Stand: 19. September 2026.
Unterauftragsverarbeiter
Diese Liste beschreibt die für Steinkauz Cloud eingesetzten Dienstleister. Soweit diese Kundeninhalte in unserem Auftrag verarbeiten, setzen wir sie als Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO ein. Änderungen dieser Unterauftragsverarbeiter kündigen wir gemäß dem AVV an. Zahlungs- und Anmeldedienste können daneben für eigene Verarbeitungen selbst verantwortlich sein; ihre Nennung allein begründet keine Unterauftragsverarbeitung.
Nicht aufgeführt sind Modellanbieter und Gateways, die Sie anbinden (BYOK / eigenes Gateway). Das sind Ihre Auftragsverarbeiter.
c15t (Einwilligung) betreiben wir selbst auf unserer Infrastruktur; es ist kein externer Unterauftragsverarbeiter.
Better Auth betreiben wir selbst; Authentifizierungsdaten liegen in unserer Datenbank (Neon).
Infrastruktur und Betrieb
| Stelle | Zweck | Ort / Region | Drittland |
|---|---|---|---|
| Databricks, Inc. (Neon Postgres; gemäß den aktuellen Neon-Bedingungen) | Hauptdatenbank (Konten, Organisationen, verschlüsselte Inhalte, Abrechnungsbezüge) | AWS Europe Central 1, Frankfurt, Deutschland (eu-central-1) | Databricks-DPA, Abschnitt 8 und Anlage B: SCC für erfasste Drittlandtransfers; über die Online-Bedingungen einbezogen |
| Hetzner Online GmbH | Objektspeicher für Chat-Anhänge (S3-kompatibel) | Falkenstein, Deutschland (fsn1; Netzwerkzone eu-central) | AVV §3: Verarbeitung in EU/EWR; Drittlandverlagerung nur mit vorheriger Zustimmung und den erforderlichen Transfergrundlagen. |
| Vercel Inc. | Hosting der Anwendungen, Functions, Cron, optionale Web-Analytics | Produktionsregion für Functions: Frankfurt, Deutschland (fra1). Keine Zusage ausschließlich europäischer Verarbeitung aller Vercel-Dienste. | Standardvertragsklauseln laut DPA, Anlage 3; über Nutzungsbedingungen §10.1 einbezogen |
| Redis EMEA Ltd., London, Vereinigtes Königreich (Redis Cloud; Verwaltung über das Vercel-Interface) | Redis-Dienst für den Anwendungsbetrieb | Hostingregion: Frankfurt, Deutschland (fra1) | Redis-DPA, Abschnitt 7 und Anlage 1: anwendbare Angemessenheitsbeschlüsse bzw. SCC (Modul 2 oder 3 nach Rolle). Internationale Verarbeitung ist möglich; die Hostingregion ist keine umfassende EU-only-Zusage. |
Abrechnung, Nachricht, Anmeldung
| Stelle | Zweck | Ort / Region | Drittland |
|---|---|---|---|
| Stripe Payments Europe, Limited / Stripe Technology Europe, Limited (je nach Dienst gemäß Vertrag für Deutschland); Stripe, LLC (USA) | Zahlungsabwicklung, Steuerberechnung, Kundenportal, Rechnungsdaten; Rollen gemäß Stripe DPA | EU / USA; weitere internationale Verarbeitung laut DPA möglich | Transferzusatz: vorrangig DPF, sofern anwendbar, andernfalls SCC; DPA und Transferzusatz sind über den Online-Vertrag einbezogen |
| Plus Five Five, Inc. (Resend) | Versand transaktionaler E-Mails (Bestätigung, Einladung, Zahlung, Widerrufseinwilligung) | Primäre Verarbeitung in den USA laut DPA, Abschnitt 6.1; konfigurierte Versandregion: Irland (eu-west-1) | Der mit den Online-Bedingungen einbezogene DPA nennt DPF und SCC; eine Versandregion in der EU ist keine Zusage ausschließlich europäischer Verarbeitung. |
| Google Ireland Limited (nur bei Nutzung von „Mit Google anmelden“) | Optionaler Anmeldedienst; Google verarbeitet Google-Kontodaten in eigener Verantwortung, wir die erhaltenen Anmeldedaten für unser Nutzerkonto | Internationale Verarbeitung gemäß Google-Datenschutzerklärung | Google nennt DPF und SCC in den Transferinformationen. Die Anmeldung wird nicht als Unterauftragsverarbeitung unserer Kundeninhalte eingeordnet. |
Messung und Produktanalytik
| Stelle | Zweck | Ort / Region | Drittland |
|---|---|---|---|
| PostHog, Inc. | Produktanalytik, Session Replay (soweit aktiv), LLM-Telemetrie ohne Prompt-/Antwortkörper | EU-Cloud (eu.posthog.com) | DPA, Abschnitt 10 sieht auch Verarbeitung außerhalb der EU vor und nennt DPF sowie SCC. |
| Vercel Analytics / Speed Insights | Leistungs- und Besucherstatistik der Websites | im Rahmen von Vercel | nur mit Einwilligung in die Kategorie Messung |
Clientseitige und browserbezogene Messung erfolgt nur mit Einwilligung. Für Betrieb, Sicherheit und Fehleranalyse können unabhängig davon serverseitige Ereignisse aus Platform-API und Abrechnung verarbeitet werden. Diese können Konto-, Organisations-, API-Schlüssel- oder Vorgangskennungen sowie Modell-, Nutzungs-, Kosten-, Laufzeit- und Fehlermetadaten enthalten; sie sind nicht notwendigerweise anonym. Prompt- und Antwortkörper sind von der LLM-Telemetrie ausgeschlossen. Einzelheiten zu Zwecken und Rechtsgrundlagen enthält die Datenschutzerklärung.
Hinweise
- Soweit eine Auftragsverarbeitung vorliegt, erfolgt sie auf Grundlage einer Vereinbarung nach Art. 28 DSGVO; für die Verarbeitung von Kundeninhalten gilt der AVV.
- Kategorien: je nach Stelle Stammdaten, Nutzungs- und Abrechnungsdaten und/oder vom Kunden eingegebene Inhalte.
- Stand: 19. September 2026. Beabsichtigte Änderungen der Unterauftragsverarbeiter teilen wir Bestandskunden gemäß AVV vorab per E-Mail an den hinterlegten Organisationskontakt mit.
- Weitere Vertragsunterlagen: Hetzner AVV, aktuelle Neon-Vertragsbedingungen. Öffentliche Anbieterunterlagen ersetzen nicht den Nachweis der für unser Konto geltenden Vereinbarung.
- Redis: Die Gesellschaft ergibt sich für unseren Sitz in Deutschland aus dem Cloud Agreement, Abschnitt 10.11(c); Abschnitt 5.3 bezieht den DPA ein. Weitere Informationen: Datenschutzerklärung und Unterauftragsverarbeiter.