Unterauftragsverarbeiter

Letzte Aktualisierung: 27. Juli 2026

Für den Betrieb von ShortSelect setzen wir Dienstleister als Unterauftragsverarbeiter im Sinne von Art. 28 der Datenschutz-Grundverordnung ein. Diese Übersicht entspricht Anlage 3 des Auftragsverarbeitungsvertrags (Version avv-v2026-07-27) und benennt alle Anbieter, die im Auftrag unserer Kunden personenbezogene Daten verarbeiten.

Verträge nach Art. 28 DSGVO: Wir setzen Unterauftragsverarbeiter nur auf der Grundlage eines Vertrags nach Art. 28 der Datenschutz-Grundverordnung ein. Die Einholung und Ablage der Vertragsunterlagen ist für einen Teil der hier genannten Anbieter noch nicht abgeschlossen. Wir holen das nach und legen Kunden die Unterlagen auf Anforderung vor.

Änderungen: Wir informieren unsere Kunden mindestens 30 Kalendertage vor der Hinzuziehung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Kunden können der Änderung innerhalb von 30 Kalendertagen aus datenschutzrechtlichen Gründen begründet widersprechen. Die Einzelheiten regelt § 7 des Auftragsverarbeitungsvertrags.

Übermittlung in Drittländer: Übermittlungen an Empfänger außerhalb des Europäischen Wirtschaftsraums stützen wir auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914) in Verbindung mit einer Bewertung der Rechtslage im Empfängerland. Die Spalte Übermittlungsgrundlage nennt die für den jeweiligen Anbieter maßgebliche Grundlage. Eine zusätzliche Zertifizierung nach dem EU-US Data Privacy Framework tritt daneben und ersetzt die Standardvertragsklauseln nicht. Die Dokumentation legen wir Kunden auf Anforderung vor.

Keine Verwendung zu Trainingszwecken: Personenbezogene Daten unserer Kunden verwenden wir nicht zum Training, zur Weiterentwicklung oder zur Verbesserung von Modellen künstlicher Intelligenz. Die eingesetzten Anbieter verpflichten wir vertraglich zu demselben Verbot.

Nicht jeder Dienst wird für jeden Kunden aktiv. Integrationen wie Kalender, Postfach, Video, Stellenbörsen und Werbekonten werden nur auf ausdrücklichen Wunsch des jeweiligen Kunden verbunden.

Infrastruktur und Betrieb

Anbieter	Sitz	Zweck	Datenkategorien	Ort der Verarbeitung	Übermittlungsgrundlage	Datenschutz
Supabase, Inc.	Vereinigte Staaten	Datenbank, Anmeldeverwaltung, Dateiablage, serverseitige Funktionen	alle Plattformdaten einschließlich besonderer Kategorien	Frankfurt am Main, Verwaltungszugriff aus den Vereinigten Staaten möglich	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Amazon Web Services EMEA SARL	Luxemburg	Rechenzentrumsinfrastruktur unterhalb von Supabase	alle Plattformdaten, kein eigener inhaltlicher Zugriff	Frankfurt am Main	Verarbeitung im Europäischen Wirtschaftsraum	Datenschutz
Hetzner Online GmbH	Gunzenhausen, Deutschland	Server für Dokumentenerzeugung, Ablaufsteuerung, Echtzeitkommunikation und Sprachdialog	Dokumenten-, Sprach- und Ablaufdaten	Falkenstein und Gunzenhausen, Deutschland	Verarbeitung im Europäischen Wirtschaftsraum	Datenschutz
Cloudflare, Inc.	San Francisco, Vereinigte Staaten	Auslieferung der Anwendung, Namensauflösung, Abwehr von Angriffen, Bot-Prüfung bei der Anmeldung	Verbindungsdaten, IP-Adressen, im Transit sämtliche Anfrageinhalte	globales Netz	Standardvertragsklauseln, Data Privacy Framework	Datenschutz

