Anlage 2 zum Vertrag zur Auftragsverarbeitung der eniyan GmbH · Stand: 25.09.2026
Entwurf — vor Verwendung juristisch prüfen lassen.
Unterauftragnehmer der eniyan GmbH
Diese Dienstleister setzt die eniyan GmbH für den Betrieb von CounterHub ein. Sie verarbeiten personenbezogene Daten im Auftrag der eniyan GmbH und damit mittelbar im Auftrag des Reisebüros.
Hetzner Online GmbH
- Sitz
- Gunzenhausen, Deutschland
- Zweck
- Hosting von Anwendung, Datenbank und Passwort-Tresor; Speicherung der verschlüsselten Datensicherungen (Storage Box)
- Datenkategorien
- Alle in CounterHub gespeicherten Daten (Kunden-, Beratungs-, Kommunikations-, Mitarbeiter- und Kontodaten, verschlüsselte Tresoreinträge)
- Ort der Verarbeitung
- Rechenzentrum in Deutschland
- Garantie/Grundlage
- Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Verarbeitung ausschließlich in der EU
OpenRouter Inc.
offen: prüfen/abschließen- Sitz
- USA
- Zweck
- Vermittlung der KI-Anfragen an das Sprachmodell openai/gpt-4.1-mini; Anfragen mit Zero Data Retention und ohne Datensammlung
- Datenkategorien
- Pseudonymisierte Texte aus Beratung und Kundenkartei (Namen durch Platzhalter ersetzt, E-Mail-Adressen und Telefonnummern entfernt); hochgeladene Angebotsfotos unverändert, sofern die Bild-Texterkennung eingeschaltet ist
- Ort der Verarbeitung
- USA; EU-Routing erst mit OpenRouter Business möglich (geplant)
- Garantie/Grundlage
- Vertrag zur Auftragsverarbeitung (DPA) und EU-Standardvertragsklauseln bzw. Zertifizierung nach dem EU-US Data Privacy Framework
Microsoft Corporation (Microsoft Azure)
offen: prüfen/abschließen- Sitz
- USA
- Zweck
- Ausführung des Sprachmodells openai/gpt-4.1-mini; derzeit leitet OpenRouter die Anfragen an Microsoft Azure weiter
- Datenkategorien
- Wie bei OpenRouter Inc.
- Ort der Verarbeitung
- Rechenzentrumsregion nach Routing durch OpenRouter; Region prüfen
- Garantie/Grundlage
- Weitergabe durch OpenRouter als weiterer Unterauftragnehmer; Garantie (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework) belegen
[SMTP-Anbieter eintragen]
offen: prüfen/abschließen- Sitz
- [Sitz eintragen]
- Zweck
- Versand von System-E-Mails (Einladungen, Passwort-Links, Sicherheitshinweise, Support)
- Datenkategorien
- Name und E-Mail-Adresse der Empfänger, Inhalt der System-E-Mail
- Ort der Verarbeitung
- [Ort der Verarbeitung eintragen]
- Garantie/Grundlage
- Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (eintragen)
Vom Reisebüro beauftragte Dienste (Integrationen)
Diese Dienste schaltet das Reisebüro selbst frei und beauftragt sie in eigenem Namen. CounterHub ruft Daten dort nur ab bzw. übermittelt sie dorthin, solange die Integration eingeschaltet ist. Die Verträge (inkl. Auftragsverarbeitung) schließt das Reisebüro direkt mit dem jeweiligen Anbieter.
