Version 28. September 2026
Unterauftragsverarbeiter, vollständig.
Wer welchen Teil von Union AI betreibt, wo das passiert und unter welche Rechtsordnung die Muttergesellschaft fällt. Einschließlich der Teile, die nicht europäisch sind, denn eine Liste, die sie weglässt, ist keine Transparenz, sondern Werbung.
Die vollständige Liste der Unterauftragsverarbeiter
| Partei | Rolle | Verarbeitungsregion | Rechtsträger |
|---|---|---|---|
| Scaleway SAS | KI-Inferenz: alle Prompts und Antworten | Europäische Union (fr-par) | Frankreich |
| Cloudflare, Inc. | Hosting, CDN und TLS-Terminierung | Europäische Union (EU-Region von Cloudflare) | Vereinigte Staaten |
| Neon (Databricks) | Datenbank: Konten, Guthaben, Nutzung | EU-Region (auf AWS) | Vereinigte Staaten |
| Stripe | Zahlungen und Bestimmung der Umsatzsteuer | Verarbeitung in der EU über Stripe Payments Europe Ltd, Irland | Vereinigte Staaten (Muttergesellschaft) |
| Scaleway SAS | Transaktions-E-Mails | Frankreich | Frankreich |
| Linkup Technologies SAS | Websuche, nur wenn du die Suche einschaltest: die Suchanfrage, sonst nichts | Nicht festgelegt: Linkup kann eine Anfrage in die USA, die EU, nach Kanada oder in den asiatisch-pazifischen Raum leiten | Frankreich |
| Google Ireland Ltd | Website-Statistiken (Google Analytics) und Anzeigenmessung (Google Ads): cookielos, bis du auf Akzeptieren klickst, danach Cookies und eine gehashte E-Mail-Adresse. Nie Chat oder API | Nicht festgelegt: Google kann in den USA verarbeiten, unter dem EU-US Data Privacy Framework | Vereinigte Staaten (Muttergesellschaft) |
| Meta Platforms Ireland Ltd | Anzeigenmessung (Meta Pixel und Conversions API), nur nachdem du auf Akzeptieren klickst: der Anzeigenklick und eine gehashte E-Mail-Adresse. Nie Chat oder API | Nicht festgelegt: Meta kann in den USA verarbeiten, unter dem EU-US Data Privacy Framework | Vereinigte Staaten (Muttergesellschaft) |
Ändert sich diese Liste, informieren wir Geschäftskunden mit einem Auftragsverarbeitungsvertrag im Voraus, damit du Einspruch erheben kannst, bevor die Änderung wirksam wird.
Google Drive und OneDrive (einschließlich SharePoint) stehen nicht auf dieser Liste, weil sie nicht unsere sind: Es sind deine eigenen Konten. Wenn du eines verbindest, speichern wir die E-Mail-Adresse des Kontos und ein verschlüsseltes Anmelde-Token und rufen eine Datei nur ab, wenn du sie im Chat auswählst. Die Datei wird dann wie ein Upload behandelt: auf unseren Servern gelesen und vom Modell innerhalb der Europäischen Union beantwortet. Trennst du die Verbindung, wird das Token gelöscht.
Was wir deshalb behaupten und was nicht
Jede Schicht von Union AI läuft in einer europäischen Region. Drei der Parteien hinter diesen Schichten haben eine US-Muttergesellschaft, und Region ist nicht dasselbe wie Rechtsordnung, deshalb beschränken wir unsere Versprechen auf das, was wir selbst in der Hand haben: wo deine Prompts verarbeitet werden und wo das Modell läuft. Linkup, für die Websuche, ist ein französisches Unternehmen, verspricht aber standardmäßig nicht, eine Anfrage innerhalb der EU zu verarbeiten.
- Stimmt: Die gesamte KI-Inferenz läuft auf Infrastruktur innerhalb der Europäischen Union.
- Stimmt: Deine Prompts und Ausgaben gehen nie in die USA oder nach China.
- Stimmt: Bei eingeschalteter Websuche geht eine Sache nach außen: eine kurze Suchanfrage, die unser eigenes Modell aus deiner Nachricht formuliert, mit der Anweisung, Namen und andere persönliche Angaben wegzulassen. Deine Unterhaltung, deine Dateien und dein Konto gehen nie an den Suchanbieter.
- Stimmt: Die Modelle laufen unter unserer Verwaltung und werden nicht mit Kundendaten trainiert.
- Stimmt nicht: „Die Websuche bleibt in der EU.“ Nicht garantiert. Laut der Dokumentation von Linkup können Anfragen in die USA, die EU, nach Kanada und in den asiatisch-pazifischen Raum geleitet werden, sofern eine Enterprise-Vereinbarung nichts anderes regelt, und Zero Data Retention gibt es nur für Enterprise-Kunden. Eine Suchanfrage spiegelt wider, was du gefragt hast, also lass die Suche bei einer Nachricht aus, die du nicht als Suchanfrage unterwegs sehen willst.
