Sub-Prozessoren
Stand19. September 2026
Diese Liste der Sub-Prozessoren wird gemäß Abschnitt 7 unseres Auftragsverarbeitungsvertrags veröffentlicht. Wir beauftragen sorgfältig ausgewählte Sub-Prozessoren für Infrastruktur, KI-Modell-APIs, Zahlungsabwicklung, Transaktions-E-Mail und Code-Repository-Integration. Änderungen werden mindestens 30 Tage im Voraus mitgeteilt; ein Einspruch aus berechtigten datenschutzrechtlichen Gründen ist möglich.
Um Änderungsbenachrichtigungen per E-Mail zu erhalten, abonnieren Sie diese unter privacy@airbuild.ai.
Letzte Aktualisierung (19. September 2026): Google Analytics 4 für die Marketing-Website ergänzt, ESLint in den Qualitäts-Tools durch Ruff und Biome ersetzt sowie die Einträge zu KI-Anbietern, SonarQube und Datenstandort präzisiert.
Angekündigte Änderung (19. September 2026): Die DeepSeek-Modelle werden künftig nicht mehr über DeepSeeks eigene API in China betrieben, sondern als Open Weights bei Lyceum in der EU; Kimi K3, Qwen3-Coder und GLM-5.3 kommen auf demselben Weg hinzu. Lyceum tritt damit als Sub-Prozessor hinzu, DeepSeek entfällt als Sub-Prozessor. Für Ein- und Ausgaben entfällt dadurch die Drittlandübermittlung und bei dieser Route die Drittlandübermittlung. Die nativen Routen derselben Modelle bleiben als ausdrücklich auszuwählende Opt-in-Ausnahme bestehen. Einspruch aus berechtigten datenschutzrechtlichen Gründen innerhalb von 30 Tagen an privacy@airbuild.ai.
1. Infrastruktur
| Sub-Prozessor | Rolle | Standort | Übermittlungsinstrument |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Cloud-Infrastruktur (Compute, Storage, Datenbank, Netzwerk, EFS, S3, CloudFront, ALB) | Frankfurt, Deutschland (eu-central-1) — primäre Region für Produktiv-Workloads | EU-Niederlassung; für etwaige Übermittlungen in die USA: EU-Standardvertragsklauseln und ergänzende Maßnahmen |
2. KI-Modellanbieter
| Sub-Prozessor | Rolle | Standort | Übermittlungsinstrument |
|---|---|---|---|
| Anthropic (Claude, via Amazon Bedrock) | Large-Language-Model-API (Claude) für Chat, Code-Generierung und Agent-Runtime — bereitgestellt über Amazon Bedrock | Europäische Union (Amazon Bedrock, EU-Region) für die meisten Claude-Modelle; Claude Fable 5 nutzt Bedrocks globales Inferenzprofil und kann außerhalb der EU verarbeitet werden | Die meisten Claude-Modelle werden in der EU über Amazon Bedrock verarbeitet. Claude Fable 5 läuft derzeit auf Bedrocks globalem Cross-Region-Inferenzprofil und kann außerhalb der EU verarbeitet werden, abgesichert durch AWS-Standardvertragsklauseln. Als technischer Fallback können Anfragen direkt an Anthropic PBC (USA) auf Grundlage des EU–US Data Privacy Framework bzw. der EU-Standardvertragsklauseln übermittelt werden. Ein- und Ausgaben werden nicht zum Modelltraining verwendet. |
| OpenAI, L.L.C. | Optionale Large-Language-Model-API für Chat und Code-Generierung, nur wenn ein Kunde ein OpenAI-Modell auswählt — direkt über die offizielle OpenAI-API | Vereinigte Staaten (Modell-APIs) | EU-Standardvertragsklauseln und ergänzende Maßnahmen; API-Daten werden nicht zum Training von OpenAI-Modellen verwendet |
| Mistral AI SAS | Optionale Large-Language-Model-API für Chat und Code-Generierung, nur wenn ein Kunde ein Mistral-Modell auswählt — direkt über die offizielle Mistral-API | Europäische Union (Frankreich) | EU-Anbieter (Paris); Verarbeitung über die offizielle Mistral-API, keine Nutzung zum Training von Mistral-Modellen |
