Dienstleister und Datenanbieter
Stand: 19. Oktober 2026
Entwurf: Dieser Text wird derzeit rechtlich geprüft und kann sich noch ändern.
Diese Liste ist die Anlage 3 unseres Auftragsverarbeitungsvertrags (listplus.ai/de/dpa) und der Abschnitt „Empfänger“ unserer Datenschutzerklärung in einer Fassung — generiert aus einer Quelle, damit es keine zwei Versionen gibt. Änderungen an Unterauftragsverarbeitern kündigen wir Kunden 30 Tage vorher an (AVV § 7).
„Abschaltbar durch den Kunden“ nennt den Schalter der Workspace-Richtlinien, mit dem der Eigentümer eines Workspace die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.
Teil A: Unterauftragsverarbeiter
Diese Dienstleister verarbeiten Kundendaten in unserem Auftrag nach Art. 28 DSGVO. „Abschaltbar“ nennt den Schalter der Workspace-Richtlinien, mit dem der Kunde die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.
| Dienstleister | Leistung | Übermittelte Daten | Sitz / Standort | Garantie bei Drittlandbezug | Abschaltbar durch den Kunden |
|---|---|---|---|---|---|
| Vercel Inc. | Betrieb der Anwendung, Dateispeicher für Listen und Importe, Warteschlangen für Hintergrundarbeit, Reichweitenmessung und Ladezeitmessung, KI-Gateway (Zugang zum Modell „Jev“) | Alle Daten der Anwendung; Verbindungsdaten beim Aufruf (IP-Adresse, Browser) | Covina, Kalifornien, USA — Hosting, Dateispeicher und Warteschlangen in der EU-Region Frankfurt | EU-U.S. Data Privacy Framework; Standardvertragsklauseln im Auftragsverarbeitungsvertrag | nein |
| Redis EMEA Ltd. (Redis Cloud) | Datenbank der Anwendung: Workspaces, Listen, Arbeitsdaten, Zwischenspeicher | Alle Daten der Anwendung | London, Vereinigtes Königreich (Vertragspartner für Kunden in Europa; Konzernmutter Redis Ltd., Tel Aviv, Israel) — Datenbanken in Frankfurt (AWS eu-central-1), im Ruhezustand verschlüsselt, Übertragung TLS-verschlüsselt | Verarbeitung in der EU; Vereinigtes Königreich: Angemessenheitsbeschluss; Standardvertragsklauseln im Auftragsverarbeitungsvertrag des Anbieters (Teil des Redis Cloud Agreement) für den Support-Zugriff aus Drittländern | nein |
| Amazon Web Services EMEA SARL (Amazon S3) | Tägliche Sicherung der Datenbank; jede Sicherung wird nach 7 Tagen gelöscht | Alle Daten der Datenbank zum Zeitpunkt der Sicherung | Luxemburg — Eigener Speicher (S3-Bucket) in Frankfurt (eu-central-1), verschlüsselt, ohne öffentlichen Zugriff | Verarbeitung in der EU; Amazon ist unter dem EU-U.S. Data Privacy Framework zertifiziert; Standardvertragsklauseln im Auftragsverarbeitungsvertrag von AWS (Teil der AWS-Servicebedingungen) | nein |
| Pusher Ltd. | Live-Statusmeldungen im Browser (Import fertig, Anreicherung läuft, neue Treffer) | Ereignisse zu Vorgängen; bei kleinen Änderungen die geänderten Zellwerte | London, Vereinigtes Königreich (Bird-Gruppe) — Cluster „eu“: AWS eu-west-1 (Irland) | Verarbeitung in der EU (Irland); Angemessenheitsbeschluss für das Vereinigte Königreich; Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Bird | nein |
| Pipedream, LLC | Verbindungen zu CRM-Systemen und Tabellen (OAuth-Zugangsdaten, Weiterleitung der Aufrufe); Anlegen von E-Mail-Entwürfen im verbundenen Postfach des Nutzers (Gmail, Outlook) – ohne Versand; Zustellung von App-Ereignissen aus verbundenen Apps (Formularantworten, Buchungen, Nachrichten) | Datensätze, die der Kunde mit einem verbundenen System austauscht (bei E-Mail-Entwürfen Adresse und Name des Kontakts, Betreff und Text); der Inhalt der App-Ereignisse, die der Kunde einrichtet | San Francisco, Kalifornien, USA | Standardvertragsklauseln | ja (connections) |
