Subprocessor-Liste
Aktuell eingesetzte Unterauftragsverarbeiter für PROMPTR STUDIO Pro · Stand: 4. August 2026
Diese Liste dokumentiert die Unterauftragsverarbeiter (Subprocessor), die PROMPTR im Rahmen der Bereitstellung von PROMPTR STUDIO Pro einsetzt und die dabei Zugriff auf personenbezogene Daten von Kund:innen erhalten können. Diese Liste ist Anlage 3 zum Auftragsverarbeitungsvertrag (AVV) und wird bei Änderungen der eingesetzten Anbieter aktualisiert. Enterprise-Kunden mit AVV werden über wesentliche Änderungen gemäß Ziffer 6 des AVV informiert.
1. Infrastruktur- und Zahlungsdienstleister
| Anbieter |
Zweck |
Sitz / Region |
Übermittlungsgrundlage |
| Supabase, Inc. |
Authentifizierung, Datenbank, Realtime-Benachrichtigungen, Objektspeicher für Cloud-Ordner |
Region abhängig von Projektkonfiguration (zu bestätigen) |
EU-Standardvertragsklauseln (SCC), soweit außerhalb der EU/des EWR |
| Stripe, Inc. / Stripe Payments Europe Ltd. |
Zahlungsabwicklung für Guthaben-Käufe und Abonnements |
USA / Irland (EU-Einheit für EU-Kunden) |
EU-US Data Privacy Framework bzw. SCC |
2. KI-Modellanbieter – Bildgenerierung
| Anbieter |
Modell(e) |
Sitz / Region |
Übermittlungsgrundlage |
| OpenAI, L.L.C. / OpenAI Ireland Ltd. |
GPT Image 2 (Generierung & maskiertes Inpainting) |
USA / Irland |
EU-US Data Privacy Framework bzw. SCC |
| Google LLC / Google Ireland Ltd. |
Gemini-Modellfamilie (u. a. "nano-banana"-Bildmodelle) |
USA / Irland |
EU-US Data Privacy Framework bzw. SCC |
| Freepik Company S.L. |
Magnific (Upscaling für Bild) |
Spanien (EU) |
Innerhalb der EU – keine gesonderte Übermittlungsgrundlage erforderlich |
3. KI-Modellanbieter – Video- und Audiogenerierung
| Anbieter |
Modell(e) |
Sitz / Region |
Übermittlungsgrundlage |
| BytePlus Pte. Ltd. (ByteDance-Gruppe) |
Seedance (Video-Generierung inkl. Start-/Endbild-Referenzen) |
Vertragspartei: BytePlus Pte. Ltd. (Singapur). Datenverarbeitung laut BytePlus-Dokumentation in Malaysia, Indonesien und/oder der EU/EWR – nicht in China. Sicherheitsrelevante Inhalte (von Content-Filtern erfasst) werden 180 Tage in Malaysia gespeichert. |
SCC (Malaysia/Indonesien als Drittstaaten); siehe Hinweis unten zur Konzernzugehörigkeit |
| OpenAI, L.L.C. / OpenAI Ireland Ltd. |
Sora (Bild-zu-Video) |
USA / Irland |
EU-US Data Privacy Framework bzw. SCC |
| Kuaishou Technology |
Kling (Video-Generierung) |
China |
SCC; erhöhtes Prüferfordernis – siehe Hinweis unten |
| Freepik Company S.L. |
Magnific Video (Upscaling für Video) |
Spanien (EU) |
Innerhalb der EU – keine gesonderte Übermittlungsgrundlage erforderlich |
| ElevenLabs Inc. |
Sprach-, Musik- und Sound-Effekt-Generierung |
USA (mit EU-Niederlassung) |
EU-US Data Privacy Framework bzw. SCC |
4. KI-Agent / Reasoning
| Anbieter |
Zweck |
Sitz / Region |
Übermittlungsgrundlage |
| OpenAI, L.L.C. / OpenAI Ireland Ltd. |
Reasoning-Modell für den Agenten "Paul" sowie Skill-Erstellung |
USA / Irland |
EU-US Data Privacy Framework bzw. SCC |
5. Softwareverteilung
| Anbieter |
Zweck |
Sitz / Region |
Übermittlungsgrundlage |
| Sparkle-Update-Infrastruktur (von PROMPTR betriebener Feed) |
Verteilung signierter App-Updates |
Abhängig vom Hosting des Update-Feeds (zu bestätigen) |
Enthält in der Regel keine personenbezogenen Kundendaten |
Präzisierung zu BytePlus (Seedance), Stand nach Auswertung der offiziellen BytePlus-ModelArk-Datenverarbeitungsdokumentation (docs.byteplus.com): Vertragspartei ist BytePlus Pte. Ltd. mit Sitz in Singapur. Laut dieser Dokumentation erfolgt die eigentliche Datenverarbeitung in Rechenzentren in Malaysia, Indonesien und/oder der EU/EWR – eine Verarbeitung in China wird darin nicht angegeben. BytePlus nutzt Kundendaten laut eigener Aussage ohne vorherige Autorisierung nicht für eigenes Modelltraining; Daten werden pro Kunde isoliert gehalten. Von Content-Sicherheitsfiltern erfasste Ein-/Ausgaben werden 180 Tage in Malaysia gespeichert. Unabhängig davon bleibt BytePlus konzernrechtlich mit der ByteDance-Gruppe (Hauptsitz China) verbunden; manche Enterprise-Kunden schließen Anbieter mit einer solchen Konzernzugehörigkeit unabhängig vom tatsächlichen Verarbeitungsstandort aus internen Compliance-Gründen aus. Wir empfehlen weiterhin, vor Abschluss von Enterprise-Verträgen mit erhöhten Compliance-Anforderungen eine Transfer-Impact-Assessment durchzuführen (Malaysia und Indonesien sind ebenfalls Drittstaaten ohne EU-Angemessenheitsbeschluss) und zu prüfen, ob Kund:innen ein Opt-out von BytePlus/Seedance benötigen.
Wichtiger Hinweis zu Kuaishou (Kling): Für Kuaishou Technology liegt uns – anders als für BytePlus – keine vergleichbare öffentliche Datenverarbeitungsdokumentation vor. Das Unternehmen ist in China ansässig; wir gehen bis zum Nachweis des Gegenteils von einer Datenverarbeitung mit Bezug zu China aus. Dies unterliegt besonderen Anforderungen an den internationalen Datentransfer (Art. 44 ff. DSGVO) und sollte vor Enterprise-Einsatz gesondert geprüft werden, einschließlich der Frage eines Opt-outs für Kund:innen mit strengen Compliance-Vorgaben.
Diese Liste basiert auf der technischen Feature-Dokumentation von PROMPTR STUDIO Pro (Stand 4. August 2026) und den bekannten Konzern-/Sitzstrukturen der genannten Anbieter zum Zeitpunkt der Erstellung. Rechtsträger, Adressen und exakte Serverstandorte (insbesondere für Supabase) sollten vor Veröffentlichung durch PROMPTR verifiziert und ergänzt werden.