Was jede Schicht von deinem Prompt sieht
Nicht jeder Unterauftragsverarbeiter sieht dasselbe. Konkret:
| Schicht | Sieht | Sieht nicht |
|---|---|---|
| Scaleway (Inferenz) | Den Prompt und die erzeugte Antwort | Deine Identität, deine Zahlungsdaten, deinen Nutzungsverlauf |
| Cloudflare | Verschlüsselten Datenverkehr; TLS wird am Edge in der EU-Region von Cloudflare terminiert, der Inhalt der Anfrage läuft also durch den Arbeitsspeicher dieses Edge | Nichts, was gespeichert wird: API-Verkehr wird nicht gecacht |
| Neon | Konto, Guthaben, Token-Zahlen und Zeitstempel pro Anfrage | Den Inhalt deiner Prompts und Antworten |
| Stripe | Name, E-Mail, USt-IdNr., Zahlungsdaten und Beträge | Alles, was du mit dem Modell machst |
| Linkup (nur bei eingeschalteter Suche) | Eine kurze Suchanfrage pro Nachricht, von unserem Modell aus deiner Nachricht formuliert | Deine Unterhaltung, deine Dateien, dein Konto und deine IP-Adresse |
Cloudflare läuft in seiner EU-Region
Warum nicht jede Partei europäisch ist
Technisch ist es möglich, den ganzen Stack ausschließlich mit europäischen Unternehmen zu betreiben. Heute ist es nicht möglich, das zu tun, ihn zuverlässig zu betreiben und dabei die Preise auf unserer Preisseite zu verlangen. Wir haben uns entschieden, den Teil, der inhaltlich am meisten zählt, nämlich wo dein Prompt verarbeitet wird und wo das Modell läuft, vollständig europäisch zu halten und beim Rest offen zu sein, statt eine Souveränitätsgeschichte darum herum zu bauen.
Wir sind ein junges Unternehmen, und dieser Stack ist noch im Aufbau. Wenn eine europäische Alternative eine dieser Rollen zuverlässig übernehmen kann, ziehen wir um, und das berichten wir hier.
Was jede Schicht lesen kann und was nicht, gehen wir Station für Station in Wohin deine Prompts gehen: EU-Datenresidenz für KI durch. Die Speicherfristen hinter diesen Parteien stehen in der Datenschutzerklärung, und Geschäftskunden bekommen dieselbe Liste vertraglich über den Auftragsverarbeitungsvertrag.
Häufige Fragen
Was ist ein Unterauftragsverarbeiter?
Ein Unterauftragsverarbeiter ist ein Dritter, der personenbezogene Daten im Auftrag eines Auftragsverarbeiters verarbeitet. Wenn du einen KI-Dienst für die Daten anderer Menschen nutzt, verarbeiten seine Unterauftragsverarbeiter diese Daten ein Glied weiter unten in der Kette. Deshalb muss die vollständige Liste öffentlich sein, und deshalb solltest du vor einer Änderung Bescheid bekommen.
Verlassen meine Daten die EU, wenn ich eine KI-API nutze?
Das hängt davon ab, um welche Daten und welchen Anbieter es geht. Bei Union AI werden Prompt und Antwort auf Infrastruktur innerhalb der Europäischen Union verarbeitet und gehen nie in die USA oder nach China, während an Hosting, Datenbank und Zahlungen Unternehmen mit US-Muttergesellschaft beteiligt sind. Wenn du die Websuche einschaltest, geht eine kurze Suchanfrage an Linkup, das sie außerhalb der EU verarbeiten kann. Lass dir diese Fragen von jedem Anbieter einzeln beantworten, denn die meisten beantworten nur die erste.
Schickt die Websuche meinen Prompt an eine Suchmaschine?
Nein. Wenn du die Suche einschaltest, formuliert unser eigenes Modell in der EU aus deiner Nachricht eine kurze Suchanfrage, und nur diese Anfrage geht an Linkup, eine französische Such-API. Linkup kann Anfragen außerhalb der EU leiten, sofern eine Enterprise-Vereinbarung nichts anderes regelt, die Anfrage kann die EU also verlassen, auch wenn deine Unterhaltung es nicht tut. Ist die Suche aus, geht überhaupt nichts an Linkup.
Kann eine europäische Cloud unter den US CLOUD Act fallen?
Ja, wenn der Betreiber ein US-Unternehmen oder die Tochter eines solchen ist. Der CLOUD Act erfasst Daten im Besitz, Gewahrsam oder unter der Kontrolle eines Anbieters, egal wo sie gespeichert sind; ein Rechenzentrum in Frankfurt entzieht Daten ihm also nicht schon für sich genommen. Drei Parteien in unserer Kette haben eine US-Muttergesellschaft, und bei keiner von ihnen werden deine Prompts verarbeitet: Das passiert bei Scaleway, einem französischen Unternehmen, innerhalb der Europäischen Union.
Wer kann meine Prompts lesen?
Bei Union AI sieht nur die Inferenzschicht den Inhalt eines Prompts und seiner Antwort, und sie sieht keine Identität, keine Zahlungsdaten und keinen Verlauf. Die Datenbank sieht dein Konto, dein Guthaben und deine Token-Zahlen, der Zahlungsanbieter nur Abrechnungsdaten. Bei eingeschalteter Websuche sieht der Suchanbieter eine kurze, aus deiner Nachricht formulierte Anfrage, nie die Unterhaltung selbst.
Was gehört auf die Liste der Unterauftragsverarbeiter eines KI-Anbieters?
Vier Spalten: die Partei, was sie tut, die Region, in der sie verarbeitet, und der Rechtsträger dahinter. Eine Liste mit Regionen, aber ohne Rechtsträger verschweigt die Frage der Rechtsordnung, und genau die zählt bei Zugriffsersuchen aus dem Ausland. Außerdem sollte die Liste sagen, wie lange im Voraus du über Änderungen der Liste informiert wirst.
Werde ich informiert, wenn sich ein Unterauftragsverarbeiter ändert?
Ja. Geschäftskunden mit einem Auftragsverarbeitungsvertrag werden mindestens 30 Tage vor dem Wirksamwerden einer Änderung informiert, damit Zeit für einen Einspruch bleibt. Wenn du Einspruch erhebst und wir keine Lösung finden, kannst du den Vertrag beenden und bekommst ungenutztes Guthaben zurück.