1. Über diese Liste
Diese Liste zeigt die Unterauftragnehmer (Sub-Prozessoren), die die FlowQ Beratungs- & Servicegesellschaft mbH im Rahmen der Verarbeitung personenbezogener Daten für ihre Kunden einsetzt. Sie ist die in Anlage 2 des mit unseren Kunden geschlossenen Auftragsverarbeitungsvertrags (AVV) in Bezug genommene Übersicht.
Stand: September 2026.
Abschnitt 1 listet die Kern-Unterauftragnehmer, die in allen Modulen genutzt werden. Abschnitt 2 listet die zusätzlichen Unterauftragnehmer, die erst mit Aktivierung von Modul B eingesetzt werden; bis zur Aktivierung erfolgt keine Datenübermittlung an diese Unterauftragnehmer.
2. Abschnitt 1: Kern-Unterauftragnehmer (in allen Modulen genutzt)
Hetzner Online GmbH
Anschrift: Industriestr. 25, 91710 Gunzenhausen, Deutschland
Leistung: Server-Hosting, Kern-Infrastruktur (inkl. selbst gehosteter KI-Modelle des Auftragnehmers)
Ort der Verarbeitung: Deutschland
Transfer-Grundlage: EU
netcup GmbH
Anschrift: Emmy-Noether-Str. 10, 76131 Karlsruhe, Deutschland
Leistung: Server-Hosting
Ort der Verarbeitung: Deutschland
Transfer-Grundlage: EU
Clay Labs Inc.
Anschrift: 111 W 19th St, 5th floor, New York, NY 10011, USA
Leistung: Datenanreicherung, Kontaktmanagement
Ort der Verarbeitung: USA
Transfer-Grundlage: EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, Module 1 (C2C), 2 (C2P) und 4 (P2C), gemäß unterzeichneter Data Processing Agreement vom 25.03.2026. UK Addendum eingeschlossen. Transfer Impact Assessment liegt vor.
OpenAI Ireland Limited
Anschrift: 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
Leistung: KI-Sprachverarbeitung (API) für Anreicherung, Klassifikation, Normalisierung
Ort der Verarbeitung: EU (Irland); vertragsinterne Weiterleitung an OpenAI-Affiliates (USA) möglich
Transfer-Grundlage: Vertragspartner ist eine Gesellschaft im EU-Binnenmarkt (Irland), Data Processing Addendum bilateral unterzeichnet am 08.07.2026. Weiterleitungen innerhalb der OpenAI-Gruppe in Drittländer erfolgen auf Grundlage von EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 oder eines Angemessenheitsbeschlusses nach Art. 45 DSGVO. Transfer Impact Assessment liegt vor.
Anthropic Ireland, Limited
Anschrift: 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland
Leistung: KI-Sprachverarbeitung (API) für Anreicherung, Klassifikation, Normalisierung
Ort der Verarbeitung: EU (Irland); vertragsinterne Weiterleitung an Anthropic, PBC (USA) möglich
Transfer-Grundlage: Vertragspartner ist eine Gesellschaft im EU-Binnenmarkt (Irland). EU-Standardvertragsklauseln Module 2 (C2P) und 3 (P2P) sind in der Anthropic-DPA by reference inkorporiert. Transfer Impact Assessment liegt vor.
Google LLC (Google Workspace)
Anschrift: 1600 Amphitheatre Pkwy, Mountain View, CA 94043, USA
Leistung: E-Mail, Kalender, Cloud-Dienste
Ort der Verarbeitung: USA / EU
Transfer-Grundlage: EU-US Data Privacy Framework (DPF) und EU-Standardvertragsklauseln (SCCs)
HubSpot, Inc.
Anschrift: 25 First St, Cambridge, MA 02141, USA
Leistung: CRM, Projekttracking
Ort der Verarbeitung: USA
Transfer-Grundlage: EU-US Data Privacy Framework (DPF) und EU-Standardvertragsklauseln (SCCs)
Notch GmbH
Anschrift: Eifflerstraße 43, 22769 Hamburg, Deutschland
Leistung: Kundenportal, E-Signatur
Ort der Verarbeitung: Deutschland
Transfer-Grundlage: EU
Cal.com, Inc.
