Unterauftragsverarbeiter
Für den Betrieb von InterMIND setzen wir eine kleine Anzahl von Infrastruktur- und Dienstleistern ein („Unterauftragsverarbeiter“). Diese Seite listet jeden einzelnen auf: was er verarbeitet, wo und unter welchen Schutzmaßnahmen. Dienstbetreiber und Vertragspartei: Golden Fish LLC (VAE). Herausgeber und Inhaber der geistigen Eigentumsrechte: MindMeeting OÜ (EE).
Die Verarbeitung erfolgt standardmäßig in der EU. Sitzt die Konzerngesellschaft eines Anbieters außerhalb der EU/des EWR, sind Übermittlungen durch Standardvertragsklauseln (SCCs) und/oder das EU-US Data Privacy Framework (DPF) abgedeckt. Die unten genannte DPF-Teilnahme wurde zuletzt am 01.09.2026 anhand des offiziellen DPF-Registers überprüft. Wir aktualisieren diese Liste, sobald ein Unterauftragsverarbeiter hinzukommt oder entfällt.
| Unterauftragsverarbeiter | Sitz der Gesellschaft | Zweck | Verarbeitete personenbezogene Daten | Verarbeitungsort | Schutzmaßnahmen |
|---|---|---|---|---|---|
| Vercel Inc. | US | Hosting der Web-App, Serverless-Funktionen, AI Gateway (Proxy) | Gesamter App-Verkehr inkl. Meeting-Metadaten, Chat | Funktionen auf Frankfurt (fra1) festgelegt; AI Gateway mit Zero-Data-Retention-Richtlinie (keine Speicherung von Prompts) | DPA + SCCs; DPF; ZDR |
| Fly.io Inc. | US | Hosting des Echtzeit-WebSocket-Servers | Chat-Fan-out, Konferenzereignisse, Transkriptionswörter während der Übertragung | Paris (CDG) | DPA + SCCs; DPF |
| Neon Inc. | US | Postgres (primäre Datenbank) | Konten, Meetings, Nachrichten, Transkripte, Abrechnungsnutzung | Frankfurt (AWS eu-central-1) | DPA + SCCs; DPF (erfasste Gesellschaft von Databricks, Inc.); Verschlüsselung im Ruhezustand |
| Tigris Data Inc. | US | Objektspeicher | Meeting-Aufzeichnungen, Chat-Anhänge, Dokumente, Export-Archive | EU-Multiregion (Frankfurt + Amsterdam) | DPA + SCCs; TLS |
| MindMeeting OÜ (Mind API) | EE | Meeting-Medien (SFU), Spracherkennung, Echtzeit-Übersetzung | Audio-/Videostreams, Sprache, Namen/Rollen der Teilnehmenden; Request-Logs enthalten nur technische Felder (seit dem 28.09.2026 keine Meeting-Inhalte; frühere Logs gelöscht) und werden 3 Monate aufbewahrt | OVH, Deutschland und Frankreich | Konzerninterne Vereinbarung |
| DeepL SE | DE | Dokumentübersetzung | Inhalte der Dokumente, die Nutzer zur Übersetzung einreichen | EU (Köln) | DPA; keine Speicherung für Trainingszwecke |
| Stripe Payments Europe Ltd / Stripe Inc. | IE / US | Abrechnung | Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsmethode (die Karte gelangt nie zu InterMIND) | EU / US | DPA + SCCs; DPF; PCI-DSS |
| PostHog | US (EU Cloud) | Produktanalyse, Session Replay | Nutzungsereignisse, Konsole/Replay (einwilligungsbasiert, standardmäßig Opt-out; Meeting-Sprache wird aus den Logs entfernt) | EU (eu.posthog.com) | DPA; DPF; EU-Datenresidenz |
| Functional Software Inc. (Sentry) | US (EU-Region) | Fehlerüberwachung | Fehler-Traces, Breadcrumbs (keine Meeting-Inhalte) | EU (de.sentry.io) | DPA; DPF; EU-Datenresidenz |
| Resend | US | Transaktionale E-Mails (Anmeldecodes, Benachrichtigungen) und Verarbeitung eingehender E-Mails (Empfangsdomain in.intermind.com) | E-Mail-Adresse des Empfängers, Nachrichteninhalt; eingehend: vollständige E-Mail-Texte und Anhänge | Irland (eu-west-1) | DPA + SCCs; DPF |
