Unterauftragsverarbeiter

Anbieter: STL EMBEDED CREATIONS SRL, Cluj-Napoca, Rumänien.

Diese Liste ist Anhang III des Auftragsverarbeitungsvertrags. Sie umfasst personenbezogene Daten, die Consentl im Auftrag seiner Kunden in beiden Diensten verarbeitet:

  • Consentl für Shopify: die Shopify-App unter shopify.consentl.com;
  • Consentl für Websites: das Dashboard unter app.consentl.com und die öffentliche API unter api.consentl.com, die das Code-Snippet der Website und die Plattform-Plugins aufrufen.

Diese Daten sind die Einwilligungsnachweise, Datenschutzanfragen und Widerrufe der Besucher von Shops und Websites sowie die E-Mails, die an diese gesendet werden. Dieselben Dienstleister verarbeiten auch die Daten, für die wir der Verantwortliche sind (Kundenkonten, Abrechnung, Support, Protokolle); dies ist in unseren Datenschutzerklärungen beschrieben.

Version 3 · Gültig ab: 2026-10-23

Dies ist eine Übersetzung. Für Geschäftskunden ist die englische Fassung maßgeblich. Für Verbraucher mit gewöhnlichem Aufenthalt in einem Land, in dem Deutsch eine Amtssprache ist, ist diese Fassung gleichermaßen verbindlich wie die englische Fassung; weichen die beiden Fassungen voneinander ab, gilt die für den Verbraucher günstigere Bedeutung. Für andere Verbraucher ist die englische Fassung maßgeblich, soweit nicht zwingendes Verbraucherrecht ihres Landes etwas anderes vorschreibt.

Aktuelle Unterauftragsverarbeiter

# Unterauftragsverarbeiter (Unternehmen, Sitz) Verwendet für Dienst und Verarbeitung Betroffene Daten Ort der Verarbeitung Garantie für die Übermittlung
1 DigitalOcean, LLC, New York, USA Shopify und Websites Hosting: App Platform (Webanwendungen, Scanner-Worker, Pre-Deploy-Jobs), Managed-PostgreSQL-Datenbanken, automatische Sicherungskopien (Backups) der Datenbanken, Laufzeitprotokolle (Logs) Alle Daten in den Consentl-Datenbanken (Anhang I des AVV) und Request-Metadaten in Protokollen Frankfurt, Deutschland (App-Platform-Region fra, Datenbank-Cluster in fra1) Daten im Ruhezustand in der EU. Fernzugriff aus Drittländern (Support, Betrieb) auf Grundlage der Vereinbarung zur Auftragsverarbeitung von DigitalOcean, die die EU-Standardvertragsklauseln (2021/914) und das UK-Addendum (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses) einbezieht.
2 Cloudflare, Inc., San Francisco, USA, beauftragt von DigitalOcean (Unterauftragsverarbeiter von DigitalOcean) Shopify und Websites Das Edge-Netzwerk der App Platform: TLS-Terminierung, Auslieferung von Inhalten, Schutz vor DDoS-Angriffen und Bots für jede Anfrage (Request) an shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com und deren Staging-Hosts. Cloudflare kann auf diesen Hosts das Sicherheits-Cookie __cf_bm (30 Minuten) setzen. Die Länderermittlung von Consentl für das Banner läuft auf den eigenen Servern von Consentl (lokale DB-IP-Lite-Datenbank), nicht bei Cloudflare. IP-Adressen von Besuchern und Kunden, Request-Metadaten, Request-Inhalte bei der Übertragung (Einwilligungs-Beacons, Formularübermittlungen) Globales Edge-Netzwerk (das dem Anfragenden nächstgelegene Rechenzentrum); Request-Inhalte werden nicht gespeichert Die Standardvertragsklauseln, die DigitalOcean nach seiner Vereinbarung zur Auftragsverarbeitung mit Cloudflare abschließt.
3 Brevo SAS (vormals Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich Shopify und Websites Transaktions-E-Mails über die Brevo-API: Verifizierung und Bestätigung von Datenschutzanfragen, Eingangsbestätigungen für Widerrufe (an Käufer und Besucher); Benachrichtigungen, Scan-Berichte sowie Konto- und Abrechnungs-E-Mails (an Kunden) E-Mail-Adresse und Name des Empfängers, E-Mail-Inhalt (kann Bestellnummern, die Art der Anfrage und die Nachricht des Anfragenden enthalten), Zustell-, Bounce- und Beschwerdeereignisse (Öffnungs- und Klick-Tracking anonymisiert) Europäische Union Dienstleister mit Sitz in der EU; keine Übermittlung durch Consentl. Eigene Unterauftragsverarbeiter von Brevo: siehe die von Brevo veröffentlichte Liste. Öffnungs- und Klick-Tracking ist anonymisiert: Es werden keine Interaktionsdaten mit dem Empfänger verknüpft.
4 Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Genf, Schweiz Shopify und Websites E-Mail-Hosting der consentl.com-Postfächer [email protected] (Support) und [email protected] (Datenschutz; zugleich Absender unserer Transaktions-E-Mails): Support- und Datenschutzkorrespondenz, Anfragen, die Kunden an uns weiterleiten, Antworten, Bounces und automatische Antworten auf unsere E-Mails E-Mail-Adressen, Namen und Nachrichten von Kunden, von Käufern und Besuchern, die auf unsere E-Mails antworten, und von Käufern und Besuchern, deren Anfragen Kunden weiterleiten Schweiz Angemessenheitsbeschluss der Europäischen Kommission für die Schweiz (2000/518/EG). In Verwendung seit 2026-10-22 (beide Postfächer in Betrieb).

