Dienstleister und Datenanbieter
Stand: 8. Oktober 2026
Entwurf: Dieser Text wird derzeit rechtlich geprüft und kann sich noch ändern.
Diese Liste ist die Anlage 3 unseres Auftragsverarbeitungsvertrags (listplus.ai/de/dpa) und der Abschnitt „Empfänger“ unserer Datenschutzerklärung in einer Fassung — generiert aus einer Quelle, damit es keine zwei Versionen gibt. Änderungen an Unterauftragsverarbeitern kündigen wir Kunden 30 Tage vorher an (AVV § 7).
„Abschaltbar durch den Kunden“ nennt den Schalter der Workspace-Richtlinien, mit dem der Eigentümer eines Workspace die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.
Teil A: Unterauftragsverarbeiter
Diese Dienstleister verarbeiten Kundendaten in unserem Auftrag nach Art. 28 DSGVO. „Abschaltbar“ nennt den Schalter der Workspace-Richtlinien, mit dem der Kunde die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.
| Dienstleister | Leistung | Übermittelte Daten | Sitz / Standort | Garantie bei Drittlandbezug | Abschaltbar durch den Kunden |
|---|---|---|---|---|---|
| Vercel Inc. | Betrieb der Anwendung, Dateispeicher für Listen und Importe, Warteschlangen für Hintergrundarbeit, Reichweitenmessung und Ladezeitmessung, KI-Gateway (Zugang zum Modell „Jev“) | Alle Daten der Anwendung; Verbindungsdaten beim Aufruf (IP-Adresse, Browser) | Covina, Kalifornien, USA — Hosting, Dateispeicher und Warteschlangen in der EU-Region Frankfurt | EU-U.S. Data Privacy Framework; Standardvertragsklauseln im Auftragsverarbeitungsvertrag | nein |
| Redis Ltd. (Redis Cloud) | Datenbank der Anwendung: Workspaces, Listen, Arbeitsdaten, Zwischenspeicher | Alle Daten der Anwendung | Sitz: Mountain View, Kalifornien, USA — Datenbank in Frankfurt (AWS eu-central-1), Übertragung TLS-verschlüsselt — [PRÜFEN: Auftragsverarbeitungsvertrag und Verschlüsselung im Ruhezustand bestätigen] | Verarbeitung in der EU; Standardvertragsklauseln für den Support-Zugriff aus Drittländern | nein |
| Pusher Ltd. | Live-Statusmeldungen im Browser (Import fertig, Anreicherung läuft, neue Treffer) | Ereignisse zu Vorgängen; bei kleinen Änderungen die geänderten Zellwerte | London, Vereinigtes Königreich — [PRÜFEN: Cluster-Standort bestätigen] | Angemessenheitsbeschluss für das Vereinigte Königreich | nein |
| Pipedream, Inc. | Verbindungen zu CRM-Systemen und Tabellen (OAuth-Zugangsdaten, Weiterleitung der Aufrufe); interne Benachrichtigungen über Konto-, Listen- und Zahlungsereignisse | Datensätze, die der Kunde mit einem verbundenen System austauscht; aus Ereignissen Nutzer-ID, E-Mail-Adresse, Listenname und Zeilenzahl sowie eine Zusammenfassung des Zahlungsereignisses (Kunde, E-Mail, Betrag, Tarif) | San Francisco, Kalifornien, USA — [wird ersetzt] — [PRÜFEN: Dienst wird abgekündigt; Benachrichtigungen ziehen nach n8n um, der Ersatz für die Verbindungen ist offen] | Standardvertragsklauseln | ja (connections) |
| Postmark (ActiveCampaign, LLC) | Empfang weitergeleiteter E-Mails an die Eingangsadresse @in.listplus.ai; Versand von Workspace-Einladungen und Pipeline-Digest-Mails von notifications@listplus.ai | Weitergeleitete E-Mails ganz (Absender, Betreff, Text, Anhänge); Adresse des Eingeladenen und Name des Einladenden; je Digest-Eintrag Name, Position, Firma | Chicago, Illinois, USA — [PRÜFEN: Auftragsverarbeitungsvertrag abschließen; Aufbewahrung beim Anbieter (Standard 45 Tage) verkürzen] | Standardvertragsklauseln | ja (inboxEmail, pipelineEmail) |