| Postmark (AC PM LLC, ActiveCampaign) | Empfang weitergeleiteter E-Mails an die Eingangsadresse @in.listplus.ai; Versand von Workspace-Einladungen und Pipeline-Digest-Mails von notifications@listplus.ai; Versand der Support-Anfragen aus der KI-Hilfe an unseren Support | Weitergeleitete E-Mails ganz (Absender, Betreff, Text, Anhänge); Adresse des Eingeladenen und Name des Einladenden; je Digest-Eintrag Name, Position, Firma; bei einer Support-Anfrage der Gesprächsverlauf, die E-Mail-Adresse des Nutzers, Workspace, Tarif und Seite | Chicago, Illinois, USA | EU-U.S. Data Privacy Framework (ActiveCampaign, LLC einschließlich AC PM LLC); Standardvertragsklauseln im Auftragsverarbeitungsvertrag, der Teil der Nutzungsbedingungen von Postmark ist | ja (inboxEmail, pipelineEmail) |
| OpenAI | Sprachmodelle für Befehle, Prüfungen, KI-Spalten, Spaltenerkennung beim Import, Erkennung von Kontakten im Eingang, Zuordnung unbekannter Webhook-Felder, KI-Recherche; Transkription von Diktaten | Der für die Aufgabe nötige Ausschnitt (Abschnitt „KI-Verarbeitung“ der Datenschutzerklärung); Anfragen mit der Einstellung „nicht speichern“ (store: false), nicht zum Training genutzt; Protokolle zur Missbrauchsüberwachung hält der Anbieter bis zu 30 Tage | OpenAI Ireland Ltd., Dublin, Irland (Vertragspartner für die EU) / OpenAI, L.L.C., San Francisco, USA | Standardvertragsklauseln im Data Processing Addendum mit OpenAI Ireland Ltd., das Teil des OpenAI Services Agreement ist (OpenAI ist nicht unter dem EU-U.S. Data Privacy Framework zertifiziert) | ja (ai) |
| Groq UK Limited | Schnelles Sprachmodell für kurze Einzelaufrufe: Verstehen einer Suchanfrage, Rollenauflösung, Listentitel, kurze Eingangs-Einträge | Der kurze Text der jeweiligen Anfrage (Suchbeschreibung, Signaturzeile); laut Anbieter standardmäßig nicht gespeichert, höchstens 30 Tage für Betrieb und Missbrauchsabwehr; nicht zum Training genutzt (Services Agreement § 4.2) | London, Vereinigtes Königreich (Vertragspartner für den EWR) — Verarbeitung und Speicher in den USA | Standardvertragsklauseln (Module 2 und 3) im Data Processing Addendum | ja (ai) |
| TypeSafe AI (Modell „Jev“, über das AI Gateway von Vercel) | Bewertungsmodell: Seniorität von Jobtiteln, Art einer LinkedIn-Position, Vorprüfung von Eingangs-Einträgen und Webhook-Datensätzen, Bewertungsspalten | Die zu bewertenden Werte (Jobtitel, Positionen, bis zu 12 Felder eines Datensatzes); ohne Speicherung beim Anbieter (Zero Data Retention); laut Anbieter nicht zum Training genutzt | TypeSafe AI, Inc., Oakland, Kalifornien, USA | Über das AI Gateway von Vercel: Vertragspartner ist Vercel (Auftragsverarbeitungsvertrag mit Standardvertragsklauseln), TypeSafe arbeitet für Vercel unter einer Vereinbarung über Zero Data Retention | ja (ai) |
