Unterauftragsverarbeiter
Diese Liste ist Anhang IV des Auftragsverarbeitungsvertrags (AVV). Stand: 2. November 2026.
Die Klarplan AG informiert ihre Kunden mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Gleichzeitig kündigt sie die Änderung auf dieser Seite mit dem Datum an, ab dem sie gilt (AVV A.8 Ziffer 2).
Angekündigte Änderungen #
Zurzeit sind keine Änderungen angekündigt.
Liste der Unterauftragsverarbeiter #
Vereinbarte Liste nach Klausel 7.7 Buchstabe a (Option 2). Stand: 02.11.2026. Die geltende Fassung steht unter https://rankscan.ai/de/subprocessors.
Die Dauer der Verarbeitung ist höchstens die Laufzeit dieses Vertrags. «nicht angegeben» heisst: Der Vertrag des Anbieters macht dazu keine Angabe. «Aufbewahrung beim Anbieter» nennt die Fristen beim Anbieter; die Fristen der Klarplan AG stehen in Anhang II. «Eingeschränkt» bezeichnet einen eingeschränkten KI-Assistenten nach A.4 Ziff. 6 oder den Dienst, über den ein solcher abgefragt wird.
01 Amazon Web Services EMEA SARL #
38 avenue John F. Kennedy, L-1855 Luxemburg
| Tätigkeit | Datenbank, Anwendungsserver und Testumgebung (Lightsail), Sicherungen (S3), E-Mail-Versand (SES, Frankfurt) |
|---|---|
| Kundendaten | alle Kundendaten |
| Ort der Verarbeitung | EU, Frankfurt (eu-central-1) |
| Aufbewahrung beim Anbieter | nach den Fristen der Klarplan AG |
| Training mit Kundendaten | nein |
| Grundlage der Übermittlung | Verarbeitung in der EU; AWS Data Processing Addendum mit SCC 2021/914 und Swiss Addendum |
02 OpenAI Ireland Ltd. Nicht eingeschränkt #
1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland
| Tätigkeit | Strategie-Dialog, Vorschläge, Content-Briefs, Mailentwürfe an zitierte Quellen, Zusammenfassungen, Vorsortierung von Support-Anfragen, KI-Sichtbarkeit |
|---|---|
| Kundendaten | Prompts; Topics, Keywords, Region; Positionierung, Markenbegriffe, Wettbewerbernamen; Text von bis zu 6 Seiten der Website des Kunden (je bis 3000 Zeichen) mit Seitentitel und Überschriften (bis 1000 Zeichen); Seitentitel für Vorschläge zur Meta-Description; für Content-Briefs Ausschnitte aus Antworten der KI-Assistenten (je bis 800 Zeichen) und deren Suchanfragen, URLs und Titel zitierter Seiten, Pfad und Seitentitel der gewählten Seite (bis 120 Zeichen); für Mailentwürfe Name, Adresse und Sprache der Website, URL und Art der zitierten Quelle sowie, ob die Quelle Plätze gegen Bezahlung vergibt, mit dem erkannten Wort aus einer festen Liste (zum Beispiel «Anzeige»), ohne Text der Quelle; in Zusammenfassungen die Inhalte der Massnahmen: Keywords mit Positionen, Prompts, Wettbewerber, URLs und Titel zitierter Seiten, Kennzahlen der Search Console je Seite (URL, Klicks, Impressionen, Klickrate, Position); Betreff und Text von Support-Anfragen mit Name und Domain der Website, Seiten-URL und Tarif, ohne Screenshots und ohne die Konto-Angaben des Absenders (Name, E-Mail). Angaben, die der Absender selbst in den Text schreibt, gehen mit. |
| Ort der Verarbeitung | USA und weitere Länder der Unterauftragsverarbeiter von OpenAI, ohne Datenresidenz in Europa |
| Aufbewahrung beim Anbieter | bis 30 Tage (Missbrauchsüberwachung) |
| Training mit Kundendaten | nein |
| Grundlage der Übermittlung | Vertragspartner für Kunden mit Sitz in der Schweiz ist OpenAI Ireland Ltd.; Irland bietet nach Anhang 1 DSV angemessenen Schutz. Daten nach dem Recht des EWR und der Schweiz verarbeitet OpenAI Ireland Limited. Weitergaben ausserhalb von EWR und Schweiz, etwa an OpenAI OpCo, LLC, stützt OpenAI auf SCC 2021/914 (DPA vom 1.1.2026, Ziff. 4.1). Eine Anpassung der SCC für die Schweiz nennt der DPA dafür nicht. OpenAI OpCo, LLC ist nicht unter dem Data Privacy Framework zertifiziert. |