| OpenAI | Sprachmodelle für Befehle, Prüfungen, KI-Spalten, Spaltenerkennung beim Import, Erkennung von Kontakten im Eingang, Zuordnung unbekannter Webhook-Felder, KI-Recherche; Transkription von Diktaten | Der für die Aufgabe nötige Ausschnitt (Abschnitt „KI-Verarbeitung“ der Datenschutzerklärung); Anfragen werden nicht beim Anbieter gespeichert (store: false) und nicht zum Training genutzt | OpenAI Ireland Ltd., Dublin, Irland (Vertragspartner für die EU) / OpenAI, L.L.C., San Francisco, USA — [PRÜFEN: Vertragspartner (Irland/USA) und Data Processing Addendum bestätigen] | EU-U.S. Data Privacy Framework; Standardvertragsklauseln im Data Processing Addendum | ja (ai) |
| Groq, Inc. | Schnelles Sprachmodell für kurze Einzelaufrufe: Verstehen einer Suchanfrage, Rollenauflösung, Listentitel, kurze Eingangs-Einträge | Der kurze Text der jeweiligen Anfrage (Suchbeschreibung, Signaturzeile) | Mountain View, Kalifornien, USA — [PRÜFEN: Data Processing Addendum und Training-Ausschluss bestätigen] | Standardvertragsklauseln | ja (ai) |
| TypeSafe AI (Modell „Jev“, über das AI Gateway von Vercel) | Bewertungsmodell: Seniorität von Jobtiteln, Art einer LinkedIn-Position, Vorprüfung von Eingangs-Einträgen und Webhook-Datensätzen, Bewertungsspalten | Die zu bewertenden Werte (Jobtitel, Positionen, bis zu 12 Felder eines Datensatzes); ohne Speicherung beim Anbieter (Zero Data Retention) | Sitz: zu bestätigen — [PRÜFEN: Sitz, Vertragspartner und Garantie bestätigen] | Standardvertragsklauseln über Vercel | ja (ai) |
| Apify Technologies s.r.o. | Datenerhebungsplattform: führt Scraper („Actors“) aus, die öffentliche Seiten lesen — LinkedIn-Importe (Sales Navigator, Mitarbeiterlisten, Beitragsreaktionen und -kommentare, Personensuche auch nach früherem Arbeitgeber), Crunchbase-Firmenseiten, Reddit, X, Google-Maps-Profile, Web-Traffic, Kontaktdaten auf Websites | Die Such-URL, Firmen-URL, Beitrags-URL, der Firmenname oder die Recherche-Anfrage — nie die Liste des Kunden | Prag, Tschechien — [PRÜFEN: Auftragsverarbeitungsvertrag bestätigen; die Actors Dritter laufen auf Apifys Infrastruktur] | Verarbeitung in der EU | ja (provider:apify) |
| PostHog Inc. (EU-Cloud) | Nutzungsereignisse der Anwendung (welche Funktion wann genutzt wurde), pseudonym | Ereignisname und -eigenschaften, ein Pseudonym des Kontos (Hash), Tarif, Workspace-Hash; keine Namen, E-Mail-Adressen oder Listeninhalte; abschaltbar je Konto und je Workspace | San Francisco, Kalifornien, USA — EU-Cloud in Frankfurt | Verarbeitung in der EU; Standardvertragsklauseln im Auftragsverarbeitungsvertrag | ja (telemetry) |
| Axiom, Inc. | Server-Protokolle und Fehlerberichte aus dem Browser zur Fehleranalyse | Protokollzeilen der Anwendung; bei Fehlern im Browser Fehlertext, Stack und Seite (ohne Nutzer-ID und ohne Query-String) | San Francisco, Kalifornien, USA — [PRÜFEN: Sitz, Datenstandort und Aufbewahrungsfrist bestätigen] | Standardvertragsklauseln | nein |
