GEKI.AI
← Vertragsdokumente

Subprozessoren-Liste

Stand: Oktober 2026

Diese Liste enthält die von GEKI im Zusammenhang mit der GEKI AI Factory und GEKI Companybots eingesetzten Subprozessoren.

Nicht jeder aufgeführte Subprozessor wird für jeden Kunden eingesetzt. Maßgeblich sind das im Order Form vereinbarte Rechenzentrum und die aktivierten Zusatzservices.

Aktuelle Subprozessoren

SubprozessorLeistung / ZweckVerarbeitete DatenVerarbeitungsstandort
Raiffeisen Rechenzentrum GmbHRechenzentrum / Colocation, Strom, Kühlung, Netzwerk und physische InfrastrukturTechnische Betriebs- und Netzwerkdaten; kein vorgesehener Zugriff auf Prompt- oder Output-InhalteRaiffeisen-Platz 1, 8074 Raaba-Grambach, Österreich
next layer Telekommunikationsdienstleistungs- und Beratungs GmbHRechenzentrum / Colocation, Netzwerk und physische InfrastrukturTechnische Betriebs- und Netzwerkdaten; kein vorgesehener Zugriff auf Prompt- oder Output-InhalteWien, Österreich; konkreter Rechenzentrumsstandort gemäß Order Form
Cortecs GmbHEuropäisches Routing von AI-Inference (1) bei aktiviertem Peak Capacity Management und (2) als Europäischer Router, wenn der Kunde diese Token-Quelle für GEKI Companybots gewählt hat oder die Model API im Self-Service nutztPrompt/Input und Output ausschließlich zur Durchführung des jeweiligen Requests sowie technische Request-MetadatenEU/EWR entsprechend der von GEKI freigegebenen Routing-Konfiguration
E3M d.o.o. (Entrim)Europäische AI-Inference direkt bei einem Inference-Anbieter für Peak Capacity Management und den Europäischen Router, insbesondere als Ausweichweg, wenn Cortecs nicht verfügbar istPrompt/Input und Output ausschließlich zur Durchführung des jeweiligen Requests (Zero Data Retention) sowie technische Request-MetadatenEU (Slowenien)
Hetzner Online GmbHServer und Speicher für Auxiliary Services sowie GEKI Companybots (Bots, Bot API und Web-App) (Anwendungsschicht; nicht der produktive KI-Inference-Service)Technische Betriebs- und Systemdaten; bei Nutzung von Bots/Web-App zusätzlich gespeicherte Chat-Verläufe, Kontext, Quellen, Bot-Konfigurationen sowie Konto- und Berechtigungsdaten der Web-App-NutzerEU
OVH GmbH (OVHcloud)Public Cloud (Server) und Object Storage als Ausweichstandort und zusätzlicher Backup-Standort für Auxiliary Services und GEKI CompanybotsTechnische Betriebs- und Systemdaten; bei Nutzung als Ausweich- oder Backup-Standort zusätzlich die bei Hetzner genannten gespeicherten Daten von GEKI CompanybotsEU
European Perspective SAS (Staan; Joint Venture von Qwant und Ecosia)Web-Suche für Bots — nur wenn der Kunde die Web-Suche aktiviert hatSuchanfragen, die aus Chat-Eingaben abgeleitet werdenEU (Frankreich)

1. Raiffeisen Rechenzentrum GmbH

Rechtsträger: Raiffeisen Rechenzentrum GmbH

Firmensitz: Radetzkystraße 15 8010 Graz Österreich

Firmenbuchnummer: FN 315298z UID: ATU64479157

Rechenzentrumsstandort: Raiffeisen-Platz 1 8074 Raaba-Grambach Österreich

Zweck

Bereitstellung der physischen Rechenzentrumsinfrastruktur für die eigenen Server von GEKI (GEKI AI Factory und GEKI Companybots), insbesondere:

  • Colocation / Housing
  • Stromversorgung
  • Kühlung
  • Netzwerk
  • physische Sicherheit
  • Rechenzentrumsbetrieb

Ein Zugriff des Rechenzentrumsbetreibers auf Prompt-, Input- oder Output-Inhalte ist im normalen Betrieb nicht vorgesehen.

