Stand: 31. Oktober 2026. Diese deutsche Fassung ist maßgeblich; die englische Fassung ist eine unverbindliche Übersetzung.
Diese Seite listet die Dienstleister, die personenbezogene Daten im Auftrag von kanman verarbeiten, wenn wir den Dienst für unsere Kunden erbringen (Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO). Sie ist Anlage 2 des Auftragsverarbeitungsvertrags. Wie wir Daten von Besuchern dieser Website und von Kontoinhabern verarbeiten, steht in der Datenschutzerklärung.
1. Plattform
Diese Dienstleister setzen wir für jeden Kunden ein.
| Dienstleister | Zweck | Datenkategorien | Ort / Region | Übermittlung in Drittländer |
|---|---|---|---|---|
| Supabase, Inc., USA | Datenbank, Anmeldung, Dateispeicher und Serverfunktionen der Anwendung | Alle in kanman gespeicherten Daten: Konten, Workspaces, Stories, Runs, Entscheidungen, Audit-Log, Run-Artefakte, verschlüsselte Schlüssel | Gespeichert in Stockholm, Schweden (Region eu-north-1). Serverfunktionen laufen im Edge-Netz von Supabase, in der Regel nahe dem Aufrufer | EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Fly.io, Inc., USA | Cloud-Runner: eine eigene Maschine je Run, auf der der Coding-Agent arbeitet. Nicht genutzt, wenn alle Runs auf eigenen Runnern laufen | Für den Run ausgecheckter Quellcode, Run-Logs, Inhalte der Modellaufrufe des Runs | Frankfurt am Main, Deutschland (Region fra) | EU-Standardvertragsklauseln |
| Cloudflare, Inc., USA | Auslieferung von Website, Anwendung und Dokumentation (Pages, CDN), DNS, Schutz vor Angriffen, Workers, E-Mail-Weiterleitung (Email Routing) für Adressen unter kanman.ai, darunter Antworten auf kanman-E-Mails | IP-Adressen und Verbindungsdaten, Inhalte eingehender E-Mails | Weltweites Netz, Anfragen werden in der Regel im nächstgelegenen Rechenzentrum bearbeitet | EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
| Plus Five Five, Inc. (Resend), USA | Versand von E-Mails (Anmeldung, Einladungen, Benachrichtigungen, E-Mail-Zusammenfassung) | Name und E-Mail-Adresse der Empfänger, Inhalt der E-Mail, Zustellstatus | Versand aus Irland (Region eu-west-1); Verwaltung in den USA | EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
| Stripe Payments Europe, Limited, Irland | Zahlungsabwicklung, Abonnements, Rechnungen | Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsdaten, Vertrags- und Rechnungsdaten | EU; Weitergabe an Stripe, Inc., USA | EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
| Google Ireland Limited, Irland | Postfach, in das E-Mails an [email protected] und [email protected] weitergeleitet werden (Support) | Inhalt von Support-Anfragen und deren Anhänge, Absenderdaten | EU und USA | EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
| Anthropic, PBC, USA | KI-Assistenz (Claude), die der Anbieter beim Betrieb, bei der Fehlersuche und im Support nutzt. Dabei können Daten aus der Anwendung im Einzelfall verarbeitet werden | Die für die jeweilige Aufgabe nötigen Daten aus der Anwendung, zum Beispiel Logs, Run-Daten, Kontodaten | USA | EU-Standardvertragsklauseln |
2. Modellzugang über kanman
Nur wenn ein Team den Modellzugang über kanman nutzt statt eines eigenen Schlüssels, beauftragen wir den Modellanbieter. Er erhält dann die Prompts sowie den Code- und Tracker-Kontext, den ein Schritt braucht. Mit eigenem Schlüssel (BYOK), über das AI-Gateway des Kunden oder über die Modellanbindung eigener Runner ist der Modellanbieter Vertragspartner des Kunden und kein Unterauftragsverarbeiter von kanman.
| Dienstleister | Zweck | Datenkategorien | Ort / Region | Übermittlung in Drittländer |
|---|---|---|---|---|
| Anthropic, PBC, USA | Modellaufrufe mit Claude-Modellen | Prompts, Quellcode-Ausschnitte, Tracker-Inhalte, Logs, die ein Schritt braucht | USA | EU-Standardvertragsklauseln |
| OpenAI, L.L.C., USA | Modellaufrufe mit OpenAI-Modellen (zum Beispiel für Codex) | Prompts, Quellcode-Ausschnitte, Tracker-Inhalte, Logs, die ein Schritt braucht | USA | EU-Standardvertragsklauseln |
Wir nutzen Kundeninhalte nicht zum Training von KI-Modellen und nutzen Modellzugänge nur zu Bedingungen, nach denen der Anbieter die Daten nicht zum Training verwendet.
3. Keine Unterauftragsverarbeiter
Diese Empfänger wählt der Kunde selbst oder sie arbeiten unabhängig von uns. Für sie gelten deren eigene Bedingungen.
- Dienste, die der Kunde verbindet: zum Beispiel GitHub, GitLab, Jira, Slack, Microsoft Teams oder andere Erweiterungen. kanman liest und schreibt dort im Auftrag des Kunden; den Vertrag mit dem Dienst schließt der Kunde.
- Modellanbieter mit eigenem Schlüssel: Anthropic, OpenAI, Microsoft (Azure OpenAI), Amazon Web Services (Amazon Bedrock) oder ein AI-Gateway, unter dem eigenen Vertrag des Kunden.
- Self-hosted-Runner: laufen in der Infrastruktur und unter der Verantwortung des Kunden.
- Push-Dienste der Browser: Schaltet ein Nutzer Push-Benachrichtigungen ein, stellt der Push-Dienst seines Browsers (zum Beispiel von Google, Apple, Mozilla oder Microsoft) sie zu. Der Inhalt ist Ende-zu-Ende verschlüsselt.
- Unsplash: Hintergrundbilder werden direkt von Unsplash geladen (siehe Datenschutzerklärung).
4. Änderungen dieser Liste
Bevor wir einen neuen Unterauftragsverarbeiter einsetzen oder einen bestehenden ersetzen, informieren wir die Inhaber der Workspaces mindestens 14 Tage vorher per E-Mail und aktualisieren diese Seite mit Datum. Der Kunde kann innerhalb dieser 14 Tage in Textform an [email protected] aus berechtigten datenschutzrechtlichen Gründen widersprechen. Finden wir keine Lösung, kann der Kunde die betroffenen Leistungen vor dem Wechsel ohne weitere Kosten kündigen. Muss ein Dienstleister kurzfristig ersetzt werden (zum Beispiel weil er seinen Dienst einstellt oder aus Sicherheitsgründen), informieren wir unverzüglich; das Widerspruchs- und Kündigungsrecht gilt dann ab der Mitteilung.
5. Änderungsverlauf
- 31. Oktober 2026: Liste als eigene Seite veröffentlicht. Neu aufgeführt: Google (Support-Postfach) und Anthropic (KI-Assistenz im Betrieb); Resend versendet aus der EU-Region.