| Chatwoot Inc. | Support-Chat in der Anwendung; erste Antworten durch einen KI-Assistenten, der nur auf freigegebene Hilfetexte zugreift | Nutzer-ID, Name, E-Mail-Adresse und Chat-Nachrichten; erst nach Klick auf den Chat-Button | Wilmington, Delaware, USA — [PRÜFEN: Auftragsverarbeitungsvertrag bestätigen] | Standardvertragsklauseln | ja (supportChat) |
| Hanko GmbH | Anmeldung: E-Mail-Adresse mit Einmal-Code oder Google-Login; Sitzungen (30 Tage) | E-Mail-Adresse, Nutzer-ID, Anmeldeweg, Zeitpunkte | Kiel, Deutschland | Verarbeitung in der EU | nein |
| Google LLC (Anmeldung mit Google) | Bestätigung der Anmeldung, wenn der Nutzer „Mit Google anmelden“ wählt | E-Mail-Adresse und Google-Konto-ID; Google erfährt, dass sich die Person bei ListPlus anmeldet | Mountain View, Kalifornien, USA | EU-U.S. Data Privacy Framework | nein |
| Stripe Payments Europe, Ltd. | Zahlungen, Rechnungen, Umsatzsteuer | Name, E-Mail-Adresse, Rechnungsanschrift, USt-IdNr., Zahlungsdaten (nur bei Stripe) | Dublin, Irland | Standardvertragsklauseln für Übermittlungen an Stripe, Inc. (USA) | nein |
| Attio Ltd. (CRM) | Konto-E-Mails: speichert die E-Mail-Adresse bei der Registrierung und versendet die Willkommens-E-Mail | E-Mail-Adresse | London, Vereinigtes Königreich | Angemessenheitsbeschluss für das Vereinigte Königreich | nein |
| Amazon Web Services EMEA SARL (DynamoDB) | Nutzer-Datensatz: E-Mail-Adresse und gekaufter Tarif | E-Mail-Adresse, Tarif | Luxemburg — Frankfurt (eu-central-1) | Verarbeitung in der EU | nein |
Teil B: Datenanbieter und Quellen
Diese Anbieter erhalten bei einem Abruf nur den Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Firma oder Suchfilter), nie die übrige Liste. Sie sind für ihre eigenen Datenbestände selbst Verantwortliche; ListPlus ist das Werkzeug, mit dem der Kunde sie abfragt. Ob sie für den Suchschlüssel als Unterauftragsverarbeiter oder als eigenständige Empfänger einzuordnen sind, wird anwaltlich geklärt.
| Dienstleister | Leistung | Übermittelte Daten | Sitz / Standort | Garantie bei Drittlandbezug | Abschaltbar durch den Kunden |
|---|---|---|---|---|---|
| Prospeo | B2B-Kontaktdatenbank (Segmentsuche), verifizierte geschäftliche E-Mail-Adressen und Telefonnummern, Firmenprofile, Jobwechsel | Suchfilter oder der Suchschlüssel: LinkedIn-URL, Name und Firma, Domain | Prospeo SAS, Paris, Frankreich — [PRÜFEN: Sitz bestätigen] | Verarbeitung in der EU | ja (provider:prospeo) |
| FullEnrich | Geschäftliche E-Mail-Adresse und Telefonnummer aus Name und Firma oder LinkedIn-URL (Abfrage bei 20+ Unterquellen) | Name und Firma, Domain oder LinkedIn-URL | FullEnrich Corp., San Francisco, USA | Standardvertragsklauseln laut Datenschutzerklärung des Anbieters | ja (provider:fullenrich) |
| CompanyEnrich | Unternehmensdaten aus Domain oder Firmenname (Branche, Größe, Standort, Website); Mitarbeiterstruktur, Entscheider, ähnliche Unternehmen | Domain oder Firmenname; bei Personensuchen Name und Firma | Gesellschaft in der Türkei — Server, Datenbanken und Sicherungen in Finnland — [PRÜFEN: Garantie für den Zugriff aus der Türkei klären] | Verarbeitung in der EU (Finnland); Türkei ohne Angemessenheitsbeschluss | ja (provider:companyenrich) |