2. next layer Telekommunikationsdienstleistungs- und Beratungs GmbH

Rechtsträger: next layer Telekommunikationsdienstleistungs- und Beratungs GmbH

Firmensitz: Mariahilfer Gürtel 37/7 1150 Wien Österreich

Firmenbuchnummer: FN 257486g UID: ATU61352315

Verarbeitungsstandort

Wien, Österreich

Der konkrete für die GEKI AI Factory verwendete Rechenzentrumsstandort wird gemäß Order Form beziehungsweise der jeweiligen technischen Bereitstellung festgelegt.

next layer betreibt mehrere Colocation-Standorte in Wien.

Zweck

Bereitstellung von:

  • Colocation / Housing
  • Strom und Kühlung
  • Netzwerkinfrastruktur
  • Internet- und Datacenter-Konnektivität
  • physischer Rechenzentrumsinfrastruktur

Ein Zugriff auf Prompt-, Input- oder Output-Inhalte ist im normalen Betrieb nicht vorgesehen.

3. Cortecs GmbH

Rechtsträger: Cortecs GmbH

Adresse: Althanstraße 4, 6. Stock 1090 Wien Österreich

Firmenbuchnummer: FN 560802i UID: ATU77164426

Zweck

Cortecs wird in zwei Fällen eingesetzt:

  1. Peak Capacity Management — wenn dieses für den Kunden aktiviert wurde und die dedizierte GEKI AI Factory ordnungsgemäß funktioniert, die aktuelle Kundennachfrage jedoch die verfügbare Kapazität der gebuchten GPU-Infrastruktur übersteigt. GEKI kann in diesem Fall einzelne Requests über Cortecs an geeignete europäische Inference-Provider routen.
  2. Europäischer Router — wenn der Kunde für GEKI Companybots die Token-Quelle „Europäischer Router“ gewählt hat. Die Modell-Requests der Bots werden dann über Cortecs an von GEKI zugelassene europäische Inference-Provider geroutet.

Daten

Im Rahmen eines gerouteten Requests können verarbeitet werden:

  • Prompt / Input
  • für den Request bereitgestellter Context
  • AI-generierter Output
  • technische Request-Metadaten

Die Verarbeitung erfolgt ausschließlich zur Durchführung des jeweiligen Requests.

Stateless / Zero Data Retention

Cortecs gibt für seinen Routing-Service an:

  • keine Speicherung von Prompts
  • keine Nutzung von Prompts für Modelltraining
  • Verarbeitung der Payload ausschließlich im temporären Speicher
  • Löschung der Payload nach Abschluss des Requests

GEKI konfiguriert die über Cortecs zulässigen Provider entsprechend den mit dem Kunden vereinbarten Datenschutz-, Standort- und Sicherheitsanforderungen.

Verarbeitungsstandorte

EU/EWR gemäß der von GEKI freigegebenen Routing-Konfiguration.

Cortecs selbst nutzt für seinen Routing-Service Infrastruktur innerhalb der EU. Die eigentliche Inference kann durch unterschiedliche, von GEKI zugelassene europäische Inference-Provider erfolgen.

GEKI kann die zulässige Providerauswahl einschränken.

3a. E3M d.o.o. (Entrim)

Rechtsträger: E3M d.o.o. (Marke „Entrim“)

Firmensitz: Bela Cerkev 10 8220 Šmarješke Toplice Slowenien

Matična številka: 9924329000 UID: SI35576685

Zweck

Europäischer Inference-Anbieter. GEKI bezieht Inference von Entrim über Cortecs (Abschnitt 3) oder direkt, insbesondere als Ausweichweg, wenn Cortecs nicht verfügbar ist. Der direkte Bezug wird in denselben Fällen eingesetzt wie Cortecs: Peak Capacity Management und Europäischer Router (Token-Quelle von GEKI Companybots und Model API im Self-Service).

Daten

Im Rahmen eines Requests können verarbeitet werden:

  • Prompt / Input
  • für den Request bereitgestellter Context
  • AI-generierter Output
  • technische Request-Metadaten

Die Verarbeitung erfolgt ausschließlich zur Durchführung des jeweiligen Requests.