Kommunikation

Anbieter	Sitz	Zweck	Datenkategorien	Ort der Verarbeitung	Übermittlungsgrundlage	Datenschutz
Ra Resende, Inc. (Resend)	Vereinigte Staaten	Versand transaktionaler E-Mails	Empfängeradresse, Betreff, Inhalt, Anhänge	Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Twilio Inc.	San Francisco, Vereinigte Staaten	Telefonie über die Plattform, Rufnummernverwaltung, Aufzeichnung von Telefongesprächen	Telefonnummern, Verbindungsdaten, Audioaufzeichnungen, Teilnehmermetadaten	Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Google Ireland Limited und Google LLC	Dublin, Irland	Anbindung von Postfach und Kalender auf Wunsch des Kunden	E-Mail-Inhalte, Anhänge, Termindaten	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Microsoft Ireland Operations Limited	Dublin, Irland	Anbindung von Postfach, Kalender und Besprechungen auf Wunsch des Kunden	E-Mail- und Termindaten	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Zoom Communications, Inc.	San Jose, Vereinigte Staaten	Videotermine auf Wunsch des Kunden	Teilnehmerdaten, Termindaten	Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz

Systeme künstlicher Intelligenz

Anbieter	Sitz	Zweck	Datenkategorien	Ort der Verarbeitung	Übermittlungsgrundlage	Datenschutz
Anthropic PBC	San Francisco, Vereinigte Staaten	Auswertung von Profilen, Abgleich mit Stellenanforderungen, Qualitätsprüfung, Gesprächsführung im KI-Interview	Lebenslaufinhalte, Profildaten, Interviewinhalte	Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
OpenAI Ireland Limited und OpenAI, L.L.C.	Dublin, Irland	Zusammenfassungen, Extraktion und Vektorbildung sowie Transkription und Sprecherzuordnung von Telefonaufzeichnungen	Lebenslaufinhalte, Audioaufzeichnungen, Transkripte	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Deepgram, Inc.	Vereinigte Staaten	Spracherkennung im KI-Interview	Sprachaufzeichnungen, Transkripte	Vereinigte Staaten	Standardvertragsklauseln	Datenschutz
ElevenLabs Inc.	New York, Vereinigte Staaten	Sprachausgabe im KI-Interview	ausgehender Text	Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Google Ireland Limited und Google LLC	Dublin, Irland	Sprachmodell zur Auswertung von Unternehmenswebseiten und Personenverzeichnissen	Namen, Funktionen, Kontaktangaben von Beschäftigten dritter Unternehmen	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz

Recherche, Direktansprache und Anreicherung

Anbieter	Sitz	Zweck	Datenkategorien	Ort der Verarbeitung	Übermittlungsgrundlage	Datenschutz
Apify Technologies s.r.o.	Prag, Tschechien	Erhebung öffentlich zugänglicher Profil- und Interaktionsdaten aus sozialen Netzwerken	Namen, Profilkennungen, öffentliche Profilinhalte, Interaktionsdaten	Tschechien	Verarbeitung im Europäischen Wirtschaftsraum	Datenschutz
Exa Labs, Inc.	San Francisco, Vereinigte Staaten	Semantische Websuche zur Verifikation und Anreicherung von Kandidatenprofilen	Name, Arbeitgeber, Ort und Fachgebiet als Suchanfrage, Suchergebnisse mit Personenbezug	Vereinigte Staaten	Standardvertragsklauseln	Datenschutz
Dienstleister zur Kontaktdatenanreicherung	[ZU KLÄREN: Sitzland]	Ermittlung dienstlicher und privater Kontaktdaten zu Kandidaten	Name, Arbeitgeber, Netzwerkkennung, als Ergebnis E-Mail-Adressen und Telefonnummern	[ZU KLÄREN]	[ZU KLÄREN]	auf Anfrage
LinkedIn Ireland Unlimited Company	Dublin, Irland	Abruf öffentlicher Profildaten und Profilbilder für die Direktansprache	Profildaten, Profilbilder	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz

Stellenanzeigen und Personalmarketing

Anbieter	Sitz	Zweck	Datenkategorien	Ort der Verarbeitung	Übermittlungsgrundlage	Datenschutz
Meta Platforms Ireland Limited	Dublin, Irland	Schaltung von Stellenanzeigen und Bewerbungsformularen sowie Messung von Seitenaufrufen und Bewerbungen im Bewerbungstrichter über ein Zählpixel, jeweils auf Wunsch des Kunden	Kontaktdaten, Angaben aus Bewerbungsformularen, IP-Adresse, Browserkennung und Ereignisdaten der Besucher des Bewerbungstrichters	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Indeed Ireland Operations Limited	Dublin, Irland	Anbindung des Bewerbungsprozesses auf Wunsch des Kunden	Bewerbungsdaten	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
StepStone GmbH	Düsseldorf, Deutschland	Veröffentlichung von Stellenanzeigen und Rückmeldung von Qualitätssignalen	Stellendaten, Bewerbungssignale	Deutschland	Verarbeitung im Europäischen Wirtschaftsraum	Datenschutz

