Empfänger und Unterauftragsverarbeiter
Version: subprocessors-2026-10-22-c · Stand: 2026-10-22
Diese Liste nennt Empfänger personenbezogener oder potenziell personenbezogener Daten im Betrieb von Transparify. Nicht jeder Eintrag ist ein Unterauftragsverarbeiter nach Art. 28 DSGVO. Die Spalte „Rolle“ unterscheidet Auftragsverarbeiter, Zahlungsdienst (teils eigenständig verantwortlich) und Datenquellen.
Mit den Auftragsverarbeitern Vercel, Supabase und Brevo bestehen Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Stripe, Handelsregister.ai und GeoNames sind entsprechend ihrer Rolle getrennt ausgewiesen und nicht pauschal als Unterauftragsverarbeiter der UBO-Akte einzuordnen.
Vercel Inc., USA
- Rolle
- Unterauftragsverarbeiter
- Zweck
- Hosting der Next.js-Anwendung und des Backends, Web-Analyse ohne Cookies
- Betroffene Daten
- Alle über die Anwendung übertragenen Daten, Protokolldaten
- Ort der Verarbeitung
- Primärer Anwendungsbetrieb Transparify: Frankfurt am Main. Laut Vercel können statische Inhalte und Serverless-Antworten vorübergehend in EU-Regionen zwischengespeichert werden; eine ausschließlich europäische Verarbeitung ist dadurch nicht bestätigt.
- Drittland / Nachweise
- Art. 44 ff. DSGVO. Anbieterangaben: DSGVO-Konformität, ISO 27001, DPA verfügbar. Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Keine darüber hinausgehenden SCC-/DPF-Zusicherungen hier behauptet.
Supabase Inc., USA (auf Amazon Web Services)
- Rolle
- Unterauftragsverarbeiter
- Zweck
- PostgreSQL-Datenbank, Dateispeicher, Backups
- Betroffene Daten
- Konto-, Fall-, Auftrags- und Rechnungsdaten, gespeicherte Dokumente
- Ort der Verarbeitung
- Irland (PostgreSQL). Laut Supabase verbleiben bei Projekten in EU-Regionen die primären Datenbankdaten in der gewählten Region.
- Drittland / Nachweise
- Art. 44 ff. DSGVO. Anbieterangaben: Unterstützung DSGVO-konformer Deployments, ISO 27001, SOC 2 Type II, DPA verfügbar. Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Keine darüber hinausgehenden SCC-/DPF-Zusicherungen hier behauptet.
Stripe Payments Europe, Ltd., Irland (ggf. Stripe Inc., USA)
- Rolle
- Zahlungsdienst — teils eigenständiger Verantwortlicher, teils Auftragsverarbeiter (laut Stripe); kein AV für UBO-Falldaten
- Zweck
- Checkout, Abonnements, Rechnungen, Kundenportal
- Betroffene Daten
- Name/Firma, Rechnungsanschrift, E-Mail, USt-Id soweit angegeben, Zahlungs- und Rechnungsdaten; keine UBO-Beteiligungsstruktur
- Ort der Verarbeitung
- Vertragspartner typisch EU (SPEL); mögliche Verarbeitung/Übermittlung in die USA laut Stripe
- Drittland / Nachweise
- Art. 44 ff. DSGVO. Anbieterangaben: DPA Bestandteil der Services Agreement; Stripe gibt EU-US DPF sowie SCCs im Transfer-Addendum an. Projektspezifische Wirksamkeit für Transparify gesondert nachzuweisen — hier nicht als abgeschlossen behauptet.
Brevo (Sendinblue SAS), Frankreich
- Rolle
- Unterauftragsverarbeiter (transaktionaler E-Mail-Versand)
- Zweck
- SMTP-Versand transaktionaler E-Mails (Verifizierung, Sicherheit, Aufträge, Watchlist)
- Betroffene Daten
- Empfänger-E-Mail, Nachrichteninhalte; Watchlist-Digest kann Firmennamen und Änderungszeilen enthalten
- Ort der Verarbeitung
- Laut Brevo: Datenbanken in der EU (OVH FR/DE, Google Cloud Belgien)
- Drittland / Nachweise
- Primär EU laut Anbieter. Anbieterangaben: ISO 27001:2022, DPA verfügbar. Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Subprozessoren von Brevo können Drittlandbezüge haben — keine darüber hinausgehenden Transfer-Zusicherungen hier behauptet.