Zero Data Retention

GEKI nutzt Entrim mit Zero Data Retention:

  • keine Speicherung von Prompts und Outputs
  • KV-Cache ausschließlich im flüchtigen GPU-Speicher
  • keine Nutzung von Prompts oder Outputs für Modelltraining

Technische Betriebsmetadaten (z. B. Anzahl der Tokens, Zeitstempel, Request-ID) speichert Entrim für Abrechnung, Betrieb und Missbrauchsabwehr.

Verarbeitungsstandort

EU (Slowenien) — von Entrim selbst betriebenes Rechenzentrum.

4. Hetzner Online GmbH

Rechtsträger: Hetzner Online GmbH

Firmensitz: Industriestr. 25 91710 Gunzenhausen Deutschland

Registergericht: Amtsgericht Ansbach, HRB 6089 UID: DE812871812

Verarbeitungsstandort

EU

Zweck

Bereitstellung von Servern und Speicher für:

  • Auxiliary Services (Management-, Monitoring- und Hilfsdienste rund um den Betrieb der GEKI AI Factory)
  • die Anwendungsschicht GEKI Companybots (Bots, Bot API und Web-App)

Hetzner betreibt nicht den produktiven KI-Inference-Service der dedizierten AI Factory.

Daten

Bei Nutzung von Bots und Web-App können auf den Hetzner-Servern persistent gespeichert werden: Chat-Verläufe und Konversationskontext, in Bots hinterlegte Quellen und Bot-Konfigurationen, Konto-, Berechtigungs- und Zustimmungsdaten der Web-App-Nutzer sowie Branding-Elemente. Hetzner stellt die Infrastruktur bereit; ein inhaltlicher Zugriff durch Hetzner ist im normalen Betrieb nicht vorgesehen.

4a. OVH GmbH (OVHcloud)

Rechtsträger: OVH GmbH (Gruppe OVHcloud, Muttergesellschaft OVH SAS, Roubaix, Frankreich)

Firmensitz: Oskar-Jäger-Straße 173/K6 50825 Köln Deutschland

Registergericht: Amtsgericht Köln, HRB 122481

Verarbeitungsstandort

EU — Rechenzentren von OVHcloud in der EU.

Zweck

Bereitstellung von Public Cloud (Servern) und Object Storage als:

  • Ausweichstandort für Auxiliary Services und die Anwendungsschicht GEKI Companybots (Bots, Bot API und Web-App), wenn Hetzner nicht verfügbar ist
  • zusätzlicher Backup-Standort, redundant zu Hetzner

OVHcloud betreibt nicht den produktiven KI-Inference-Service der dedizierten AI Factory.

Daten

Bei Nutzung als Ausweich- oder Backup-Standort können bei OVHcloud dieselben Daten persistent gespeichert werden wie auf den Hetzner-Servern (Abschnitt 4). OVHcloud stellt die Infrastruktur bereit; ein inhaltlicher Zugriff durch OVHcloud ist im normalen Betrieb nicht vorgesehen.

5. Staan (Web-Suche, optional)

Rechtsträger: European Perspective SAS (Société par actions simplifiée; Joint Venture von Qwant und Ecosia, auch „European Search Perspective – EUSP“)

Firmensitz: 42 Avenue de la Porte de Clichy 75017 Paris Frankreich

Register: RCS Paris B 928 439 785 USt-IdNr.: FR 63 928 439 785

Zweck

Web-Suche für Bots über die Staan-API (Search Trusted API Access Network, eigener europäischer Suchindex). Staan wird nur eingesetzt, wenn der Kunde für einen Bot die Web-Suche aktiviert hat.

Daten

Übermittelt werden die aus der Konversation abgeleiteten Suchanfragen, nicht der vollständige Chat-Verlauf.

Verarbeitungsstandort

EU (Frankreich). Hosting der Search API bei OVH in Frankreich (DPA von European Perspective, 2026).

6. Weitere Dienstleister (Konten, E-Mail, Analyse, Zahlung)

Die folgenden Dienstleister erhalten keine Inhalte von Prompts, Chats oder Quellen. Sie verarbeiten Konto-, Kommunikations-, Nutzungs- und Zahlungsdaten. Soweit diese Daten Nutzer betreffen, denen der Kunde Zugänge erteilt hat (z. B. Einladungs-E-Mails an Web-App-Nutzer), handelt GEKI als Auftragsverarbeiter; im Übrigen ist GEKI Verantwortlicher und die Dienstleister sind in der Datenschutzerklärung als Empfänger genannt.

