Unterauftragsverarbeiter

Alle Dienstleister, die wir für den Betrieb einsetzen. Diese Liste ist Anlage zum Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Stand: 3. November 2026.

Wenn Sie als Psycholog:in mit Metanovia arbeiten, sind Sie datenschutzrechtlich verantwortlich für die Daten Ihrer Klient:innen, und wir verarbeiten sie in Ihrem Auftrag. Ihre Aufsichtsbehörde kann von Ihnen verlangen, die gesamte Kette zu benennen. Deshalb steht sie hier vollständig, statt verteilt in mehreren Dokumenten.

Zugriff auf Gesprächsinhalte haben nur 5 dieser Dienste. Die Dienste für die Live-Transkription und für Nova laufen ausschließlich, wenn Sie sie freigeschaltet haben und Ihre Klient:in zustimmt. Die Videoverbindung trägt Bild und Ton jeder Sitzung und lässt sich nicht abwählen, sie gehört zur Sitzung selbst. Alle übrigen sehen ausschließlich verschlüsselte Daten oder organisatorische Angaben wie Termine und Namen.

Änderungen teilen wir vorab mit, bevor ein neuer Dienstleister eingesetzt wird. Sie können widersprechen; führt der Widerspruch dazu, dass wir die Leistung nicht mehr erbringen können, dürfen Sie den Vertrag beenden.

Vercel Inc.

Hosting und Betrieb der Anwendung

Keine Gesprächsinhalte

Firmensitz: USA
Verarbeitungsort: EU (Frankfurt)
Im Einsatz seit: 2026-01

GarantieAuftragsverarbeitungsvertrag, EU-Standardvertragsklauseln

Die Serverfunktionen laufen in der Region Frankfurt. Inhalte liegen dort verschlüsselt vor.

Turso (ChiselStrike Inc.)

Datenbank

Keine Gesprächsinhalte

Firmensitz: USA
Verarbeitungsort: EU (Irland)
Im Einsatz seit: 2026-01

GarantieAuftragsverarbeitungsvertrag, EU-Standardvertragsklauseln

Sitzungsinhalte, Dokumentation und Nachrichten liegen feldverschlüsselt (AES-256-GCM) in der Datenbank. Der Anbieter sieht nur Chiffrat.

Daily.co (Daily Co)

Videoverbindung der Sitzungen

Sieht Gesprächsinhalte

Firmensitz: USA
Verarbeitungsort: EU (Frankfurt, feste Regionszuweisung)
Im Einsatz seit: 2026-01

GarantieAuftragsverarbeitungsvertrag, EU-Standardvertragsklauseln, Data Privacy Framework

Bild und Ton laufen live über die Infrastruktur, es wird nichts aufgezeichnet. Seit dem 02.08.2026 sind die Räume fest der EU-Region zugewiesen.

Deepgram Inc.

Live-Transkription des Gesprochenen

Sieht GesprächsinhalteAbwählbar

Firmensitz: USA
Verarbeitungsort: EU-Region (api.eu.deepgram.com)
Im Einsatz seit: 2026-03

GarantieAuftragsverarbeitungsvertrag mit vertraglicher Nicht-Speicherung, EU-Standardvertragsklauseln

Nur bei erteilter Einwilligung. Das Audio wird ausschließlich im Arbeitsspeicher verarbeitet und nicht gespeichert; die Nutzung zur Modellverbesserung ist vertraglich und technisch abgeschaltet.

DeutschlandGPT GmbH

Nova: Aufbereitung von Sitzungsinhalten für die Fachperson, Antworten auf organisatorische Nachrichten von Klient:innen, Einordnung von Freitext im Wegweiser

Sieht GesprächsinhalteAbwählbar

Firmensitz: Deutschland
Verarbeitungsort: EU/EWR (Modellinferenz), keine Speicherung der Inhalte
Im Einsatz seit: 2026-11

GarantieAuftragsverarbeitung nach Art. 28 DSGVO, geregelt in den Nutzungsbedingungen von DeutschlandGPT, keine Speicherung der Inhalte, Inferenz in EU/EWR

Nur bei erteilter Einwilligung und erst nach Pseudonymisierung. Ersetzt werden die Namen von Psycholog:in und Klient:in, E-Mail-Adressen, Telefonnummern, IBANs, Geburtsdaten, Straßen mit Hausnummer und Postleitzahlen. Namen dritter Personen werden ersetzt, wenn sie nach einer hinterlegten Beziehungs- oder Berufsbezeichnung, einer Anrede oder einem Titel stehen. Andere Namen und Ortsnamen bleiben im Text. Die Inhalte werden nicht zum Training verwendet. Eine Übermittlung in Drittländer findet nur für Websuche und Fehler-Monitoring statt, beide ohne Speicherung von Inhalten, auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Gesprächsinhalte sind davon nicht erfasst. Die KI-Modelle werden über Amazon Web Services bereitgestellt, siehe den folgenden Eintrag.

