Entwurf in rechtlicher Prüfung, noch nicht in Kraft.
Unterauftragsverarbeiter — SFT Visitor Journeys
Dies ist eine von der Entwicklung erstellte Liste der Drittanbieter, an die SFT Visitor Journeys tatsächlich Daten sendet, zur rechtlichen Prüfung vorbereitet, kein fertiges Rechtsdokument. Sie enthält keine Angaben über das hinaus, was das System tatsächlich tut, und kennzeichnet noch nicht entschiedene Punkte als TBD, statt zu raten.
Ein Unterauftragsverarbeiter ist ein Drittanbieter, der personenbezogene Daten im Auftrag von Smooth Flow Tech als Auftragsverarbeiter verarbeitet, nach den Weisungen der Kundin/des Kunden (Verantwortlicher). Diese Liste ist die Grundlage sowohl für unseren Auftragsverarbeitungsvertrag als auch für jede kundenseitige Offenlegung von Unterauftragsverarbeitern — sie darf davon nie abweichen.
Besucherdaten (die Kundin/der Kunde ist Verantwortlicher; Smooth Flow Tech ist Auftragsverarbeiter)
| Unterauftragsverarbeiter | Rolle | Standort | Betroffene Daten |
|---|---|---|---|
| Hostinger | Hostet den VPS, auf dem die Anwendung, die Datenbank (PostgreSQL) und der Analyse-Speicher (ClickHouse) laufen | EU-Rechenzentrum (bevorzugt: Deutschland, mit Litauen, den Niederlanden und Frankreich als weiteren EU-Optionen — TBD, das genaue Rechenzentrum bei Bestellung bestätigen und hier vor der ersten Kundin/dem ersten Kunden festhalten) | Alle Besucherdaten gemäß unserem Auftragsverarbeitungsvertrag §„Kategorien personenbezogener Daten”, für die jeweilige Aufbewahrungsdauer (§„Aufbewahrung”) |
| Backup-Speicher außerhalb des VPS | Speichert die verschlüsselte Kopie der nächtlichen Backups außerhalb des Servers | TBD — Hetzner Object Storage (Deutschland) oder Scaleway Object Storage (Frankreich), beide in der EU. Backups werden verschlüsselt, bevor sie den VPS verlassen. | Dieselben Daten wie oben, für die im AVV genannte Backup-Aufbewahrungsfrist (jedes Backup 14 Tage) |
| Sentry (Functional Software, Inc.) | Fehlerüberwachung für den Server der App: schlägt eine Anfrage fehl, wird der Fehler gemeldet, damit wir ihn beheben können | EU-Datenregion (Deutschland). Das Unternehmen sitzt in den USA: TBD, Rechtsgrundlage der Übermittlung rechtlich bestätigen (EU-US Data Privacy Framework oder Standardvertragsklauseln in Sentrys AVV). | Fehlermeldung, Stacktrace, Route und Methode. Die App ist so eingestellt, dass sie keine Request-Header, Cookies, Inhalte, Query-Strings, Nutzerangaben oder Variablenwerte sendet; eine Fehlermeldung kann vereinzelt einen Wert aus der fehlgeschlagenen Anfrage enthalten. Aufbewahrung gemäß Sentry (90 Tage im aktuellen Tarif, TBD bestätigen). |
Kein weiterer Drittanbieter erhält Besucherdaten. Insbesondere gilt:
- Google ist kein Unterauftragsverarbeiter. Klickt eine Besucherin/ein Besucher auf eine Google-Anzeige, ruft deren/dessen Browser unseren Weiterleitungs-Endpunkt direkt auf, auf Anweisung der Kundin/des Kunden selbst (das Tracking-Template, das die Kundin/der Kunde im eigenen Google-Ads-Konto konfiguriert hat) — Smooth Flow Tech sendet nichts an Google.
- Der Tracker lädt niemals ein eigenes Skript, eine Schriftart oder eine sonstige Ressource eines Drittanbieters.
Konto- und Abrechnungsdaten (Smooth Flow Tech ist Verantwortlicher)
Diese Daten — das eigene Konto der Kundin/des Kunden, Kontaktdaten, Rechnungen und Zahlungsinformationen — werden von Smooth Flow Tech als Verantwortlicher verarbeitet, nicht auf Weisung der Kundin/des Kunden, und liegen daher außerhalb des Anwendungsbereichs des AVV. Der Vollständigkeit und Transparenz halber hier aufgeführt:
| Unterauftragsverarbeiter | Rolle | Standort | Betroffene Daten |
|---|---|---|---|
| Stripe | Zahlungsabwicklung, Rechnungsstellung, Steuerberechnung und -einzug (Stripe Tax) | Stripe ist für Zahlungsdaten nach eigener Datenschutzerklärung selbst Verantwortlicher | Name der Abrechnungskontaktperson, E-Mail, Adresse, Steuer-ID, Zahlungsmethode, Transaktionsverlauf |
| Hostinger (Mail) | Versendet Konto-E-Mails (Verifizierung, Passwort-Reset, Abrechnungshinweise) von no-reply@smoothflowtech.com |
EU (Hostinger E-Mail-Hosting) | E-Mail-Adresse der Empfängerin/des Empfängers, E-Mail-Inhalt |
| Hostinger | Hostet die Kontodatenbank (dieselbe Postgres-Instanz wie oben) | Wie oben | Kontodaten: Organisation, Nutzer, Mitgliedschaftsdatensätze |
Diese Liste aktuell halten
Wird ein Unterauftragsverarbeiter für Besucherdaten hinzugefügt, geändert oder entfernt, müssen diese Seite, die Anlage zu den technischen Maßnahmen unseres Auftragsverarbeitungsvertrags und der in den Allgemeinen Geschäftsbedingungen zugesagte Benachrichtigungsmechanismus gemeinsam aktualisiert werden.