AVV Anlage 2: Liste der Auftragsverarbeiter (DSGVO)

Änderungshistorie (6 Einträge)

• 25.06.2026 Hinweis zur KI-Inferenz neu strukturiert. Microsoft Azure zusätzlich als optionaler LLM-Subprozessor aufgenommen (neben der mandatorischen Phone-Agent-Rolle). Hinweis 'Nicht aktiv, solange der Standard-Pfad genutzt wird' bei allen optionalen LLM-Anbietern (Azure, OpenAI, Mistral, Scaleway, Nebius) ergänzt.
• 22.06.2026 Scaleway und Nebius von mandatorischen zu optionalen Auftragsverarbeitern umgestuft. Standard für Chat-LLM (Gemma 4), Embeddings, Summarizer, KI-Qualitätsanalyse sowie Sentiment-Analyse, Topic Modeling und Intelligent Insights für Analytics ist jetzt LoyJoy-eigene Hardware in Münster, ohne externen KI-Subprozessor.
• 18.05.2026 Abschnitt Scaleway klarer formuliert.
• 06.05.2026 easybell GmbH als mandatorischer Auftragsverarbeiter für Telefonie-Funktionen des LoyJoy Phonebots neu aufgenommen.
• 05.05.2026 Microsoft Azure von optionalem zu mandatorischem Auftragsverarbeiter umgestuft und um Speech-to-Speech- und Telefonie-Funktionen des Phone Agents erweitert.
• 01.03.2026 Erstveröffentlichung der Subprozessor-Liste.

Die LoyJoy GmbH nutzt folgende Auftragsverarbeiter zur Verarbeitung personenbezogener Daten. Anlage 2 zum AVV.

Hinweis zur KI-Inferenz

LoyJoy betreibt seine KI-Inferenz standardmäßig auf eigener Hardware in Münster. Dort laufen:

• Gemma 4 als Chat-LLM
• Embeddings
• Summarizer für Konversationszusammenfassungen
• KI-Qualitätsanalyse
• Sentiment-Analyse, Topic Modeling und Intelligent Insights für Analytics

Für diese Standard-Inferenz wird kein externer KI-Subprozessor genutzt. Externe Anbieter aus dem Abschnitt „Optionale Auftragsverarbeiter” werden erst aktiv, wenn ein Enterprise-Mandant zusätzliche Modelle wie GPT oder Claude auswählt.

Mandatorische Auftragsverarbeiter

1) Google Cloud EMEA

Google Cloud EMEA Ltd., 70 Sir John Rogerson’s Quay, Dublin 2, Irland

Aufgaben: Die LoyJoy-Infrastruktur wird in der Google Cloud von Google Ireland betrieben, die Server-Standorte sind innerhalb der EU. Sofern personenbezogene Daten verarbeitet werden, werden diese so weit wie möglich verschlüsselt.

2) BunnyWay d.o.o. (Bunny.net)

BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slowenien (EU)

Aufgaben: Content Delivery Network (CDN) für eine schnelle Bereitstellung der LoyJoy-Webanwendung.

3) G-Core Labs S.A.

G-Core Labs S.A., 2 Rue Edmond Reuter, 5326 Contern, Luxembourg

Aufgaben: Content Delivery Network (CDN) zur DDoS-Mitigation als Backup-Lösung für Bunny.net, um Verfügbarkeit und Sicherheit zu maximieren.

4) Amazon Web Services EMEA

Amazon Web Services EMEA SARL, 28 Avenue John F. Kennedy, L-1855, Luxembourg

Aufgaben: Der E-Mail-Versand aus LoyJoy erfolgt über AWS. Der Server-Standort ist EU. Für den Versand von E-Mails an Endkunden kann ein abweichender SMTP in LoyJoy konfiguriert werden und die Nutzung von AWS damit umgangen werden.

Mandatorische Auftragsverarbeiter bei Nutzung des Phone Agents

Die folgenden Auftragsverarbeiter sind ausschließlich beim Einsatz des LoyJoy Phone Agents aktiv und werden nur in diesem Fall zur Auftragsverarbeitung hinzugezogen.

5) Microsoft Azure

Microsoft Ireland Operations, Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland

Aufgaben: Bereitstellung KI-basierter Sprachmodelle zur Beantwortung von Kundenfragen sowie Bereitstellung eines Speech-to-Speech-Modells für Telefonie-Dialoge. Dies umfasst je nach Konfiguration die Verarbeitung von Spracheingaben, die Generierung von Sprachausgaben, die Verarbeitung von Transkripten, die Bereitstellung des Audiostreams, die Annahme und Verarbeitung von Telefonieanrufen, die Entgegennahme von Telefonie-Steuerkommandos, z. B. Weiterleitung von Anrufen, sowie die Provisionierung von Rufnummern.

