Öffentliche Subunternehmer-Liste
Diese Liste nennt die Subunternehmer des Kunden-AVV. Sie ist der Änderungsmechanismus aus § 4 der Kunden-AVV-Vorlage: Neue oder geänderte Subunternehmer erscheinen hier spätestens 30 Kalendertage vor Beginn ihrer Verarbeitung.
Dienste, die als eigener Verantwortlicher auftreten (zum Beispiel Google Maps in der Betreiber-Suche), und reine Auslieferungs-Embeds (OpenFreeMap in der Team-Ansicht) gehören nicht in diese Liste.
Subunternehmer
| Subunternehmer | Tätigkeit | Daten | Sitz und Vertragspartner | Transfer-Basis |
|---|---|---|---|---|
| ALL-INKL (KAS, kasserver.com) | SMTP-Versand transaktionaler Mails (Verifizierung, Passwort-Reset, Login-Wechsel) und Empfang der Domain | Empfänger-Adresse, Absender noreply@ameal.io, Links mit Token. Die Login-Wechsel-Mail nennt alte und neue Adresse. Die IP des App-Servers sieht ALL-INKL an der SMTP-Verbindung. Eingehende Mails an @ameal.io sind Post der ameal.io, nicht Daten des Restaurant-Kunden. | Deutschland, ALL-INKL.COM, Neue Medien Münnich, Friedersdorf. Rechenzentren Dresden und Friedersdorf. | nicht nötig, nur EU/EWR, Speicher in Deutschland |
| Google (Tag Manager, Google Analytics 4) | Tag-Management und Reichweitenmessung der öffentlichen Seiten. Der Container lädt erst nach Einwilligung in Statistik. | Analyse-Cookies, pseudonyme Kennungen, IP-Adressen, Gerätekennungen. Keine E-Mail, kein Konto, kein Allergen-Profil im Lade-Code. | Google-Gruppenunternehmen. Für ein EWR-Konto üblicherweise Google Ireland, im Konto nicht geprüft. Verarbeitung in jedem Land mit Einrichtungen von Google oder Unterauftragsverarbeitern. | SCC (Beschluss 2021/914, Modul 2), wenn die Adresse von Google nicht in einem angemessenen Land liegt. Amtliche DPF-Liste nicht geprüft (Stand 2026-10-19). |
| Neuralwatt Inc. | KI-Inferenz: Speisekarten-Extraktion, Foto-Klassifizierung, Such-Intent, Motiv-Klassifizierung | Seitenbilder der Speisekarte, Google-Places-Fotos als Bildbytes, Gäste-Suchtext bis 200 Zeichen ohne Kontobezug, Gerichtsname, Beschreibung und Kategorie. Allergen-Wörter darin sind kein Art.-9-Profil. Keine Gäste-IP. Die IP des App-Servers sieht Neuralwatt am Aufruf. | USA, Neuralwatt Inc. Unterauftragnehmer global, teils EU, kein EU-Residency-Nachweis. | AVV unterzeichnet am 2026-10-20. Das Übertragungsinstrument steht im AVV mit Neuralwatt. Eine Änderung am Vertrag ist noch in Klärung. |
| Railway (Railway Corporation) | Hosting der Web-App, Postgres, Buckets über Tigris, Plattform-Logs | Kontodaten, Bewertungen, Feedback, Speisekarten-Uploads, IPs in Logs | US-Unternehmen. Primäre Verarbeitung in den USA. Ressourcen in der EU (europe-west4, Bucket ams). | SCC (Beschluss 2021/914, Modul 2), mit dem DPA vom 2026-10-19 geschlossen. DPF nur, wenn Railway zertifiziert ist. Amtliche Liste nicht geprüft. |
| Sentry (Functional Software, Inc.) | Fehler-Tracking im Backend und Frontend. Backend zusätzlich Performance-Traces bei 10 Prozent der Requests. | Fehler-Events, Seitenpfad ohne Query-String, Release und Umgebung. Keine Cookies, keine Query-Strings, keine Nutzer-IP als Event-Feld; auch die IP-Adresse der Verbindung erreicht Sentry nicht. | USA, Functional Software, Inc. Ingest ingest.us.sentry.io. Speicherung in den USA und in Ländern der Unterauftragnehmer. |
DPF (Teilnehmer 5869, EU-US Active, Non-HR, amtliche Liste geprüft 2026-10-19). SCC nur, wenn das DPF nicht gilt. |
Unterverarbeiter der Subunternehmer
Die Liste nennt die Subunternehmer der ersten Ebene. Einige davon setzen selbst weitere Subunternehmer ein, zum Beispiel Tigris für die Buckets bei Railway. Details stehen in den Datenverarbeitungsverträgen der einzelnen Anbieter.
Autorisierung und Stand
Die allgemeine Autorisierung beginnt mit der Unterzeichnung der ersten Vertragsfassung der Kunden-AVV-Vorlage, § 4. Widerspruch aus Kunden folgt der 30-Tage-Vorschrift aus § 4. Stand der Liste: 2026-10-20.