| Upstash Inc. | US | OIDC-Sitzungscache (Redis) | Verschlüsselter Sitzungs-/Token-Cache | Frankfurt (fra1) | DPA + SCCs; DPF; verschlüsselte Payloads |
| Paddle.com Market Ltd | UK | Abrechnung (Merchant of Record in ausgewählten Ländern) | Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsmethode (die Karte gelangt nie zu InterMIND), Verweise auf Tarif/Team, Land des Käufers | UK | DPA; Angemessenheitsbeschluss für das Vereinigte Königreich; PCI-DSS |
| Cloudflare Inc. | US | Bot-Schutz auf öffentlichen Formularen (Turnstile-Challenge) | Challenge-Token, implizite Besuchersignale (IP-Adresse, Browsermerkmale) | Globales Edge-Netzwerk | DPA + SCCs; DPF |
| Usercentrics GmbH | DE | Einwilligungsverwaltung (Cookie-/Consent-Banner) | Einwilligungsentscheidungen, Consent-ID | EU | DPA; Verarbeitung in der EU |
| Expo (650 Industries, Inc.) | US | Mobile Push-Benachrichtigungen und App-Updates | Push-Tokens, Inhalt der Benachrichtigung (Nachrichtentext auf 120 Zeichen gekürzt), Geräte-Metadaten | US | DPA + SCCs; DPF |
| Microsoft Corp. (Azure OpenAI, Azure AI Speech) | EU | KI-Funktionen: Meeting-Recaps, Dokumentzusammenfassungen, Schreibassistent, Support-Assistent, Ask AI und Mias Stimme in Meetings (Text-to-Speech); Speech-to-Text für Sprachnachrichten | Meeting-Transkript und Chat-Fenster (am Ende des Meetings), geteilte Dokumente, Editor-Text, Fragen im Hilfe-Chat; Audio von Sprachnachrichten (einmalig, beim Hochladen) | EU Data Zone (Verarbeitung und Speicherung innerhalb der EU-Mitgliedstaaten); eigener Tenant von uns | Microsoft Products and Services DPA; EU Data Boundary; kein Training mit Kundendaten |
| Google LLC (Vertex AI, Cloud Text-to-Speech) | EU | KI-Funktionen (nur für Organisationen, die Vertex AI als ihr KI-Gateway wählen): Meeting-Recaps, Dokumentzusammenfassungen, Schreibassistent, Support-Assistent, Ask AI und Mias Stimme in Meetings (Text-to-Speech) | Meeting-Transkript und Chat-Fenster (am Ende des Meetings), geteilte Dokumente, Editor-Text, Fragen im Hilfe-Chat | EU-Multiregion-Endpunkt (ML-Verarbeitung innerhalb der EU); eigenes Projekt von uns | Google Cloud Data Processing Addendum; kein Training mit Kundendaten; Zero Data Retention für Gemini auf Vertex (Missbrauchsprotokollierung deaktiviert) |
| Brave Software Inc. (Brave Search API) | US | Websuche für Mia, das KI-Teammitglied der Organisation (Organisationen können sie unter Einstellungen → KI-Funktionen deaktivieren) | Der von der KI formulierte Suchbegriff – niemals Dokumente, Recaps, Chats, Namen von Nutzern oder Konto-Kennungen | US | DPA + SCCs; SOC 2 Type II; Abfragen werden bis zu 90 Tage ohne Nutzerkennungen protokolliert; keine Verwendung zur Profilbildung |
| Google LLC / Microsoft Corp. | US | OAuth-Anmeldung; vom Nutzer autorisierte Kalendersynchronisierung, Dateifreigabe (Drive / OneDrive) und Synchronisierung des Organisationsverzeichnisses | Name, E-Mail-Adresse, Profilfoto; mit vom Nutzer erteilten Berechtigungen: Kalendereinträge inkl. E-Mail-Adressen der Teilnehmenden, Berechtigungen für freigegebene Dateien, Nutzerverzeichnis der Organisation (Namen, E-Mail-Adressen) | US | DPF; SCCs |
Bei Fragen zu dieser Liste oder um eine Kopie der jeweiligen Schutzmaßnahmen für Übermittlungen anzufordern, wenden Sie sich an privacy@intermind.com.