Server-Standort: Textbasierte Azure-OpenAI-Verarbeitung erfolgt in EU-Regionen. Speech-to-Speech-Funktionen des Phone Agents werden derzeit über globale Azure-Dienste verarbeitet, da diese Funktion aktuell nicht als reine EU-Region verfügbar ist.

Beschreibung der Sicherheitsmaßnahmen bei Übermittlungen in Drittländer (Art. 44 DSGVO): Transportverschlüsselung mit TLS, EU-Standardvertragsklauseln, Zertifizierung gemäß EU-U.S. Data Privacy Framework sowie die durch Microsoft bereitgestellten technischen und organisatorischen Maßnahmen.

Die Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

6) easybell GmbH

easybell GmbH, Brückenstraße 5a, 10179 Berlin, Deutschland

Aufgaben: Provisionierung und Bereitstellung von Rufnummern, Annahme und Verarbeitung von Telefonieanrufen, Bereitstellung des Audiostreams, Entgegennahme von Telefonie-Steuerkommandos, z. B. Weiterleitung von Anrufen, sowie technische Bereitstellung von Telefonie-Funktionen für den LoyJoy Phonebot.

Server-Standort: Deutschland bzw. Europäische Union, soweit durch easybell für die jeweilige Leistung vorgesehen.

Beschreibung der Sicherheitsmaßnahmen bei Übermittlungen in Drittländer (Art. 44 DSGVO): Soweit eine Übermittlung in Drittländer nicht ausgeschlossen werden kann, erfolgt diese auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln, Transportverschlüsselung und weiterer technischer und organisatorischer Maßnahmen.

Optionale Auftragsverarbeiter

Auf Wunsch und nach Weisung des Kunden können folgende Auftragsverarbeiter verwendet werden.

7) Microsoft Azure (LLMs)

Microsoft Ireland Operations, Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland

Aufgaben: Optionale Bereitstellung KI-basierter Sprachmodelle (Azure OpenAI) zur Beantwortung von Kundenfragen, sofern vom Mandanten ausdrücklich gewählt. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird. Diese Nutzung ist abzugrenzen von der mandatorischen Azure-Nutzung beim Phone Agent (siehe oben), wo zusätzlich Speech-to-Speech- und Telefoniefunktionen abgedeckt sind.

Server-Standort: Chat-LLMs werden ausschließlich aus EU-Azure-Regionen bezogen.

Beschreibung der Sicherheitsmaßnahmen bei Übermittlungen in Drittländer (Art. 44 DSGVO): Transportverschlüsselung mit TLS, EU-Standardvertragsklauseln, Zertifizierung gemäß EU-U.S. Data Privacy Framework sowie die durch Microsoft bereitgestellten technischen und organisatorischen Maßnahmen.

Die Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

8) OpenAI (USA)

OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA

Aufgaben: Bereitstellung eines KI-basierten Sprachmodells zur Beantwortung von Kundenfragen. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird. Server-Standort ist die USA.

Beschreibung der Sicherheitsmaßnahmen betreffend die Übermittlung an Drittländer (Art.44): Transportverschlüsselung mit TLS, EU-Standardvertragsklauseln.

Die Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

9) Mistral

Mistral AI, 15 Rue des Halles, 75001 Paris, France

Aufgaben: Bereitstellung eines KI-basierten Sprachmodells zur Beantwortung von Kundenfragen. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird. Server-Standort EU.

10) Scaleway

Scaleway SAS, 8 rue de la Ville l’Evêque, 75008 Paris, France

Aufgaben: Optionale Bereitstellung KI-basierter Sprachmodelle zur Beantwortung von Kundenfragen, sofern vom Mandanten ausdrücklich gewählt. Server-Standort innerhalb der EU. Sofern personenbezogene Daten verarbeitet werden, werden diese so weit wie möglich verschlüsselt. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird.

11) Nebius Group N.V.

Nebius Group N.V., Schiphol Boulevard 165, 1118 BG Schiphol, Niederlande

Aufgaben: Optionale Bereitstellung KI-basierter Sprachmodelle zur Beantwortung von Kundenfragen, sofern vom Mandanten ausdrücklich gewählt. Server-Standort EU. Nicht aktiv, solange der Standard-Pfad (Gemma 4 auf LoyJoy-Hardware in Münster) genutzt wird.