Sub-Processor Map
Vollständige Liste aller Dienstleister, die im Rahmen der Auftragsverarbeitung für DSGVO.pro tätig sind. Diese Seite ist versionierbar (git-tracked) — jede Änderung erfolgt vor Inkrafttreten via Pull-Request.
Letzte Aktualisierung: 2026-07-19
Sub-Processoren
| Sub-Processor | Verarbeitungstätigkeit | Land | Rechtsgrundlage Übermittlung |
|---|---|---|---|
| Supabase | Hosting + Speicher + Authentifizierung | Deutschland (Frankfurt) | EU-only |
| Vercel | Next.js Hosting + Edge Functions (fra1) | Deutschland (Frankfurt) — Vercel Inc. US-Vertragspartner | Verarbeitung EU; SCCs Art. 46 Abs. 2 lit. c + EU-US DPF (Art. 45) |
| Hostinger International Ltd. | Browser-Rendering-VPS (Browserless / Playwright via CDP) | Deutschland (Frankfurt) — Vertragspartner Litauen | EU-only |
| Trigger.dev Ltd. | Background-Job-Runtime (Scan-Orchestrierung) | Vertragspartner UK; Cloud-Infrastruktur AWS us-east-1, USA | SCCs Art. 46 Abs. 2 lit. c — EU-Cloud-Region in Evaluation (Phase II) |
| Brevo SAS | Transaktionale E-Mails | Frankreich | EU-only |
| Cloudflare, Inc. | Bot-/Spam-Schutz (Turnstile) auf öffentlichen Formularen — Kontakt, Partner-Bewerbung, Fix-Anfrage. Keine Tracking-Cookies. Nicht auf der Kündigungsseite (§ 312k) | USA | SCCs Art. 46 Abs. 2 lit. c; Cloudflare EU-US DPF-zertifiziert |
| Stripe | Zahlungsverkehr + Escrow + Connect-Transfers | Stripe Payments Europe Ltd, Irland (primär) + US-Fallback | EU-Vertrag + SCCs Art. 46 Abs. 2 lit. c für US-Fallback |
| OpenRouter Inc. | KI-Vermittler (Routing-Proxy): Cookie-Klassifizierung, Vision-Banner-Verifikation, Site-Klassifizierung, Impressum-/DSE-Strukturanalyse, Gesetzes-Änderungszusammenfassungen, Legal-Kit-Generierung (mit Platzhalter-Anonymisierung) | USA | SCCs Art. 46 Abs. 2 lit. c |
| Anthropic PBC (sub-sub via OpenRouter) | Claude Haiku 4.5 — Text-Analyse für die genannten OpenRouter-Aufgaben | USA | SCCs via OpenRouter; Anthropic EU-US DPF-zertifiziert |
| OpenAI, L.L.C. (sub-sub via OpenRouter) | GPT-4o-mini — Vision für Banner-Verifikation + Palette-Extraktion | USA | SCCs via OpenRouter; OpenAI EU-US DPF-zertifiziert |
| Mistral AI SAS (sub-sub via OpenRouter) | Mistral-Nemo — Cookie-Klassifizierung + Site-Klassifizierung | Frankreich | EU-only — kein Drittland-Transfer |
| ScrapingBee (VostokInc SAS) | Fallback-Content-Fetch bei Bot-Schutz | Frankreich (Paris) | EU-only |
| ip-api.com (Tim Eckel) | IP-Geolokalisierung für Hosting-Location-Scanner | Deutschland (Bayern) | EU-only — keine Personendaten, nur DNS-A-Records gescannter Sites |
| Fixer-Pool Agenturen | Marketplace Fix-Ausführung | DACH primär, EU-Fallback | DPA pro Fixer-Onboarding (in Phase I noch nicht aktiv) |
EU Hosting Declaration
Die DSGVO.pro Anwendung wird in EU-Rechenzentren betrieben: Vercel Region fra1 (Frankfurt am Main), Supabase Frankfurt, Hostinger-VPS Frankfurt für das Browser-Rendering der gescannten Websites. Kundendaten und Scan-Inhalte werden ausschließlich in der EU verarbeitet und gespeichert. Internationale Datentransfers — namentlich Trigger.dev (AWS us-east-1, USA) für die Job-Runtime sowie OpenRouter (USA) als Routing-Proxy für KI-Inferenz und die nachgeordneten Modellanbieter (Anthropic, OpenAI) — sind in der Tabelle oben einzeln aufgeführt und durch Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) abgesichert. Eine EU-Cloud-Region für Trigger.dev ist Gegenstand der laufenden Evaluation (Phase II).
Benachrichtigungspolitik
Wir benachrichtigen Subscriber 30 Tage im Voraus über Änderungen oder neue Sub-Processoren via E-Mail. Diese Frist ist vertraglich in unserer Auftragsverarbeitungsvereinbarung (AVV) verankert.