Zuletzt aktualisiert: 8. Oktober 2026
Cortena nutzt eine begrenzte Anzahl zugelassener Unterauftragsverarbeiter, um den Dienst bereitzustellen. Auf dieser Seite werden die einzelnen Unterauftragsverarbeiter, ihr Standort, der Verarbeitungszweck und die Vorgehensweise bei der Datenaufbewahrung aufgeführt.
Optionale Einträge (FinAPI, Yapily, Microsoft) gelten nur, wenn sie für den jeweiligen Kunden aktiviert sind. FinAPI und Yapily: der Kunde aktiviert die Integration in Cortena. Microsoft: der Kunde aktiviert sie und Cortena schaltet sie auf Anfrage für den Kunden frei.
Bei Fragen oder wenn Sie unsere vollständige DPA/AVV anfordern möchten, wenden Sie sich an compliance@cortena.ai.
1. Zweck
Transparenz über Dritte zu schaffen, die Kundendaten im Auftrag von Cortena verarbeiten können, im Einklang mit den Anforderungen der DSGVO.
2. Liste der Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Land | Zweck | Aufbewahrung |
|---|---|---|---|
| Hetzner Online GmbH | Deutschland | Kerninfrastruktur: Hosting und Speicherung aller Plattformdaten auf dedizierten Servern in einem privaten Kubernetes-Cluster | Vertragslaufzeit |
| OpenAI Ireland Limited | Irland | LLM-Anbieter für die Automatisierung von Finanzprozessen, einschließlich Dokumentenerfassung, Klassifizierung, Abgleich, Analyse und KI-gestützter Ausführung | Nur kurzfristige Verarbeitung · Daten werden nicht zum Training von Modellen aufbewahrt |
| Anthropic PBC | Vereinigte Staaten | LLM-Anbieter zur Erstellung und Weiterentwicklung kundenspezifischer Buchhaltungsrichtlinien, einschließlich Kontenplanlogik, Umsatzsteuerbehandlung und Abgleichsrichtlinien | Nur kurzfristige Verarbeitung · Daten werden nicht zum Training von Modellen aufbewahrt |
| Cortena B.V. (ReceiveHQ / receivehq.com) | Deutschland | Eingehende E-Mail-Weiterleitung: erstmaliger Empfang und Verarbeitung von per E-Mail übermittelten Finanzdokumenten · von Cortena betrieben und selbst gehostet über receivehq.com | Vertragslaufzeit |
| Google Cloud EMEA Limited (Google Workspace) | Irland | Speicherung und Pflege der vom Kunden bereitgestellten KI-Anweisungen, Geschäftsrichtlinien und Abgleichsregeln | Vertragslaufzeit |
| Microsoft Ireland Operations Limited | Irland | Speicherung und Pflege der vom Kunden bereitgestellten KI-Anweisungen, Geschäftsrichtlinien und Abgleichsregeln · Optional: nur wenn der Kunde Microsoft aktiviert und Cortena sie auf Anfrage für diesen Kunden freischaltet | Vertragslaufzeit |
| Yapily Ltd | Vereinigtes Königreich | PSD2-konforme Open-Banking-Anbindung: Banktransaktionen und Zahlungsoperationen · Optional: nur wenn der Kunde Yapily / Open Banking in Cortena aktiviert | Vertragslaufzeit |
| finAPI GmbH | Deutschland | PSD2-Kontoinformations- und Zahlungsauslösedienste: Bankverbindung, Transaktionssynchronisation und SEPA-Zahlungsautorisierung · Optional: nur wenn der Kunde FinAPI in Cortena aktiviert · Angeboten ab 24. August 2026 | Vertragslaufzeit |
3. Internationale Übermittlungen
Die Kerndaten der Anwendung werden in Deutschland bei Hetzner gespeichert und verarbeitet. Einige Unterauftragsverarbeiter befinden sich außerhalb der EU/des EWR:
Postmark, USA: Beschränkt auf die Weiterleitung eingehender E-Mails. Daten werden bis zu 7 Tage aufbewahrt. Standardvertragsklauseln (SCCs) finden Anwendung.Ab dem 10. September 2026 werden eingehende E-Mails von Cortena selbst gehostet über receivehq.com in Deutschland verarbeitet. Daher gilt diese Übermittlung in die USA nicht mehr für neue eingehende E-Mails.- Anthropic, USA: Beschränkt auf die Erstellung und Weiterentwicklung kundenspezifischer Buchhaltungsrichtlinien. Daten werden nicht über die unmittelbare Aufgabe hinaus aufbewahrt. Standardvertragsklauseln (SCCs) finden Anwendung.
- Yapily, Vereinigtes Königreich: Das Vereinigte Königreich wird nach dem Brexit als Drittland behandelt. Der Angemessenheitsbeschluss zwischen der EU und dem Vereinigten Königreich findet, sofern erforderlich, Anwendung.
Alle anderen Unterauftragsverarbeiter befinden sich innerhalb der EU/des EWR, in Irland oder Deutschland, einschließlich des E-Mail-Empfangs über ReceiveHQ.
4. Verarbeitung durch KI und LLMs
Cortena nutzt OpenAI Ireland Limited und Anthropic PBC als LLM-Anbieter für Funktionen zur Automatisierung von Finanzprozessen.
Wichtige Verpflichtungen:
- LLM-Anbieter speichern oder protokollieren Kundendaten nicht über die unmittelbare Verarbeitungsanfrage hinaus
- Alle Übermittlungen werden über HTTPS/TLS gesichert
- Cortena übermittelt nur die für die angeforderte Aufgabe erforderlichen Mindestdaten
- Kundendaten werden nicht zum Training allgemeiner KI-Modelle verwendet
5. Änderungen bei Unterauftragsverarbeitern
Cortena informiert Kunden mindestens 14 Tage vor der Aufnahme eines neuen Unterauftragsverarbeiters oder einer wesentlichen Änderung bei einem bestehenden Unterauftragsverarbeiter. Die Benachrichtigung wird an die Kontaktdaten gesendet, die im jeweiligen Vertrag oder in der DPA/AVV angegeben sind. Kunden mit einer aktiven DPA können neuen Unterauftragsverarbeitern innerhalb der Widerspruchsfrist widersprechen.
6. Kontakt
- Compliance / DPA: compliance@cortena.ai
- Datenschutzbeauftragter / Datenschutz, DSGVO: dpo@cortena.ai
- Support: support@cortena.ai
- Unternehmen: Cortena B.V., Stadhouderskade 5 - 6, 1054 ES Amsterdam, Niederlande
7. Änderungsprotokoll der Liste
| Datum | Änderung |
|---|---|
| 8. Oktober 2026 | finAPI GmbH (Deutschland) hinzugefügt, optional wenn der Kunde FinAPI in Cortena aktiviert · angeboten ab 24. August 2026. Microsoft Ireland Operations Limited als optional gekennzeichnet (Kunde aktiviert + Cortena schaltet auf Anfrage frei). Land für ReceiveHQ auf Deutschland gesetzt. Yapily als optional klargestellt, wenn der Kunde Open Banking aktiviert. |
| 10. September 2026 | Eingehende E-Mail: Postmark ersetzt durch von Cortena selbst gehostetes ReceiveHQ (receivehq.com). |