Auftragsverarbeiter

Auftragsverarbeiter (Subprocessors)

Stand: 26. Oktober 2026 · Letzte Aktualisierung der Liste

Diese Seite beschreibt Dienstleister und technische Integrationen für Tutel-DE. Der Einsatz hängt von den freigeschalteten Funktionen ab. Insbesondere Zahlungs- und Identitätsanbieter können für einzelne Zwecke eigenständig verantwortlich sein; ihre Nennung bedeutet keine pauschale Einordnung als Unterauftragsverarbeiter. Maßgeblich sind die konkrete Verarbeitung und Vertragskette. Die Liste wird aktualisiert. Schulen mit aktivem Auftragsverarbeitungsvertrag (AVV) werden über Subprozessor-Änderungen vor Inkrafttreten informiert (Art. 28 Abs. 2 i.V.m. AVV §8). Offene Vertragsnachweise sind vor einer neuen personenbezogenen Nutzung oder Erweiterung zu klären. Eine veröffentlichte Online-DPA ersetzt keinen Nachweis der für das konkrete Konto geltenden Bedingungen.

Bei Rückfragen oder zur Anforderung konkreter DPAs: info@tutel.app.

Dienstleister	Rolle	Region	Drittland-Transfer	AVV/DPA
Supabase (aktuelle Online-DPA: Supabase Pte. Ltd.) Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Datenbank (Postgres), Authentifizierung, Edge Functions, File Storage Datenflüsse: Konten, KI-Tutoring-Speicherung, Familien-Beziehungen, Klassen, Audit-Logs	eu-north-1 (Stockholm, Schweden)	EU-Datenebene; konzern-, support- oder unterauftragnehmerbezogene Transfers gemäß DPA/SCCs gesondert zu berücksichtigen	🔲Online-DPA verfügbar und in Anbieterbedingungen einbezogen; konkrete Kontozuordnung wird dokumentiert
Vercel Inc. Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Webhosting, Edge-Runtime, Cron-Plattform Datenflüsse: Alle HTTP-Anfragen, Edge-Function-Hosting, Cron-Jobs	Deploys: fra1 (Frankfurt, Deutschland). Control-Plane: USA	SCCs (EU-Kommission 2021/914 Modul 2) via Vercel-DPA Schedule 3	✅Nach Anbieterbedingungen einbezogen
Stripe Payments Europe, Ltd. Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Zahlungsabwicklung, Rechnungsstellung, Abo-Verwaltung Datenflüsse: Stripe-Customer-IDs, Subscription-State, Rechnungsdaten (PCI DSS Level 1 bei Stripe; keine Kartendaten auf Tutel-Servern)	Dublin (Irland); Stripe, Inc. (USA) als Mutterkonzern	SCCs via Stripe-DPA	✅Nach Anbieterbedingungen einbezogen
Resend (Plus Five Five, Inc.) Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Transaktionaler und Outreach-E-Mail-Versand Datenflüsse: Welcome-, Verification-, Magic-Link-, Einladungs-, B2B-Outreach- und Newsletter-E-Mails	USA	SCCs via Resend-DPA	✅Nach Anbieterbedingungen einbezogen
Google Cloud / Vertex AI Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	KI-Modell-API für KI-Tutoring und Bewertung Datenflüsse: Minimierte Tutorfragen, Fach, Klassenstufe, erforderlicher Lernkontext und Modellantworten	Standard-EU-Route: Vertex-Standortkennung eu (EU-Multiregion)	Google Cloud DPA/SCCs; konkrete Vertrags- und Kontokonfiguration zu verifizieren	🔲Online-DPA vorhanden; konkrete Konto-, Routen- und Datenkontrollen gesondert nachzuweisen
Mistral AI SAS Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	KI-Modell-API für freigeschaltete OCR- oder gesondert freigegebene Inferenzrouten Datenflüsse: Für die jeweilige freigeschaltete Route minimierte Bild-/Dokumentdaten oder Tutor-Eingaben und Antworten	Anbieter: Frankreich; Verarbeitungsregion gemäß freigegebener Anbieter-Konfiguration	Vor produktiver Nutzung vertraglich und technisch zu verifizieren	🔲Online-DPA vorhanden; konkrete Konto-, Routen- und Datenkontrollen gesondert nachzuweisen
Intuition Machines, Inc. (hCaptcha) Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Bot-Schutz für öffentliche Anmelde- und Schulanfrageformulare Datenflüsse: Challenge-Token, IP und technische Browserdaten für die Missbrauchsprüfung	USA (Delaware)	SCCs via hCaptcha-DPA	🔲Anbieterbedingungen/DPA-Verknüpfung dokumentiert; konkrete Kontofassung gesondert nachzuweisen
Upstash, Inc. Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Redis-basierter Rate-Limit-Speicher Datenflüsse: Zeitlich begrenzte Zähler und pseudonymisierte Anfrageschlüssel; diese können personenbezogen sein	EU (genaue Region zu verifizieren)	Anwendbare DPA-/Transferregeln auch bei Support- und Konzernzugriffen; EU-Instanz allein genügt nicht	🔲Anbieterbedingungen/DPA-Verknüpfung dokumentiert; konkrete Kontofassung gesondert nachzuweisen
Google Ireland Ltd. Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	OAuth-Identitätsprovider (Google Sign-In) Datenflüsse: OAuth-Anmeldevorgang; OIDC sub, E-Mail-Adresse und Name	Google-Infrastruktur; konkrete Verarbeitungsregion gemäß Kontokonfiguration	Identitätsanbieter-Bedingungen und anwendbare Transfergarantien; nicht mit dem Vertex-AI-Vertrag gleichzusetzen	🔲Identitätsanbieterrolle und anwendbare Bedingungen getrennt von Google Cloud
IServ GmbH (schul-gehostete Instanzen) Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	OIDC-Identitätsprovider B2B SSO Datenflüsse: OIDC-Anmeldevorgang für freigegebene B2B-Schulen	Vom jeweiligen Schul-/Instanzbetreiber abhängig	Je Schulinstanz zu bestimmen	N/ASchulbezogene Verantwortlichkeiten und Vertragskette maßgeblich; keine pauschale Befreiung
Functional Software, Inc. (Sentry) Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Anwendungs-Fehler-Monitoring Datenflüsse: Minimierte Server-, Client- und Edge-Fehlerereignisse; keine Tutor-Inhaltsvorschauen als vorgesehene Felder	Konfigurierter EU-Endpunkt de.sentry.io; US-Vertragspartner	SCCs via Sentry-DPA	✅Beidseitig unterzeichnet am 15. September 2026; Originalnachweis archiviert
Plausible (selbst-gehostet) Aufgenommen: Bestand; Übersicht geprüft am 26. Oktober 2026	Cookielose Web-Analytics Datenflüsse: Optionale, einwilligungsabhängige Seitenaufrufe über /api/proxy/event; bereinigter Pfad, Herkunft und technische Browser-/IP-Daten; keine Besuchercookies	Von Tutel betriebene Analytics-Infrastruktur; Hosting separat dokumentiert	Eigener Betrieb allein ist kein Nachweis eines fehlenden Drittlandtransfers	N/ATutel betreibt die Anwendung; Infrastrukturpartner sind getrennt zu bewerten
Cloudflare, Inc. Aufgenommen: Bestand; Tunnel am 26. Oktober 2026 verifiziert	Geschützter Netzwerk-Tunnel zur selbst betriebenen Analytics-Infrastruktur Datenflüsse: Übermittlung technischer Analytics-Anfragen einschließlich IP-/Browserdaten über den geschützten Tunnel	Globales Netzwerk; eine Beschränkung auf EU-Verarbeitung ist nicht belegt	Anwendbare Cloudflare-DPA und Transfergarantien; konkrete Diensteinbeziehung maßgeblich	🔲Öffentliche Customer-DPA dokumentiert; konkrete Dienst-/Vertragszuordnung gesondert nachzuweisen