03 Google Cloud EMEA Limited Nicht eingeschränkt #
Velasco, Clanwilliam Place, Dublin 2, Irland
| Tätigkeit | Gemini API (bezahlte Stufe): KI-Sichtbarkeit mit Google-Suche, Prüfung von Massnahmen, Prüfung eigener Nennungen |
|---|---|
| Kundendaten | Prompts; Auszüge aus KI-Antworten; Geschäftskontext (Marke, Domain, Topics, Keywords, Region); Name und Domain der Website; Text der Massnahme mit den häufigsten Suchanfragen, Impressionen, Klicks und Position je Seite aus der Search Console; Ergebnis der Messprüfung mit dem Seitentitel aus dem letzten Abruf (bis 120 Zeichen) |
| Ort der Verarbeitung | nicht angegeben |
| Aufbewahrung beim Anbieter | 55 Tage (Missbrauchsüberwachung); mit Google-Suche 30 Tage, nicht abschaltbar |
| Training mit Kundendaten | nein |
| Grundlage der Übermittlung | Data Processing Addendum for Products Where Google is a Data Processor mit SCC 2021/914; der DPA erfasst auch Daten nach DSG. Google LLC ist unter dem EU-U.S. und dem Swiss-U.S. Data Privacy Framework zertifiziert. |
04 Groq UK Limited Nicht anwendbar #
3 Hammersmith Grove, London W6 0ND, Vereinigtes Königreich
| Tätigkeit | Auswertung von KI-Antworten: Marken, Relevanz, Eignung zitierter Seiten. Groq erhält keine Prompts der KI-Sichtbarkeit, sondern wertet Antworten aus. |
|---|---|
| Kundendaten | Antworttexte; Geschäftskontext (Marken- oder Website-Name, Domain, Topics, bis 60 Keywords, Region); Namen von Marken und Wettbewerbern; URL, Titel und bis 4000 Zeichen Text fremder Seiten, die eine KI-Antwort zitiert |
| Ort der Verarbeitung | USA (Google Cloud) |
| Aufbewahrung beim Anbieter | standardmässig keine; Protokolle bei Störung oder Missbrauch bis 30 Tage |
| Training mit Kundendaten | nein |
| Grundlage der Übermittlung | Groq Data Processing Addendum mit SCC 2021/914 (Module 2 und 3) und Anpassung für die Schweiz |
05 Anthropic Ireland, Limited Nicht eingeschränkt #
6th Floor, South Bank House, Barrow Street, Dublin 4, Irland
| Tätigkeit | KI-Sichtbarkeit, nur bei Auswahl durch den Kunden |
|---|---|
| Kundendaten | Prompts |
| Ort der Verarbeitung | weltweit nach Wahl des Anbieters |
| Aufbewahrung beim Anbieter | 30 Tage; bei Verstoss gegen Nutzungsregeln bis 2 Jahre |
| Training mit Kundendaten | nein |
| Grundlage der Übermittlung | Anthropic Data Processing Addendum mit SCC 2021/914 (Module 2 und 3) und Swiss Addendum. Anthropic, PBC (USA) ist nicht unter dem Data Privacy Framework zertifiziert. |
06 Perplexity AI, Inc. Eingeschränkt #
115 Sansome Street, Suite 900, San Francisco, CA 94104, USA
| Tätigkeit | KI-Sichtbarkeit, nur bei Auswahl durch den Kunden |
|---|---|
| Kundendaten | Prompts |
| Ort der Verarbeitung | USA. Perplexity und alle seine Unterauftragsverarbeiter sitzen in den USA. |
| Aufbewahrung beim Anbieter | Personendaten in Eingaben bis zur Löschung durch den Kunden, spätestens 30 Tage nach Ende der Leistung (DPA Annex 1). Für einzelne Dienste können eigene Regeln gelten. |
| Training mit Kundendaten | nein (DPA §5) |
| Grundlage der Übermittlung | Perplexity Data Processing Addendum (Stand 13.08.2026) mit SCC 2021/914 (Module 2 und 3) für Daten nach EU- und UK-Recht. Daten nach DSG erfasst der DPA nicht. Perplexity AI, Inc. ist nicht unter dem Data Privacy Framework zertifiziert. Die Klarplan AG hat eine Transferfolgenabschätzung erstellt und überprüft sie mindestens jährlich. |
07 Cloro Incorporation Ltd. Eingeschränkt #
168 Triq San Kristofru, Valletta VLT 1467, Malta
| Tätigkeit | Abfrage von Microsoft Copilot, nur bei Auswahl durch den Kunden |
|---|---|
| Kundendaten | Prompts, Ländercode der Website |