DienstleisterZweckDatenVerarbeitungsstandort
Amazon Web Services EMEA SARL (Amazon SES), 38 Avenue John F. Kennedy, L-1855 LuxemburgVersand von System-E-Mails: Bestätigung der E-Mail-Adresse, Passwort-Reset, Einladungen, BenachrichtigungenE-Mail-Adresse, Name, Inhalt der System-E-MailEU (Frankfurt, Region eu-central-1); Konzernmutter in den USA
PostHog, Inc. (EU-Cloud), 2261 Market Street #4008, San Francisco, CA 94114, USAProduktanalyse von GEKI Companybots und der Kontoverwaltung: Nutzungsereignisse, Sitzungsaufzeichnung mit maskierten Inhalten (Session Replay)Kennung des Kontos, Name, E-Mail-Adresse, Organisation und Rolle, Nutzungsereignisse, maskierte BildschirmaufzeichnungEU (Frankfurt); Anbieter mit Sitz in den USA
HubSpot Ireland Limited, One Dockland Central, Guild Street, Dublin 1, IrlandCRM: Kontaktanfragen, Vertrieb, Kundenbetreuung und Support-KommunikationName, geschäftliche Kontaktdaten, Firma, Inhalt von Anfragen und Support-NachrichtenEU; Konzernmutter HubSpot, Inc. in den USA
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, IrlandZahlungsabwicklung beim Kauf von Guthaben (nur Self-Service)Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsdaten, BetragEU (Irland); Konzernmutter in den USA. Stripe handelt für die Zahlungsabwicklung als eigener Verantwortlicher

Unabhängig vom eingesetzten Rechenzentrum gilt für den GEKI AI Factory Inference Service:

Keine persistente Speicherung von Prompts.

Keine persistente Speicherung von Outputs.

Keine Nutzung von Kundendaten für Training oder Fine-Tuning.

Prompt- und Output-Inhalte werden ausschließlich soweit technisch notwendig flüchtig verarbeitet, beispielsweise in:

  • RAM
  • GPU VRAM
  • KV-Cache
  • Prefix Cache

Technische Betriebsmetadaten können ohne inhaltliche Prompt- oder Output-Payload gespeichert werden.

Ausnahme Bots und Web-App: Nutzt der Kunde GEKI Companybots, werden Chat-Verläufe, Kontext und Quellen in der Anwendungsschicht in der EU persistent gespeichert und können vom Kunden gelöscht werden (siehe DPA Abschnitt 2.1, TOMs Abschnitt 2a). Die Inference selbst bleibt stateless.

Beim Token Resale werden keine Kundendaten an externe Nutzer oder Workloads weitergegeben.

Kunden-Workloads und externe Token-Resale-Workloads sind technisch und logisch voneinander getrennt.

Externe Workloads erhalten insbesondere keinen Zugriff auf:

  • Prompts des Kunden
  • Outputs des Kunden
  • Dokumente
  • Context
  • kundenspezifische Caches
  • Credentials
  • API Keys

Der für die Vermarktung freier Kapazität eingesetzte Router verarbeitet dabei externe Workloads und keine Kundendaten.

GEKI informiert den Kunden mindestens 20 Tage vor dem erstmaligen Einsatz eines neuen oder ersetzten Subprozessors.

Die Information erfolgt in Textform an die vom Kunden im Order Form angegebene E-Mail-Adresse, im Self-Service an die E-Mail-Adresse des Inhabers der Organisation; E-Mail ist ausreichend.

Die Mitteilung enthält mindestens:

  • Name des Subprozessors
  • Zweck der Verarbeitung
  • Verarbeitungsstandort

Der Kunde kann dem Einsatz innerhalb von 15 Tagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen widersprechen.

GEKI setzt den neuen Subprozessor für Kundendaten nicht ein, bevor die Widerspruchsfrist abgelaufen beziehungsweise ein fristgerecht erhobener begründeter Widerspruch geklärt wurde.

Datenschutzkontakt

gdpr@geki.ai