Rechtliche Informationen
Unterauftragsverarbeiter / Subprocessors
Diese Seite ist das aktuelle Unterauftragsverarbeiterregister nach § 5 des Auftragsverarbeitungsvertrags.
Verfahren nach § 5 AVV
Allgemeine Genehmigung und Änderungsverfahren
Kunden erteilen Applied Integral eine allgemeine schriftliche Genehmigung für die in dieser Liste konkret bezeichneten Unterauftragsverarbeiter.
Applied Integral informiert den vereinbarten Datenschutz- oder Administrationskontakt mindestens 30 Kalendertage vor einer beabsichtigten Ergänzung oder Ersetzung aktiv in Textform. Eine bloße Aktualisierung dieser Website genügt nicht als Mitteilung.
Maßgeblich sind die bei Vertragsschluss veröffentlichte Fassung des Registers und die nach § 5 AVV ordnungsgemäß angekündigten späteren Fassungen.
Die Mitteilung nennt mindestens Rechtsträger, Anschrift oder Sitz, Leistung, betroffene Datenarten, Verarbeitungs- und Zugriffsländer, geplanten Einsatzzeitpunkt, Transfermechanismus und die Fundstelle der aktuellen Anbieterketten. Kunden können innerhalb von 14 Kalendertagen aus einem nachvollziehbaren datenschutzrechtlichen Grund widersprechen. Für dringende Änderungen zur Abwehr einer Sicherheitsgefahr gilt das im AVV geregelte beschleunigte Verfahren.
Anfragen können an privacy@appliedintegral.com gerichtet werden.
Register nach § 5 AVV
Aktuell genehmigte Anbieter
Die Liste gilt für die Applied Integral Platform. Welche Dienste im Einzelfall tatsächlich verwendet werden, hängt vom gebuchten Leistungsumfang, den aktivierten Funktionen und der technischen Bereitstellung ab. Die Auflistung verpflichtet Applied Integral nicht zum dauerhaften Einsatz eines Dienstes.
| Angabe | Supabase | Bunny | Resend | Amplitude | Sentry |
|---|---|---|---|---|---|
| Vollständiger Rechtsträger | Supabase Pte. Ltd | BunnyWay d.o.o. | Plus Five Five, Inc. (Resend) | Amplitude, Inc. | Functional Software, Inc. d/b/a Sentry |
| Sitz / Anschrift | 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513 | Dunajska cesta 165, 1000 Ljubljana, Slowenien | 2261 Market Street #5039, San Francisco, CA 94114, USA | 201 3rd Street, Suite 200, San Francisco, CA 94103, USA | 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA |
| Dienst / Funktion | Datenbank, Authentifizierung, Storage, tägliche Backups, Plattformlogs und Edge Functions | Bunny CDN Pull Zone und Bunny Storage für das Anwendungs-Frontend | Versand von Einladungen, Verifikations- und Transaktions-E-Mails über Supabase Edge Functions | Technische Produktanalytics; optionales Session Replay nur unter den unten beschriebenen Voraussetzungen | Technisches Fehler- und Performance-Monitoring zur Diagnose, Stabilisierung und Absicherung der Plattform |
| Betroffene Datenarten | Plattform- und Kundendaten, Authentifizierungs- und Berechtigungsdaten, Dateien, Backup-, Log- und Funktionsdaten nach Anlage 1 des AVV | Statische Frontenddateien sowie IP-, Request-, URL-, User-Agent-, Referrer-, Verkehrs-, Sicherheits- und Logdaten | Empfängeradresse, Name soweit verwendet, Nachrichteninhalt sowie Versand-, Zustell- und Fehler-Metadaten; keine Assessmentantworten | Pseudonyme Analyse- und Mandanten-ID, Ereignis- und Funktionsbezeichnung, Seitenpfad ohne Query-Parameter, Zeitpunkt, Sprache, Einwilligungsstatus sowie Geräte-, Browser-, Betriebssystem-, Viewport-, Fehler- und Interaktionsmetadaten. Keine Namen, E-Mail-Adressen, Assessmentantworten, Scores, Ergebnisinhalte, Pulse-Freitexte oder besonderen Kategorien als Analytics-Properties. | Fehlerereignisse, Stack Traces, betroffene Routen oder Funktionen, Release und Umgebung, Zeitpunkt sowie Geräte-, Browser-, Betriebssystem- und technische Request-Metadaten nach Filterung. Keine Namen, E-Mail-Adressen, Assessment- oder Befragungsinhalte, Scores, Ergebnisinhalte, Freitexte, Authentifizierungsdaten, Tokens oder besonderen Kategorien. |
| Primärer Speicherort | Datenbankprojekt AWS eu-central-1, Frankfurt. Edge Functions mit personenbezogenen Kundendaten werden in eu-central-1 aufgerufen. | Storage-Hauptregion Frankfurt; Replikation nur in ausgewählten EWR-Regionen; CDN-Routing über Europa | Primäre Verarbeitung in den USA | Amplitude-EU-Organisation; AWS-Datenzentrum in Deutschland; EU-Serverzone und EU-Endpunkte | Bei produktiver Aktivierung: Sentry-Organisation in der DE-Region (de.sentry.io); Speicherung der Service-Daten am gewählten deutschen Speicherort |
