Subprozessoren-Übersicht

Zur Erbringung unserer Leistungen setzen wir die folgenden Auftragsverarbeiter ein und geben Daten an die unten genannten weiteren Empfänger weiter.

Weitere Auftragsverarbeiter nach dem AVV

Dieser Abschnitt ist Anlage 3 des Auftragsverarbeitungsvertrags (AVV): die Liste der Unterauftragsverarbeiter in der bei Annahme des AVV geltenden Fassung, fortgeschrieben nach AVV Ziffer 9. Über eine beabsichtigte Hinzuziehung oder Ersetzung informieren wir die Verantwortlichen vorab nach Maßgabe von Ziffer 9; sie können aus wichtigen datenschutzrechtlichen Gründen widersprechen. Ein Anbieter gilt nur, soweit er tatsächlich eingesetzt wird. Anfragen oder Widersprüche richten Sie bitte an datenschutz@instantpage.at.

• Cloudflare (Cloudflare, Inc., USA) — Hosting und Auslieferung von Websites, DNS und Anbindung eigener Domains samt Zertifikaten, Speicherung von Dateien, Anbindung der Datenbank, Sicherheit und Missbrauchsschutz, Protokollierung der Auslieferung, cookielose Reichweitenmessung und Auslesen von Websites
  Verarbeitungsort: USA-Mutterkonzern; Edge-Netz global. Dateispeicher (R2) EU-gebunden (Jurisdiction EU); übrige Verarbeitungen, insbesondere Auslieferungsprotokolle, Zugriffszähler des Missbrauchsschutzes und Reichweitenmessung, sind nicht regional gebunden.
  Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter im DPF-Verzeichnis eingetragen)

• Supabase (Supabase, Inc., USA) — Datenbank, Storage, Authentifizierung
  Verarbeitungsort: Frankfurt (EU)
  Drittland-Bezug: nein — Die Daten werden in Frankfurt gespeichert (gemessen). Vertragspartner ist die Supabase, Inc. mit Sitz in den USA; für den Fall eines Zugriffs von dort gelten die Standardvertragsklauseln der EU-Kommission (Module 2 und 3) samt Transfer Impact Assessment.

• Anthropic (Vertragspartner Anthropic Ireland, Limited; Verarbeitung in den USA) — KI-Dienste (Claude) bei Erstellung, Pflege und Betrieb der Websites sowie als KI-Assistenz für unsere eigene Arbeit
  Verarbeitungsort: USA
  Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission, Durchführungsbeschluss (EU) 2021/914; Anbieter nicht DPF-zertifiziert)

• Microsoft 365 (Microsoft Ireland Operations Limited) — E-Mail und zugehörige Microsoft-365-Dienste
  Verarbeitungsort: Tenant-Standort Österreich (Customer Data at Rest); zugesicherte Geografie EU/EFTA für operative Verarbeitungen
  Drittland-Bezug: nein (Verarbeitung innerhalb EU/EFTA)

• Resend (Plus Five Five, Inc., USA; Marke Resend) — Versand von E-Mails, etwa Konto- und Vertrags-Mails sowie die Weiterleitung von Formular-Anfragen einer Website an das vom Kunden bestimmte Postfach
  Verarbeitungsort: USA mit EU-Servern
  Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission; Anbieter zusätzlich im DPF-Verzeichnis eingetragen)

• Cloudflare Turnstile (Cloudflare, Inc., USA) — Bot-Schutz auf Formularen (token-basiert, ohne Cookies) (Dienst der Cloudflare, Inc., geführt unter deren Vertrag)
  Verarbeitungsort: USA mit EU-Servern
  Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter im DPF-Verzeichnis eingetragen)

• Hetzner (Hetzner Online GmbH) — Weiterleitungs-Server für eigene Domains: leitet Aufrufe der Domain ohne „www“ auf die www-Adresse weiter (nur bei eigener Domain; verarbeitet dabei Verbindungsdaten, keine Inhalte)
  Verarbeitungsort: Deutschland/Finnland (EU)
  Drittland-Bezug: nein

• GitHub (GitHub, Inc., USA) — Code-Hosting und automatischer Bau der individuell erstellten Websites (Quelldateien samt Texten und Bildern dieser Websites)
  Verarbeitungsort: USA
  Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter im DPF-Verzeichnis eingetragen)

Weitere Empfänger

Die folgenden Empfänger sind keine weiteren Auftragsverarbeiter des AVV. Sie arbeiten für unsere eigenen Zwecke (AVV Anlage 4), etwa die Abwicklung unserer eigenen Forderungen oder als Werkzeug für unsere eigene Arbeit.

