Datenschutz

Sub-Auftragsverarbeiter

Diese Dienstleister verarbeiten in unserem Auftrag personenbezogene Daten. Stand: September 2026.

Hintergrund

Gemäß Art. 28 DSGVO setzen wir bei der Bereitstellung der Plattform Sub-Auftragsverarbeiter ein. Mit jedem dieser Dienstleister besteht ein Auftragsverarbeitungsvertrag bzw. eine gleichwertige Vereinbarung. Änderungen an dieser Liste zeigen wir zahlenden Kunden mindestens 30 Tage vor Wirksamwerden in der Plattform und per E-Mail an. Details zu Rechten und Widerspruchsmöglichkeiten finden Sie im AVV, der Bestandteil der Nutzungsbedingungen ist.

Hetzner Online GmbH

Industriestraße 25, 91710 Gunzenhausen, Deutschland

Zweck: Bereitstellung der Server-Infrastruktur (dedizierte Server) für die vollständig von uns selbst betriebene Plattform: Anwendungs-Hosting, Datenbank (PostgreSQL), Authentifizierung und Dateispeicher (self-hosted Supabase), Web-Analytics (self-hosted Umami) sowie selbst gehosteter Jitsi-Meet-Server für Online-ETV inkl. ggf. Aufzeichnungsspeicher
Datenkategorien: Sämtliche in der Plattform verarbeiteten Daten (Stammdaten, WEG-Daten, Finanzdaten, Dokumente, Authentifizierungsdaten, IP-Adressen, Verbindungsmetadaten; Audio-/Videodaten nur bei aktivierter ETV-Aufzeichnung). Hetzner stellt nur die Infrastruktur; kein inhaltlicher Zugriff
Serverstandort: Deutschland (ISO-27001-zertifizierte Rechenzentren Falkenstein und Nürnberg)
Drittlandtransfer: Nein
Rechtsgrundlage: Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO; Verarbeitung ausschließlich in Deutschland

Datenschutzerklärung des Anbieters

Stripe Payments Europe, Ltd.

1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

Zweck: Abwicklung von Abonnements, Zahlungen (SEPA/Kreditkarte), Rechnungen, Kundenportal
Datenkategorien: Name, E-Mail, Rechnungsadresse, Zahlungsdaten, Transaktionsmetadaten
Serverstandort: EU (Irland); Stripe Inc. USA als Sub-Auftragsverarbeiter
Drittlandtransfer: Ja (für US-Parent)
Rechtsgrundlage: EU-US Data Privacy Framework + Standardvertragsklauseln

Datenschutzerklärung des Anbieters

Lettermint B.V.

Niederlande

Zweck: Versand transaktionaler E-Mails und des Newsletters, Empfang eingehender E-Mails an Plattform-Adressen (kein Öffnungs-Tracking)
Datenkategorien: E-Mail-Adresse, Name, Nachrichteninhalte inkl. Anhängen
Serverstandort: EU (Niederlande)
Drittlandtransfer: Nein
Rechtsgrundlage: Innerhalb EWR

Datenschutzerklärung des Anbieters

BANKSapi Technology GmbH

München, Deutschland

Zweck: PSD2-Kontoinformationsdienst (AIS), Zahlungsauslösedienst (PIS)
Datenkategorien: IBAN, Kontoinhaber, Kontostand, Umsatzinformationen
Serverstandort: Deutschland
Drittlandtransfer: Nein
Rechtsgrundlage: Innerhalb DE; für PSD2-Leistungen eigenständig Verantwortlicher

Datenschutzerklärung des Anbieters

Mistral AI SAS

15 Rue des Halles, 75001 Paris, Frankreich

Zweck: KI-gestützte Analyse freigegebener Dokumente (Texterkennung, OCR für gescannte Belege), Chat-Funktionen (Mistral La Plateforme), Sprachtranskription (Voxtral)
Datenkategorien: Nur vom Nutzer bewusst zur KI-Verarbeitung übergebene Inhalte
Serverstandort: Frankreich / EU
Drittlandtransfer: Nein
Rechtsgrundlage: Innerhalb EWR; Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO; Zero-Training nach Mistral La Plateforme-AGB; standardmäßig max. 30 Tage Aufbewahrung

Datenschutzerklärung des Anbieters

Anthropic, PBC

500 Howard Street, San Francisco, CA 94105, USA

Zweck: KI-Chat-Assistent in der Plattform (Claude-Modelle; Standardmodell für neue Objekte, in den KI-Einstellungen gegen Mistral tauschbar) sowie Ersatz-Anbieter der Dokument-Extraktion bei Ausfall von Google
Datenkategorien: Nur vom Nutzer bewusst zur KI-Verarbeitung übergebene Inhalte (Chat-Nachrichten, angehängte Dokumente/Bilder, WEG-Kontextdaten)
Serverstandort: USA
Drittlandtransfer: Ja (USA)
Rechtsgrundlage: EU-Standardvertragsklauseln (ergänzend DPF-Status, soweit zertifiziert); Auftragsverarbeitungsvertrag (Commercial Terms) mit Zero-Training-Zusage und Zero-Data-Retention für Standard-Modelle

Datenschutzerklärung des Anbieters

Google Ireland Ltd. / Google LLC

Gordon House, Barrow Street, Dublin 4, Irland (EU-Vertragspartner)

