Unterauftragsverarbeiter (Subprozessoren)
[[FIRMA]] setzt für den Betrieb von WerkstattKlar die folgenden Unterauftragsverarbeiter ein. Sie verarbeiten personenbezogene Daten, die wir im Auftrag der Werkstätten verarbeiten (z. B. Anfragen, Fotos, Nachrichten von Endkunden).
| Anbieter | Zweck | Sitz | Datenstandort | Transfermechanismus |
|---|---|---|---|---|
| Vercel Inc. | Hosting und Ausführung der Webanwendung, Auslieferung von Seiten und Dateien, technische Protokolle | USA | Serverfunktionen in der Region Frankfurt (fra1). Anfragen werden über das weltweite Edge-Netz von Vercel entgegengenommen und weitergeleitet. |
EU-US Data Privacy Framework (laut Vercel Privacy Notice vom 01.06.2026 zertifiziert; ⚠ vor Launch im DPF-Register bestätigen) und Data Processing Addendum mit EU-Standardvertragsklauseln |
| Supabase Pte. Ltd. (Vertragspartner) mit Supabase Inc. (Support und Betrieb) | Datenbank (PostgreSQL), Anmeldedienst, Dateispeicher für Fotos, tägliche Datensicherungen | Singapur / USA | Frankfurt (eu-central-1), Infrastruktur von Amazon Web Services |
Data Processing Addendum mit EU-Standardvertragsklauseln (Supabase ist nicht DPF-zertifiziert) |
| [[E-MAIL-ANBIETER]] | Versand von E-Mails (Angebote, Portal-Links, Benachrichtigungen, Systemmails) | [[E-MAIL-ANBIETER-SITZ]] | [[E-MAIL-ANBIETER-DATENSTANDORT]] | DPA; bei Anbieter mit Sitz in der EU keine Drittlandübermittlung ⚠ PRÜFEN |
Die weiteren Unterauftragsverarbeiter von Vercel und Supabase sind in deren eigenen, öffentlich abrufbaren Listen aufgeführt.
Keine Unterauftragsverarbeiter im Sinne des AVV, weil sie keinen Zugriff auf Kundendaten der Werkstätten haben:
- GitHub (Quellcode-Verwaltung; enthält keine Kundendaten),
- unser Domain-/DNS-Anbieter,
- unser Buchhaltungstool (nur unsere eigenen Abrechnungsdaten).
Angaben nach Art. 28 Data Act (Standort und Schutz vor Drittstaatszugriff)
Standort der Infrastruktur: Datenbank, Dateispeicher und Datensicherungen befinden sich in Frankfurt am Main (Deutschland). Die Anwendung wird in der Region Frankfurt ausgeführt.
Rechtsordnung der Anbieter: Vercel Inc. und Supabase Inc. unterliegen US-Recht. US-Behörden können unter bestimmten Voraussetzungen Herausgabeverlangen an diese Anbieter richten.
Maßnahmen gegen unrechtmäßigen Zugriff (Art. 32 Data Act):
- Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand durch die Anbieter;
- vertragliche Pflicht der Anbieter, Behördenersuchen zu prüfen, anzufechten, soweit möglich, und uns zu informieren, soweit zulässig (laut DPA der Anbieter, ⚠ PRÜFEN);
- Datenminimierung: Fotos werden ohne Metadaten gespeichert, Portal-Zugangslinks nur als Hash;
- automatische Löschfristen.
Erhalten wir selbst ein Herausgabeverlangen einer Drittstaatsbehörde, geben wir Daten nur heraus, wenn die Voraussetzungen des Art. 32 Data Act bzw. Art. 48 DSGVO erfüllt sind, und informieren die betroffene Werkstatt, soweit zulässig.
Änderungsverlauf
| Datum | Änderung | Angekündigt am |
|---|---|---|
| [[VERSION]] | Erstveröffentlichung | – |
Fragen: [[EMAIL-DATENSCHUTZ]]