Unterauftragsverarbeiter

nach Art. 28 Abs. 2 und 4 DSGVO · asterbuild.ai · Stand 4. Oktober 2026

Was diese Liste belegt und was nicht. Erhoben aus dem Quelltext: welche Dienste die Anwendung tatsächlich anspricht und welche Daten dabei übertragen werden. Mit geprüft markierte Angaben wurden am 4. Oktober 2026 im laufenden System nachgesehen. Rot markierte Angaben sind offen: Vertragspartner, abgeschlossene Auftragsverarbeitungsverträge und Übermittlungsgrundlagen liegen außerhalb des Systems und sind anhand der Verträge zu belegen. Diese Liste ist Anlage 3 der Vereinbarung zur Auftragsverarbeitung.

1 Im Einsatz

Dienstleister	Leistung und übertragene Daten	Ort der Verarbeitung	Vertrag
Supabase Vertragspartner offen	Datenbank, Dateispeicher, Anmeldung, serverseitige Funktionen. Verarbeitet alle Daten der Anwendung: Konten, Firmen, Projekte, Pläne, Leistungsverzeichnisse, Abrechnung, Protokolle, sowie die Angaben und Pläne aus dem Gratis-LV.	Datenhaltung in der EU, Rechenzentrum Paris (Region eu-west-3) geprüft Ausführungsort der serverseitigen Funktionen offen	AVV offen
Google Gemini API Vertragspartner offen	KI-Auswertung: Mengen und Positionen aus Plänen, Zusammenfassung von Vergabeunterlagen, Vorschläge zum Ausmaßblatt aus Fotos und Plänen, Korrektur von Positionstexten. Die Dateien werden übertragen und enthalten regelmäßig Namen und Anschriften von Bauherren und Planverfassern, Baustellenfotos können Personen zeigen. Angesprochen wird der Dienst über einen API-Schlüssel geprüft.	außerhalb der EU möglich, Ort offen	AVV offen Tarif offen
PDFShift Vertragspartner offen	Umwandlung erzeugter Dokumente in PDF: Leistungsverzeichnis, K-Blätter, Rechnung, Abrechnungsblätter. Übertragen wird der Inhalt des Dokuments mit Positions-, Projekt-, Firmen-, Auftraggeber- und Rechnungsdaten. Bautagesbericht und Angebot druckt der Browser selbst, sie gehen nicht an diesen Dienst.	Ort offen Speicherdauer offen	AVV offen
Resend Vertragspartner offen	Versand von Einladungen, Passwortmails und Benachrichtigungen. Übertragen werden Name, E-Mail-Adresse und der Inhalt der Nachricht.	Ort offen	AVV offen
Cloudflare Vertragspartner offen	Auslieferung der Website und der Anwendung (Cloudflare Pages). Verarbeitet Verbindungsdaten: IP-Adresse, Zeitpunkt, Browserkennung. Keine Inhalte von Leistungsverzeichnissen; diese gehen direkt zwischen Browser und Supabase.	weltweites Netz, Ort offen	AVV offen
komoot Photon Vertragspartner offen	Adressvorschläge bei der Eingabe einer Baustellenadresse im Dashboard. Übertragen werden der eingegebene Adresstext und die IP-Adresse; die Anfrage geht direkt aus dem Browser an den Dienst.	Ort offen	Rolle offen AVV offen

2 Im Quelltext vorhanden, derzeit nicht im Einsatz

Dienstleister	Stand
Anthropic Claude API	Ausweichsystem für die KI-Auswertung. Es ist kein Zugangsschlüssel hinterlegt geprüft, der Dienst erhält daher keine Daten. Vor einer Aktivierung kommt er in Abschnitt 1, mit der Frist aus Ziffer 5 der AVV.
Google Vertex AI, Region Frankfurt (europe-west3)	Vorbereitete Umstellung der KI-Auswertung auf einen Endpunkt in der EU. Der Zugang ist nicht eingerichtet geprüft; solange läuft die Auswertung über die Gemini API in Abschnitt 1.

3 Keine Unterauftragsverarbeiter

TED, die Bekanntmachungsdatenbank der EU: Die Suche nach öffentlichen Ausschreibungen übermittelt nur Suchbegriffe, keine personenbezogenen Daten.
Calendly: nur ein Verweis zur Terminbuchung. Daten fließen erst, wenn man dem Verweis folgt, und dann direkt an Calendly.
Google Fonts: Ersatzquelle für die Hausschrift in PDF-Dokumenten, falls die eigene Schriftdatei nicht geladen werden kann. Abgerufen wird sie vom PDF-Dienst, nicht aus dem Browser der Nutzer.

4 Änderungen

Kommt ein Dienstleister hinzu oder wird er ersetzt, wird diese Liste vorher geändert und Kunden mit Auftragsverarbeitungsvertrag werden nach Ziffer 5 der AVV mit einer Frist von 30 Tagen informiert.

Stand 4. Oktober 2026, erhoben aus dem Quelltext und der Konfiguration der Anwendung. Erstellt von einem Ingenieur-Werkzeug, nicht von einer Kanzlei. Offene Angaben bleiben sichtbar offen, bis sie anhand der Verträge belegt sind.