Dienstleister und Unterauftragnehmer
Version 2026-09-15
REDAKTIONELLE FREIGABEFASSUNG – Stand 11.09.2026; Freigabe siehe RELEASE_REVIEW.md
Dienstleister und Unterauftragnehmer für Graefer Sales Hub
Diese Liste unterscheidet zwischen von Graefer Trading GmbH für den SaaS-Betrieb eingesetzten Dienstleistern und optionalen, vom Kunden selbst aktivierten Integrationen. Die konkret verwendete Vertragsgesellschaft und Region werden vor der juristischen Freigabe mit den produktiven Verträgen abgeglichen.
1. Produktiver SaaS-Betrieb
OVH GmbH gemäß dem im OVHcloud-Konto validierten Auftragsverarbeitungsvertrag
Leistung: Hosting, Rechenleistung, Netzwerk, Datenspeicherung und Sicherungsinfrastruktur.
Daten: Anwendungs-, Konto-, CRM-, Protokoll- und verschlüsselte Sicherungsdaten.
Region: Produktivserver in Frankfurt, Deutschland (os-de2); zusätzliche verschlüsselte Sicherungen in OVHcloud Object Storage Paris, Frankreich (eu-west-par). Die externe Sicherung ist nach dem dokumentierten Betrieb mit 30 Tagen Object Lock geschützt.
Rolle: Unterauftragnehmer.
IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland
Leistung: Versand technisch notwendiger Konto- und Sicherheits-E-Mails, sofern das konfigurierte IONOS-Postfach verwendet wird.
Daten: Name, geschäftliche E-Mail-Adresse, Firmenname, Inhalt der Systemnachricht und technische Versanddaten.
Region: EU/EWR nach beauftragtem Tarif.
Rolle: Unterauftragnehmer. Der AVV mit der IONOS SE wurde für das verwendete Kundenkonto am 05.09.2026 elektronisch abgeschlossen und im Kundenkonto bestätigt.
OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
Leistung: Vom Benutzer ausgelöste KI-Zusammenfassungen, Vertriebsimpulse und Einwandbehandlung über die OpenAI API.
Daten: Für die konkrete Anfrage ausgewählte und nach Möglichkeit um unmittelbare Kontaktdaten reduzierte CRM-Inhalte, Notizen, Einwände und Gesprächsinhalte; keine Passwörter oder Zahlungsdaten.
Region und Transfer: EWR-Vertragspartner OpenAI Ireland Ltd.; mögliche weitere Verarbeitung nach dem seit 01.01.2026 geltenden OpenAI Data Processing Addendum, Angemessenheitsbeschlüssen und EU-Standardvertragsklauseln. API-Daten werden nach den veröffentlichten Geschäftsbedingungen standardmäßig nicht zum Training verwendet. Missbrauchsüberwachungsprotokolle können standardmäßig bis zu 30 Tage aufbewahrt werden. Europäische Datenresidenz beziehungsweise -verarbeitung über den EU-Endpunkt und die dafür erforderliche Zero-Data-Retention- oder Modified-Abuse-Monitoring-Freigabe sind für das konkrete Produktivprojekt nachzuweisen.
Rolle: Unterauftragnehmer, soweit der API-Zugang zentral durch Graefer Sales Hub bereitgestellt wird; bei einem ausschließlich kundeneigenen API-Vertrag vom Kunden ausgewählter Empfänger.
2. Zahlungsabwicklung in eigener Verantwortlichkeit und teilweise Auftragsverarbeitung
Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, sowie die nach den Stripe-Vertragsbedingungen beteiligten Stripe-Gesellschaften
Leistung: Abonnement-, Zahlungs-, Rechnungs- und Betrugspräventionsdienste.
Daten: Firmen- und Ansprechpartnerdaten, Rechnungsadresse, E-Mail-Adresse, Steuerinformationen, Tarif, Betrag, Zahlungsstatus, technische Transaktionskennungen und durch Stripe erhobene Zahlungsdaten.
Region und Transfer: EWR sowie mögliche weitere Länder nach dem Stripe Data Processing Agreement, zuletzt veröffentlicht am 18.11.2025, dem Data Transfers Addendum, Angemessenheitsbeschlüssen und EU-Standardvertragsklauseln.
Rolle: Je nach Tätigkeit Auftragsverarbeiter oder eigenständig Verantwortlicher, insbesondere für eigene regulatorische Pflichten und bestimmte Betrugspräventionszwecke. Eine gemeinsame Verantwortlichkeit wird nicht pauschal unterstellt. Vollständige Zahlungsdaten werden nicht in Graefer Sales Hub gespeichert. Datenschutzhinweise: https://stripe.com/privacy; Rollen und Verträge: https://stripe.com/legal/privacy-center und https://stripe.com/legal/dpa. Im eingesetzten Zahlungsablauf können Stripe Billing, Stripe Tax und Stripe Radar beteiligt sein.
3. Vom Kunden wählbare Integrationen
Nur wenn ein Kunde die jeweilige Verbindung selbst aktiviert, können Daten an folgende Kategorien und Anbieter übermittelt werden:
Buchhaltung und Warenwirtschaft: Lexware Office, sevdesk, easybill und Xentral. Übermittelt werden je nach Konfiguration Kontakte, Firmenstammdaten, Produkte, Angebote, Belege, Kundennummern und Zahlungsstatus in die vom Kunden festgelegte Richtung.
Telefonie: Placetel, Aircall, Microsoft Teams Phone und RingCentral. Verarbeitet werden je nach Anbieter Rufnummern, Benutzerzuordnung, Zeit, Dauer, Richtung, Status und vom Kunden aktivierte Gesprächsdaten.
E-Mail: IONOS oder ein anderes vom Kunden eingerichtetes Postfach. Verarbeitet werden Zugangsinformationen, Absender, Empfänger, Betreff, Versand- und Empfangszeit, Zuordnung und – soweit freigegeben – Inhalte.
Lead- und Unternehmensquellen: Meta Lead Ads und Google-Dienste. Verarbeitet werden vom Kunden ausgewählte Lead-, Kampagnen-, Firmen- und Kontaktdaten. Bei freigegebener WhatsApp-Business-Anbindung kommen Business-Konto- und Rufnummernkennungen, Nachrichten, Anhänge sowie Zustell- und Lesestatus entsprechend den aktivierten Berechtigungen hinzu. Die bloße Nennung ist keine Zusage, dass eine Integration bereits freigeschaltet ist.
Optionale Google-Anmeldung: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Authentifizierung mit Konto-ID, bestätigter E-Mail-Adresse und gegebenenfalls Name. Diese Anmeldung ist von einer Gmail- oder Kalenderanbindung getrennt. Google verarbeitet darüber hinaus eigene Verbindungs- und Sicherheitsdaten nach https://policies.google.com/privacy.
Diese Anbieter werden durch den Kunden ausgewählt und über dessen Zugangsdaten angebunden. Der Kunde prüft sein eigenes Vertragsverhältnis, die Rechtsgrundlage und mögliche Drittlandübermittlungen. Graefer Sales Hub übermittelt nur die für die aktivierte Funktion erforderlichen Daten.
4. Änderungen
Über die Aufnahme oder Ersetzung eines Unterauftragnehmers für den zentralen SaaS-Betrieb wird mindestens 30 Tage vor Einsatz in Textform informiert. Kunden können aus wichtigem datenschutzrechtlichem Grund widersprechen. Reine optionale Integrationen werden erst durch die bewusste Aktivierung des Kunden wirksam.