Anschrift: 2261 Market Street #4382, San Francisco, CA 94114, USA
Leistung: Terminbuchung und Kalenderverwaltung für Erstgespräche (Orientierungsgespräche) mit Interessenten
Ort der Verarbeitung: USA
Transfer-Grundlage: EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, per Verweis einbezogen über Schedule 4 des am 19.08.2026 gezeichneten Data Processing Agreement: Modul 2 für Übermittlungen an Cal.com, Modul 3 für Weitergaben an dessen Unterauftragnehmer. Ein Transfer Impact Assessment liegt vor (Stand 19.08.2026). Das Data Processing Agreement ist beidseitig gezeichnet; Cal.com hat am 19.08.2026 gegengezeichnet.
Oracle Cloud Infrastructure (Oracle Corporation)
Anschrift: Konzernmutter: 2300 Oracle Way, Austin, TX 78741, USA. Kontrahierende Oracle-Gesellschaft nach dem Services Agreement.
Leistung: Server-Hosting (Compute-Instanzen), unter anderem Run-Host für Recherche- und Scraping-Läufe
Ort der Verarbeitung: EU (Region Frankfurt, eu-frankfurt-1)
Transfer-Grundlage: Die Verarbeitung findet in der EU statt, ein Drittlandtransfer entsteht im Regelbetrieb nicht. Für konzernweiten Support- und Administrationszugriff greift der Oracle Processor Code (Binding Corporate Rules for Processors) nach Art. 46 Abs. 2 lit. b DSGVO, EWR-genehmigt und über Exhibit 1 des Oracle Data Processing Agreement einbezogen. Die Weisungs- und Herausgabelage gegenüber FlowQ ist gesondert vertraglich abgesichert; Einzelheiten nennt Anlage 2 des Auftragsverarbeitungsvertrages. Weitergaben an Dritt-Unterauftragnehmer unterliegen denselben Anforderungen.
Amie GmbH
Anschrift: Adalbertstr. 20, 10997 Berlin, Deutschland
Leistung: Technischer Zugriffsdienst auf Meeting-Notizen, -Transkripte, Kalender- und Mailinhalte des Auftragnehmers über eine MCP-Schnittstelle (Personal Access Token) für den vom Auftragnehmer betriebenen Coding-Agenten; Leistung des Anbieters: Abruf von Meeting-Transkripten zur Auswertung
Ort der Verarbeitung: EU (Deutschland, Hosting laut Anbieter in Deutschland)
Transfer-Grundlage: Die Verarbeitung findet in der EU statt, ein Drittlandtransfer entsteht im Regelbetrieb nicht. Ein Unterauftragsverarbeitungsvertrag nach Art. 28 DSGVO befindet sich in Vorbereitung (Anfrage an den Anbieter vom 02.09.2026).
3. Abschnitt 2: Zusätzliche Unterauftragnehmer (erst nach Aktivierung von Modul B)
Die nachfolgend aufgeführten Unterauftragnehmer werden erst nach Aktivierung von Modul B eingebunden. Bis zur Aktivierung erfolgt keine Datenübermittlung an diese Unterauftragnehmer.
Lempire SAS (Lemlist)
Anschrift: 128 Rue La Boétie, 75008 Paris, Frankreich
Leistung: E-Mail-Kampagnen-Automatisierung
Ort der Verarbeitung: EU
Transfer-Grundlage: EU
Instantly.ai
Anschrift: 30 N Gould St, Suite R, Sheridan, WY 82801, USA
Leistung: E-Mail-Kampagnen-Automatisierung
Ort der Verarbeitung: USA
Transfer-Grundlage: EU-Standardvertragsklauseln (Modul 3)
Celonis Inc. (Make.com)
Anschrift: One World Trade Center, 87th Fl, New York, NY 10007, USA
Leistung: Workflow-Automatisierung
Ort der Verarbeitung: USA
Transfer-Grundlage: EU-US Data Privacy Framework (DPF)
Formagrid Inc. (Airtable)
Anschrift: 799 Market St, 8th Fl, San Francisco, CA 94103, USA
Leistung: Datenbank, Workflow-Management
Ort der Verarbeitung: USA
Transfer-Grundlage: EU-Standardvertragsklauseln (Modul 3)
OpnForm.com
Anschrift: 66 Fitzwilliam Square, Dublin 2, Irland
Leistung: Online-Formulare
Ort der Verarbeitung: EU
Transfer-Grundlage: EU
Gamma Tech Inc.