| HarvestAPI | Öffentlich sichtbare LinkedIn-Daten: Profil, Unternehmen, Profilsuche, Beiträge und Reaktionen, offene Stellen; Grundlage der Watchlist-Alerts | LinkedIn-URL, Name und Firma, Beitrags-URL | Sitz: zu bestätigen — [PRÜFEN: Sitz und Garantie bestätigen] | Zu bestätigen | ja (provider:linkedin, alerts) |
| Enrich.so | Öffentlich sichtbare LinkedIn-Profildaten anhand einer URL (Ersatz, wenn HarvestAPI nicht antwortet) | LinkedIn-URL | Sitz: zu bestätigen — [PRÜFEN: Sitz und Garantie bestätigen] | Zu bestätigen | ja (provider:linkedin) |
| MillionVerifier | Prüfung der Zustellbarkeit einer E-Mail-Adresse | Die E-Mail-Adresse | GBD Software as a Service Private Limited Company, Budapest, Ungarn | Verarbeitung in der EU | ja (provider:millionverifier) |
| Serper (Google-Suche) | Google-Suchergebnisse: LinkedIn-Profil-URL zu Name und Firma, Firmenwebsite, Nachrichten, Websuche der KI-Recherche, Bestätigung erkannter Kontakte im Eingang | Der Suchbegriff (z. B. Name und Firma) | Serper, Sitz: zu bestätigen — [PRÜFEN: Sitz und Garantie bestätigen] | Zu bestätigen | ja (provider:serper) |
| Hacker News (Suche über Algolia) | Öffentliche Beiträge und Kommentare auf Hacker News einschließlich Benutzernamen, für die KI-Recherche | Nur der Suchbegriff, nie Daten aus Kundenlisten | Algolia, Inc., San Francisco, USA — öffentliche Schnittstelle ohne Konto | Kein Vertrag; nur der Suchbegriff wird übermittelt | nein |
| Öffentliche Quellen (über Apify gelesen) | Öffentlich sichtbare Seiten, die ein Scraper im Auftrag des Kunden liest; die Plattformen sind nicht unsere Vertragspartner, ihre Nutzungsbedingungen beachtet der Kunde | Die aufgerufene URL bzw. Suche | LinkedIn, Crunchbase, Reddit, X, Google Maps, Similarweb, beliebige Websites | Entfällt (Abruf öffentlicher Seiten) | ja (provider:apify, source:reddit, source:twitter, source:linkedin, source:people, source:sources) |
Teil C: Vom Kunden gewählte Empfänger
Systeme, an die der Kunde Daten übermittelt, weil er sie selbst verbindet oder benennt. Für diese Übermittlung ist der Kunde Verantwortlicher; wir nennen sie der Vollständigkeit halber.
| Dienstleister | Leistung | Übermittelte Daten | Sitz / Standort | Garantie bei Drittlandbezug | Abschaltbar durch den Kunden |
|---|---|---|---|---|---|
| Verbundene Systeme des Kunden | Import aus und Export in Systeme, die der Kunde selbst verbindet; Pipeline-Ziele | Die Datensätze, die der Kunde überträgt | HubSpot, Salesforce, Pipedrive, Google Sheets, Airtable, Notion, lemlist (über Pipedream); Instantly, Smartlead, Attio, Close, Slack (mit dem Schlüssel des Kunden) | Der Kunde ist Verantwortlicher dieser Übermittlung | ja (connections) |
| Eigener Webhook-Endpunkt des Kunden | Pipeline-Ziel „Endpunkt“ | Die Datensätze, die der Kunde überträgt | Vom Kunden benannt | Der Kunde ist Verantwortlicher dieser Übermittlung | nein |
| Die eigene KI des Kunden (Agent-API, MCP, Recherche-Link) | Lesen und Schreiben von Listen und Recherchen durch ein KI-System, das der Kunde anschließt | Was die Verbindung freigibt (Spalten, Teillisten, Aktionen) | Vom Kunden gewählt, z. B. ChatGPT, Claude, eigene Agenten | Der Kunde ist Verantwortlicher dieser Übermittlung | ja (agentApi) |