Orderlion Unterauftragsverarbeiterliste

Version 1.0 · Zuletzt aktualisiert: 17. August 2026

Hinweis: Die englische Fassung dieses Dokuments ist die maßgebliche Fassung. Diese deutsche Fassung ist eine maschinelle Übersetzung, die ausschließlich zur besseren Verständlichkeit bereitgestellt wird.

Orderlion GmbH, Himmelpfortgasse 17/7, 1010 Wien, Österreich Datenschutzkontakt: privacy@orderlion.com

Diese Seite listet die Unterauftragsverarbeiter auf, die Orderlion mit der Verarbeitung personenbezogener Daten im Auftrag ihrer Kunden gemäß dem Auftragsverarbeitungsvertrag beauftragt. Sie entspricht Anlage 2 dieses Vertrags.

Anbieter, die ausschließlich für den internen Betrieb von Orderlion genutzt werden, sind keine Unterauftragsverarbeiter im Sinne des Auftragsverarbeitungsvertrags und werden hier nicht aufgeführt.

Wird eine Integrations-Middleware oder ein EDI-Anbieter vom Kunden und nicht von Orderlion beauftragt, ist dieser Anbieter ein eigener Auftragsverarbeiter des Kunden und erscheint nicht auf dieser Liste. Beauftragt Orderlion einen solchen Anbieter, wird er aufgeführt und als nur für diejenigen Konten geltend gekennzeichnet, deren Integration ihn nutzt.

Wir informieren Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vor dessen Einsatz per E-Mail an den vom Kunden benannten Ansprechpartner und durch Aktualisierung dieser Seite. Ziffer 6 des Auftragsverarbeitungsvertrags regelt das Mitteilungs- und Widerspruchsverfahren.

Aktuelle Unterauftragsverarbeiter

Amazon Web Services

  • Rechtsträger und Firmensitz: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg
  • Rolle und Zweck: Hosting aller Produktivsysteme; ein- und ausgehende E-Mails über AWS SES; EU-gehostete KI-Modellbereitstellung über AWS Bedrock
  • Verarbeitungsort: EU (Frankfurt, eu-central-1)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Von Orderlion gesteuert; Daten bleiben bestehen, bis sie auf Weisung gelöscht werden, keine eigenständige Speicherung von Inhalten

MongoDB Atlas

  • Rechtsträger und Firmensitz: MongoDB Limited, Building 2, Number One Ballsbridge, Shelbourne Road, Ballsbridge, Dublin 4, Ireland
  • Rolle und Zweck: Betrieb der Anwendungsdatenbank
  • Verarbeitungsort: EU (AWS Frankfurt)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Von Orderlion gesteuert; Backup-Snapshots laufen gemäß konfiguriertem Zeitplan ab

Anthropic

  • Rechtsträger und Firmensitz: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA
  • Rolle und Zweck: Anbieter großer Sprachmodelle für die Inbox-Bestellextraktion und KI-Assistenzfunktionen
  • Verarbeitungsort: Standardmäßig Vereinigte Staaten. Aktiviert der Kunde die EU-only-Option, erfolgt die Verarbeitung ausschließlich über AWS Bedrock in der EU (Frankfurt) und es findet keine Übermittlung statt.
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption. Nicht anwendbar, wenn die EU-only-Option aktiv ist.
  • Speicherdauer beim Unterauftragsverarbeiter: API-Eingaben und -Ausgaben werden innerhalb von 30 Tagen gelöscht. Von automatisierten Missbrauchssystemen markierte Inhalte werden bis zu 2 Jahre gespeichert, Klassifizierungswerte bis zu 7 Jahre. Unter der EU-Option richtet sich die Speicherdauer nach der Bedrock-Konfiguration.

OpenAI

  • Rechtsträger und Firmensitz: OpenAI Ireland Ltd, company registration 737350, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Ireland
  • Rolle und Zweck: Anbieter großer Sprachmodelle für die Inbox-Bestellextraktion und KI-Assistenzfunktionen. Wird für Konten mit der EU-only-Option nicht eingesetzt.
  • Verarbeitungsort: Vereinigte Staaten
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: API-Eingaben und -Ausgaben werden bis zu 30 Tage zur Missbrauchsüberwachung gespeichert und anschließend gelöscht

Microsoft Azure

  • Rechtsträger und Firmensitz: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Ireland
  • Rolle und Zweck: Azure OpenAI Whisper Speech-to-Text zur Transkription von Inbox-Sprachnachrichten vor der Extraktion
  • Verarbeitungsort: EU
  • Übermittlungsmechanismus: EU-Rechtsträger, keine Drittlandsübermittlung
  • Speicherdauer beim Unterauftragsverarbeiter: Die Missbrauchsüberwachung ist standardmäßig aktiviert und kann im Tarif von Orderlion nicht deaktiviert werden. Eine Stichprobe von Audiodaten und den zugehörigen Transkriptionen wird bis zu 30 Tage in einem isolierten Speicher aufbewahrt, der nur autorisierten Microsoft-Prüfern zugänglich ist, und anschließend gelöscht.