| Google Ireland Limited / Google LLC | Gemini-/Vertex-AI-Modell-API — für Chat und Code-Generierung, wenn ein Kunde ein Gemini-Modell auswählt, und für die KI-Bildgenerierung unabhängig vom gewählten Chat-Modell; Google-OAuth zur Anmeldung | Europäische Union und Vereinigte Staaten | EU-Standardvertragsklauseln und ergänzende Maßnahmen |
| Lyceum Technology Germany GmbH | Managed Inference für die Open-Weight-Modelle im Modell-Picker — DeepSeek, Kimi K3, Qwen3-Coder und GLM-5.3 — und die Standardroute für jedes dieser Modelle | Europäische Union — Auslieferung aus europäischen Rechenzentren, GLM-5.3 Flash aus Paris. Sitz des Anbieters: Berlin (Amtsgericht Charlottenburg, HRB 274593 B) | Verarbeitung innerhalb der Europäischen Union durch ein deutsches Unternehmen, eine Drittlandübermittlung findet daher nicht statt. Die Modelle laufen als Open Weights auf der Infrastruktur von Lyceum; die Organisation, die ein Modell ursprünglich veröffentlicht hat, erhält keine Daten. Nach den Bedingungen von Lyceum werden Ein- und Ausgaben der Inferenz ausschließlich zur Erzeugung des Ergebnisses für den Kunden verarbeitet, nicht über das technisch Erforderliche hinaus gespeichert und nicht zum Training verwendet. |
| Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (DeepSeek, native route) | Optionale Large-Language-Model-API für Chat und Code-Generierung, nur wenn ein Kunde die native DeepSeek-Route auswählt | China (Volksrepublik China) | Ausnahme zur EU-Datenhaltung und zum No-Training (siehe §5 und §6). Nach der Datenschutzerklärung von DeepSeek werden personenbezogene Daten in der Volksrepublik China erhoben, verarbeitet und gespeichert und zum Training und zur Verbesserung der Modelle verwendet. Übermittlung auf Basis von EU-Standardvertragsklauseln, ergänzenden Maßnahmen und ausdrücklicher Einwilligung des Kunden. Dasselbe Modell ist EU-gehostet über Lyceum verfügbar — das ist die Voreinstellung. |
| Moonshot AI PTE. LTD. (Kimi, native route) | Optionale Large-Language-Model-API (Kimi K3) für Chat und Code-Generierung, nur wenn ein Kunde die native Kimi-Route auswählt | Singapur (Vertragspartner und anwendbares Recht). Der Verarbeitungsort ist in den Bedingungen des Anbieters nicht angegeben. | Ausnahme zur EU-Datenhaltung und zum No-Training (siehe §5 und §6). Die Plattform-Bedingungen von Moonshot erlauben standardmäßig, Inhalte — Ein- und Ausgaben — zur Entwicklung und Verbesserung der Dienste zu verwenden; Einschränkungen erfordern eine gesonderte Enterprise-Vereinbarung. Für Singapur besteht kein EU-Angemessenheitsbeschluss; die Übermittlung stützt sich daher auf EU-Standardvertragsklauseln, ergänzende Maßnahmen und die ausdrückliche Einwilligung des Kunden. Dasselbe Modell ist EU-gehostet über Lyceum verfügbar — das ist die Voreinstellung. |
| Jingsheng Hengxing Technology Pte. Ltd. (Z.ai / GLM, native route) | Optionale Large-Language-Model-API (GLM-5.3, GLM-5.3 Flash) für Chat und Code-Generierung, nur wenn ein Kunde die native GLM-Route auswählt | Singapur (10 Anson Road, International Plaza) | Ausnahme zur EU-Datenhaltung (siehe §5). Der Anbieter gibt an, personenbezogene Daten grundsätzlich in Singapur zu verarbeiten und über die API übermittelte Inhalte in Echtzeit zu verarbeiten, ohne sie auf seinen Servern zu speichern. Für Singapur besteht kein EU-Angemessenheitsbeschluss; die Übermittlung stützt sich daher auf EU-Standardvertragsklauseln, ergänzende Maßnahmen und die ausdrückliche Einwilligung des Kunden. Dieselben Modelle sind EU-gehostet über Lyceum verfügbar — das ist die Voreinstellung. |
