Vertrag zur Auftragsverarbeitung (AVV)

Abschluss

Der Vertrag kommt in Textform zustande (Art. 28 Abs. 9 DSGVO). Dazu schickt der Kunde eine E-Mail an info@meteor-ai.com mit

Firma und Anschrift,
den E-Mail-Adressen der Konten, die für ihn genutzt werden,
einem Ansprechpartner für Fragen des Datenschutzes und
der Erklärung, diesen Vertrag in der Fassung vom 13. Oktober 2026 abzuschließen.

Der Anbieter bestätigt den Abschluss in Textform. Eine unterschriebene Fassung als PDF gibt es auf Wunsch.

Vertragsparteien

Verantwortlicher („Kunde“): das Unternehmen, das diesen Vertrag nach Abschnitt Abschluss abschließt.

Auftragsverarbeiter („Anbieter“): zuber-management, Einzelunternehmen, Inhaber Patrick Zuber, Eschelbacher Str. 46, 69242 Mühlhausen, Deutschland, E-Mail info@meteor-ai.com.

Präambel

Der Kunde nutzt Meteor-AI, eine Web-Anwendung unter app.meteor-ai.com, über die Nutzer Anfragen an Sprach- und Bildmodelle Dritter stellen und die Antworten in Chats, Assistenten, Flows, HTML Apps und einer Bibliothek verwalten. Grundlage sind die Allgemeinen Geschäftsbedingungen des Anbieters („Hauptvertrag“).

Geben Nutzer des Kunden dabei personenbezogene Daten ein, verarbeitet der Anbieter sie im Auftrag des Kunden. Dieser Vertrag regelt die Rechte und Pflichten der Parteien dafür nach Art. 28 Abs. 3 DSGVO.

§ 1 Gegenstand, Dauer und Abgrenzung

(1) Gegenstand, Art und Zweck der Verarbeitung, Art der Daten und Kategorien der betroffenen Personen ergeben sich aus Anlage 1.

(2) Der Vertrag gilt, solange der Anbieter für den Kunden personenbezogene Daten im Rahmen des Hauptvertrags verarbeitet. Er endet ohne gesonderte Kündigung mit dem Hauptvertrag; § 10 gilt darüber hinaus.

(3) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist: Abschluss, Durchführung und Abrechnung des Hauptvertrags, Zahlungsabwicklung, Kündigungen und Widerrufe, die Begrenzung der Registrierung auf den EWR und die Schweiz, die Sicherheit des Betriebs sowie handels- und steuerrechtliche Aufbewahrung. Dafür gilt die Datenschutzerklärung des Anbieters.

(4) Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Ausnahmen regelt § 7.

§ 2 Verantwortung und Weisungen

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass Nutzer nur personenbezogene Daten eingeben, für die eine Rechtsgrundlage besteht. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) sind für die Verarbeitung nicht vorgesehen; gibt der Kunde sie dennoch ein, prüft er zuvor selbst, ob die in diesem Vertrag beschriebenen Maßnahmen dafür ausreichen.

(2) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; dann teilt er dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(3) Die Weisungen des Kunden sind abschließend im Hauptvertrag, in diesem Vertrag und in der Nutzung der Funktionen von Meteor-AI durch den Kunden und seine Nutzer festgelegt – etwa durch die Wahl eines Modells, das Hochladen einer Datei oder das Löschen von Daten. Weitere Weisungen erteilt der Kunde in Textform an info@meteor-ai.com.

(4) Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(5) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt der Anbieter als Antrag auf Leistungsänderung.

§ 3 Vertraulichkeit

(1) Der Anbieter gewährleistet, dass sich alle Personen, die zur Verarbeitung befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht gilt über das Ende ihrer Tätigkeit hinaus.

(2) Derzeit betreibt der Inhaber Meteor-AI allein. Zieht er weitere Personen hinzu, gilt Absatz 1 für sie, bevor sie Zugang zu den Daten erhalten.

§ 4 Sicherheit der Verarbeitung

(1) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie durch gleichwertige oder bessere ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert er.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Die bei Abschluss dieses Vertrags eingesetzten stehen in Anlage 3; sie gelten als genehmigt.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Kann eine Ankündigung nach Absatz 2 nicht abgewartet werden, weil ein Unterauftragsverarbeiter seinen Dienst einstellt oder ein Sicherheitsproblem den sofortigen Wechsel erfordert, informiert der Anbieter unverzüglich; das Widerspruchs- und Kündigungsrecht nach Absatz 2 bleibt.