| Ort der Verarbeitung | USA (Anwendung, Datenbank und Backups bei DigitalOcean) und Deutschland (Abfrage bei Hetzner). Die Anfrage an Copilot geht aus dem Land der Website. Weitere Unterauftragsverarbeiter von cloro mit Zweck und Ort: https://cloro.dev/our-commitment-to-security/ (Abschnitt «Subprocessors»). |
| Aufbewahrung beim Anbieter | Synchrone Anfragen und Ergebnisse nach der Antwort nicht gespeichert; asynchrone Aufträge und Ergebnisse etwa 24 Stunden; Telemetrie mit dem Text der Prompts 6 Monate; Anwendungsprotokolle 7 Tage; Datensicherungen 7 bis 14 Tage; Löschung auf Anfrage binnen 30 Tagen. Diese Fristen nennt cloro; vertraglich zugesichert sind sie nicht. |
| Training mit Kundendaten | nein nach Angabe von cloro, vertraglich nicht zugesichert; die Terms (§6.2) erlauben nur eine aggregierte, de-identifizierte Nutzung. Microsoft darf die Prompts zur Verbesserung von Copilot nutzen (A.4 Ziff. 5). |
| Grundlage der Übermittlung | Bekanntgabe an cloro (Malta): angemessener Schutz nach Art. 16 Abs. 1 DSG und Anhang 1 DSV; innerhalb der EU keine Übermittlung nach Kapitel V DSGVO. Weitergabe an DigitalOcean, LLC (USA): DigitalOcean ist unter dem EU-U.S. und dem Swiss-U.S. Data Privacy Framework zertifiziert. Zusätzlich gilt das cloro Data Protection Agreement mit SCC 2021/914 (Modul 2); Ziffer 6(a) stellt Übermittlungen aus der Schweiz unter die SCC; eine Anpassung an DSG und EDÖB enthält der DPA nicht. Für Better Stack (Logs; Deutschland und USA) und Snapshooter (Backups; USA) gilt der Vertrag zwischen cloro und dem Dienst. Die Klarplan AG kennt diesen Vertrag nicht. cloro haftet für beide nach DPA §5(c). Die Weitergabe an Microsoft Copilot erfolgt auf Weisung des Kunden (A.4 Ziff. 5; Klausel 8.8 des cloro Data Protection Agreement). |
08 Google Cloud EMEA Limited: Google Workspace #
Velasco, Clanwilliam Place, Dublin 2, Irland
| Tätigkeit | Postfach hello@rankscan.ai: Support, Weisungen, interne Benachrichtigung zu Support-Anfragen |
|---|---|
| Kundendaten | Inhalt von E-Mails des Kunden; Auszüge aus Support-Anfragen |
| Ort der Verarbeitung | nicht angegeben |
| Aufbewahrung beim Anbieter | nach den Fristen der Klarplan AG |
| Training mit Kundendaten | nicht angegeben |
| Grundlage der Übermittlung | Google Cloud Data Processing Addendum, für das Konto rankscan.ai angenommen |
09 DataForSEO OÜ #
Vesivärava tn 50-201, 10152 Tallinn, Estland, Registernummer 14502291
| Tätigkeit | Abruf von Suchergebnissen (SERP), Keyword-Kennzahlen und Suchsichtbarkeit |
|---|---|
| Kundendaten | Keywords, Domains, URLs, Sprach- und Ländereinstellungen (Personendaten nur, soweit Suchergebnisse sie enthalten) |
| Ort der Verarbeitung | EU (Estland, Deutschland bei Hetzner) und USA (Google Cloud, Microsoft Azure) |
| Aufbewahrung beim Anbieter | Auftragsdaten nach Abruf kurzzeitig zwischengespeichert; Protokolle nach den Fristen des Anbieters |
| Training mit Kundendaten | nein |
| Grundlage der Übermittlung | Bekanntgabe an DataForSEO OÜ (Estland): angemessener Schutz nach Art. 16 Abs. 1 DSG und Anhang 1 DSV; innerhalb der EU keine Übermittlung nach Kapitel V DSGVO. Weitergabe an Unterauftragsverarbeiter in den USA: DataForSEO Data Processing Agreement (Bestandteil der Privacy Policy) mit Standardvertragsklauseln (SCC). |
10 Cloudflare, Inc. #
101 Townsend Street, San Francisco, CA 94107, USA
| Tätigkeit | Reverse-Proxy, DDoS-Schutz und Web Application Firewall für Anwendung, Reporting-API, MCP-Server und Testumgebung; Zugang zum Server (Zero Trust) |
|---|---|