| Alibaba Cloud (Singapore) Private Limited (Qwen, native route, EU endpoint) | Optionale Large-Language-Model-API (Qwen3-Coder, über Alibaba Cloud Model Studio) für Chat und Code-Generierung, nur wenn ein Kunde die native Qwen-Route auswählt | Europäische Union (Frankfurt) — EU-Endpunkt von Model Studio | Die Inferenz läuft über den Frankfurter Endpunkt, die Anfrage wird also in der EU verarbeitet, und Alibaba Cloud gibt an, Geschäftsdaten von Kunden ohne ausdrückliche Einwilligung nicht zur Entwicklung oder Verbesserung von Modellen zu verwenden. Der Vertragspartner sitzt gleichwohl in Singapur, und der EWR-Auftragsverarbeitungszusatz von Alibaba Cloud sagt weder eine bestimmte Verarbeitungsregion zu noch schließt er Support-Zugriffe von außerhalb des EWR aus — für diesen Restzugriff bleiben EU-Standardvertragsklauseln und ergänzende Maßnahmen die Grundlage. Anders als die übrigen nativen Routen ist diese keine Ausnahme zu §5 oder §6. |
3. Betrieb (Zahlung, E-Mail, Code)
| Sub-Prozessor | Rolle | Standort | Übermittlungsinstrument |
|---|---|---|---|
| Stripe Payments Europe Ltd. / Stripe Inc. | Zahlungsabwicklung für Abonnements und Credit-Käufe | Irland (Verantwortlicher für Zahlungsdaten); USA für Fallback-Infrastruktur | EU-Standardvertragsklauseln und EU–US Data Privacy Framework |
| Sendinblue / Brevo SAS | Transaktions-E-Mails (Account, Abrechnung, Sicherheitsmeldungen) | Europäische Union (Frankreich) | EU/EWR — keine Drittlandübermittlung |
| GitHub, Inc. | Code-Repository, Git-Operationen und OAuth für Kunden, die ein Repository verbinden | Vereinigte Staaten | EU-Standardvertragsklauseln |
4. Analytics (Dienst und Website)
| Sub-Prozessor | Rolle | Standort | Übermittlungsinstrument |
|---|---|---|---|
| Internal product analytics (self-hosted) | Aggregierte, pseudonymisierte Nutzungsanalysen innerhalb des Dienstes, zu dessen Bereitstellung und Verbesserung. Im Dienst sind keine Analyse- oder Werbe-Tracker Dritter eingebunden. | Europäische Union (Frankfurt) | EU/EWR — keine Drittlandübermittlung |
| Google Ireland Limited / Google LLC (Google Analytics 4 — website only) | Webanalyse ausschließlich für die Marketing-Website airbuild.ai. Wird erst geladen, nachdem der Besucher im Cookie-Banner der Kategorie „Analyse“ zugestimmt hat; IP-Adressen werden anonymisiert verarbeitet. Nicht innerhalb des Dienstes und nicht zur Verarbeitung personenbezogener Kundendaten eingesetzt — Angabe aus Transparenzgründen; siehe Datenschutzerklärung. | Europäische Union und Vereinigte Staaten | EU-Standardvertragsklauseln und EU–US Data Privacy Framework |
5. Datenstandort-Zusage
Anwendungsdaten (Workspaces, Projekte, generierter Code, Dateien, Datenbanken, veröffentlichte Sites) werden in der Europäischen Union (Frankfurt, Deutschland) gehostet. Veröffentlichte Sites werden über das globale Edge-Netzwerk von Amazon CloudFront ausgeliefert: Ihre öffentlichen Dateien (Seiten, Skripte, Bilder) werden an Edge-Standorten zwischengespeichert, die auch außerhalb der EU liegen können, während Origin, Datenbanken und gespeicherte Dateien in Frankfurt bleiben. Personenbezogene Daten werden nur insoweit an nicht-EWR-Sub-Prozessoren übermittelt, als dies zur Verarbeitung von KI-Anfragen und der oben aufgeführten Funktionen erforderlich ist, jeweils unter den angegebenen Übermittlungsinstrumenten.