(4) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Kunden für deren Einhaltung.

(5) Keine Unterauftragsverhältnisse im Sinne dieser Vorschrift sind Nebenleistungen, bei denen kein Zugriff auf die Daten des Kunden besteht, etwa Telekommunikation, Postdienste oder der Abruf öffentlicher Wechselkurse.

§ 6 Unterstützung des Kunden

(1) Betroffenenrechte. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten. Einen Großteil können Nutzer in der Anwendung selbst erledigen: Daten einsehen, ändern und löschen, einzelne Inhalte oder alle Daten löschen und das Konto löschen. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er das Anliegen unverzüglich an den Kunden weiter, soweit er ihn erkennen kann.

(2) Pflichten nach Art. 32 bis 36 DSGVO. Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Datenschutzverletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

(3) Datenschutzverletzungen. Wird dem Anbieter eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, meldet er sie dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden, in Textform. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; was noch nicht bekannt ist, reicht er nach. Er ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen zu mindern.

(4) Für Unterstützung, die über die Funktionen der Anwendung hinausgeht und nicht auf einem Verstoß des Anbieters beruht, kann der Anbieter eine angemessene Vergütung verlangen.

§ 7 Übermittlung in Drittländer

(1) Gespeichert und verarbeitet werden die Daten des Kunden in der Europäischen Union. Eine Übermittlung in ein Drittland oder an eine internationale Organisation findet nur auf dokumentierte Weisung des Kunden oder unter den Voraussetzungen der Art. 44 ff. DSGVO statt.

(2) Soweit Unterauftragsverarbeiter mit Sitz oder Konzernmutter außerhalb der EU auf Daten zugreifen können, ist das in Anlage 3 genannt und durch einen Angemessenheitsbeschluss (Art. 45 DSGVO) oder die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) abgesichert.

§ 8 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere eine aktuelle Fassung der Anlagen 2 und 3 und die Nachweise der Unterauftragsverarbeiter (etwa deren Zertifizierungen und Auftragsverarbeitungsverträge).

(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der nicht im Wettbewerb mit dem Anbieter steht, kann Überprüfungen einschließlich Inspektionen durchführen (Art. 28 Abs. 3 lit. h DSGVO). Sie sind mit angemessener Frist, in der Regel vier Wochen, anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht mehr als erforderlich stören. Rechenzentren der Unterauftragsverarbeiter werden durch deren Prüfberichte und Zertifikate nachgewiesen, nicht durch Inspektion vor Ort.

(3) Den Aufwand einer Überprüfung trägt jede Partei selbst, es sei denn, sie deckt einen erheblichen Verstoß des Anbieters auf.

§ 9 Rechte und Pflichten des Kunden

(1) Der Kunde informiert den Anbieter unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf Datenschutzvorschriften feststellt.

(2) Der Kunde benennt dem Anbieter beim Abschluss einen Ansprechpartner für Fragen des Datenschutzes und teilt Änderungen in Textform mit.

§ 10 Löschung und Rückgabe

(1) Der Kunde und seine Nutzer können ihre Daten jederzeit selbst exportieren, soweit die Anwendung das vorsieht, und selbst löschen: einzelne Inhalte, alle Daten (Chats, Bild-Gespräche, Bibliothek, Einstellungen und Dateien) oder das ganze Konto.

(2) Nach Ende des Hauptvertrags löscht der Anbieter die personenbezogenen Daten des Kunden, soweit Nutzer sie nicht bereits selbst gelöscht haben, spätestens 30 Tage nach Vertragsende, es sei denn, eine Pflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats verlangt ihre Speicherung. Auf Wunsch des Kunden bestätigt er die Löschung in Textform.

(3) Datensicherungen des Datenbankdienstleisters werden nicht einzeln bereinigt, sondern im Rotationsverfahren überschrieben (Anlage 2, Ziffer 3); bis dahin sind sie gegen Zugriff geschützt und werden nicht für andere Zwecke genutzt.

(4) Nicht nach Absatz 2 gelöscht werden Abrechnungszeilen und Buchungen, die der Anbieter als eigener Verantwortlicher aufbewahrt (§ 1 Abs. 3). Sie enthalten keine Inhalte, keinen Namen und keine E-Mail-Adresse, nur eine Kennung.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit sie mit der DSGVO vereinbar sind.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.