Handelsregister.ai (Fusionbase GmbH, München)
- Rolle
- Datenquelle / eigenständige Bereitstellung öffentlicher Registerdaten — kein klassischer Unterauftragsverarbeiter der UBO-Akte
- Zweck
- Suche und Abruf öffentlicher Handelsregisterdaten; Watchlist-Scans
- Betroffene Daten
- Suchparameter (Firmenname/Registernummer); Antwort kann öffentliche personenbezogene Registerangaben enthalten
- Ort der Verarbeitung
- Anbieter mit Sitz in Deutschland; konkreter API-Verarbeitungsort in der Website-Datenschutzerklärung nicht gesondert spezifiziert
- Drittland / Nachweise
- Öffentliche Registerdaten. Website-Datenschutz: https://handelsregister.ai/de/privacy-policy. Kein in dieser Dokumentation nachgewiesener Art.-28-AVV zwischen Transparify und dem Anbieter.
OpenStreetMap Foundation, Vereinigtes Königreich (Nominatim)
- Rolle
- Datenquelle (Adressvorschläge)
- Zweck
- Adressvorschläge
- Betroffene Daten
- Eingegebener Suchtext; Endnutzer-IP wird nicht weitergegeben
- Ort der Verarbeitung
- Vereinigtes Königreich
- Drittland / Nachweise
- Angemessenheitsbeschluss UK (soweit anwendbar)
GeoNames
- Rolle
- Optionale Datenquelle (Ortsvorschläge) — kein Unterauftragsverarbeiter
- Zweck
- Vorschläge zu Ortsnamen (Wohnort/Geburtsort), nur wenn GEONAMES_USERNAME konfiguriert
- Betroffene Daten
- Suchtext (name_startsWith); Ortsnamen nicht pauschal personenbezogen; Endnutzer-IP wird nicht weitergegeben (Anbieter sieht Server-IP)
- Ort der Verarbeitung
- GeoNames-Infrastruktur; kein belastbarer EU-only-Nachweis in den öffentlichen Nutzungsbedingungen
- Drittland / Nachweise
- Kein öffentliches DPA gefunden. Nutzungsbedingungen/Webservices: https://www.geonames.org — CC-BY / as-is. Kein Art.-28-AV erforderlich, soweit reine Datenquelle.
| Dienstleister | Rolle | Zweck | Betroffene Daten | Ort der Verarbeitung | Drittland / Nachweise |
|---|---|---|---|---|---|
| Vercel Inc., USA | Unterauftragsverarbeiter | Hosting der Next.js-Anwendung und des Backends, Web-Analyse ohne Cookies | Alle über die Anwendung übertragenen Daten, Protokolldaten | Primärer Anwendungsbetrieb Transparify: Frankfurt am Main. Laut Vercel können statische Inhalte und Serverless-Antworten vorübergehend in EU-Regionen zwischengespeichert werden; eine ausschließlich europäische Verarbeitung ist dadurch nicht bestätigt. | Art. 44 ff. DSGVO. Anbieterangaben: DSGVO-Konformität, ISO 27001, DPA verfügbar. Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Keine darüber hinausgehenden SCC-/DPF-Zusicherungen hier behauptet. |
| Supabase Inc., USA (auf Amazon Web Services) | Unterauftragsverarbeiter | PostgreSQL-Datenbank, Dateispeicher, Backups | Konto-, Fall-, Auftrags- und Rechnungsdaten, gespeicherte Dokumente | Irland (PostgreSQL). Laut Supabase verbleiben bei Projekten in EU-Regionen die primären Datenbankdaten in der gewählten Region. | Art. 44 ff. DSGVO. Anbieterangaben: Unterstützung DSGVO-konformer Deployments, ISO 27001, SOC 2 Type II, DPA verfügbar. Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Keine darüber hinausgehenden SCC-/DPF-Zusicherungen hier behauptet. |
| Stripe Payments Europe, Ltd., Irland (ggf. Stripe Inc., USA) | Zahlungsdienst — teils eigenständiger Verantwortlicher, teils Auftragsverarbeiter (laut Stripe); kein AV für UBO-Falldaten | Checkout, Abonnements, Rechnungen, Kundenportal | Name/Firma, Rechnungsanschrift, E-Mail, USt-Id soweit angegeben, Zahlungs- und Rechnungsdaten; keine UBO-Beteiligungsstruktur | Vertragspartner typisch EU (SPEL); mögliche Verarbeitung/Übermittlung in die USA laut Stripe | Art. 44 ff. DSGVO. Anbieterangaben: DPA Bestandteil der Services Agreement; Stripe gibt EU-US DPF sowie SCCs im Transfer-Addendum an. Projektspezifische Wirksamkeit für Transparify gesondert nachzuweisen — hier nicht als abgeschlossen behauptet. |