Anschrift: 2261 Market St #4544, San Francisco, CA 94114, USA
Leistung: Präsentationsinhalte
Ort der Verarbeitung: USA
Transfer-Grundlage: EU-Standardvertragsklauseln (DPA: gamma.app/dpa)
4. Änderungen an dieser Liste
Über Änderungen an dieser Liste informieren wir unsere Kunden gemäß § 8 Abs. 3 des AVV: Vor dem Einsatz eines neuen Unterauftragnehmers oder einer wesentlichen Änderung des Verarbeitungsumfangs eines bestehenden Unterauftragnehmers erfolgt die Information schriftlich oder per E-Mail mindestens 30 Tage im Voraus. Aktualisierungen dieser Seite werden unseren Kunden zusätzlich per E-Mail angekündigt.
1. About this list
This list shows the sub-processors that FlowQ Beratungs- & Servicegesellschaft mbH engages in connection with the processing of personal data for its customers. It is the overview referenced in Annex 2 of the Data Processing Agreement (DPA) concluded with our customers.
Last updated: September 2026.
Section 1 lists the core sub-processors used across all modules. Section 2 lists the additional sub-processors that are only engaged once Module B is activated; no data is transferred to these sub-processors before activation.
2. Section 1: Core sub-processors (used across all modules)
Hetzner Online GmbH
Address: Industriestr. 25, 91710 Gunzenhausen, Germany
Service: Server hosting, core infrastructure (incl. self-hosted AI models operated by the processor)
Processing location: Germany
Transfer basis: EU
netcup GmbH
Address: Emmy-Noether-Str. 10, 76131 Karlsruhe, Germany
Service: Server hosting
Processing location: Germany
Transfer basis: EU
Clay Labs Inc.
Address: 111 W 19th St, 5th floor, New York, NY 10011, USA
Service: Data enrichment, contact management
Processing location: USA
Transfer basis: EU Standard Contractual Clauses under Implementing Decision (EU) 2021/914, Modules 1 (C2C), 2 (C2P) and 4 (P2C), under the signed Data Processing Agreement dated 25 March 2026. UK Addendum included. A Transfer Impact Assessment is in place.
OpenAI Ireland Limited
Address: 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Ireland
Service: AI language processing (API) for enrichment, classification, normalisation
Processing location: EU (Ireland); intra-group forwarding to OpenAI affiliates (USA) possible
Transfer basis: The contracting party is a company within the EU single market (Ireland); a Data Processing Addendum was signed bilaterally on 8 July 2026. Forwarding within the OpenAI group to third countries takes place on the basis of EU Standard Contractual Clauses under Implementing Decision (EU) 2021/914 or an adequacy decision under Art. 45 GDPR. A Transfer Impact Assessment is in place.
Anthropic Ireland, Limited
Address: 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Ireland
Service: AI language processing (API) for enrichment, classification, normalisation
Processing location: EU (Ireland); intra-group forwarding to Anthropic, PBC (USA) possible
Transfer basis: The contracting party is a company within the EU single market (Ireland). EU Standard Contractual Clauses Modules 2 (C2P) and 3 (P2P) are incorporated by reference into the Anthropic DPA. A Transfer Impact Assessment is in place.
Google LLC (Google Workspace)
Address: 1600 Amphitheatre Pkwy, Mountain View, CA 94043, USA
Service: E-mail, calendar, cloud services
Processing location: USA / EU
Transfer basis: EU-US Data Privacy Framework (DPF) and EU Standard Contractual Clauses (SCCs)
HubSpot, Inc.