Mailgun

  • Rechtsträger und Firmensitz: Mailgun Technologies, Inc. (Sinch group), 112 E Pecan St, Suite 1135, San Antonio, TX 78205, USA
  • Rolle und Zweck: Empfang eingehender Bestell-E-Mails und Versand ausgehender Transaktions-E-Mails
  • Verarbeitungsort: EU (Mailgun EU region)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption. Die Daten werden in der EU gehalten, der Vertragspartner ist jedoch ein US-Unternehmen, weshalb der Mechanismus beibehalten wird, statt "keine Übermittlung" anzugeben.
  • Speicherdauer beim Unterauftragsverarbeiter: Nachrichtentexte bis zu 30 Tage; Ereignis- und Protokolldaten bis zu 30 Tage

Google Firebase

  • Rechtsträger und Firmensitz: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland
  • Rolle und Zweck: Mobile Push-Benachrichtigungen für die Orderlion-App und White-Label-Apps
  • Verarbeitungsort: Außerhalb der EU (USA)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Nicht zugestellte Push-Nachrichten laufen nach einer maximalen Time-to-live von 4 Wochen ab; zugestellte Nachrichten werden nicht gespeichert

ONLINECITY.IO (GatewayAPI)

  • Rechtsträger und Firmensitz: ONLINECITY.IO ApS, Buchwaldsgade 50, 5000 Odense C, Denmark
  • Rolle und Zweck: Versand von SMS-Nachrichten: vom Kunden ausgelöste Einladungen von Bestellnutzern, die den Einladungslink, den Einladungscode und den Namen des Kunden enthalten
  • Verarbeitungsort: EU (Dänemark)
  • Übermittlungsmechanismus: EU-Rechtsträger, keine Drittlandsübermittlung
  • Speicherdauer beim Unterauftragsverarbeiter: Empfänger- und Absendernummern, Nachrichteninhalt und Zustellmetadaten werden maximal 30 Tage gespeichert und anschließend automatisch gelöscht oder unwiderruflich anonymisiert

Stripe

  • Rechtsträger und Firmensitz: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, D02 H210, Ireland
  • Rolle und Zweck: Abwicklung plattforminterner Bestellzahlungen. Stripe handelt teils als Auftragsverarbeiter von Orderlion und teils als eigenständiger Verantwortlicher für Betrugsprävention und zur Erfüllung finanzaufsichtsrechtlicher Vorgaben.
  • Verarbeitungsort: Außerhalb der EU (USA)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Transaktionsaufzeichnungen werden für die nach finanzaufsichtsrechtlichen, geldwäscherechtlichen und terrorismusfinanzierungsrechtlichen Vorschriften vorgeschriebenen Zeiträume gespeichert

Zendesk

  • Rechtsträger und Firmensitz: Zendesk International Limited, 55 Charlemont Place, Saint Kevin's, Dublin 2, D02 F002, Ireland
  • Rolle und Zweck: Ticketing-Plattform für Supportanfragen, die personenbezogene Kundendaten enthalten können
  • Verarbeitungsort: EU
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Tickets werden 120 Tage nach Schließung archiviert; endgültige Löschung 3 Jahre nach Schließung

Aircall

  • Rechtsträger und Firmensitz: Aircall SAS, 11-15 rue Saint Georges, 75009 Paris, France
  • Rolle und Zweck: Telefonieplattform für Support- und Vertriebsanrufe sowie für SMS
  • Verarbeitungsort: EU
  • Übermittlungsmechanismus: EU-Rechtsträger, keine Drittlandsübermittlung
  • Speicherdauer beim Unterauftragsverarbeiter: Inhalte werden durch eine planmäßige quartalsweise Bereinigung bei einer Schwelle von 90 Tagen gelöscht, woraus sich ein Höchstalter von knapp unter 6 Monaten ergibt. Aircall speichert Daten maximal 30 Tage nach Beendigung des Kontos.

Datadog

  • Rechtsträger und Firmensitz: Datadog, Inc., 620 8th Avenue, 45th Floor, New York, NY 10018, USA
  • Rolle und Zweck: Infrastruktur- und Anwendungsüberwachung sowie Fehlerverfolgung
  • Verarbeitungsort: EU (datadoghq.eu site)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Protokolle werden 14 Tage gespeichert, wie von Orderlion konfiguriert

Sentry

  • Rechtsträger und Firmensitz: Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
  • Rolle und Zweck: Clientseitige Fehlerverfolgung
  • Verarbeitungsort: Außerhalb der EU (USA)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Fehlerereignisse werden je nach Datentyp 30 bis 90 Tage gespeichert

Mixpanel

  • Rechtsträger und Firmensitz: Mixpanel, Inc., One Front Street, 28th Floor, San Francisco, CA 94111, USA
  • Rolle und Zweck: Produktanalysen auf Basis pseudonymisierter Plattformnutzungsereignisse. Ausschließlich eine pseudonyme Nutzerkennung, Informationen zur Funktionsnutzung und zum Gerät; es werden keine Namen, Kontaktdaten oder Bestellinhalte übermittelt.
  • Verarbeitungsort: Außerhalb der EU (USA)
  • Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
  • Speicherdauer beim Unterauftragsverarbeiter: Die Speicherdauer für Ereignisdaten ist auf 2 Jahre konfiguriert, danach werden die Daten gelöscht oder anonymisiert

Änderungshistorie

Keine Änderungen, seit diese Liste am 17. August 2026 erstmals veröffentlicht wurde.

Hinzufügungen und Entfernungen werden hier mit Datum vermerkt.

Fragen zu dieser Liste: privacy@orderlion.com

‍