| Apify Technologies s.r.o. | Datenerhebungsplattform: führt Scraper („Actors“) aus, die öffentliche Seiten lesen — LinkedIn-Importe (Sales Navigator, Mitarbeiterlisten, Beitragsreaktionen und -kommentare, Personensuche auch nach früherem Arbeitgeber), Crunchbase-Firmenseiten, Reddit, X, Google-Maps-Profile, Web-Traffic, Kontaktdaten auf Websites | Die Such-URL, Firmen-URL, Beitrags-URL, der Firmenname oder die Recherche-Anfrage — nie die Liste des Kunden; die Actors anderer Entwickler laufen auf Apifys Infrastruktur unter Apifys Bedingungen | Prag, Tschechien | Verarbeitung überwiegend in der EU und den USA; Standardvertragsklauseln im Auftragsverarbeitungsvertrag des Anbieters | ja (provider:apify) |
| PostHog Inc. (EU-Cloud) | Nutzungsereignisse der Anwendung (welche Funktion wann genutzt wurde), pseudonym | Ereignisname und -eigenschaften, ein Pseudonym des Kontos (Hash), Tarif, Workspace-Hash; keine Namen, E-Mail-Adressen oder Listeninhalte; abschaltbar je Konto und je Workspace | San Francisco, Kalifornien, USA — EU-Cloud in Frankfurt | Verarbeitung in der EU; EU-U.S. Data Privacy Framework und Standardvertragsklauseln (Modul 2) im unterzeichneten Auftragsverarbeitungsvertrag (19. Oktober 2026) | ja (telemetry) |
| Hanko GmbH | Anmeldung: E-Mail-Adresse mit Einmal-Code oder Google-Login; Sitzungen (30 Tage) | E-Mail-Adresse, Nutzer-ID, Anmeldeweg, Zeitpunkte | Kiel, Deutschland — Rechenzentren ausschließlich in Deutschland | Verarbeitung in der EU | nein |
| Google LLC (Anmeldung mit Google) | Bestätigung der Anmeldung, wenn der Nutzer „Mit Google anmelden“ wählt | E-Mail-Adresse und Google-Konto-ID; Google erfährt, dass sich die Person bei ListPlus anmeldet | Mountain View, Kalifornien, USA | EU-U.S. Data Privacy Framework | nein |
| Sold Through Link, LLC und Stripe (Stripe Managed Payments) | Abwicklung des Verkaufs von Tarifen und Credits in unserem Namen als „Merchant of Record“: Bezahlvorgang, Zahlungsabwicklung, Rechnungen und Belege, Umsatzsteuer, Erstattungen, Zahlungsanfechtungen, Betrugsprävention, Link-Konto des Käufers. Für den Kauf und das Link-Konto eigenständig Verantwortliche, nicht nur Auftragsverarbeiter | Von uns: E-Mail-Adresse, Nutzer-ID, gekauftes Produkt und Preis; im Bezahlvorgang gibt der Käufer Name, Rechnungsanschrift und Zahlungsdaten direkt bei Stripe/Link ein | Sold Through Link, LLC (vormals Lemon Squeezy, LLC): South San Francisco, Kalifornien, USA; Zahlungsabwicklung in der EU: Stripe Technology Europe, Limited, Dublin, Irland | Data Transfers Addendum von Stripe (Teil des Auftragsverarbeitungsvertrags von Stripe): vorrangig EU-U.S. Data Privacy Framework (Stripe, LLC ist zertifiziert), sonst Standardvertragsklauseln (Modul 1); das Addendum gilt auch für die verbundenen Unternehmen von Stripe, darunter Sold Through Link, LLC | nein |
| Attio Ltd. (CRM) | Kundenbetreuung: Konto mit E-Mail-Adresse, Tarif und wichtigen Kontoereignissen; versendet die Willkommens-E-Mail | E-Mail-Adresse, Nutzer-ID, Tarif, Kontoereignisse | London, Vereinigtes Königreich | Angemessenheitsbeschluss für das Vereinigte Königreich | nein |
Teil B: Datenanbieter und Quellen
Diese Anbieter erhalten bei einem Abruf nur den Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Firma oder Suchfilter), nie die übrige Liste. Sie sind für ihre eigenen Datenbestände selbst Verantwortliche und keine Unterauftragsverarbeiter; ListPlus übermittelt den Suchschlüssel auf Weisung des Kunden (AVV § 2 Abs. 3). „Abschaltbar“ nennt den Schalter der Workspace-Richtlinien, mit dem der Kunde einen Anbieter für seinen Workspace abschaltet.