Address: 25 First St, Cambridge, MA 02141, USA
Service: CRM, project tracking
Processing location: USA
Transfer basis: EU-US Data Privacy Framework (DPF) and EU Standard Contractual Clauses (SCCs)
Notch GmbH
Address: Eifflerstraße 43, 22769 Hamburg, Germany
Service: Customer portal, e-signature
Processing location: Germany
Transfer basis: EU
Cal.com, Inc.
Address: 2261 Market Street #4382, San Francisco, CA 94114, USA
Service: Appointment scheduling and calendar management for intro calls (orientation calls) with prospects
Processing location: USA
Transfer basis: EU Standard Contractual Clauses pursuant to Implementing Decision (EU) 2021/914, incorporated by reference via Schedule 4 of the Data Processing Agreement signed on 19 August 2026: Module Two for transfers to Cal.com, Module Three for onward transfers to its sub-processors. A Transfer Impact Assessment is on file (as of 19 August 2026). The Data Processing Agreement is signed by both parties; Cal.com counter-signed on 19 August 2026.
Oracle Cloud Infrastructure (Oracle Corporation)
Address: Parent company: 2300 Oracle Way, Austin, TX 78741, USA. Contracting Oracle entity per the Services Agreement.
Service: Server hosting (compute instances), including the run host for research and scraping jobs
Place of processing: EU (Frankfurt region, eu-frankfurt-1)
Transfer basis: Processing takes place in the EU; no third-country transfer arises in regular operation. For group-wide support and administration access, the Oracle Processor Code (Binding Corporate Rules for Processors) under Art. 46(2)(b) GDPR applies, authorised in the EEA and incorporated via Exhibit 1 of the Oracle Data Processing Agreement. Instruction and return obligations towards FlowQ are secured under a separate agreement; Annex 2 of the data processing agreement sets out the details. Onward transfers to third-party sub-processors are subject to the same requirements.
Amie GmbH
Address: Adalbertstr. 20, 10997 Berlin, Germany
Service: Technical access service for the processor's meeting notes, transcripts, calendar and e-mail content via an MCP interface (personal access token) for the processor's coding agent; provider's service: retrieval of meeting transcripts for analysis
Processing location: EU (Germany; hosting stated by the provider to be in Germany)
Transfer basis: Processing takes place in the EU; no third-country transfer arises in regular operation. A Data Processing Agreement under Art. 28 GDPR is in preparation (request sent to the provider on 2 September 2026).
3. Section 2: Additional sub-processors (only after Module B activation)
The sub-processors listed below are only engaged once Module B is activated. No data is transferred to these sub-processors before activation.
Lempire SAS (Lemlist)
Address: 128 Rue La Boétie, 75008 Paris, France
Service: Email campaign automation
Processing location: EU
Transfer basis: EU
Instantly.ai
Address: 30 N Gould St, Suite R, Sheridan, WY 82801, USA
Service: Email campaign automation
Processing location: USA
Transfer basis: EU Standard Contractual Clauses (Module 3)
Celonis Inc. (Make.com)
Address: One World Trade Center, 87th Fl, New York, NY 10007, USA
Service: Workflow automation
Processing location: USA
Transfer basis: EU-US Data Privacy Framework (DPF)
Formagrid Inc. (Airtable)
Address: 799 Market St, 8th Fl, San Francisco, CA 94103, USA
Service: Database, workflow management
Processing location: USA
Transfer basis: EU Standard Contractual Clauses (Module 3)
OpnForm.com
Address: 66 Fitzwilliam Square, Dublin 2, Ireland
Service: Online forms
Processing location: EU
Transfer basis: EU
Gamma Tech Inc.
Address: 2261 Market St #4544, San Francisco, CA 94114, USA
Service: Presentation content
Processing location: USA
Transfer basis: EU Standard Contractual Clauses (DPA: gamma.app/dpa)
4. Changes to this list
We inform our customers about changes to this list in accordance with § 8 (3) of the DPA: before engaging a new sub-processor or making a material change to the scope of processing of an existing sub-processor, we provide notice in writing or by e-mail at least 30 days in advance. Updates to this page are additionally announced to our customers by e-mail.