Zweck: (a) Gemini-API: Standard der KI-Extraktion aus hochgeladenen Dokumenten (Rechnungen, Teilungserklärungen, Abrechnungen, Protokolle) und des Kostenchecks auf der Marketing-Website; (b) Firebase Cloud Messaging: Push-Benachrichtigungen der Mobile-App; (c) Google Workspace: Kalender der Berater für gebuchte Beratungstermine
Datenkategorien: (a) vollständige Inhalte der übergebenen Dokumente inkl. Namen, Adressen, IBANs; (b) Geräte-Token, Titel und Kurztext der Benachrichtigung; (c) Name, E-Mail-Adresse und Termin des Interessenten
Serverstandort: EU/USA (Google-Infrastruktur)
Drittlandtransfer: Ja (USA möglich)
Rechtsgrundlage: EU-US Data Privacy Framework bzw. Standardvertragsklauseln; Auftragsverarbeitungsvertrag; Paid-API ohne Nutzung der Inhalte zu Trainingszwecken

Datenschutzerklärung des Anbieters

Functional Software, Inc. (Sentry)

45 Fremont Street, San Francisco, CA 94105, USA

Zweck: Fehler-/Exception-Monitoring der Plattform (technische Fehlerberichte)
Datenkategorien: Technische Fehlerdaten (Fehlermeldung, Stacktrace, Zeitpunkt, Konto-/Objekt-Kennung); IP-Adressen, Cookies und Inhaltsdaten werden nicht übermittelt, Session Replay ist abgeschaltet
Serverstandort: EU-Datenregion (Frankfurt am Main)
Drittlandtransfer: Nur im Support-Fall durch die US-Muttergesellschaft möglich
Rechtsgrundlage: EU-US Data Privacy Framework + Standardvertragsklauseln; Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO

Datenschutzerklärung des Anbieters

IONOS SE

Elgendorfer Str. 57, 56410 Montabaur, Deutschland

Zweck: Betrieb des Firmenpostfachs (Kontakt-, Support- und Vertriebs-Mails); die Mails werden in unser Kundenbeziehungs-System übernommen
Datenkategorien: E-Mail-Adresse, Name und Inhalte der Korrespondenz mit Interessenten und Kunden
Serverstandort: Deutschland
Drittlandtransfer: Nein
Rechtsgrundlage: Innerhalb DE; Auftragsverarbeitungsvertrag gem. Art. 28 DSGVO

Datenschutzerklärung des Anbieters

JOIN Solutions AG

Zürich, Schweiz

Zweck: Bereitstellung unserer Stellenanzeigen auf der Karriere-Seite (die Anzeigen werden nur geladen; Bewerbungen laufen per E-Mail)
Datenkategorien: Keine Kundendaten; IP-Adresse der Besucher der Karriere-Seite beim Laden der Anzeigen
Serverstandort: EU / Schweiz
Drittlandtransfer: Schweiz (Angemessenheitsbeschluss)
Rechtsgrundlage: Angemessenheitsbeschluss der EU-Kommission für die Schweiz

Datenschutzerklärung des Anbieters

Vom Kunden veranlasste Empfänger

Google Ireland Ltd. / Microsoft Ireland Operations Ltd.: „Anmelden mit Google/Microsoft“: der jeweilige Anbieter erhält die Login-Daten in eigener Verantwortung des Nutzers (Datenschutzerklärung Abschnitt 7.1).
Facilioo GmbH / Impower: Konnektor für Hausverwaltungen: Ablage erstellter Abrechnungen im System der Verwaltung, nur wenn die Verwaltung den Konnektor einrichtet.
Vom Kunden gewählter KI-Anbieter (API/MCP): Anbindung eines eigenen KI-Assistenten per API-Schlüssel, sofern freigeschaltet; Transfer auf Veranlassung des Kunden.

Werbepartner (eigene Verantwortliche, nur mit Einwilligung)

Google Ireland Ltd. / Google LLC (Google Ads): Conversion-Messung und Remarketing für unsere Anzeigen, nur auf der Marketing-Website und nur nach Einwilligung über das Cookie-Banner (Kategorie „Werbung und Conversion-Messung“). Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO; keine Übermittlung von Namen oder E-Mail-Adressen (Erweiterte Conversions abgeschaltet). Details in der Datenschutzerklärung, Abschnitt 11.1.
Meta Platforms Ireland Ltd. / Meta Platforms, Inc. (Meta-Pixel für Instagram- und Facebook-Anzeigen): Conversion-Messung, Remarketing und Zielgruppen für unsere Anzeigen auf Instagram und Facebook, nur auf der Marketing-Website und nur nach Einwilligung über das Cookie-Banner (Kategorie „Werbung und Conversion-Messung“). Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO für Erhebung und Übermittlung; keine Übermittlung von Namen oder E-Mail-Adressen. Details in der Datenschutzerklärung, Abschnitt 11.1.

Standby / Rückfallsicherung

Supabase Inc. (Cloud, AWS eu-west-1 Irland): Eingefrorene Datenbank-Kopie vom Umzugsstichtag (Juli 2026) als Rückfallsicherung; Löschung spätestens 31.12.2026.

Fragen zur Verarbeitung oder zu Sub-Auftragsverarbeitern? datenschutz@selbstverwalten.com