Unterauftragsverarbeiter und Empfänger

Anlage 3 zum Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Auftragsverarbeiter: LuminaByte GmbH, Julius-Hatry-Straße 1, 68163 Mannheim · HRB 748625
Dienst: scoco.ai — KI-Telefonassistent und WhatsApp-Assistent
Version: 0.6 · Stand: 29.10.2026

Diese Liste nennt alle Dienstleister, die im Auftrag der LuminaByte GmbH personenbezogene Daten unserer Kunden verarbeiten, sowie Empfänger, die in eigener Verantwortung handeln. Änderungen zeigen wir mindestens 30 Tage vor Wirksamwerden per E-Mail an; ein Widerspruchsrecht besteht nach § 6 des Auftragsverarbeitungsvertrags.

Grundsätze, die für alle Anbieter gelten: Im Standardbetrieb werden keine Gesprächsaufzeichnungen erstellt — Gesprächsaudio wird ausschließlich flüchtig zur Echtzeit-Erkennung verarbeitet; das gilt auch für den Ausweichanbieter der Spracherkennung. Die Antworttexte der Assistenz löschen wir aus dem Verlauf des Anbieters der Sprachsynthese spätestens nach einer Stunde. Gesprächsinhalte werden weder von uns noch von unseren Dienstleistern zum Training oder Feinabstimmen von KI-Modellen verwendet; unser Team prüft Gespräche eines Kunden nur zur Bearbeitung seiner Anfragen und Störungsmeldungen oder auf seine Weisung im Qualitätsprogramm (AVV § 13 Abs. 4 und 8).

A. Unterauftragsverarbeiter

B. Empfänger (keine Auftragsverarbeitung)

easybell erbringt die Sprachverbindungen als Telekommunikationsanbieterin in eigener Verantwortung und unterliegt dabei dem Fernmeldegeheimnis sowie den Pflichten des Telekommunikationsgesetzes; sie ist deshalb Empfängerin und nicht Unterauftragsverarbeiterin.

Die Zahlungsabwicklung des Vertragsverhältnisses zwischen unseren Kunden und LuminaByte ist nicht Gegenstand dieser Liste.²

C. Vom Kunden selbst beauftragte Dienste

Wer den WhatsApp-Assistenten nutzt, verbindet in Metas Anmeldefenster sein eigenes WhatsApp-Business-Konto und schließt dabei selbst die Bedingungen mit WhatsApp Ireland; Metas Gebühren rechnet Meta direkt mit dem Kunden ab. WhatsApp Ireland ist damit Auftragsverarbeiter des Kunden und kein Unterauftragsverarbeiter der LuminaByte GmbH; wir nennen den Dienst hier, damit die Liste den gesamten Datenweg zeigt. Für den Messenger selbst — den Transport zwischen dem Gerät des Endkunden und Meta — ist WhatsApp gegenüber dem Endkunden eigenständig verantwortlich.

Bei Nutzung der WhatsApp-Business-App parallel zur Plattform („Koexistenz") verlangt Meta, dass Kontakte und Gesprächsverlauf der App einmalig synchronisiert werden. Diese Daten erreichen unsere Plattform, werden dort aber nicht gespeichert, sondern unmittelbar verworfen.

Sein Google- oder Microsoft-Konto verbindet der Kunde selbst; wir greifen mit seiner Freigabe auf Kontakte und Kalender dieses Kontos zu. Google und Microsoft verarbeiten diese Daten im Rahmen des Vertrags zwischen dem Kunden und ihnen und sind insoweit keine Unterauftragsverarbeiter der LuminaByte GmbH.

Bindet ein Kunde eine eigene KI-Anwendung über unsere Schnittstelle für KI-Anwendungen (MCP) an, wählt er deren Anbieter selbst und nutzt sie nach dessen Bedingungen; die Anwendung erhält nur die Daten, die der Kunde bei der Anbindung freigibt. Ihr Anbieter ist kein Unterauftragsverarbeiter der LuminaByte GmbH.

Fußnoten

¹ Deepgram: Der Auftragsverarbeitungsvertrag einschließlich EU-Standardvertragsklauseln ist abgeschlossen; Audio und Transkripte werden ausschließlich flüchtig im Arbeitsspeicher verarbeitet (vertraglich zugesichert, keine Speicherung).

² Zahlungsabwicklung: Für die Abrechnung des Vertragsverhältnisses zwischen unseren Kunden und LuminaByte setzen wir Stripe Payments Europe Ltd. (Irland) ein. Stripe ist kein Unterauftragsverarbeiter im Sinne dieser Liste: Verarbeitet werden dort ausschließlich Vertrags- und Rechnungsdaten (Firmenname, Rechnungs-E-Mail-Adresse, Anschrift, Umsatzsteuer-Identifikationsnummer, Zahlungsmittel), für die LuminaByte selbst Verantwortliche ist. Gesprächs-, Anrufer- oder Kontaktdaten erreichen Stripe nicht. Einzelheiten enthält unsere Datenschutzerklärung.

³ Google LLC: Aktiver Teilnehmer des EU-US Data Privacy Framework (zuletzt geprüft am 13.10.2026; jährliche Re-Verifikation).

⁴ Microsoft (Azure OpenAI) — Missbrauchsüberwachung: Prompts und Antworten werden zur Diensterbringung nicht gespeichert und nicht für Training verwendet. Microsofts Missbrauchsüberwachung prüft automatisch geflaggte Inhalte standardmäßig maschinell und ohne Speicherung; nur wenn diese maschinelle Prüfung nicht ausreicht, kann die geflaggte Stichprobe zeitlich begrenzt zur menschlichen Prüfung gespeichert werden — Zugriff ausschließlich durch autorisierte Microsoft-Mitarbeiter, für EWR-Deployments im EWR ansässig; die Ablage erfolgt in der Verarbeitungs-Geografie (EU).

⁵ Soniox: Der Auftragsverarbeitungsvertrag ist am 17.10.2026 beidseitig unterzeichnet; die EU-Standardvertragsklauseln (Modul 3) sind einbezogen. Gesprächsaudio wird vertraglich zugesichert flüchtig verarbeitet und nicht gespeichert; eine Verwendung für Training ist ausgeschlossen. Der Vertrag lässt eine begrenzte Verarbeitung außerhalb der EU-Region zu, soweit sie für Sicherheit, Support, Betrieb des Dienstes oder die Erfüllung gesetzlicher Pflichten erforderlich ist; der Anbieter hat schriftlich bestätigt (19.10.2026), dass das nur Daten betrifft, die wir ihm selbst zu Support-, Rechts- oder Sicherheitszwecken übergeben. Die Transfer-Folgenabschätzung ist dokumentiert (19.10.2026). Für die Sprachsynthese gilt dieselbe flüchtige Verarbeitung ohne Speicherung in der EU-Region; der Anbieter hat das schriftlich bestätigt (30.10.2026).

Änderungshistorie