Eingebettete Videoinhalte

Diese Anbieter erhalten keine Bewerbungsinhalte. Sie erhalten die Verbindungsdaten der Personen, die eine Ansicht mit einem eingebetteten Video aufrufen, weil das Video unmittelbar von deren Servern geladen wird. Bindet der Kunde kein Video ein, findet keine Übermittlung statt. Schriftarten liefern wir ausschließlich von unseren eigenen Servern aus, an einen Schriftartendienst werden keine Daten übermittelt. Die genauen Firmierungen der Videoanbieter tragen wir nach.

Anbieter	Sitz	Zweck	Datenkategorien	Ort der Verarbeitung	Übermittlungsgrundlage	Datenschutz
Google LLC (YouTube)	Vereinigte Staaten	Wiedergabe eingebetteter Videos und Vorschaubilder, wenn der Kunde ein Video einbindet	IP-Adresse, Browserkennung, aufgerufenes Video	globales Netz	Standardvertragsklauseln, Data Privacy Framework	Datenschutz
Vimeo	Vereinigte Staaten	Wiedergabe eingebetteter Videos, wenn der Kunde ein Video einbindet	IP-Adresse, Browserkennung, aufgerufenes Video	Vereinigte Staaten	Standardvertragsklauseln	Datenschutz
Loom	Vereinigte Staaten	Wiedergabe eingebetteter Videos, wenn der Kunde ein Video einbindet	IP-Adresse, Browserkennung, aufgerufenes Video	Vereinigte Staaten	Standardvertragsklauseln	Datenschutz

Zahlungsabwicklung

Anbieter	Sitz	Zweck	Datenkategorien	Ort der Verarbeitung	Übermittlungsgrundlage	Datenschutz
Stripe Payments Europe, Limited	Dublin, Irland	Zahlungsabwicklung und Abonnementverwaltung. Betrifft ausschließlich Daten unserer Kunden, keine Bewerberdaten.	Firmierung, Ansprechpartner, Rechnungs- und Zahlungsdaten	Irland und Vereinigte Staaten	Standardvertragsklauseln, Data Privacy Framework	Datenschutz

Hinweis zum Dienstleister für Kontaktdatenanreicherung

Diesen Anbieter führen wir mit Zweck, Datenkategorien und Übermittlungsgrundlage, jedoch ohne Firmierung. Die vollständige Firmierung teilen wir unseren Kunden auf Anforderung in Textform mit. Kunden dürfen die Angabe zur Erfüllung ihrer Informationspflichten nach Art. 13 und 14 der Datenschutz-Grundverordnung verwenden. Anfragen richten Sie an hello@shortselect.com.

Vorbereitete, derzeit nicht aktive Anbindungen

Anbieter	Zweck	Status
Whapi	Nachrichtenversand über einen Kurznachrichtendienst	technisch vorbereitet, im Produktivbetrieb nicht aktiv

Änderungshistorie

Fassung	Datum	Änderung
avv-v2026-07-27	27.07.2026	Aufnahme von Twilio Inc., Apify Technologies s.r.o., Exa Labs, Inc., einem Dienstleister zur Kontaktdatenanreicherung und Amazon Web Services EMEA SARL. Aufnahme von Google als Anbieter eines Sprachmodells sowie der Anbieter eingebetteter Videoinhalte. Erweiterung des Zwecks von OpenAI um Transkription und Vektorbildung und des Zwecks von Meta um das Zählpixel im Bewerbungstrichter. Ergänzung von Sitz, Datenkategorien, Ort der Verarbeitung und Übermittlungsgrundlage je Anbieter. Whapi als vorbereitet, aber nicht aktiv gekennzeichnet.
1	12.07.2026	Erste veröffentlichte Fassung

Diese Übersicht ergänzt unsere Datenschutzerklärung. Fragen zur Auftragsverarbeitung richten Sie bitte an hello@shortselect.com.