(2) Der Vertrag kommt zustande, wenn der Kunde ihn nach Abschnitt Abschluss in Textform annimmt und der Anbieter die Annahme bestätigt.

(3) Änderungen und Ergänzungen bedürfen der Textform (Art. 28 Abs. 9 DSGVO). Das gilt auch für den Verzicht auf dieses Formerfordernis. Änderungen der Anlagen 2 und 3 richten sich nach § 4 Abs. 2 und § 5.

(4) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt eine wirksame, die ihrem Zweck am nächsten kommt.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Anbieters.

Anlage 1 – Gegenstand und Umfang der Verarbeitung

1. Gegenstand und Zweck

Bereitstellung von Meteor-AI als Software-as-a-Service: Annehmen, Speichern und Anzeigen der Eingaben und Inhalte der Nutzer, Weiterleiten der Anfragen an das vom Nutzer gewählte Sprach- oder Bildmodell und Rückgabe der Antwort, Websuche, wo der Nutzer sie einschaltet, Versand der E-Mails der Anwendung an die Nutzer sowie Support.

2. Art der Verarbeitung

Erheben, Erfassen, Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln an Unterauftragsverarbeiter (Anlage 3), Abgleichen, Einschränken, Löschen.

3. Art der personenbezogenen Daten

Kontodaten der Nutzer: Name, E-Mail-Adresse, Kennung des Kontos, Einstellungen.
Inhalte: Eingaben (Prompts) und Antworten in Chats, Anhänge und hochgeladene Dokumente, erzeugte Bilder, Inhalte der Bibliothek (Prompts, Skills, Wissenselemente samt Dokumenten, Assistenten, Flows, HTML Apps). Darin können personenbezogene Daten beliebiger Art enthalten sein, die Nutzer eingeben – etwa Namen, Kontaktdaten oder Angaben zu Kunden, Geschäftspartnern oder Beschäftigten des Kunden.
Suchbegriffe: Bei eingeschalteter Websuche der Anfang der letzten Eingabe (höchstens 400 Zeichen) als Suchanfrage.
Nutzungsdaten: Zeitpunkt, Modell, benutzte Werkzeuge, Tokens und Kosten jeder Anfrage, ohne Inhalte.
Technische Daten: IP-Adresse, Zeitpunkt, abgerufene Datei und Browserkennung beim Laden der Anwendung; Server-Protokolle; Fehlermeldungen der Anwendung.
Supportanfragen: Thema, Betreff, Beschreibung, Bearbeitungsstand, auf Wunsch Angaben zur Umgebung (App-Version, Seite, Fenstergröße, Sprache, Browserkennung), nie Chatinhalte. Anfragen per E-Mail an support@meteor-ai.com mit Absender, Inhalt und Anhängen.

4. Kategorien betroffener Personen

Nutzer: Beschäftigte und Beauftragte des Kunden, die Meteor-AI verwenden.
Dritte: Personen, deren Daten Nutzer in Inhalte eingeben, etwa Kunden, Interessenten, Geschäftspartner und Beschäftigte des Kunden.

5. Ort der Verarbeitung

Europäische Union. Datenbank und Dateispeicher in Frankfurt am Main (eu-central-1); Modellanfragen über den EU-Endpunkt von Eden AI an Modelle, die in der EU rechnen; Ausnahmen nur nach § 7 und Anlage 3.

6. Dauer

Laufzeit des Hauptvertrags, danach § 10.

Anlage 2 – Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO. Meteor-AI betreibt keine eigenen Server. Die Infrastruktur stellen die Unterauftragsverarbeiter aus Anlage 3; für deren Rechenzentren gelten ihre eigenen Maßnahmen und Zertifizierungen, die der Anbieter auf Anfrage nachweist.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Keine eigenen Serverräume. Die Daten liegen in Rechenzentren der Unterauftragsverarbeiter mit deren physischen Schutzmaßnahmen.
Arbeitsgeräte des Anbieters stehen in nicht öffentlich zugänglichen Räumen.

