Rechtliches
Unterauftragsverarbeiter
Alle externen Dienste, die personenbezogene Daten im Auftrag von Zauberflow verarbeiten — mit Zweck, Verarbeitungsregion und Übermittlungsgarantie.
Entwurfsfassung. Die hervorgehobenen Stellen sind noch nicht ausgefüllt. Dieses Dokument ist vor dem Livegang zu vervollständigen und rechtlich prüfen zu lassen.
Verantwortlicher / Betreiber: SweetWater Holding UG (haftungsbeschränkt), Hamburg, Deutschland
Stand: [DATE]
Produkt: Zauberflow (EU-gehostete Workflow-Automatisierung)
Was hier unter "Unterauftragsverarbeiter" zu verstehen ist
Ein Unterauftragsverarbeiter ist ein externer Dienst, den wir zur Erbringung von Zauberflow beauftragen und der dabei personenbezogene Daten verarbeiten kann (Ihre Kontodaten und/oder die Daten, die durch Ihre Workflows fließen). Für deren Verarbeitung bleiben wir Ihnen gegenüber nach Art. 28 DSGVO verantwortlich.
Aktuelle Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Zweck | Verarbeitungsregion / Datenstandort | Übermittlungsgarantie |
|---|---|---|---|
| netcup GmbH | Server-Hosting, Rechenleistung, Speicher und Datenbank — die primäre Infrastruktur, auf der Zauberflow betrieben wird | Deutschland (EU) — Rechenzentrum Nürnberg | Nicht erforderlich — die Verarbeitung findet in Deutschland statt. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. |
| Cloudflare, Inc. | CDN, DNS und Reverse-Proxy vor dem Dienst (TLS-Terminierung am Edge, DDoS- und Bot-Schutz). Sämtliche Anfragen an den Dienst laufen über Cloudflare; dabei werden Verbindungsdaten (IP-Adresse, Anfrage-Metadaten) und — da die TLS-Verbindung am Edge endet — auch Anfrageinhalte während der Übertragung verarbeitet. | USA, mit Edge-Standorten weltweit einschl. EU | Drittlandtransfer in die USA. Gestützt auf die EU-Standardvertragsklauseln im Cloudflare-AVV; Transfer Impact Assessment dokumentieren. Mit der kostenpflichtigen Data Localization Suite lassen sich TLS-Terminierung und Logs auf die EU beschränken — zu aktivieren, wenn ein Kunde eine reine EU-Verarbeitung des Datenverkehrs verlangt. |
| [BACKUP STORAGE PROVIDER] | Externe Speicherung verschlüsselter Datenbank-Backups | [REGION] | Backups werden clientseitig verschlüsselt, bevor sie unseren Server verlassen; der Anbieter speichert daher ausschließlich Chiffrat und hält keinen Schlüssel. Liegt der Anbieter außerhalb der EU/des EWR (z. B. Cloudflare R2), ist die Übermittlungsgarantie (Standardvertragsklauseln) zu dokumentieren und die Verschlüsselung als ergänzende Maßnahme zu vermerken. |
| Mistral AI SAS | Ausführung von KI-Schritten bzw. Agenten, die eine Kundin oder ein Kunde in einen Workflow einbindet — der voreingestellte KI-Modellanbieter | Frankreich (EU) | Nicht erforderlich — die Verarbeitung findet in der EU statt. Wird nur in Anspruch genommen, wenn ein KI-Schritt genutzt wird. |
| [US AI PROVIDER — z. B. OpenAI / Anthropic] | Ausführung von KI-Schritten nur, wenn die Kundin bzw. der Kunde ausdrücklich ein Modell außerhalb der EU auswählt (US-Modelle sind Opt-in und werden in der Oberfläche gekennzeichnet) | USA | Wird nur auf ausdrückliche Auswahl der Kundin bzw. des Kunden in Anspruch genommen. Die Drittlandsübermittlung ist durch Standardvertragsklauseln abgesichert; vor der Auswahl eines Nicht-EU-Modells erfolgt ein Hinweis im Produkt. Diese Zeile löschen, wenn Sie keine US-Modelle anbieten. |
| [SMTP / EMAIL PROVIDER NAME] | Versand von Transaktions-E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung, Benachrichtigungen) | [REGION — z. B. EU / Deutschland] | [Bei EU-Sitz: "Nicht erforderlich (EU)". Bei Sitz außerhalb der EU/des EWR: Absicherung über die EU-Standardvertragsklauseln (SCC) zuzüglich Transfer Impact Assessment. Wählen Sie nach Möglichkeit einen Anbieter mit EU-Sitz, um eine Drittlandsübermittlung zu vermeiden.] |
| Lemon Squeezy, LLC | Abrechnung, Abonnementverwaltung, Zahlungsabwicklung, Rechnungsstellung und steuerliche Abwicklung. Lemon Squeezy tritt als Merchant of Record auf, ist also Verkäufer im Rechtssinne für Ihren Kauf und für die dabei erhobenen Zahlungs- und Steuerdaten eigenständig Verantwortlicher. | USA | Drittlandsübermittlung in die USA. Abgesichert über die in den Bedingungen von Lemon Squeezy enthaltenen EU-Standardvertragsklauseln (SCC); prüfen Sie den aktuellen Status eines etwaigen Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) und die Zertifizierung von Lemon Squeezy. Übermittelt werden nur die zur Zahlungsabwicklung erforderlichen Daten (Name, E-Mail-Adresse, Rechnungsland, Zahlungs-Token bzw. die letzten vier Kartenziffern, Transaktionsdaten). |
| Google Ireland Ltd. / Google LLC | Föderierte Anmeldung (SSO) über "Mit Google anmelden" — nur wenn die Nutzerin bzw. der Nutzer diese Anmeldemethode wählt | Irland (EU), mit möglicher Verarbeitung in den USA (Google LLC) | Wird nur auf Wahl der Nutzerin bzw. des Nutzers in Anspruch genommen. Für eine Verarbeitung in den USA gelten Standardvertragsklauseln bzw. das EU-US Data Privacy Framework (aktuelle Zertifizierung von Google prüfen). Übermittelt wird nur das OpenID-Connect-Profil (E-Mail-Adresse, Name, Profilkennung). |
| Microsoft Ireland Operations Ltd. / Microsoft Corp. | Föderierte Anmeldung (SSO) über "Mit Microsoft anmelden" — nur wenn die Nutzerin bzw. der Nutzer diese Anmeldemethode wählt | Irland (EU), mit möglicher Verarbeitung in den USA (Microsoft Corp.) | Wird nur auf Wahl der Nutzerin bzw. des Nutzers in Anspruch genommen. Für eine Verarbeitung in den USA gelten Standardvertragsklauseln bzw. das EU-US Data Privacy Framework (aktuelle Zertifizierung von Microsoft prüfen). Übermittelt wird nur das OpenID-Connect-Profil (E-Mail-Adresse, Name, Profilkennung). |