| Brevo (Sendinblue SAS), Frankreich | Unterauftragsverarbeiter (transaktionaler E-Mail-Versand) | SMTP-Versand transaktionaler E-Mails (Verifizierung, Sicherheit, Aufträge, Watchlist) | Empfänger-E-Mail, Nachrichteninhalte; Watchlist-Digest kann Firmennamen und Änderungszeilen enthalten | Laut Brevo: Datenbanken in der EU (OVH FR/DE, Google Cloud Belgien) | Primär EU laut Anbieter. Anbieterangaben: ISO 27001:2022, DPA verfügbar. Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Subprozessoren von Brevo können Drittlandbezüge haben — keine darüber hinausgehenden Transfer-Zusicherungen hier behauptet. |
| Handelsregister.ai (Fusionbase GmbH, München) | Datenquelle / eigenständige Bereitstellung öffentlicher Registerdaten — kein klassischer Unterauftragsverarbeiter der UBO-Akte | Suche und Abruf öffentlicher Handelsregisterdaten; Watchlist-Scans | Suchparameter (Firmenname/Registernummer); Antwort kann öffentliche personenbezogene Registerangaben enthalten | Anbieter mit Sitz in Deutschland; konkreter API-Verarbeitungsort in der Website-Datenschutzerklärung nicht gesondert spezifiziert | Öffentliche Registerdaten. Website-Datenschutz: https://handelsregister.ai/de/privacy-policy. Kein in dieser Dokumentation nachgewiesener Art.-28-AVV zwischen Transparify und dem Anbieter. |
| OpenStreetMap Foundation, Vereinigtes Königreich (Nominatim) | Datenquelle (Adressvorschläge) | Adressvorschläge | Eingegebener Suchtext; Endnutzer-IP wird nicht weitergegeben | Vereinigtes Königreich | Angemessenheitsbeschluss UK (soweit anwendbar) |
| GeoNames | Optionale Datenquelle (Ortsvorschläge) — kein Unterauftragsverarbeiter | Vorschläge zu Ortsnamen (Wohnort/Geburtsort), nur wenn GEONAMES_USERNAME konfiguriert | Suchtext (name_startsWith); Ortsnamen nicht pauschal personenbezogen; Endnutzer-IP wird nicht weitergegeben (Anbieter sieht Server-IP) | GeoNames-Infrastruktur; kein belastbarer EU-only-Nachweis in den öffentlichen Nutzungsbedingungen | Kein öffentliches DPA gefunden. Nutzungsbedingungen/Webservices: https://www.geonames.org — CC-BY / as-is. Kein Art.-28-AV erforderlich, soweit reine Datenquelle. |
Google Analytics läuft nur auf der Website und nur nach Einwilligung. Dabei werden keine Falldaten verarbeitet.
PDF herunterladenAnbieterquellen
Die folgenden Angaben sind öffentliche Aussagen bzw. Dokumente der jeweiligen Anbieter oder Code-Befunde. Sie sind keine eigenen Zertifizierungen von Transparify. Über die Art.-28-Vereinbarungen mit Vercel, Supabase und Brevo hinaus werden keine unbewiesenen Transfergarantien behauptet.
- Vercel: https://vercel.com/docs/security/compliance · https://vercel.com/security · https://vercel.com/legal/dpa · https://security.vercel.com
- Supabase: https://supabase.com/security · https://supabase.com/docs/guides/security/gdpr-compliance · https://supabase.com/docs/guides/security/soc-2-compliance · https://supabase.com/legal/customer-resources/data-processing-addendum
- Stripe: Privacy Center https://stripe.com/legal/privacy-center · DPA https://stripe.com/legal/dpa · DPA-FAQs https://stripe.com/legal/dpa/faqs · Privacy https://stripe.com/privacy
- Brevo: Data Security https://www.brevo.com/de/features/data-security/ · Data storage location (Help Center) · DPA in den Nutzungsbedingungen / Help: „Where can I find the DPA?“
- Handelsregister.ai: Datenschutzerklärung https://handelsregister.ai/de/privacy-policy (Fusionbase GmbH, München)
- GeoNames: https://www.geonames.org · Webservices/Terms https://www.geonames.org/export/ · https://www.geonames.org/export/web-services.html
Änderungsverfahren
Transparify informiert vor der beabsichtigten Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform (insbesondere per E-Mail oder über eine Benachrichtigung im Kundenkonto). Der Kunde erhält eine angemessene Gelegenheit, aus wichtigem datenschutzrechtlichem Grund Widerspruch einzulegen. Bei begründetem Widerspruch prüfen die Parteien eine zumutbare Lösung; ist eine Einigung nicht möglich, kann der Kunde den betroffenen Dienst beziehungsweise den Hauptvertrag zum Zeitpunkt der Änderung kündigen. Für reine Datenquellen und Zahlungsdienste mit eigenständiger Verantwortung gilt dieses AV-Änderungsverfahren nur, soweit sie als Unterauftragsverarbeiter eingesetzt werden.