Legende

✅ Unterzeichneter Nachweis oder Einbeziehung nach den jeweils genannten Anbieterbedingungen; siehe Zeilentext
🔲 Vertrags- oder Kontonachweis wird geprüft; kein Beleg einer bereits erfolgten Unterzeichnung
N/A Keine einheitliche zentrale Unterauftragsverarbeiterrolle; konkrete Betreiber- und Vertragskette prüfen

Informations- und Widerspruchsrechte

Schulen mit aktivem Vertrag werden über Subprozessor-Änderungen per E-Mail an die im AVV hinterlegte Schul-Verwaltungs-Adresse benachrichtigt. Widerspruch gegen einen neuen Subprozessor kann innerhalb von 30 Tagen nach Mitteilung schriftlich erfolgen (info@tutel.app); ArchiTech AI UG sucht in diesem Fall eine alternative Lösung oder bietet eine außerordentliche Vertragskündigung an.

Verweise und aktuelle Berichtigung

26. Oktober 2026: DPO-Kontakt und beidseitig unterzeichneten Sentry-DPA berichtigt; KI-Standardroute als EU-Multiregion eu statt pauschal Frankfurt bezeichnet; optionale Analyse und Cloudflare-Transport offengelegt.
Datenschutzerklärung mit Rechtsgrundlagen und gesondertem Schulanfragen-Hinweis.
AGB
Die konkret für einen Schulauftrag geltende Anbieter-/Vertragskette stellen wir auf Anfrage bereit.
Geschäftliche Facebook-/Social-Media-Auftritte sind getrennte Verarbeitungen und kein Nachweis von Meta-Produkttracking.