6. Kein Training mit Kundendaten
Wir verwenden Nutzer-Inhalte (Prompts, Code, Dateien, AI Output, Geheimnisse, Konfigurationen) nicht zum Trainieren, Fine-Tuning oder Evaluieren von Foundation-Modellen — weder unseren noch denen der oben genannten KI-Anbieter — und wir geben Nutzer-Inhalte zu Trainingszwecken nicht an KI-Anbieter weiter. Anonyme, aggregierte Telemetrie (Token-Zahlen, Latenz, Fehlerraten) kann zur Bereitstellung und Verbesserung des Dienstes verwendet werden. Siehe Abschnitt 7 der AGB.
Ausnahme — native Routen: Jedes Open-Weight-Modell wird zweimal angeboten: EU-gehostet über Lyceum — das ist die Voreinstellung — und nativ über die API des jeweiligen Anbieters. Wählt ein Kunde ausdrücklich eine native Route, werden die Eingaben zu den eigenen Bedingungen dieses Anbieters und, je nach Route, außerhalb der EU verarbeitet; diese Bedingungen können eine Nutzung der Eingaben zur Verbesserung der Modelle des Anbieters vorsehen. Welche Routen das betrifft, ist in der Liste oben gekennzeichnet. Ohne ausdrückliche Auswahl wird keine native Route verwendet.
Zusätzlich zu den obigen Sub-Prozessoren führt Airbuild die folgenden Open-Source-Tools zur Qualitäts- und Sicherheitsprüfung in der eigenen EU-Build-Pipeline aus. Sie analysieren den generierten Code der Kunden, keine personenbezogenen Daten, und geben — sofern nicht anders angegeben — nichts an Dritte weiter.
7. Qualitäts- & Sicherheits-Tools (Open Source)
| Sub-Prozessor | Rolle | Standort | Übermittlungsinstrument |
|---|---|---|---|
| SonarQube Cloud (SonarSource SA) | Code-Qualitäts-Gate — statische Analyse des generierten Codes vor dem Veröffentlichen | Europäische Union — SonarQube Cloud, gehostet auf AWS eu-central-1 (Frankfurt); Anbieter SonarSource SA, Schweiz | Analysedaten werden in der EU (AWS Frankfurt) verarbeitet. SonarSource SA hat ihren Sitz in der Schweiz, für die ein EU-Angemessenheitsbeschluss (Art. 45 DSGVO) besteht. Jeder Scan läuft in einem Wegwerf-Analyse-Projekt, das wir nach dem Scan löschen; schlägt eine Löschung fehl, richtet sich die Aufbewahrung nach den Bedingungen von SonarSource. |
| Trivy (Aqua Security · open source) | Abhängigkeits- & Schwachstellen-Scan (bekannte CVEs, Secrets) generierter Apps | Europäische Union — self-hosted CLI in Airbuilds Pipeline (keine Weitergabe an Dritte) | EU/EWR — keine Drittlandübermittlung |
| OWASP ZAP (open source) | Dynamischer Sicherheitstest (DAST) der deployten App vor dem Veröffentlichen | Europäische Union — self-hosted in Airbuilds Infrastruktur (keine Weitergabe an Dritte) | EU/EWR — keine Drittlandübermittlung |
| Semgrep (open source) | Statischer Sicherheits-Scan (SAST) des generierten Codes | Europäische Union — self-hosted CLI in Airbuilds Pipeline (keine Weitergabe an Dritte) | EU/EWR — keine Drittlandübermittlung |
| Spectral (Stoplight · open source) | Linting der generierten OpenAPI-Spezifikation vor dem Veröffentlichen | Europäische Union — self-hosted CLI in Airbuilds Pipeline (keine Weitergabe an Dritte) | EU/EWR — keine Drittlandübermittlung |
| Ruff (Astral · open source) | Code-Qualitäts- und Security-Linting (Bandit-Regelsatz) generierter Python-Backends | Europäische Union — self-hosted CLI in Airbuilds Pipeline (keine Weitergabe an Dritte) | EU/EWR — keine Drittlandübermittlung |
| Biome (open source) | Code-Qualitäts- und Korrektheits-Linting generierter TypeScript/React-Frontends | Europäische Union — self-hosted CLI in Airbuilds Pipeline (keine Weitergabe an Dritte) | EU/EWR — keine Drittlandübermittlung |