Keine Unterauftragsverarbeiter (zur Transparenz)

Partei Verwendet für Warum sie kein Unterauftragsverarbeiter ist
Shopify (Shopify International Limited, Dublin, Irland; Shopify Inc., Ottawa, Kanada) Shopify Die Plattform, auf der der Händler den Shop betreibt und die App installiert. Shopify verarbeitet Shop-Daten nach seiner eigenen Vereinbarung mit dem Händler, leitet App-Proxy-Anfragen und Webhooks weiter, hostet die Storefront-Skripte in seinem CDN und rechnet die App ab. Auf Weisung des Händlers übermitteln wir Daten an Shopify als die eigene Plattform des Händlers (Widersprüche (Opt-outs) gegen den Verkauf oder die Weitergabe, weitergeleitete Löschungsanfragen, die veröffentlichte Banner-Konfiguration); wir beauftragen Shopify nicht, Daten in unserem Auftrag zu verarbeiten.
Website-Plattformen (WordPress, Shopware, PrestaShop, Magento, Website-Baukästen, Google Tag Manager) Websites Die eigene Plattform des Kunden. Unsere Plugins und Vorlagen laufen dort und speichern keine Besucherdaten; wir beauftragen die Plattform nicht.
Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland) Websites (Abrechnung) Verarbeitet die Abrechnungs- und Zahlungsdaten unserer Kunden (Konto-E-Mail-Adresse, Name, Zahlungsdaten, Rechnungsanschrift, Steuernummer) für uns und, zur Betrugsprävention und für seine aufsichtsrechtlichen Pflichten, als eigenständiger Verantwortlicher. Erhält keine Besucherdaten. Beschrieben in der Datenschutzerklärung für Websites.
DB-IP (db-ip.com) Websites Herausgeber der Länderdatenbank DB-IP Lite (CC BY 4.0). Eine Kopie ist in unsere Server integriert, und die Länderermittlung erfolgt dort, im Arbeitsspeicher; DB-IP erhält keine Daten von uns.
Google (Google Ireland Limited, Dublin, Irland; Google LLC, USA) Nur unsere eigene Website consentl.com Google Analytics 4 läuft nur auf consentl.com und erst, nachdem der Besucher die Kategorie „Analytics“ („Statistiken“) akzeptiert hat. Google verarbeitet Daten der Besucher unserer Website als unser Auftragsverarbeiter; es erhält niemals Daten der Shops, Websites oder Besucher unserer Kunden. Beschrieben in der Datenschutzerklärung für die Website consentl.com.
GitHub, Inc., San Francisco, USA Entwicklung Hostet den Quellcode und die CI. Personenbezogene Daten aus dem Produktivbetrieb werden weder in das Repository noch in Issues, Pull Requests, CI-Protokolle, Testdaten (Test-Fixtures) oder Screenshots eingestellt.
KI-Programmierassistenten (zum Beispiel Claude von Anthropic PBC, USA) Entwicklung Werden von unserem Personal nur für Quellcode und Testdaten verwendet; sie erhalten keine Produktivdatenbanken, keine Produktivprotokolle und keine personenbezogenen Daten von Kunden. Erhält ein KI-Tool jemals Zugriff auf Produktivdaten oder -protokolle, wird sein Anbieter mit einer Vorankündigung von 30 Tagen in die obige Tabelle aufgenommen.

Verfahren zur Mitteilung von Änderungen

  1. Vorankündigung. Mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten von Kunden beginnt (oder ein bestehender für einen neuen Zweck oder an einem neuen Ort eingesetzt wird), gehen wir wie folgt vor:
    • Wir fügen dem Änderungsprotokoll unten einen Eintrag mit dem geplanten Datum des Inkrafttretens hinzu;
    • wir senden eine E-Mail an die Mitteilungsadresse jedes Kunden: bei Shopify an den Datenschutzkontakt, den der Händler in der App festgelegt hat, oder, falls keiner festgelegt ist, an die E-Mail-Adresse des Shop-Inhabers; bei Websites an die auf der Seite „Konto“ festgelegte Mitteilungsadresse oder, falls keine bestätigt ist, an die Inhaber und Administratoren des Kontos. Betreff: „Consentl: planned sub-processor change“ („Consentl: geplante Änderung der Unterauftragsverarbeiter“).
  2. Widerspruch. Der Kunde kann innerhalb der Mitteilungsfrist aus angemessenen Gründen, die den Datenschutz betreffen, schriftlich unter [email protected] Widerspruch einlegen. Wir antworten innerhalb von 14 Tagen und bemühen uns, den Widerspruch auszuräumen (zum Beispiel, indem wir den Unterauftragsverarbeiter für diesen Kunden nicht einsetzen). Wird der Widerspruch nicht innerhalb von 30 Tagen ausgeräumt, kann der Kunde den Vertrag kündigen, bevor die Änderung für ihn gilt; im Voraus gezahlte Entgelte für den nicht genutzten Zeitraum werden erstattet (Ziffern 6.3 und 6.4 des AVV: über Shopify als Erstattung oder App-Guthaben oder über Stripe).
  3. Ersetzung im Notfall. Muss ein Unterauftragsverarbeiter dringend ersetzt werden (Sicherheitsvorfall, Insolvenz, Kündigung durch den Unterauftragsverarbeiter), können wir die Änderung mit kürzerer Frist vornehmen und informieren die Kunden so bald wie möglich. Das Widerspruchsrecht gilt weiterhin, und eine Erstattung wird ab dem Datum der Änderung berechnet.
  4. Andere Adressen. Kunden, die Mitteilungen an eine andere Adresse erhalten möchten, können uns dies unter [email protected] mitteilen.

Änderungsprotokoll

Datum Änderung Mitteilung versandt Gültig ab
2026-10-20 Erste Liste (DigitalOcean, Cloudflare über DigitalOcean, Brevo). — (vor dem Start) zum Start
2026-10-21 Version 2: Die Liste umfasst auch Consentl für Websites; Eintrag zu Cloudflare berichtigt (Rolle, Hosts, keine Länderermittlung); Unternehmensname von Brevo aktualisiert; Proton AG für die consentl.com-Postfächer hinzugefügt; Stripe, Google, Website-Plattformen und KI-Programmierassistenten als Nicht-Unterauftragsverarbeiter aufgeführt. — (vor dem Start) zum Start; Proton ab dem Tag, an dem seine Postfächer in Betrieb gehen
2026-10-22 Eintrag zu Proton AG erweitert: Proton hostet beide öffentlichen Adressen, [email protected] und [email protected], einschließlich der Supportkorrespondenz und der Anfragen, die Kunden an uns weiterleiten. Kein anderer Postfachanbieter wird genutzt. — (vor dem Start) 2026-10-22 (Postfächer in Betrieb)
2026-10-22 Prüfung vor der Veröffentlichung: Eintrag zu Cloudflare aktualisiert (Bot-Schutz und das Cookie __cf_bm, Host consentl.com; die Länderermittlung läuft auf unseren eigenen Servern mit der Datenbank DB-IP Lite); DB-IP als Nicht-Unterauftragsverarbeiter aufgeführt; Stripe im Live-Modus, Vertragspartner Stripe Payments Europe, Limited; die Empfänger von Mitteilungen richten sich nach den Einstellungen zur Mitteilungsadresse beider Dienste. — (vor dem Start) zum Start
2026-10-23 Version 3, erste veröffentlichte Version: die Liste wie oben, mit den Bestätigungen des Inhabers (KI-Programmierassistenten erhalten niemals Produktivdaten oder -protokolle; Brevo mit anonymisiertem Öffnungs- und Klick-Tracking). Kein neuer Unterauftragsverarbeiter. — (erste Veröffentlichung) 2026-10-23

Quelle: docs/legal/de/SUBPROCESSORS.md im Consentl-Repository.