Unterauftragsverarbeiter

Dieses Dokument wird in mehreren Sprachen veröffentlicht. Bei Abweichungen zwischen den Sprachfassungen ist die polnische Fassung verbindlich.

Fassung 1.1 · Stand: 22. Oktober 2026

Welche Dritten bei formexposed Daten erhalten, wofür, wo und auf welcher Grundlage. Diese Liste ist als Anlage 3 Bestandteil des Auftragsverarbeitungsvertrags. Genehmigte Unterauftragsverarbeiter im Sinne dieses Vertrags sind nur die in Abschnitt 2 genannten; die Abschnitte 3 bis 6 informieren über weitere Empfänger und begründen keine Genehmigung.

1. Die kurze Antwort

Server, Datenbank und Rechenleistung, auch für das Sprachmodell, betreiben wir selbst in Polen. Ein Hosting-, Cloud- oder KI-Anbieter ist nicht beteiligt. Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 und 4 DSGVO, also Dritte, die Daten unserer Kunden in unserem Auftrag verarbeiten, gibt es nur für eine Aufgabe: E-Mail.

Daneben gibt es Empfänger, die keine Unterauftragsverarbeiter sind. Wir führen sie trotzdem hier auf, getrennt nach dem Grund, damit das Bild vollständig ist:

• Empfänger, die Daten in eigener Verantwortung verarbeiten (Abschnitt 3),
• Empfänger, die der Kunde selbst wählt, wenn er Alarme dorthin schicken lässt (Abschnitt 4),
• Abfragen an Dritte, die keine personenbezogenen Daten enthalten (Abschnitt 5).

2. Unterauftragsverarbeiter

Empfänger und Sitz	Zweck	Daten	Ort der Verarbeitung	Grundlage der Übermittlung
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Versand von E-Mails des Dienstes (Bestätigungen, Alarme, Berichte, Monatsberichte an Abonnenten eines Kundenportals); Postfach der Zustellungsprüfung	E-Mail-Adressen der Empfänger, Betreff und Inhalt der Mails. Im Postfach der Zustellungsprüfung: Kopien der Formular-Mails von Kundenwebsites mit allem, was Besucher dort eingeben, bis zur Verarbeitung durch uns	Noch zu prüfen	Auftragsverarbeitungsvertrag des Anbieters; ob und auf welcher Grundlage Daten in ein Drittland gehen, ist noch zu prüfen, siehe Abschnitt 7
Namecheap, Inc., Phoenix, Arizona, USA	Registrierung der Domains, DNS; bis zur Einrichtung des Postfachs bei Namecheap, Inc. (Private Email), Phoenix, Arizona, USA Weiterleitung allgemeiner E-Mails an Adressen unserer Domain. Die Kontrollkopien der Zustellungsprüfung laufen nicht über Namecheap, sie gehen direkt an das Postfach	Domaindaten; bei der Weiterleitung Inhalt und Kopfzeilen allgemeiner Mails an uns, keine Kopien von Formular-Mails	USA, zu prüfen	Data Processing Addendum von Namecheap; Standardvertragsklauseln oder Data Privacy Framework – zu prüfen, siehe Abschnitt 7

Ob Auftragsdaten eines Kunden diese Empfänger überhaupt erreichen, hängt von seinen Einstellungen ab: Ohne Zustellungsprüfung kommen keine Formular-Mails dorthin; ohne Kundenportal keine Mails an dessen Abonnenten. Die Kontaktstelle für Datenschutz des jeweiligen Unterauftragsverarbeiters nennen wir auf Anfrage.

Nicht beteiligt: An Prüfungen, Bildschirmfotos, Zugangsdaten für den Scan hinter dem Login, Formularwegen und „Fix it for me“ ist kein Dritter beteiligt. Das Sprachmodell läuft auf unserem eigenen Server. Das Land einer IP-Adresse bestimmen wir aus einer lokalen Datenbankdatei; an einen Geodienst geht keine Adresse. Unser Internetanbieter leitet nur durch, überwiegend verschlüsselt, und ist kein Unterauftragsverarbeiter.

3. Empfänger in eigener Verantwortung

Empfänger und Sitz	Zweck	Daten	Ort	Grundlage
Stripe Payments Europe, Ltd., Dublin, Irland; für Übermittlungen in die USA Stripe, Inc.	Zahlungsabwicklung und Rechnungen für Kundenkonten	E-Mail-Adresse, Name, Rechnungsanschrift, USt-IdNr., Zahlungsdaten (nur bei Stripe eingegeben, sie erreichen uns nie); bei uns nur Kunden- und Abo-Kennung und Status	EU / USA	Stripe handelt für Zahlungsdaten weitgehend als eigener Verantwortlicher; die genaue Rollenverteilung ist zu prüfen. Übermittlung in die USA: Data Privacy Framework oder Standardvertragsklauseln – zu prüfen
Google Ireland Limited, Dublin, Irland; Google LLC, USA	Bot-Abwehr (reCAPTCHA) auf unseren eigenen Formularen: Registrierung, Anmeldung, Passwort, kostenloser Check, Header-Werkzeug, Opt-out, Support und Kontakt	IP-Adresse, Browser- und Gerätedaten, Verhalten auf der Seite, Cookies von Google. Das Skript wird erst beim Absenden geladen. Es läuft nicht auf den Websites der Kunden	EU / USA	Bedingungen von Google; Data Privacy Framework oder Standardvertragsklauseln – zu prüfen

Diese Empfänger betreffen unsere eigenen Verarbeitungen, nicht Auftragsdaten. Einzelheiten stehen in der Datenschutzerklärung.

