Rechtliches
Unterauftragsverarbeiter
Alle externen Dienste, die personenbezogene Daten im Auftrag von Zauberflow verarbeiten — mit Zweck, Verarbeitungsregion und Übermittlungsgarantie.
Verantwortlicher / Betreiber: SweetWater Holding UG (haftungsbeschränkt), Hamburg, Deutschland
Stand: 20. September 2026
Produkt: Zauberflow (EU-gehostete Workflow-Automatisierung)
Was hier unter "Unterauftragsverarbeiter" zu verstehen ist
Ein Unterauftragsverarbeiter ist ein externer Dienst, den wir zur Erbringung von Zauberflow beauftragen und der dabei personenbezogene Daten verarbeiten kann (Ihre Kontodaten und/oder die Daten, die durch Ihre Workflows fließen). Für deren Verarbeitung bleiben wir Ihnen gegenüber nach Art. 28 DSGVO verantwortlich.
Aktuelle Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Verarbeitungsregion / Datenstandort | Übermittlungsgarantie |
|---|---|---|---|
| netcup GmbH | Server-Hosting, Rechenleistung, Speicher und Datenbank — die primäre Infrastruktur, auf der Zauberflow betrieben wird | Deutschland (EU) — Rechenzentrum Nürnberg | Nicht erforderlich — die Verarbeitung findet in Deutschland statt. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. |
| Cloudflare, Inc. | CDN, DNS und Reverse-Proxy vor dem Dienst (TLS-Terminierung am Edge, DDoS- und Bot-Schutz). Sämtliche Anfragen an den Dienst laufen über Cloudflare; dabei werden Verbindungsdaten (IP-Adresse, Anfrage-Metadaten) und — da die TLS-Verbindung am Edge endet — auch Anfrageinhalte während der Übertragung verarbeitet. | USA, mit Edge-Standorten weltweit einschl. EU | Drittlandtransfer in die USA. Gestützt auf die EU-Standardvertragsklauseln im Cloudflare-AVV; Transfer Impact Assessment dokumentieren. Mit der kostenpflichtigen Data Localization Suite lassen sich TLS-Terminierung und Logs auf die EU beschränken — zu aktivieren, wenn ein Kunde eine reine EU-Verarbeitung des Datenverkehrs verlangt. |
| Mistral AI SAS | Ausführung von KI-Schritten bzw. Agenten, die eine Kundin oder ein Kunde in einen Workflow einbindet — der voreingestellte KI-Modellanbieter | Frankreich (EU) | Nicht erforderlich — die Verarbeitung findet in der EU statt. Wird nur in Anspruch genommen, wenn ein KI-Schritt genutzt wird. |
| Brevo (Sendinblue SAS) | Versand von Transaktions-E-Mails — Bestätigung der Registrierung, Zurücksetzen des Passworts, Einladungen und Betriebsbenachrichtigungen. Verarbeitet werden dabei Empfängeradresse, Name und Inhalt der jeweiligen E-Mail. | Frankreich (EU) | Nicht erforderlich — die Verarbeitung findet in der EU statt. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. |
| OpenAI, L.L.C. / Anthropic PBC | Ausführung von KI-Schritten nur, wenn die Kundin bzw. der Kunde ausdrücklich ein Modell außerhalb der EU auswählt (US-Modelle sind Opt-in und werden in der Oberfläche gekennzeichnet) | USA | Wird nur auf ausdrückliche Auswahl der Kundin bzw. des Kunden in Anspruch genommen. Die Drittlandsübermittlung ist durch Standardvertragsklauseln abgesichert; vor der Auswahl eines Nicht-EU-Modells erfolgt ein Hinweis im Produkt. Diese Zeile löschen, wenn Sie keine US-Modelle anbieten. |
| Lemon Squeezy, LLC | Abrechnung, Abonnementverwaltung, Zahlungsabwicklung, Rechnungsstellung und steuerliche Abwicklung. Lemon Squeezy tritt als Merchant of Record auf, ist also Verkäufer im Rechtssinne für Ihren Kauf und für die dabei erhobenen Zahlungs- und Steuerdaten eigenständig Verantwortlicher. | USA | Drittlandsübermittlung in die USA. Abgesichert über die in den Bedingungen von Lemon Squeezy enthaltenen EU-Standardvertragsklauseln (SCC); prüfen Sie den aktuellen Status eines etwaigen Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) und die Zertifizierung von Lemon Squeezy. Übermittelt werden nur die zur Zahlungsabwicklung erforderlichen Daten (Name, E-Mail-Adresse, Rechnungsland, Zahlungs-Token bzw. die letzten vier Kartenziffern, Transaktionsdaten). |
| Google Ireland Ltd. / Google LLC | Föderierte Anmeldung (SSO) über "Mit Google anmelden" — nur wenn die Nutzerin bzw. der Nutzer diese Anmeldemethode wählt | Irland (EU), mit möglicher Verarbeitung in den USA (Google LLC) | Wird nur auf Wahl der Nutzerin bzw. des Nutzers in Anspruch genommen. Für eine Verarbeitung in den USA gelten Standardvertragsklauseln bzw. das EU-US Data Privacy Framework (aktuelle Zertifizierung von Google prüfen). Übermittelt wird nur das OpenID-Connect-Profil (E-Mail-Adresse, Name, Profilkennung). |
| Microsoft Ireland Operations Ltd. / Microsoft Corp. | Föderierte Anmeldung (SSO) über "Mit Microsoft anmelden" — nur wenn die Nutzerin bzw. der Nutzer diese Anmeldemethode wählt | Irland (EU), mit möglicher Verarbeitung in den USA (Microsoft Corp.) | Wird nur auf Wahl der Nutzerin bzw. des Nutzers in Anspruch genommen. Für eine Verarbeitung in den USA gelten Standardvertragsklauseln bzw. das EU-US Data Privacy Framework (aktuelle Zertifizierung von Microsoft prüfen). Übermittelt wird nur das OpenID-Connect-Profil (E-Mail-Adresse, Name, Profilkennung). |