Zur Erbringung unserer Leistungen setzen wir folgende Auftragsverarbeiter und Subprozessoren ein. Mit allen ist ein Auftragsverarbeitungsvertrag (AVV) bzw. Data Processing Agreement (DPA) abgeschlossen.
Diese Liste ist die jeweils aktuelle Version. Bei Beauftragung neuer Subprozessoren werden Sie informiert und haben binnen 30 Tagen Widerspruchsrecht (AVV-Anhang III). Anfragen oder Widersprüche richten Sie bitte an datenschutz@instantpage.at.
Cloudflare — DNS, CDN, Hosting (Workers + Pages), Protokollierung der Auslieferung (Workers Logs), Speicherung (R2), Custom Hostnames, Web Analytics, Auslesen der Import-Ziel-URL beim optionalen Onboarding-Import (Browser Run)
Verarbeitungsort: USA-Mutterkonzern; Edge-Netz global. Datenhaltende Komponenten EU-gelockt: R2 mit Jurisdiction EU (Hard-Constraint).
Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter aktiv zertifiziert)Supabase — Datenbank, Storage, Authentifizierung
Verarbeitungsort: Frankfurt (EU)
Drittland-Bezug: neinStripe — Zahlungsabwicklung
Verarbeitungsort: Irland (Vertragspartner Stripe Payments Europe, Ltd.); konzerninterne Weiterübermittlung an Stripe, LLC (USA)
Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter aktiv zertifiziert)Anthropic — KI-Sprachmodell (Claude) für Text-Generierung und Import-Klassifizierung
Verarbeitungsort: USA
Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission, Durchführungsbeschluss (EU) 2021/914; Anbieter nicht DPF-zertifiziert)Microsoft 365 — E-Mail-Postfächer (Exchange Online + Protection); weitere Workloads im Tenant nicht aktiv
Verarbeitungsort: Tenant-Standort Österreich (Customer Data at Rest); zugesicherte Geografie EU/EFTA für operative Verarbeitungen
Drittland-Bezug: nein (Verarbeitung innerhalb EU/EFTA)Resend — Versand unserer E-Mails: Konto- und Vertrags-Mails an Sie (Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzen, E-Mail-Wechsel, Willkommen, Testphasen-Erinnerung) sowie Weiterleitung von Anfragen aus dem Kontaktformular Ihrer Website an Ihr Postfach
Verarbeitungsort: USA mit EU-Servern
Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission; Anbieter zusätzlich im DPF-Verzeichnis eingetragen)Cloudflare Turnstile — Bot-Schutz auf Formularen (token-basiert, ohne Cookies)
Verarbeitungsort: USA mit EU-Servern
Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter aktiv zertifiziert)Hetzner — Weiterleitungs-Server für eigene Kunden-Domains: leitet Aufrufe der Domain ohne „www“ auf die www-Adresse weiter (nur bei gebuchter eigener Domain; verarbeitet dabei ausschließlich Verbindungsdaten, keine Inhalte)
Verarbeitungsort: Deutschland/Finnland (EU)
Drittland-Bezug: neineasyname.at — Domain-Registrierung
Verarbeitungsort: Österreich
Drittland-Bezug: nein
Rechtsgrundlage Drittlandsübermittlung
Einige Subprozessoren verarbeiten Daten in den USA. Die Grundlage der Übermittlung ist nicht bei allen dieselbe — sie steht je Anbieter in der Zeile „Drittland-Bezug“ oben:
- EU-U.S. Data Privacy Framework (DPF, Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Beschluss (EU) 2023/1795): Cloudflare (einschließlich Turnstile) und Stripe. Beide Anbieter sind im Verzeichnis des US-Handelsministeriums aktiv zertifiziert. Bei Stripe ist unser Vertragspartner die irische Stripe Payments Europe, Ltd.; das DPF trägt die konzerninterne Weiterübermittlung an Stripe, LLC (USA).
- Standardvertragsklauseln der EU-Kommission(Durchführungsbeschluss (EU) 2021/914, Module 2 und 3): Anthropic. Anthropic ist nicht nach dem DPF zertifiziert; die Übermittlung stützt sich ausschließlich auf die im Auftragsverarbeitungsvertrag vereinbarten Standardvertragsklauseln.
- Standardvertragsklauseln, zusätzlich DPF-Eintrag: Resend. Der Auftragsverarbeitungsvertrag stützt die Übermittlung auf die Standardvertragsklauseln; Resend ist darüber hinaus im DPF-Verzeichnis eingetragen.
Wir prüfen quartalsweise den Verzeichnis-Status der DPF-gestützten Anbieter und Änderungen am Angemessenheitsbeschluss (Schrems-III-Risiko-Monitoring). Letzte Prüfung gegen das amtliche Verzeichnis: 5. September 2026.
Wo Sie eine Kopie dieser Garantien erhalten: Der amtliche Wortlaut der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021) ist frei abrufbar bei EUR-Lex: eur-lex.europa.eu — CELEX:32021D0914. Die konkret mit dem jeweiligen Anbieter vereinbarte Fassung ist Bestandteil des dortigen Auftragsverarbeitungsvertrags; wir stellen sie Ihnen auf Anfrage an datenschutz@instantpage.at zur Verfügung (Art. 13 Abs. 1 lit. f DSGVO).
Details zu Verarbeitungszwecken und Rechtsgrundlagen finden Sie in unserer Datenschutzerklärung.