Microsoft 365 (Microsoft Graph)
- Sitz
- Vertragspartner laut Microsoft-Vertrag des Reisebüros
- Zweck
- Teams-Status und Bookings-Kalender der Mitarbeitenden; Mitlesen ausgewählter Postfächer (nur Nachrichten, deren Gegenstelle ein Kunde ist, Signaturen abgeschnitten)
- Datenkategorien
- Verfügbarkeitsstatus und Termine der Mitarbeitenden; Betreff, Text, Absender, Empfänger und Zeitpunkt von Kunden-E-Mails
- Ort der Verarbeitung
- Laut Microsoft-Vertrag des Reisebüros
- Garantie/Grundlage
- Vertrag des Reisebüros mit Microsoft (Datenschutznachtrag/DPA); CounterHub greift nur mit der vom Reisebüro erteilten App-Berechtigung zu
Superchat GmbH
- Sitz
- Deutschland
- Zweck
- Empfang von WhatsApp- und anderen Messaging-Nachrichten per Webhook; Zuordnung zur Kundenkartei
- Datenkategorien
- Name, Telefonnummer, Nachrichteninhalte, Zeitpunkte, Name der antwortenden Mitarbeitenden, Notizen
- Ort der Verarbeitung
- Laut Vertrag des Reisebüros mit Superchat
- Garantie/Grundlage
- Vertrag des Reisebüros mit Superchat (inkl. Auftragsverarbeitung)
Bewotec GmbH (myJACK/Lunar)
- Sitz
- Deutschland
- Zweck
- Lesender Abruf von Kunden- und Vorgangsdaten aus dem Mid-Office (Kundensuche, Buchungshistorie, Umsatz)
- Datenkategorien
- Kundenstammdaten (Name, Anschrift, Telefon, E-Mail), Aufträge und Leistungen, Mitreisende, Reisepreise, zuständige Mitarbeitende
- Ort der Verarbeitung
- Laut Vertrag des Reisebüros mit Bewotec
- Garantie/Grundlage
- Vertrag des Reisebüros mit Bewotec (inkl. Auftragsverarbeitung); Zugriff nur auf die Unit des Reisebüros
absence.io
- Sitz
- Laut Vertrag des Reisebüros
- Zweck
- Abwesenheiten, Schichtpläne und Zeiterfassungs-Stempel für den Verfügbarkeitsstatus
- Datenkategorien
- Name der Mitarbeitenden, Abwesenheitszeiträume und -arten, Schichten, Arbeits- und Pausenstempel
- Ort der Verarbeitung
- Laut Vertrag des Reisebüros mit absence.io
- Garantie/Grundlage
- Vertrag des Reisebüros mit absence.io (inkl. Auftragsverarbeitung)
easybell GmbH
- Sitz
- Deutschland
- Zweck
- Anrufereignisse und Nebenstellenstatus der Telefonanlage (Anrufer-Erkennung, „im Telefonat“, Kontaktzeiten-Statistik)
- Datenkategorien
- Rufnummer des Anrufers (in CounterHub nur 24 Stunden gespeichert), Nebenstelle, Zeitpunkt; dauerhaftes Anrufprotokoll ohne Rufnummer und ohne Kundenbezug, aber mit Nebenstelle
- Ort der Verarbeitung
- Laut Vertrag des Reisebüros mit easybell
- Garantie/Grundlage
- Vertrag des Reisebüros mit easybell (inkl. Auftragsverarbeitung)
Paxlounge-Angebotsseiten
- Sitz
- Betreiber der jeweiligen Angebotsseite
- Zweck
- Öffentlicher Abruf der Angebots-URL, die die Beraterin oder der Berater einfügt, um Angebotsdaten zu übernehmen
- Datenkategorien
- Keine personenbezogenen Daten aus CounterHub; übertragen wird nur der Abruf der URL (IP-Adresse des CounterHub-Servers)
- Ort der Verarbeitung
- Ort der jeweiligen Angebotsseite
- Garantie/Grundlage
- Keine Auftragsverarbeitung (reiner Abruf einer öffentlichen Seite)
Änderungen
Über beabsichtigte Änderungen dieser Liste informiert die eniyan GmbH die Organisationen vorab; sie können widersprechen. Eine neue Fassung muss in CounterHub erneut angenommen werden. Fragen an datenschutz@eniyan.de.