| Dienstleister | Leistung | Übermittelte Daten | Sitz / Standort | Garantie bei Drittlandbezug | Abschaltbar durch den Kunden |
|---|---|---|---|---|---|
| Prospeo | B2B-Kontaktdatenbank (Segmentsuche), verifizierte geschäftliche E-Mail-Adressen und Telefonnummern, Firmenprofile, Jobwechsel | Suchfilter oder der Suchschlüssel: LinkedIn-URL, Name und Firma, Domain | Defastra Tech Inc. (Prospeo), Toronto, Kanada; EU-Vertreter in Paris — Hosting in den USA (AWS us-east-1) | Kanada: Angemessenheitsbeschluss; USA: Standardvertragsklauseln laut Datenschutzerklärung des Anbieters | ja (provider:prospeo) |
| FullEnrich | Geschäftliche E-Mail-Adresse und Telefonnummer aus Name und Firma oder LinkedIn-URL (Abfrage bei 20+ Unterquellen) | Name und Firma, Domain oder LinkedIn-URL | FullEnrich Corp., San Francisco, USA | Standardvertragsklauseln laut Datenschutzerklärung des Anbieters | ja (provider:fullenrich) |
| CompanyEnrich | Unternehmensdaten aus Domain oder Firmenname (Branche, Größe, Standort, Website); Mitarbeiterstruktur, Entscheider, ähnliche Unternehmen | Domain oder Firmenname; bei Personensuchen Name und Firma | STDİO Bilişim San. ve Tic. Ltd. Şti., Ankara, Türkei — Server, Datenbanken und Sicherungen in Finnland (Hetzner, Helsinki) | Verarbeitung in der EU (Finnland); für die Türkei (ohne Angemessenheitsbeschluss) Standardvertragsklauseln (Module 2 und 3) in den Bedingungen des Anbieters | ja (provider:companyenrich) |
| Crustdata | Firmenerkennung anhand der Domain (LinkedIn-Unternehmensseite, Name, Größenklasse); Finanzierungsrunden beobachteter Unternehmen für den Watchlist-Alert | Nur die Firmen-Domain (beim Finanzierungs-Alert zusätzlich das Datum der letzten Prüfung); keine Personendaten | Crustdata Technologies Inc., San Francisco, Kalifornien, USA — Daten in den USA | Keine Übermittlung personenbezogener Daten (nur Firmen-Domains) | ja (alerts) |
| HarvestAPI | Öffentlich sichtbare LinkedIn-Daten: Profil, Unternehmen, Profilsuche, Beiträge und Reaktionen, offene Stellen; Grundlage der Watchlist-Alerts | LinkedIn-URL, Name und Firma, Beitrags-URL | Aventra Technologies Limited (Sitz nicht angegeben) | Der Anbieter nennt weder Sitz noch eine Garantie für die Übermittlung | ja (provider:linkedin, alerts) |
| Enrich.so | Öffentlich sichtbare LinkedIn-Profildaten anhand einer URL (Ersatz, wenn HarvestAPI nicht antwortet) | LinkedIn-URL | Enrich Labs L.L.C-FZ, Dubai, Vereinigte Arabische Emirate | Vereinigte Arabische Emirate (kein Angemessenheitsbeschluss); der Anbieter nennt keine Garantie für die Übermittlung | ja (provider:linkedin) |
| MillionVerifier | Prüfung der Zustellbarkeit einer E-Mail-Adresse | Die E-Mail-Adresse | Southern Vector Limited, Christchurch, Neuseeland — Verarbeitung in Neuseeland, Ungarn und weiteren Ländern des EWR, den USA und anderen Ländern | Neuseeland: Angemessenheitsbeschluss; Weitergaben in andere Länder laut Anbieter mit vertraglichen Garantien vergleichbaren Schutzes (keine Standardvertragsklauseln genannt) | ja (provider:millionverifier) |