4. Empfänger, die der Kunde wählt

Alarme und Sammelmeldungen gehen dorthin, wo der Kunde sie haben will: per E-Mail (über den Mail-Dienstleister aus Abschnitt 2), an eine Webhook-Adresse oder in einen Chat-Dienst. Zur Wahl stehen derzeit:

• Slack, Discord, Microsoft Teams und Google Chat über eine Adresse, die der Kunde in seinem Konto bei diesem Dienst erzeugt;
• Telegram: vom Kunden gewähltes Ziel; die Nachricht verschicken wir über unseren Bot, nachdem der Empfänger den Chat selbst mit dem Bot verknüpft hat;
• Webhooks an eine beliebige öffentliche HTTPS-Adresse auf dem Standard-Port, auf Wunsch signiert.

Daten: Domain, Ereignis, Zeitpunkt und ein Link in den Dienst, bei Alarmen zu einer Prüfung auf deren Bericht, der über diesen Link ohne Anmeldung lesbar ist; bei Webhooks dieselben Angaben in maschinenlesbarer Form. Keine Inhalte von Formular-Mails; ein Alarm der Zustellungsprüfung kann die E-Mail-Domain des Absenders nennen, wenn sie nicht zur Website gehört.

Rolle: Slack, Discord, Microsoft Teams, Google Chat und die Empfänger von Webhooks sind keine Unterauftragsverarbeiter von uns. Die Übermittlung geschieht nur, weil der Kunde das Ziel einrichtet; das ist seine Weisung. Bei Slack, Discord, Microsoft Teams, Google Chat und Webhooks liegen das Vertragsverhältnis zum jeweiligen Anbieter und eine nötige Grundlage für eine Übermittlung in ein Drittland beim Kunden. Bei Telegram verschicken wir die Nachricht über unseren eigenen Bot; auch hier ist die Wahl des Ziels die ausdrückliche Weisung des Kunden, die Meldungen dorthin zu übermitteln. Ob Telegram dabei unser Unterauftragsverarbeiter ist und auf welcher Grundlage diese Übermittlung geschieht, ist noch nicht abschließend geklärt und liegt zur Prüfung beim Anwalt. Sollte Telegram Unterauftragsverarbeiter sein, gilt die Wahl dieses Ziels durch den Kunden als seine gesonderte Genehmigung nach Art. 28 Abs. 2 DSGVO für diesen Zweck. Mehrere dieser Anbieter verarbeiten Daten in den USA; Telegram hat seinen Sitz außerhalb der EU in einem Land ohne Angemessenheitsbeschluss, und auf welcher Grundlage nach Kapitel V DSGVO die Übermittlung an Telegram geschieht, ist noch nicht abschließend geklärt. Wer das nicht will, wählt E-Mail oder ein anderes Ziel.

5. Abfragen ohne personenbezogene Daten

Einige Funktionen fragen Dritte ab. Dabei gehen nur Domainnamen, Adressen von Servern, Prüfwerte oder Versionsnummern hinaus, keine Angaben zu Kunden oder Besuchern. Sie sind deshalb keine Unterauftragsverarbeiter.

Empfänger	Wofür	Was hinausgeht
RDAP-Dienste der Domain-Registries, gefunden über das Verzeichnis der IANA; für die Prüfung des Domainalters beim kostenlosen Check über den Vermittlungsdienst rdap.org	Alter und Ablauf einer Domain	nur der Domainname
WPVulnerability (wpvulnerability.net)	Bekannte Sicherheitslücken in WordPress, WordPress-Erweiterungen und Themes	nur die Kennung einer Erweiterung oder eines Themes oder die Versionsnummer von WordPress
Statusseiten von Anbietern, die Kunden einsetzen (etwa CAPTCHA- und Mail-Dienste)	Hinweis auf Störungen bei diesen Anbietern	nichts außer dem Abruf selbst
Zeitstempelstellen Certum (Asseco Data Systems S.A., Polen), ersatzweise DigiCert, Inc. (USA)	Zeitstempel für Nachweis-Protokolle	nur ein Prüfwert (SHA-512) des Protokolls, nicht sein Inhalt
DNS-Blocklisten für Spam: SpamCop, PSBL, Mailspike und SURBL (Spamhaus nur mit eigenem Zugang)	Prüfung, ob Mailserver oder Domain eines Kunden gelistet sind	Domains und IP-Adressen von Servern (Mailserver, Webserver), keine Personendaten von Besuchern
Google Web Risk, nur wenn eingerichtet	Prüfung der Startseite eines Kunden auf Einträge wegen Schadsoftware oder Phishing	nur die Adresse der Startseite
Telegram, Betriebsmeldungen	Signale an den Betreiber bei Störungen und neuen Supportanfragen	feste Texte ohne Absender, Inhalt oder Adressen
Zertifizierungsstelle für TLS	Ausstellung der Zertifikate für unsere Domains	nur unsere eigenen Domainnamen

