Rechtliches
Sub-Prozessoren
Öffentliche Liste der von <<BRAND_NAME>> eingesetzten Auftragsverarbeiter und Sub-Prozessoren gemäß Art 28 Abs 2 DSGVO.
Stand: <<STAND_DATUM>>
Wir arbeiten mit einer allgemeinen Genehmigung (general authorisation) zur Heranziehung von Sub-Prozessoren. Diese Seite gibt vollständig und transparent Auskunft darüber, welche Dienstleister wir einsetzen, wofür, mit welchen Datenkategorien, in welcher Region und auf welcher Übermittlungsgrundlage.
Bevor wir einen neuen Sub-Prozessor aufnehmen oder einen bestehenden ersetzen, kündigen wir die Änderung mindestens 30 Tage vorab auf dieser Seite an. Verantwortliche (unsere Kund:innen) haben während dieser Frist ein Einspruchsrecht. Bestehende Auftragsverarbeitungsverträge regeln das genaue Vorgehen.
Die zugehörige Datenschutzerklärung mit den allgemeinen Pflichtinformationen nach Art 13 DSGVO finden Sie unter Datenschutzerklärung.
| Anbieter | Sitz | Zweck | Datenkategorien | Verarbeitungsregion | Übermittlungsmechanismus |
|---|---|---|---|---|---|
| Vercel Inc. | San Francisco, US | Hosting + Edge-Auslieferung der Web-Anwendung | Gesamter App-Traffic, IP, Session-Cookie, Request-Metadaten | EU (Frankfurt — fra1) | EU-US Data Privacy Framework + SCCs (Art 46 Abs 2 lit c DSGVO) |
| Hetzner Online GmbH | Gunzenhausen, DE | Primärer Object-Storage (Belege, Rechnungs-PDFs, Anhänge) | Hochgeladene Belege und Dokumente inkl. dort enthaltener personenbezogener Daten | Deutschland / Österreich (EU/EWR) | Reiner EU/EWR-Verbleib — Art 28 DSGVO, keine Drittlandübermittlung |
| Cloudflare Inc. | San Francisco, US | R2-Spiegelung des Storage (EU-Jurisdiktion) für Redundanz | Dokument-Spiegel (1:1-Kopie der hochgeladenen Belege) | EU (Cloudflare R2 EU-Jurisdiction) | EU-US Data Privacy Framework + SCCs (Art 46 Abs 2 lit c DSGVO) |
| Mistral AI SAS | Paris, FR | OCR / Dokument-KI (Mistral Document AI) zur Feld-Extraktion aus Belegen | Dokumentbilder + extrahierte Textfelder | Frankreich (EU) | Reiner EU/EWR-Verbleib — Art 28 DSGVO; kein Training auf Kundendaten (vertraglich) |
| Anthropic PBC | San Francisco, US | KI-Verifier (Claude Sonnet) zur Qualitätssicherung der OCR-Extraktion | Extrahierte Textauszüge (Snippets), keine vollständigen PDFs | USA | EU-US Data Privacy Framework + SCCs; kein Training auf Kundendaten (API-Tier, vertraglich) |
| Resend Inc. | San Francisco, US | Versand transaktionaler E-Mails (Verifikation, Einladungen, Hinweise) | E-Mail-Adresse, Name, transaktionaler Inhalt | USA | EU-US Data Privacy Framework + SCCs (Art 46 Abs 2 lit c DSGVO) |
| Stripe Payments Europe Ltd. + Stripe Inc. | Dublin, IE + San Francisco, US | Abonnement-Abrechnung und Zahlungsabwicklung | Name, E-Mail, Rechnungsadresse, tokenisierte Zahlungsdaten (keine Klartext-Kartendaten bei uns) | Irland primär + USA Fallback | EU-US Data Privacy Framework + SCCs (Art 46 Abs 2 lit c DSGVO) |
| <<DB_PROVIDER>> | Neon: Niederlande / Supabase: Irland (siehe Platzhalter) | Managed Postgres-Datenbank für alle strukturierten Anwendungsdaten | Sämtliche strukturierten App-Daten (Konten, Kunden, Rechnungen, Audit-Log) | <<DB_REGION>> (ausschließlich EU) | Reiner EU/EWR-Verbleib — Art 28 DSGVO, keine Drittlandübermittlung |
| Trigger.dev Inc. | San Francisco, US | Durable Background-Jobs (Exporte, OCR-Pipeline, Versand-Queues) | Job-Payloads mit Referenzen auf Belege und Konto-IDs | USA | EU-US Data Privacy Framework + SCCs (Art 46 Abs 2 lit c DSGVO) |
| Google LLC (Google Fonts) | Mountain View, US | Auslieferung der Web-Fonts an Besucher der Marketing-Website | IP-Adresse der Website-Besucher | USA | EU-US Data Privacy Framework |
Nicht in dieser Liste, weil ohne Datenabfluss an Dritte: Better-auth (selbst gehosteter Code), Drizzle ORM, Radix UI, shadcn/ui, Sonner. Es handelt sich um lokal ausgeführten Frontend- oder Server-Code, der keine personenbezogenen Daten an die jeweiligen Projektbetreuer übermittelt.
Stand dieser Liste: <<STAND_DATUM>>