AVV Anlage 2: Liste der Auftragsverarbeiter (DSGVO)

Änderungshistorie (8 Einträge)

• 12.08.2026easybell GmbH von mandatorischem zu optionalem Backup-Telefonieanbieter für den Phone Agent umgestuft, eigene Überschrift 'Optionaler Backup-Telefonieanbieter beim Phone Agent' ergänzt, im Standardbetrieb nicht aktiv.
• 10.08.2026Speech-to-Speech-Funktionen des Phone Agents (Nr. 5, Microsoft Azure) laufen jetzt in der EU-Datenzone von Azure OpenAI statt über globale Azure-Dienste. Server-Standort entsprechend aktualisiert.
• 25.06.2026Hinweis zur KI-Inferenz neu strukturiert. Microsoft Azure zusätzlich als optionaler LLM-Subprozessor aufgenommen (neben der mandatorischen Phone-Agent-Rolle). Hinweis 'Nicht aktiv, solange der Standard-Pfad genutzt wird' bei allen optionalen LLM-Anbietern (Azure, OpenAI, Mistral, Scaleway, Nebius) ergänzt.
• 22.06.2026Scaleway und Nebius von mandatorischen zu optionalen Auftragsverarbeitern umgestuft. Standard für Chat-LLM (Gemma 4), Embeddings, Summarizer, KI-Qualitätsanalyse sowie Sentiment-Analyse, Topic Modeling und Intelligent Insights für Analytics ist jetzt LoyJoy-eigene Hardware in Münster, ohne externen KI-Subprozessor.
• 18.05.2026Abschnitt Scaleway klarer formuliert.
• 06.05.2026easybell GmbH als mandatorischer Auftragsverarbeiter für Telefonie-Funktionen des LoyJoy Phonebots neu aufgenommen.
• 05.05.2026Microsoft Azure von optionalem zu mandatorischem Auftragsverarbeiter umgestuft und um Speech-to-Speech- und Telefonie-Funktionen des Phone Agents erweitert.
• 01.03.2026Erstveröffentlichung der Subprozessor-Liste.

Die LoyJoy GmbH nutzt folgende Auftragsverarbeiter zur Verarbeitung personenbezogener Daten. Anlage 2 zum AVV.

Hinweis zur KI-Inferenz

LoyJoy betreibt seine KI-Inferenz standardmäßig auf eigener Hardware in Münster. Dort laufen:

• Gemma 4 als Chat-LLM
• Embeddings
• Summarizer für Konversationszusammenfassungen
• KI-Qualitätsanalyse
• Sentiment-Analyse, Topic Modeling und Intelligent Insights für Analytics

Für diese Standard-Inferenz wird kein externer KI-Subprozessor genutzt. Externe Anbieter aus dem Abschnitt „Optionale Auftragsverarbeiter” werden erst aktiv, wenn ein Enterprise-Mandant zusätzliche Modelle wie GPT oder Claude auswählt.

Mandatorische Auftragsverarbeiter

1) Google Cloud EMEA

Google Cloud EMEA Ltd., 70 Sir John Rogerson’s Quay, Dublin 2, Irland

Aufgaben: Die LoyJoy-Infrastruktur wird in der Google Cloud von Google Ireland betrieben, die Server-Standorte sind innerhalb der EU. Sofern personenbezogene Daten verarbeitet werden, werden diese so weit wie möglich verschlüsselt.

2) BunnyWay d.o.o. (Bunny.net)

BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien (EU)

Aufgaben: Content Delivery Network (CDN) für eine schnelle Bereitstellung der LoyJoy-Webanwendung.

3) G-Core Labs S.A.

G-Core Labs S.A., 2 Rue Edmond Reuter, 5326 Contern, Luxembourg

Aufgaben: Content Delivery Network (CDN) zur DDoS-Mitigation als Backup-Lösung für Bunny.net, um Verfügbarkeit und Sicherheit zu maximieren.

4) Amazon Web Services EMEA

Amazon Web Services EMEA SARL, 28 Avenue John F. Kennedy, L-1855, Luxembourg

Aufgaben: Der E-Mail-Versand aus LoyJoy erfolgt über AWS. Der Server-Standort ist EU. Für den Versand von E-Mails an Endkunden kann ein abweichender SMTP in LoyJoy konfiguriert werden und die Nutzung von AWS damit umgangen werden.

Mandatorische Auftragsverarbeiter bei Nutzung des Phone Agents

Die folgenden Auftragsverarbeiter sind ausschließlich beim Einsatz des LoyJoy Phone Agents aktiv und werden nur in diesem Fall zur Auftragsverarbeitung hinzugezogen.