• Stripe (Stripe Payments Europe, Ltd., Irland) — Zahlungsabwicklung
  Verarbeitungsort: Irland (Vertragspartner Stripe Payments Europe, Ltd.); konzerninterne Weiterübermittlung an Stripe, LLC (USA)
  Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter im DPF-Verzeichnis eingetragen)

• ElevenLabs (Eleven Labs Inc., USA) — Sprachausgabe als Werkzeug für unsere eigene Arbeit (liest Antworten unseres internen Assistenten vor; keine Daten, die wir im Auftrag unserer Kunden verarbeiten)
  Verarbeitungsort: USA
  Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission; Anbieter zusätzlich im DPF-Verzeichnis eingetragen)

Rechtsgrundlage Drittlandsübermittlung

Einige Anbieter verarbeiten Daten in den USA. Die Grundlage der Übermittlung ist nicht bei allen dieselbe — sie steht je Anbieter in der Zeile „Drittland-Bezug“ oben:

• EU-U.S. Data Privacy Framework (DPF, Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Beschluss (EU) 2023/1795): Cloudflare, Stripe, GitHub. Diese Anbieter sind im Verzeichnis des US-Handelsministeriums eingetragen (Registerstand bei der letzten Prüfung, siehe unten). Bei Stripe ist unser Vertragspartner die irische Stripe Payments Europe, Ltd.; das DPF trägt die konzerninterne Weiterübermittlung an Stripe, LLC (USA).
• Standardvertragsklauseln der EU-Kommission(Durchführungsbeschluss (EU) 2021/914, Module 2 und 3): Anthropic. Anthropic ist nicht nach dem DPF zertifiziert; die Übermittlung stützt sich ausschließlich auf die im Auftragsverarbeitungsvertrag vereinbarten Standardvertragsklauseln.
• Standardvertragsklauseln, zusätzlich DPF-Eintrag: Resend, ElevenLabs. Der Auftragsverarbeitungsvertrag stützt die Übermittlung auf die Standardvertragsklauseln; diese Anbieter sind darüber hinaus im DPF-Verzeichnis eingetragen.

Wir prüfen regelmäßig den Verzeichnis-Status der DPF-gestützten Anbieter und Änderungen am Angemessenheitsbeschluss (Schrems-III-Risiko-Monitoring). Letzte Prüfung gegen das amtliche Verzeichnis: 20. Oktober 2026.

Wo Sie eine Kopie dieser Garantien erhalten: Der amtliche Wortlaut der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021) ist frei abrufbar bei EUR-Lex: eur-lex.europa.eu — CELEX:32021D0914. Die konkret mit dem jeweiligen Anbieter vereinbarte Fassung ist Bestandteil des dortigen Auftragsverarbeitungsvertrags; wir stellen sie Ihnen auf Anfrage an datenschutz@instantpage.at zur Verfügung (Art. 13 Abs. 1 lit. f DSGVO).

Änderungen dieser Liste

Jede Änderung der Unterauftragsverarbeiter halten wir hier mit Datum fest. Den zu einem bestimmten Zeitpunkt geltenden Stand stellen wir auf Anfrage in Textform zur Verfügung.

• 21.10.2026: Liste wird Anlage 3 des Auftragsverarbeitungsvertrags. GitHub aufgenommen (Code-Hosting und Bau der individuell erstellten Websites); easyname.at entfernt (verarbeitet keine Daten im Auftrag). Zwecke allgemein gefasst. Unter „Weitere Empfänger“ zusätzlich ElevenLabs (Werkzeug für unsere eigene Arbeit, kein Auftragsverarbeiter dieses Vertrags).

Details zu Verarbeitungszwecken und Rechtsgrundlagen finden Sie in unserer Datenschutzerklärung.