Zugangskontrolle

Anmeldung der Nutzer über Supabase Auth mit E-Mail-Adresse und Passwort; die E-Mail-Adresse wird vor der ersten Nutzung bestätigt. Die Anwendung speichert weder Passwörter noch Hashes.
Eine Passwortänderung verlangt das aktuelle Passwort.
Konten lassen sich sperren; die Registrierung lässt sich schließen.
Neue Konten entstehen nur aus dem EWR und der Schweiz; geprüft wird in der Datenbank, nicht im Formular.
Zugänge des Anbieters zu den Verwaltungsoberflächen der Dienstleister (Supabase, Vercel, Eden AI, Plunk, Microsoft 365, Stripe, GitHub) sind persönlich und mit starken, einmaligen Passwörtern geschützt, zusätzlich mit Zwei-Faktor-Authentifizierung, wo der Dienstleister sie anbietet.
Arbeitsgeräte des Anbieters sind mit Kennwort gesperrt und ihre Datenträger verschlüsselt.

Zugriffskontrolle

Row Level Security auf jeder Tabelle der Datenbank: Ein Konto sieht und ändert nur Zeilen, die ihm gehören. Die Regel gilt in der Datenbank, nicht nur in der Oberfläche.
Buchungen, Plan und Guthaben kann ein Konto lesen, aber nicht ändern; geschrieben wird nur serverseitig.
Der Verwaltungsbereich des Anbieters zeigt Konten, Verbrauch und Zustand der Installation, aber keine Inhalte. Er läuft über Datenbankfunktionen, die die Berechtigung in der ersten Zeile selbst prüfen.
Technischen Zugriff auf die Datenbank selbst hat nur der Inhaber. Er nutzt ihn für Inhalte des Kunden nur, soweit es für Betrieb, Fehlerbehebung oder Support erforderlich ist oder der Kunde es anweist.
Der API-Schlüssel zu den Modellen liegt als Secret serverseitig und ist für Nutzer nie sichtbar.
HTML Apps laufen in einem isolierten Rahmen ohne Zugriff auf Anmelde-Token, Speicher oder Datenbank.

Trennungskontrolle

Logische Trennung der Daten je Konto durch Row Level Security.
Getrennte Datenbanken für Entwicklung und Betrieb; Tests laufen gegen die Entwicklungsumgebung.
Nutzungsdaten für die Abrechnung werden getrennt von Inhalten gespeichert und enthalten keine Inhalte.

Pseudonymisierung und Datensparsamkeit

Nach dem Löschen eines Kontos bleiben Abrechnungszeilen nur mit Kennung, ohne Namen und E-Mail-Adresse.
Kein Tracking, keine Analyse- oder Werbedienste, keine Schriften oder Icons von Dritten.
Bei erfolgreicher Registrierungsprüfung wird die IP-Adresse nicht gespeichert.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Alle Verbindungen – Browser zur Anwendung, Anwendung zu den Dienstleistern – sind per TLS verschlüsselt.
Modellanfragen gehen ausschließlich über den EU-Endpunkt von Eden AI. Modelle ohne Verarbeitung in der EU sind gesperrt.
Zero Data Retention bei der Modellverarbeitung: Eingaben und Antworten werden dort weder gespeichert noch zum Training genutzt; vertraglich mit Eden AI geregelt.
Datenbank und Dateispeicher sind im Ruhezustand verschlüsselt.

Eingabekontrolle

Server-Protokolle bei Supabase (7 Tage) und Vercel (höchstens 1 Tag).
Jede Modellanfrage wird mit Zeitpunkt, Konto, Modell, Tokens und Kosten verbucht, ohne Inhalt.
Änderungen am Datenbankschema laufen ausschließlich über versionierte Migrationen mit Historie; Änderungen am Code über Git mit Pull Requests.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Datenbank als verwalteter Dienst bei Supabase mit täglicher Datensicherung; Sicherungen werden 7 Tage aufbewahrt und danach überschrieben.
Auslieferung der Anwendung über das Netz von Vercel.
Nutzungsgrenzen je Konto und Begrenzung der Anfragen je Zeiteinheit an öffentlichen Formularen schützen vor Missbrauch und Überlast.
Fällt eine Suche aus, antwortet das Modell ohne Suche, statt die Anfrage abzubrechen.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Sicherheits- und Leistungshinweise von Supabase werden nach Schemaänderungen geprüft.
Neue Funktionen werden zuerst auf der Entwicklungsumgebung erprobt und erst danach in den Betrieb übernommen.
Ändern sich Dienstleister, Speicherorte, Speicherdauer oder Löschverhalten, werden Datenschutzerklärung, Anlage 3 und diese Anlage im selben Zug angepasst.
Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO (Anlage 3); Weisungen des Kunden werden in Textform dokumentiert.