5) Microsoft Azure

Microsoft Ireland Operations, Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland

Aufgaben: Bereitstellung KI-basierter Sprachmodelle zur Beantwortung von Kundenfragen sowie Bereitstellung eines Speech-to-Speech-Modells für Telefonie-Dialoge. Dies umfasst je nach Konfiguration die Verarbeitung von Spracheingaben, die Generierung von Sprachausgaben, die Verarbeitung von Transkripten, die Bereitstellung des Audiostreams, die Annahme und Verarbeitung von Telefonieanrufen, die Entgegennahme von Telefonie-Steuerkommandos, z. B. Weiterleitung von Anrufen, sowie die Provisionierung von Rufnummern.

Server-Standort: Textbasierte Azure-OpenAI-Verarbeitung sowie Speech-to-Speech-Funktionen des Phone Agents erfolgen in der EU-Datenzone von Azure OpenAI.

Beschreibung der Sicherheitsmaßnahmen bei Übermittlungen in Drittländer (Art. 44 DSGVO): Transportverschlüsselung mit TLS, EU-Standardvertragsklauseln, Zertifizierung gemäß EU-U.S. Data Privacy Framework sowie die durch Microsoft bereitgestellten technischen und organisatorischen Maßnahmen.

Die Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

Optionaler Backup-Telefonieanbieter beim Phone Agent

Der folgende Auftragsverarbeiter wird ausschließlich als optionaler Backup-Pfad für die Telefonie-Anbindung des Phone Agents vorgehalten. Er ist im Standardbetrieb nicht aktiv und kommt nur zum Einsatz, wenn der primäre Telefoniepfad nicht verfügbar ist oder der Mandant dies ausdrücklich konfiguriert.

6) easybell GmbH

easybell GmbH, Brückenstraße 5a, 10179 Berlin, Deutschland

Aufgaben: Optionale Bereitstellung von Rufnummern und Telefonie-Funktionen als Backup-Pfad für den LoyJoy Phone Agent, unter anderem Annahme und Verarbeitung von Telefonieanrufen, Bereitstellung des Audiostreams und Entgegennahme von Telefonie-Steuerkommandos, z. B. Weiterleitung von Anrufen. Nicht aktiv im Standardbetrieb.

Server-Standort: Deutschland bzw. Europäische Union, soweit durch easybell für die jeweilige Leistung vorgesehen.

Beschreibung der Sicherheitsmaßnahmen bei Übermittlungen in Drittländer (Art. 44 DSGVO): Soweit eine Übermittlung in Drittländer nicht ausgeschlossen werden kann, erfolgt diese auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln, Transportverschlüsselung und weiterer technischer und organisatorischer Maßnahmen.

Optionale Auftragsverarbeiter

Auf Wunsch und nach Weisung des Kunden können folgende Auftragsverarbeiter verwendet werden.

7) Microsoft Azure (LLMs)

Microsoft Ireland Operations, Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland

Aufgaben: Optionale Bereitstellung KI-basierter Sprachmodelle (Azure OpenAI) zur Beantwortung von Kundenfragen, sofern vom Mandanten ausdrücklich gewählt. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird. Diese Nutzung ist abzugrenzen von der mandatorischen Azure-Nutzung beim Phone Agent (siehe oben), wo zusätzlich Speech-to-Speech- und Telefoniefunktionen abgedeckt sind.

Server-Standort: Chat-LLMs werden ausschließlich aus EU-Azure-Regionen bezogen.

Beschreibung der Sicherheitsmaßnahmen bei Übermittlungen in Drittländer (Art. 44 DSGVO): Transportverschlüsselung mit TLS, EU-Standardvertragsklauseln, Zertifizierung gemäß EU-U.S. Data Privacy Framework sowie die durch Microsoft bereitgestellten technischen und organisatorischen Maßnahmen.

Die Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

8) OpenAI (USA)

OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA

Aufgaben: Bereitstellung eines KI-basierten Sprachmodells zur Beantwortung von Kundenfragen. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird. Server-Standort ist die USA.

Beschreibung der Sicherheitsmaßnahmen betreffend die Übermittlung an Drittländer (Art.44): Transportverschlüsselung mit TLS, EU-Standardvertragsklauseln.

Die Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

9) Mistral

Mistral AI, 15 Rue des Halles, 75001 Paris, France

Aufgaben: Bereitstellung eines KI-basierten Sprachmodells zur Beantwortung von Kundenfragen. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird. Server-Standort EU.

10) Scaleway

Scaleway SAS, 8 rue de la Ville l’Evêque, 75008 Paris, France

Aufgaben: Optionale Bereitstellung KI-basierter Sprachmodelle zur Beantwortung von Kundenfragen, sofern vom Mandanten ausdrücklich gewählt. Server-Standort innerhalb der EU. Sofern personenbezogene Daten verarbeitet werden, werden diese so weit wie möglich verschlüsselt. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird.

11) Nebius Group N.V.

Nebius Group N.V., Schiphol Boulevard 165, 1118 BG Schiphol, Niederlande

Aufgaben: Optionale Bereitstellung KI-basierter Sprachmodelle zur Beantwortung von Kundenfragen, sofern vom Mandanten ausdrücklich gewählt. Server-Standort EU. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird.