Rechtliches
Unterauftragsverarbeiter
Stand: 02.09.2026
Einordnung
Für Organisationen, die den KI-First Audit als Plattform nutzen, ist Datenmassiv GmbH Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Verantwortlich für die Daten einer Audit-Akte ist der jeweilige Kontoinhaber. Grundlage ist ein Auftragsverarbeitungsvertrag nach den Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/915).
Zur Erbringung der Leistung setzen wir die folgenden Unterauftragsverarbeiter ein. Sie sind in Anhang IV des Auftragsverarbeitungsvertrags genehmigt. Alle inhaltlichen Verarbeitungen finden in der Europäischen Union statt; wo ein Anbieter außerhalb der EU sitzt oder Systeme außerhalb betreibt, ist der Übermittlungsmechanismus angegeben.
Liste
1. Amazon Web Services EMEA SARL
- Anschrift
- 38 Avenue John F. Kennedy, L-1855 Luxemburg, Luxemburg
- Kontakt
- https://aws.amazon.com/compliance/gdpr-center/
- Leistung
- KI-Inferenz über Amazon Bedrock (Reifegrad-Synthese, Extraktion, Bericht), E-Mail-Ein- und -Ausgang über Amazon SES, Ablage von Roh-E-Mails und Anhängen in Amazon S3, Verarbeitung in AWS Lambda
- Verarbeitungsort
- Frankfurt am Main, Deutschland (Region eu-central-1); Bedrock ausschließlich über EU-Inferenzprofile
- Übermittlung
- Keine beabsichtigte Drittlandübermittlung; AWS Data Processing Addendum mit EU-Standardvertragsklauseln als Rückfall
- Vertrag
- Data Processing Agreement · Unter-Unterauftragsverarbeiter
- Eingesetzt seit
- 2026-06
2. Supabase Pte. Ltd.
- Anschrift
- 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, Singapur
- Kontakt
- privacy@supabase.io
- Leistung
- Datenbank (PostgreSQL), Authentifizierung (Magic-Link), Dateispeicher (Dokumente, Berichte)
- Verarbeitungsort
- Frankfurt am Main, Deutschland (Region eu-central-1)
- Übermittlung
- Vertragspartner mit Sitz in Singapur; Supabase DPA mit EU-Standardvertragsklauseln 2021/914 (Modul 2 und Modul 3) und UK-Addendum
- Vertrag
- Data Processing Agreement · Unter-Unterauftragsverarbeiter
- Eingesetzt seit
- 2026-06
3. Vercel Inc.
- Anschrift
- 440 N Barranca Ave #4133, Covina, CA 91723, USA
- Kontakt
- privacy@vercel.com
- Leistung
- Hosting der Web-Anwendung, serverseitiges Rendering und Serverfunktionen, Auslieferung über das Vercel-Netzwerk, Reichweitenmessung (Vercel Analytics, Speed Insights)
- Verarbeitungsort
- Serverfunktionen in Frankfurt am Main, Deutschland (Region fra1); Auslieferungsnetzwerk und Betriebssysteme des Anbieters weltweit, primär USA
- Übermittlung
- EU-US Data Privacy Framework (Vercel zertifiziert) und EU-Standardvertragsklauseln 2021/914 Modul 2 als Rückfall (Vercel DPA)
- Vertrag
- Data Processing Agreement · Unter-Unterauftragsverarbeiter
- Eingesetzt seit
- 2026-06
4. Upstash, Inc.
- Anschrift
- Gesellschaft nach dem Recht von Delaware mit Sitz in Kalifornien, USA (Postanschrift laut DPA-Präambel)
- Kontakt
- https://trust.upstash.com/
- Leistung
- Zeitgesteuerte Aufträge und Webhook-Zustellung (QStash) für Verarbeitungsketten der Plattform; es werden Auftragskennungen und Zieladressen, keine Akteninhalte übertragen
- Verarbeitungsort
- EU-Region des Anbieters
- Übermittlung
- EU-US Data Privacy Framework (Upstash) und EU-Standardvertragsklauseln als Rückfall (Upstash DPA Abschnitt B)
- Vertrag
- Data Processing Agreement · Unter-Unterauftragsverarbeiter
- Eingesetzt seit
- 2026-06
5. Google Cloud EMEA Limited
- Anschrift
- 70 Sir John Rogerson's Quay, Dublin 2, Irland
- Kontakt
- https://cloud.google.com/terms/data-processing-addendum
- Leistung
- PDF-Erzeugung des Kundenberichts (WeasyPrint-Dienst auf Cloud Run); verarbeitet den freigegebenen Berichtsinhalt nur für die Dauer der Erzeugung
- Verarbeitungsort
- Frankfurt am Main, Deutschland (Region europe-west3)
- Übermittlung
- Keine beabsichtigte Drittlandübermittlung; Google Cloud Data Processing Addendum
- Vertrag
- Data Processing Agreement · Unter-Unterauftragsverarbeiter
- Eingesetzt seit
- 2026-06
Verfahren bei Änderungen
Bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, kündigen wir das mindestens 30 Tage im Voraus an: auf dieser Seite und per E-Mail an die Owner-Adresse jeder Organisation. Kontoinhaber können der Änderung innerhalb von 30 Tagen nach Zugang der Ankündigung widersprechen, per E-Mail an info@datenmassiv.com.
Kommt nach einem Widerspruch keine Einigung zustande, besteht ein Kündigungsrecht des Kontoinhabers für die betroffene Leistung mit anteiliger Erstattung vorausbezahlter Entgelte. Das entspricht Klausel 7.7 (Option 2) der Standardvertragsklauseln.
Änderungshistorie
- 02.09.2026: Liste erstmals vollständig veröffentlicht: Amazon Web Services, Supabase, Vercel, Upstash und Google Cloud (ADR 0050). Vercel-Serverfunktionen auf die Region Frankfurt festgelegt.
Fragen zur Verarbeitung beantworten wir unter info@datenmassiv.com. Die allgemeine Datenschutzerklärung beschreibt die Verarbeitung auf dieser Website.