Amazon Web Services EMEA SARL

Bereitstellung der KI-Modelle für Nova über AWS Bedrock, als Unterauftragnehmer von DeutschlandGPT

Sieht GesprächsinhalteAbwählbar

Firmensitz: Luxemburg (Konzernmutter USA)
Verarbeitungsort: EU/EWR
Im Einsatz seit: 2026-11

GarantieAuftragsverarbeitungsvertrag mit DeutschlandGPT, zusätzlich zu den AWS-Servicebedingungen. Keine Nutzung der Inhalte für Modelltraining und keine Optimierung anderer AWS-Dienste

Erreicht die Inhalte nur mittelbar über DeutschlandGPT und nur nach Pseudonymisierung. Ein eigener Zugriff von Metanovia besteht nicht.

Anthropic PBC

Nova bis 02.11.2026, nur noch Löschung von Inhalten aus der Zeit bis 02.11.2026

Sieht GesprächsinhalteAbwählbar

Firmensitz: USA
Verarbeitungsort: USA
Im Einsatz seit: 2026-02

GarantieEU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), keine neuen Übermittlungen seit dem 3. November 2026

Seit dem 3. November 2026 gehen keine Inhalte mehr an Anthropic. Was bis zum 2. November 2026 übermittelt wurde, löscht Anthropic spätestens 30 Tage nach dem Eingang.

Stripe Payments Europe Ltd.

Zahlungsabwicklung und Auszahlungen

Keine Gesprächsinhalte

Firmensitz: Irland (Konzernmutter USA)
Verarbeitungsort: EU, teils USA
Im Einsatz seit: 2026-01

GarantieAuftragsverarbeitungsvertrag, EU-Standardvertragsklauseln

Erhält Name, E-Mail-Adresse und Zahlungsdaten, jedoch keine Beratungsinhalte. Zahlungsdaten werden nie auf unseren Servern gespeichert.

Resend Inc.

E-Mail-Versand (Termine, Erinnerungen, Belege, Hinweise auf neue Nachrichten)

Keine Gesprächsinhalte

Firmensitz: USA
Verarbeitungsort: EU (Irland)
Im Einsatz seit: 2026-01

GarantieAuftragsverarbeitungsvertrag, EU-Standardvertragsklauseln

E-Mails nennen Termine und Namen, aber keine Gesprächsinhalte und keine Dokumentation.

PostHog (EU Cloud)

Reichweitenmessung und Auswertung der Einrichtung von Praxiskonten

Keine Gesprächsinhalte

Firmensitz: USA (EU-Cloud-Betrieb in Deutschland)
Verarbeitungsort: EU (Frankfurt)
Im Einsatz seit: 2026-01

GarantieAuftragsverarbeitungsvertrag, EU-Cloud ohne Drittlandtransfer

Arbeitet ohne Cookies. Besuche ohne Anmeldung werden nicht wiedererkannt, angemeldete Praxiskonten über ihre Konto-Kennung ohne Name und E-Mail. Zugangs- und Einladungslinks werden vor der Übertragung unkenntlich gemacht.

Google Ireland Ltd.

Optionale Anmeldung mit Google-Konto

Keine GesprächsinhalteAbwählbar

Firmensitz: Irland (Konzernmutter USA)
Verarbeitungsort: EU, teils USA
Im Einsatz seit: 2026-01

GarantieEU-Standardvertragsklauseln, Data Privacy Framework

Nur wenn die Anmeldung über Google gewählt wird. Übermittelt werden Name und E-Mail-Adresse, keine Inhalte.

Fragen zu einem dieser Dienstleister, oder Sie brauchen einen Nachweis für Ihre Unterlagen? Schreiben Sie an datenschutz@metanovia.de. Weiter zum Auftragsverarbeitungsvertrag, zur Datenschutzerklärung oder zur Transparenzseite.