Recht & Beschaffung
Subprozessoren und Datenstandorte
Diese Übersicht beschreibt Unterauftragsverarbeiter, Dienstleisterkategorien und Datenstandorte für Next Readiness. Sie ergänzt den AVV und die TOMs.
Grundsatz
FalkHQ setzt externe Dienstleister nur ein, soweit dies für Betrieb, Sicherheit, Support, Abrechnung oder vereinbarte Produktfunktionen erforderlich ist. Zugriff erfolgt zweckgebunden und auf das erforderliche Maß begrenzt.
Selbst betriebene Komponenten innerhalb der FalkHQ-kontrollierten Plattform gelten nicht als externe Unterauftragsverarbeiter, werden aber in der Sicherheits- und Datenschutzdokumentation beschrieben.
Eingesetzte Anbieter
| Anbieter | Rolle | Zweck | Mögliche Daten | Standort und Transfer | Status |
|---|---|---|---|---|---|
| FalkHQ-kontrollierte EU-Infrastruktur | Eigenbetrieb | Anwendung, Datenbanken, Backups, Betriebsumgebung, Identität, Cache und internes KI-Gateway | Kundeninhalte, Accountdaten, technische Metadaten, Logs, Backups | EU-/EWR-Betrieb, soweit von FalkHQ kontrolliert | Produktiver Kernbetrieb |
| Cloudflare | Unterauftragsverarbeiter | DNS, DDoS-/Bot-Schutz, CDN/Proxy, Tunnel, R2-Objektspeicher oder Access-Funktionen | Netzwerk-, Zugriffs-, Sicherheits-, Objekt- und technische Metadaten; je nach Funktion auch Kundendateien | Globaler Anbieter; Drittlandzugriffe nach Art. 44 ff. DSGVO abgesichert | Produktiv eingesetzt |
| Resend | Unterauftragsverarbeiter | Transaktions-E-Mails per API oder SMTP-Relay | Name, E-Mail-Adresse, Zustellmetadaten und E-Mail-Inhalte | Globaler Anbieter; Drittlandzugriffe nach Art. 44 ff. DSGVO abgesichert | Produktiv für E-Mail-Zustellung |
| Stripe | Eigenständig Verantwortlicher und Auftragsverarbeiter je nach Verarbeitung | Zahlungsabwicklung, Checkout, Kundenportal, Rechnungen, Abonnements, Steuer- und Zahlungsstatus | Rechnungsprofil, E-Mail, Adresse, Umsatzsteuerinformationen, Zahlungsstatus und Providerreferenzen | EU/USA nach Stripe-Unterlagen; Drittlandtransfers nach Art. 44 ff. DSGVO abgesichert | Aktiv, soweit Zahlungsfunktionen genutzt werden |
| Slack | Unterauftragsverarbeiter für begrenzte interne Benachrichtigungen | Operative Alerts, Sicherheits- und Supportkoordination | Begrenzte technische Metadaten, Ticket-/Incident-Referenzen, keine Kundendokumente | Globaler Anbieter; Drittlandzugriffe nach Art. 44 ff. DSGVO abgesichert | Optional für interne Abläufe |
| Microsoft Azure APIs oder benannter KI-Modellanbieter | Unterauftragsverarbeiter, soweit aktiviert | KI-gestützte Fragebogen-Mappings, Antwortentwürfe, Zusammenfassungen, SOP-Entwürfe und Risikocluster | Vom Kunden ausgewählte Eingaben, Kontext, Prompts, Metadaten und generierte Ausgaben | Region, Trainings-/Logging-Kontrollen und Transfermechanismus werden vor produktiver Kundendatenverarbeitung festgelegt | Nicht für produktive Kundendaten ohne Aktivierung und Benennung |
Mailpit ist nur für lokale oder nicht-produktive Umgebungen vorgesehen und darf nicht für produktive Kundendaten genutzt werden.
Öffentliche Web-Analytics, Produkt-Analytics und Observability werden datensparsam betrieben. Kundeninhalte, Freitexte, Secrets, Cookies und Tokens dürfen nicht als Analyse-Properties übertragen werden.
Drittlandzugriffe
Bei globalen Anbietern wie Cloudflare, Stripe, Resend, KI-Modellanbietern oder Slack können je nach Dienst, Supportfall, Sicherheitsbetrieb oder Unterauftragsverarbeiter Zugriffsmöglichkeiten aus Drittländern bestehen.
Soweit personenbezogene Daten in Drittländer übermittelt werden oder Zugriffsmöglichkeiten aus Drittländern bestehen, nutzt FalkHQ geeignete Garantien nach Art. 44 ff. DSGVO, insbesondere Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln und ergänzende Maßnahmen, soweit erforderlich.
Änderungen und Widerspruch
FalkHQ informiert Kunden mit angemessener Frist vor dem Einsatz neuer oder ersetzter Unterauftragsverarbeiter nach Maßgabe des AVV. Kunden können aus wichtigem datenschutzrechtlichem Grund widersprechen.
Kann ein Widerspruch nicht angemessen aufgelöst werden, können die Parteien den betroffenen Dienst oder Vertrag nach den vertraglichen Regeln beenden.