| Kundendaten | alle Daten im Datenverkehr mit Anwendung, Reporting-API, MCP-Server und Testumgebung, auch IP-Adressen und Browserdaten der Nutzer. Die TLS-Verbindung endet bei Cloudflare (Anhang III). |
| Ort der Verarbeitung | weltweit, im Rechenzentrum von Cloudflare nächst beim Nutzer; auch ausserhalb von EWR und Schweiz (DPA Ziff. 6.1) |
| Aufbewahrung beim Anbieter | nicht angegeben; der DPA begrenzt die Verarbeitung auf die Laufzeit des Vertrags mit Cloudflare oder bis sie für den Dienst nicht mehr nötig ist (Annex 1) |
| Training mit Kundendaten | nicht angegeben; der DPA beschränkt die Verarbeitung auf die Erbringung des Dienstes (Ziff. 3.1 a) |
| Grundlage der Übermittlung | Cloudflare Data Processing Addendum (Version 6.4 vom 3.4.2026), Bestandteil des Self-Serve Subscription Agreement. Cloudflare, Inc. ist unter dem EU-U.S. und dem Swiss-U.S. Data Privacy Framework zertifiziert. Entfällt die Zertifizierung, gelten nach DPA Ziff. 6.2 die SCC 2021/914 (Module 2 und 3) mit Anpassung für die Schweiz. |
Standardauswahl der KI-Assistenten. Ohne eigene Wahl des Kunden gehen die Prompts einer neuen Website an OpenAI und Gemini. Anthropic, Perplexity und cloro erhalten Prompts nur, wenn der Kunde sie auswählt. Eingeschränkte KI-Assistenten (A.4 Ziff. 6) gehören nie zur Standardauswahl.
Dienste ohne Auftragsverarbeitung #
Diese Dienste setzt RankScan ein. Sie sind keine Unterauftragsverarbeiter.
| Dienst | Einordnung | Begründung |
|---|---|---|
| Google LLC: Search Console API | eigenständig Verantwortlicher; Datenquelle des Kunden | Der Kunde verbindet seine Search Console. Google liefert Daten aus der eigenen Suche nach den Google APIs Terms mit Controller-Controller-Bedingungen. RankScan sendet nur die Zugangsdaten und Seiten-URLs. |
| Google LLC: Chrome UX Report API | Dienst ohne Personendaten | RankScan sendet nur Seiten-URLs und erhält aggregierte Ladezeiten. |
| Google LLC: Favicon-Dienst (S2) | Dienst ohne Personendaten im konkreten Einsatz | RankScan fragt den Dienst nur ab, wenn eine Website selbst kein Favicon liefert. Der Server sendet nur den Domainnamen, keine IP-Adresse oder Browserdaten der Nutzer. |
| Wikimedia Foundation, Inc.: Wikidata | Dienst ohne Personendaten im konkreten Einsatz | RankScan sendet nur die Domain der Website als Suchbegriff. |
| Serper (Serper.dev) | Dienst ohne Personendaten im konkreten Einsatz | RankScan sendet an Serper ausschliesslich sachbezogene Suchbegriffe (Keywords) sowie Länder- und Sprachcode, ohne Domain, Konto-, Nutzer- oder IP-Daten des Kunden, um öffentliche Google-Suchergebnisse abzurufen. Die Eingabe von Personendaten in Keywords ist nach Anhang II, Abschnitt 4 Ziff. 5 ausgeschlossen. |
| Websites Dritter | kein Empfänger | RankScan ruft öffentliche Seiten ab, auch Favicons von Wettbewerbern, und sendet dabei nur die Anfrage. |
| Google Tag Manager, Google Analytics 4, Google Ads, Pixel von OpenAI in der Anwendung | Verantwortungsbereich der Klarplan AG; nur mit Einwilligung | Messung von Registrierung und Abo nach der Datenschutzerklärung. |
| Stripe, Mautic (selbst betrieben) | Verantwortungsbereich der Klarplan AG | Abrechnung und eigene E-Mails. |
| Microsoft (Copilot) | Empfänger auf Weisung des Kunden (A.4 Ziff. 5); eigenständig Verantwortlicher ohne Vertrag mit der Klarplan AG | cloro stellt die Prompts an die Oberfläche für Verbraucher von Microsoft Copilot, nur bei Auswahl durch den Kunden. Microsoft verarbeitet sie nach eigenen Bedingungen und darf sie zur Verbesserung von Copilot nutzen. |
| Vom Kunden angebundene Dienste, zum Beispiel Looker Studio oder ein MCP-Client | Empfänger auf Weisung des Kunden | Der Kunde verbindet sie selbst. Sie sind nicht Unterauftragsverarbeiter der Klarplan AG. |