| Serper (Google-Suche) | Google-Suchergebnisse: LinkedIn-Profil-URL zu Name und Firma, Firmenwebsite, Nachrichten, Websuche der KI-Recherche, Bestätigung erkannter Kontakte im Eingang | Der Suchbegriff (z. B. Name und Firma) | Serper (Gesellschaft nicht genannt; Bedingungen nach dem Recht des Vereinigten Königreichs) | Angemessenheitsbeschluss oder Standardvertragsklauseln laut Datenschutzerklärung des Anbieters | ja (provider:serper) |
| Hacker News (Suche über Algolia) | Öffentliche Beiträge und Kommentare auf Hacker News einschließlich Benutzernamen, für die KI-Recherche | Nur der Suchbegriff, nie Daten aus Kundenlisten | Algolia, Inc., San Francisco, USA — öffentliche Schnittstelle ohne Konto | Kein Vertrag; nur der Suchbegriff wird übermittelt | nein |
| Öffentliche Quellen (über Apify gelesen) | Öffentlich sichtbare Seiten, die ein Scraper im Auftrag des Kunden liest; die Plattformen sind nicht unsere Vertragspartner, ihre Nutzungsbedingungen beachtet der Kunde | Die aufgerufene URL bzw. Suche | LinkedIn, Crunchbase, Reddit, X, Google Maps, Similarweb, beliebige Websites | Entfällt (Abruf öffentlicher Seiten) | ja (provider:apify, source:reddit, source:twitter, source:linkedin, source:people, source:sources) |
Teil C: Vom Kunden gewählte Empfänger
Systeme, an die der Kunde Daten übermittelt, weil er sie selbst verbindet oder benennt. Für diese Übermittlung ist der Kunde Verantwortlicher; wir nennen sie der Vollständigkeit halber.
| Dienstleister | Leistung | Übermittelte Daten | Sitz / Standort | Garantie bei Drittlandbezug | Abschaltbar durch den Kunden |
|---|---|---|---|---|---|
| Verbundene Systeme des Kunden | Import aus und Export in Systeme, die der Kunde selbst verbindet; Pipeline-Ziele | Die Datensätze, die der Kunde überträgt | HubSpot, Salesforce, Pipedrive, Attio, Close, Slack, Google Sheets, Airtable, Notion, lemlist, Instantly als Pipeline-Ziel (über Pipedream); Instantly und Smartlead im Export (mit dem Schlüssel des Kunden) | Der Kunde ist Verantwortlicher dieser Übermittlung | ja (connections) |
| Eigener Webhook-Endpunkt des Kunden | Pipeline-Ziel „Endpunkt“ | Die Datensätze, die der Kunde überträgt | Vom Kunden benannt | Der Kunde ist Verantwortlicher dieser Übermittlung | nein |
| Die eigene KI des Kunden (Agent-API, MCP, Recherche-Link) | Lesen und Schreiben von Listen und Recherchen durch ein KI-System, das der Kunde anschließt | Was die Verbindung freigibt (Spalten, Teillisten, Aktionen) | Vom Kunden gewählt, z. B. ChatGPT, Claude, eigene Agenten | Der Kunde ist Verantwortlicher dieser Übermittlung | ja (agentApi) |