Stand: 1. November 2026.
Unterauftragsverarbeiter
Diese Liste beschreibt die für Steinkauz Cloud eingesetzten Dienstleister. Soweit diese Kundeninhalte in unserem Auftrag verarbeiten, setzen wir sie als Unterauftragsverarbeiter im Sinne von Art. 28 DSGVO ein. Änderungen dieser Unterauftragsverarbeiter kündigen wir gemäß dem AVV an. Zahlungs- und Anmeldedienste können daneben für eigene Verarbeitungen selbst verantwortlich sein; ihre Nennung allein begründet keine Unterauftragsverarbeitung.
Nicht aufgeführt sind Modellanbieter und Gateways, die Sie anbinden (BYOK / eigenes Gateway). Das sind Ihre Auftragsverarbeiter.
Authentifizierung und Einwilligungsverwaltung betreiben wir selbst. Die Anwendungen laufen auf einem von uns gemieteten Server bei Hetzner in Deutschland; die Datenbank wird als externer verwalteter Dienst bei Neon betrieben.
Infrastruktur und Betrieb
| Stelle | Zweck | Ort / Region | Drittland |
|---|---|---|---|
| Databricks, Inc. (Neon Postgres; gemäß den aktuellen Neon-Bedingungen) | Hauptdatenbank (Konten, Organisationen, verschlüsselte Inhalte, Abrechnungsbezüge) | Frankfurt, Deutschland | Databricks-DPA, Abschnitt 8 und Anlage B: SCC für erfasste Drittlandtransfers; über die Online-Bedingungen einbezogen |
| Hetzner Online GmbH | Hosting der selbst betriebenen Anwendungen | Falkenstein, Deutschland | AVV, § 3: vertragliche Verarbeitung in EU/EWR; Drittlandübermittlung nur mit vorheriger Zustimmung und unter den Voraussetzungen der Art. 44 ff. DSGVO |
Abrechnung, Nachricht, Anmeldung
| Stelle | Zweck | Ort / Region | Drittland |
|---|---|---|---|
| Stripe Payments Europe, Limited / Stripe Technology Europe, Limited (je nach Dienst gemäß Vertrag für Deutschland); Stripe, LLC (USA) | Zahlungsabwicklung, Steuerberechnung, Kundenportal, Rechnungsdaten; Rollen gemäß Stripe DPA | EU / USA; weitere internationale Verarbeitung laut DPA möglich | Transferzusatz: vorrangig DPF, sofern anwendbar, andernfalls SCC; DPA und Transferzusatz sind über den Online-Vertrag einbezogen |
| Plus Five Five, Inc. (Resend) | Versand transaktionaler E-Mails (Bestätigung, Einladung, Zahlung, Widerrufseinwilligung) | Primäre Verarbeitung in den USA laut DPA, Abschnitt 6.1; konfigurierte Versandregion: Irland | Der mit den Online-Bedingungen einbezogene DPA nennt DPF und SCC; eine Versandregion in der EU ist keine Zusage ausschließlich europäischer Verarbeitung. |
| Google Ireland Limited (nur bei Nutzung von „Mit Google anmelden“) | Optionaler Anmeldedienst; Google verarbeitet Google-Kontodaten in eigener Verantwortung, wir die erhaltenen Anmeldedaten für unser Nutzerkonto | Internationale Verarbeitung gemäß Google-Datenschutzerklärung | Google nennt DPF und SCC in den Transferinformationen. Die Anmeldung wird nicht als Unterauftragsverarbeitung unserer Kundeninhalte eingeordnet. |
Messung und Produktanalytik
| Stelle | Zweck | Ort / Region | Drittland |
|---|---|---|---|
| PostHog, Inc. | Produktanalytik, Session Replay (soweit aktiv), LLM-Telemetrie ohne Prompt-/Antwortkörper | EU-Cloud | DPA, Abschnitt 10 sieht auch Verarbeitung außerhalb der EU vor und nennt DPF sowie SCC. |
Clientseitige und browserbezogene Messung erfolgt nur mit Einwilligung. Für Betrieb, Sicherheit und Fehleranalyse können unabhängig davon serverseitige Ereignisse aus Platform-API und Abrechnung verarbeitet werden. Diese können Konto-, Organisations-, API-Schlüssel- oder Vorgangskennungen sowie Modell-, Nutzungs-, Kosten-, Laufzeit- und Fehlermetadaten enthalten; sie sind nicht notwendigerweise anonym. Prompt- und Antwortkörper sind von der LLM-Telemetrie ausgeschlossen. Einzelheiten zu Zwecken und Rechtsgrundlagen enthält die Datenschutzerklärung.
Hinweise
- Soweit eine Auftragsverarbeitung vorliegt, erfolgt sie auf Grundlage einer Vereinbarung nach Art. 28 DSGVO; für die Verarbeitung von Kundeninhalten gilt der AVV.
- Kategorien: je nach Stelle Stammdaten, Nutzungs- und Abrechnungsdaten und/oder vom Kunden eingegebene Inhalte.
- Beabsichtigte Änderungen der Unterauftragsverarbeiter teilen wir Bestandskunden gemäß AVV vorab per E-Mail an den hinterlegten Organisationskontakt mit.
- Weitere Vertragsunterlagen: aktuelle Neon-Vertragsbedingungen. Öffentliche Anbieterunterlagen ersetzen nicht den Nachweis der für unser Konto geltenden Vereinbarung.