Anhang IV · Exhibit D · Auftragsverarbeitungs-Zusatz (DPA)

Unterauftragsverarbeiter-Register

Echory GmbH · echoryflow.com Zuletzt aktualisiert: August 2026 Art. 28 Abs. 3 lit. h DSGVO

Die Echory GmbH („Echory“) setzt zur Bereitstellung der Echtzeit-KI-Entscheidungsunterstützungsplattform die nachfolgend aufgeführten Unterauftragsverarbeiter ein, auf Grundlage schriftlicher Regelungen zu Sicherheit und Vertraulichkeit.

Dieses Register wird laufend gepflegt und ist im Auftragsverarbeitungsvertrag (AVV) in Bezug genommen. Änderungen werden den Verantwortlichen nach Maßgabe des AVV mitgeteilt; dieser regelt Ankündigungsfrist und Widerspruchsrecht des Kunden. Widerspruch und Rückfragen: security@echoryflow.com

Aktuelle Unterauftragsverarbeiter

Unterauftragsverarbeiter	Rolle	Verarbeitungsort	Transfergrundlage	Zertifizierungen
Amazon Web Services EMEA SARL	Cloud-Infrastruktur: Compute, Datenbank, Objektspeicher, Backups, Transaktions-E-Mail	Deutschland (EU, Frankfurt), eu-central-1	EU, kein Transfer	ISO 27001, SOC 1/2/3, ISO 27017/27018
Deepgram, Inc.	Echtzeit-Spracherkennung (ASR) über den EU-Endpunkt. Empfängt den Audiostream, gibt das Transkript zurück. Audio wird nicht über die aktive Sitzung hinaus gespeichert	Europäische Union (EWR)	EU, kein Transfer	SOC 2 Type II
OpenAI Ireland Limited Verarbeitung durch OpenAI, LLC	Sprachmodell-Inferenz für die Gesprächsanalyse: Zustandsanalyse, Next Best Action, Zielerreichung, Executive Summary und Gesprächsnachbereitung. Indexierung vom Kunden hochgeladener Dateien	USA	SCC Modul 3 aus dem Auftragsverarbeitungs-Zusatz von OpenAI	SOC 2 Type II, ISO 27001
INSTRAT Technology ApS	Softwareentwicklung, Deployment, Wartung und technischer Support. Eng gefasster, aufgabenbezogener und protokollierter Zugriff auf Produktionsumgebungen	Dänemark (EU), Rechtsträger Bangladesch, Remote-Zugriff der Entwickler	EU, kein Transfer (Dänemark) SCC Modul 3 (Remote-Zugriff aus Bangladesch)	Vertragliche Verpflichtungen
IT-Operations-Dienstleister im Auftrag der INSTRAT Technology ApS	Allgemeine IT-Leistungen und IT-Operations-Unterstützung für die Echory-Plattform. Eng gefasster, aufgabenbezogener und protokollierter Zugriff; kein stehender Zugriff auf Produktionsdaten	Bangladesch	SCC Modul 3 Auftragsverarbeiter an Auftragsverarbeiter	Vertragliche Verpflichtungen

Kein Modelltraining mit Kundendaten. Für die Sprachmodell-Verarbeitung ergibt sich das aus den Standard-API-Bedingungen des Anbieters, die seit dem 1. März 2023 gelten und eine Nutzung der API-Daten zum Training ausschließen. Für die Spracherkennung ist das Modelltraining auf Kontoebene für das Konto von Echory deaktiviert.

Übermittlungen außerhalb des EWR

Die folgenden Übermittlungen sind durch Standardvertragsklauseln abgesichert (Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021), ergänzt um die technischen Maßnahmen der technischen und organisatorischen Maßnahmen:

Übermittlung	Zielland	SCC-Modul	Übermittelte Daten
Echory → OpenAI Ireland Limited	USA	Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter)	Transkripttext, Gesprächskontext, Ziele, vom Kunden hochgeladene Dateien
INSTRAT Technology ApS → Echory-Infrastruktur	Bangladesch (Remote-Zugriff)	Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter)	Eng gefasster, protokollierter Remote-Zugriff auf die Echory-Infrastruktur zu Entwicklungs-, Wartungs- und Supportzwecken
INSTRAT Technology ApS → IT-Operations-Dienstleister	Bangladesch	Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter)	Eng gefasster, protokollierter Remote-Zugriff auf die Echory-Infrastruktur zur IT-Operations-Unterstützung

An Empfänger in Drittländern werden ausschließlich die für die jeweilige Verarbeitung zwingend erforderlichen Daten übermittelt. Transfer Impact Assessments zur Ergänzung der Standardvertragsklauseln werden vorgehalten und Kunden auf Anfrage zur Verfügung gestellt.

Änderungshistorie

Datum	Änderung
August 2026	Register als eigenständige Seite veröffentlicht. Zuvor als §6 der technischen und organisatorischen Maßnahmen (v3.3) geführt. Der von der INSTRAT Technology ApS beauftragte IT-Operations-Dienstleister wird nun gesondert ausgewiesen; dies bildet eine bestehende, im Dienstleister-Auftragsverarbeitungsvertrag der INSTRAT offengelegte Konstellation ab und keine neue Beauftragung.
12. Juni 2026	Deepgram, Inc. auf den EU-Endpunkt umgestellt. Verarbeitungsort von den USA in die Europäische Union geändert; die Übermittlung in die USA und die zugehörigen Standardvertragsklauseln gelten für diese Verarbeitung nicht mehr.
Mai 2026	Transfergrundlage für OpenAI, LLC und INSTRAT Technology ApS auf SCC Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) korrigiert.