6. Vorbereitet, derzeit nicht eingesetzt

Der Dienst kann Browserprüfungen und Abrufe von Formularen zusätzlich von einem zweiten, unabhängigen Standort bestätigen lassen. Diese Prüfstelle ist derzeit nicht eingerichtet. Betreibt sie später ein Dritter, ist er Unterauftragsverarbeiter und wird vorher nach Abschnitt 8 angekündigt. Er erhielte die Domain, die bereinigte Konfiguration des Formularwegs und eine Auftragskennung, aber keine Zugangsdaten und keine Angaben von Besuchern.

7. Was noch offen ist

Diese Liste ist ein Entwurf vor dem Start. Wir sagen offen, was noch nicht feststeht:

• Mail-Dienstleister: Vorgesehen ist Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Wo der Anbieter die Daten verarbeitet und auf welcher Grundlage sie gegebenenfalls in ein Drittland gehen, ist noch zu prüfen. Ob der Auftragsverarbeitungsvertrag des Anbieters für diesen Einsatz angenommen ist, wo die Postfächer tatsächlich liegen, welche weiteren Unterauftragsverarbeiter der Anbieter einsetzt und welches Modul der Standardvertragsklauseln gilt, ist noch zu dokumentieren. Das öffentlich abrufbare Data Processing Addendum allein belegt keinen Vertragsschluss. Bis das dokumentiert ist, gehen über diesen Anbieter keine Auftragsdaten hinaus; vor dem Start muss es deshalb geklärt sein.
• Data Privacy Framework: Ob Namecheap, Stripe und Google für die betroffenen Leistungen nach dem EU-U.S. Data Privacy Framework zertifiziert sind, haben wir für diese Fassung nicht geprüft. Wir behaupten es deshalb nicht; wo es fehlt, gelten Standardvertragsklauseln.
• Rolle von Stripe für die einzelnen Daten.
• Telegram-Alarme: Grundlage der Übermittlung, wenn ein Kunde Telegram als Ziel wählt und wir die Nachricht über unseren Bot verschicken.

8. Änderungen dieser Liste

Wir setzen Unterauftragsverarbeiter auf Grundlage der allgemeinen Genehmigung im Auftragsverarbeitungsvertrag ein. Bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung beginnt oder ein bestehender ersetzt wird, informieren wir die Kunden mindestens 30 Tage vorher per E-Mail an die Adresse des Kontoinhabers und kündigen die Änderung auf dieser Seite und in der Übersicht Änderungen der Vertragsunterlagen an. Die Mitteilung nennt Empfänger, Sitz, Zweck, Daten, Ort und Grundlage der Übermittlung.

Innerhalb dieser Frist kann der Kunde aus einem sachlichen datenschutzrechtlichen Grund in Textform widersprechen. Bis eine Lösung gefunden ist, setzen wir den neuen Unterauftragsverarbeiter für seine Auftragsdaten nicht ein oder lassen die betroffene Funktion für ihn ruhen. Lässt sich keine Lösung finden, kann er den Vertrag über den Dienst oder die betroffene Leistung kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstatten wir anteilig. Einzelheiten regelt der Auftragsverarbeitungsvertrag. Für Unterauftragsverarbeiter haften wir dem Kunden gegenüber wie für eigenes Handeln.

Änderungen in den Abschnitten 3 bis 5, die keine Unterauftragsverarbeiter betreffen, veröffentlichen wir hier mit neuer Fassungsnummer, ohne Vorlauf.

9. Stand und Fassung

• Fassung 1.1 · Stand: 22. Oktober 2026 · bei Abweichungen zwischen den Sprachfassungen ist statt der deutschen die polnische Fassung maßgeblich; sonst keine Änderung.
• Fassung 1.0 · Stand: 11. Oktober 2026 · erste Fassung als eigene Seite; bisher Anlage 3 im Auftragsverarbeitungsvertrag. Neu: Trennung nach Unterauftragsverarbeitern, Empfängern in eigener Verantwortung, vom Kunden gewählten Zielen und Abfragen ohne Personendaten; offene Punkte ausdrücklich benannt.
• Bei Abweichungen zwischen den Sprachfassungen ist die polnische Fassung maßgeblich.