Anlage 3 – Unterauftragsverarbeiter

Supabase

Anbieter: Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513
Leistung: Datenbank, Anmeldung, Dateispeicher, Serverfunktionen
Daten: alle Datenarten aus Anlage 1
Ort: Frankfurt am Main (AWS eu-central-1)
Grundlage: Data Processing Addendum von Supabase (Art. 28 DSGVO); für Zugriffe aus Singapur Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Eden AI

Anbieter: Eden AI SAS, 19 rue Louis Guérin, 69100 Villeurbanne, Frankreich
Leistung: Vermittlung zu Sprach- und Bildmodellen und zur Websuche
Daten: Inhalte der jeweiligen Anfrage, Suchbegriffe
Ort: EU, ausschließlich über den EU-Endpunkt
Grundlage: Auftragsverarbeitungsvertrag mit Eden AI, mit Regelung zu Zero Data Retention

Modellanbieter (über Eden AI)

Leistung: Verarbeitung der Anfrage im vom Nutzer gewählten Modell
Daten: Inhalte der jeweiligen Anfrage
Ort: ausschließlich Infrastruktur in der EU; Modelle ohne EU-Verarbeitung sind gesperrt
Grundlage: Verträge von Eden AI mit den Modellanbietern; Zero Data Retention
Hinweis: Welche Modelle verfügbar sind, zeigt die Modellauswahl in der Anwendung. Die aktuelle Liste der Anbieter teilt der Anbieter auf Anfrage mit.

Linkup (über Eden AI)

Leistung: Websuche, wenn der Nutzer sie für ein Modell einschaltet, das nicht selbst sucht
Daten: Suchbegriff (Anfang der letzten Eingabe, höchstens 400 Zeichen)
Ort: EU, über den EU-Endpunkt von Eden AI
Grundlage: über Eden AI

Plunk

Anbieter: Plunk, Coenraetsstraat 72, 1060 Brüssel, Belgien
Leistung: Versand der E-Mails der Anwendung
Daten: Name, E-Mail-Adresse, Inhalt der jeweiligen Mail
Ort: Speicherung in Deutschland (Hetzner), Zustellung über Amazon Web Services in Stockholm (eu-north-1)
Grundlage: Auftragsverarbeitungsvertrag von Plunk (Art. 28 DSGVO)

Vercel

Anbieter: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
Leistung: Auslieferung der Dateien der Anwendung
Daten: Verbindungsdaten (IP-Adresse, Zeitpunkt, abgerufene Datei, Browserkennung); keine Konten, keine Inhalte
Ort: Projektregion Frankfurt am Main (fra1); Auslieferung vom nächstgelegenen Standort des Netzes von Vercel
Grundlage: Data Processing Addendum von Vercel (Art. 28 DSGVO); EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Microsoft

Anbieter: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
Leistung: E-Mail-Postfächer (Exchange Online in Microsoft 365), über die Supportanfragen per E-Mail eingehen und beantwortet werden
Daten: Absender, Inhalt und Anhänge von E-Mails an support@meteor-ai.com und info@meteor-ai.com
Ort: Rechenzentren in Deutschland; Speicherung in der EU vertraglich zugesichert (EU-Datengrenze von Microsoft)
Grundlage: Data Protection Addendum von Microsoft (Art. 28 DSGVO); für Zugriffe der Microsoft Corporation (USA) EU-US Data Privacy Framework (Art. 45 DSGVO), ergänzend Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Nicht Unterauftragsverarbeiter für Daten des Kunden ist Stripe (Stripe Payments Europe, Limited, Dublin). Stripe wickelt die Zahlungen des Hauptvertrags ab und verarbeitet dafür Kontodaten im Verhältnis zum Anbieter als dessen Dienstleister bzw. als eigener Verantwortlicher (§ 1 Abs. 3); Inhalte erhält Stripe nicht.

Versionen

Fassung vom 13. Oktober 2026: Microsoft als Unterauftragsverarbeiter für die E-Mail-Postfächer (Anlage 3), Supportanfragen per E-Mail (Anlage 1), Zugang zu Microsoft 365 (Anlage 2).
Fassung vom 12. Oktober 2026: erste Fassung.