| Mögliche Verarbeitungs- und Zugriffsländer | Singapur, USA und weitere Länder der jeweils aktuellen Supabase-Unterauftragsverarbeiterliste | Slowenien, EWR-Regionen und Länder der jeweils aktuellen Bunny-Unterauftragsverarbeiterliste | USA und weitere Länder der jeweils aktuellen Resend-Unterauftragsverarbeiterliste | Deutschland und USA; mögliche Support- und Betriebszugriffe sowie weitere Länder der aktuellen Amplitude-Unterauftragsverarbeiterliste | Deutschland, USA, Österreich, Kanada, Niederlande und weitere Länder der jeweils aktuellen Sentry-Unterauftragsverarbeiterliste |
| Transfermechanismus / ergänzende Maßnahmen | Supabase-DPA vom 1. Juni 2026 mit EU-Standardvertragsklauseln, Module 2 und 3, sowie ergänzenden Maßnahmen | EWR-Rechtsträger und Bunny-DPA; IP-Anonymisierung aktiviert, permanente Logspeicherung deaktiviert, reguläre Raw-Log-Aufbewahrung drei Tage | Resend-DPA vom 31. Dezember 2025 mit EU-Standardvertragsklauseln und EU-US Data Privacy Framework | Je nach Tarif TOS-DPA vom 4. Juni 2024 oder DPA zum MSA vom 13. Mai 2026; EU-US Data Privacy Framework, nachrangig EU-Standardvertragsklauseln, Modul 2 | Sentry-DPA Version 5.1.0 mit EU-US Data Privacy Framework und ersatzweise EU-Standardvertragsklauseln, Module 2 und 3; TLS, Verschlüsselung gespeicherter Daten sowie PII-Scrubbing |
| Status | Eingesetzt | Eingesetzt | Eingesetzt Öffnungs- und Klicktracking für Transaktions-E-Mails deaktiviert | Genehmigt Product Analytics kann nach interner technischer Freigabe aktiviert werden. Session Replay bleibt standardmäßig technisch deaktiviert. | Genehmigt Produktiver Einsatz nur in der DE-Region und mit freigegebener datensparsamer Konfiguration. Session Replay, User Feedback und Seer-/KI-Funktionen bleiben deaktiviert. |
| Offizielle Anbieterinformationen | https://supabase.com/downloads/docs/Supabase%2BDPA%2B260601.pdf https://supabase.com/docs/guides/platform/regions | https://bunny.net/gdpr/ https://bunny.net/gdpr/sub-processors/ | https://resend.com/legal/dpa https://resend.com/legal/subprocessors | https://www.amplitude.com/dpa https://www.amplitude.com/terms/dpa https://amplitude.com/subprocessor-list | https://sentry.io/legal/dpa/ https://sentry.io/legal/subprocessors/ https://sentry.io/security/ |
Technisches Monitoring und Produktanalytics
Sentry, Amplitude und Session Replay
Sentry ist für technisches Fehler- und Performance-Monitoring genehmigt. Der produktive Einsatz setzt eine Sentry-Organisation in der DE-Region und eine datensparsame Konfiguration voraus. Direkte Identifikatoren, IP-Speicherung, Inhaltsdaten und Secrets werden deaktiviert oder vor Speicherung entfernt. Sentry Session Replay, User Feedback und Seer-/sonstige KI-Funktionen bleiben ohne gesonderte technische und rechtliche Freigabe deaktiviert.
Amplitude ist aktuell für technische Product Analytics genehmigt. Die produktive Aktivierung setzt die interne technische Freigabe voraus. Dazu gehören insbesondere eine Amplitude-EU-Organisation, EU-Endpunkte, ein wirksames Consent-Gating, eine dokumentierte Ereignis- und Property-Allowlist sowie festgelegte Zugriffs- und Aufbewahrungsregeln.
Eine technische Sitzungsaufzeichnung bleibt standardmäßig deaktiviert. Eine Aktivierung setzt unabhängig vom dafür verwendeten Dienst eine gesonderte technische und rechtliche Freigabe nach AVV und TOM voraus. Assessment-, Pulse-, Freitext-, Ergebnis-, Personen- und Administrationsbereiche müssen ausgeschlossen bleiben. Eingaben und sensible Seitenelemente müssen maskiert oder blockiert werden. Die Rohdatenaufbewahrung darf grundsätzlich 30 Tage nicht überschreiten.
Abgrenzung
Direkte und mittelbare Anbieter
PostHog, Vercel und Cloudflare sind keine direkten aktuellen Unterauftragsverarbeiter von Applied Integral. Anbieter, die in den jeweils aktuellen Unterauftragsverarbeiterketten von Supabase, Bunny, Resend, Amplitude oder Sentry aufgeführt sind, können mittelbar in die Leistungserbringung eingebunden sein. Ihre Aufnahme in eine Herstellerliste macht sie nicht zu einem gesonderten direkten Vertragspartner von Applied Integral.
Maßgeblich bleiben die aktuelle Herstellerliste, der anwendbare Anbieter-DPA und die dokumentierte Transferprüfung innerhalb der genehmigten Kette.
Datenschutz
Kontakt
81829 München
Deutschland
E-Mail: privacy@appliedintegral.com