicherfristen findest du in der Datenschutzerklärung. Für Fragen zu dieser Liste wende dich an admin@kracht.at.